iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 21篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 06:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】10月25日，Fortinet零時差漏洞4個月前就遭駭客組織UNC5820利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週最受到矚目的漏洞，應該就屬網路設備管理平臺FortiManager零時差漏洞CVE-2024-47575（也被稱做FortiJump），在Fortinet對外發布資安公告之後，有資安業者證實已有企業遭遇相關攻擊。</p> <p>資安業者Mandiant指出，他們看到駭客組織UNC5820在今年6月就開始利用這項漏洞，但對於攻擊者的身分，以及運用漏洞的目的，迄今仍無法掌握。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165689"><strong style="font-size: 22px;">針對Fortinet本週揭露的網路設備管理平臺零時差漏洞，研究人員指出6月就已遭到利用</strong></a></p> <p>資安業者Fortinet週三（10月23日）發布公告，揭露網路設備管理平臺FortiManager重大漏洞CVE-2024-47575（也被稱做FortiJump），並警告已有實際利用的情況，有資安業者Mandiant在公告後隔天揭露，他們在4個月前就掌握到駭客攻擊行動。</p> <p>他們發現名為UNC5820的駭客組織，於6月27日就開始嘗試利用上述漏洞攻擊FortiManager，從而將受到管理的FortiGate防火牆組態資料流出。這些詳細資料包含使用者名稱及經過雜湊處理的密碼，攻擊者有機會進一步對FortiManager下手，並對受到管理的其他Fortinet裝置進行橫向移動，進而對企業環境發動進一步攻擊。</p> <p>不過，根據研究人員取得的情報，他們尚未發現駭客利用漏洞進行橫向移動的跡象，而且也沒有後續活動，對於攻擊者的意圖或是地理位置，目前仍不得而知。</p> <p><a href="https://www.ithome.com.tw/news/165669"><strong style="font-size: 22px;">北韓駭客Lazarus假借DeFi遊戲為誘餌，利用Chrome零時差漏洞發動攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Lazarus_APT_for_SAS_11.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Lazarus_APT_for_SAS_11.png" style="width: 300px; float: right;" /></a>5月15日Google發布Chrome 125更新（125.0.6422.60、61），修補零時差漏洞CVE-2024-4947，通報此弱點的資安業者卡巴斯基表示，當時他們看到北韓駭客組織Lazarus假借提供電玩遊戲的名義，並利用這項漏洞企圖控制受害者的電腦。</p> <p>這起攻擊行動之所以曝光，起初是在5月13日，該廠牌防毒軟體在俄羅斯個人用戶的電腦，偵測到後門程式Manuscrypt感染的情況，由於使用該惡意程式的Lazarus鮮少針對個人用戶下手，這樣的情況引起研究人員的注意，進一步調查發現，detankzone[.]com網站利用瀏覽器弱點發動攻擊。</p> <p>研究人員進一步指出，攻擊者架設的網站以TypeScript及React打造而成，他們將漏洞利用程式碼埋在名為index.tsx的檔案，但值得留意的是，這些程式碼不光利用CVE-2024-4947，還運用另一個近期才揭露的V8沙箱弱點。</p> <p><a href="https://www.ithome.com.tw/news/165679"><strong style="font-size: 22px;">北韓IT人員到歐美企業遠距任職引發危機，可能導致商業機密遭竊、勒索</strong></a></p> <p>最近2到3年美國政府多次提出警告，要企業防範北韓駭客假借謀取遠距辦公職務的名義，取得企業內部網路環境的存取權限，從事間諜活動並偷取機密資料的情況，今年美國更是二度查緝協助這些「IT人員」犯案的筆電農場（Laptop Farm），自資安意識教育訓練業者KnowBe4公布他們不慎雇用北韓駭客差點資料外流的事故，有資安業者針對這種威脅態勢進行調查，並指出近期相關攻擊已出現顯著變化。</p> <p>資安業者Secureworks指出，他們針對專門從事這類攻擊的駭客組織Nickel Tapestry（也被稱做Famous Chollima、UNC5267）進行追蹤，結果發現這些駭客在得手企業內部資料後，開始會向雇主進行勒索，要求付錢換取不將資料外流。研究人員指出，這樣的手法過往未曾出現。</p> <p>在其中一起事故裡，受害企業因該員工表現不佳終止僱傭關係，不久就收到一系列電子郵件，其中一封挾帶聲稱竊得內部機密資料的ZIP檔案，另一封則是要求受害企業支付數十萬美元的加密貨幣贖金，後來駭客從另一個電子郵件信箱寄信，以Google Drive共享檔案來表明，他們握有更多內部資料，藉此施壓。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/new-rust-based-embargo-ransomware-threatens-us-companies-with-advanced-attack-techniques/">以Rust打造的Embargo勒索軟體鎖定美國企業而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/misconfigured-un-database-gender-violence-victims-data/">聯合國資料庫配置不當，曝露228 GB性暴力受害者資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/10/cisa-warns-of-active-exploitation-of.html">美國警告SharePoint漏洞CVE-2024-38094出現實際攻擊行動</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165693"><strong style="font-size: 22px;">思科針對網路防火牆產品線的多個軟體平臺發布更新，總共修補51個弱點</strong></a></p> <p>10月23日思科針對旗下防火牆系統Adaptive Security Appliance（ASA）、Firepower Threat Defense（FTD），以及集中控管軟體Firewall Management Center（FMC）發布一系列資安公告，揭露51項漏洞，並發布更新軟體修補。</p> <p>根據CVSS風險評分，這次有3項被列為重大層級的漏洞CVE-2024-20329、CVE-2024-20412、CVE-2024-20424最為危險，資安風險評為9.9至9.3分。</p> <p>除了上述的重大層級漏洞，另一個中度風險的漏洞CVE-2024-20481也值得留意，因為，該公司產品安全事件回應團隊（PSIRT）已經發現有人利用的跡象。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/nvidia-patches-high-severity-flaws-in-windows-linux-graphics-drivers/">針對顯示晶片驅動程式，Nvidia修補8項高風險漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/chrome-patches-multi-vulnerabilities-in-latest-stable-release/">Google發布Chrome 130更新，修補高風險漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165690"><strong style="font-size: 22px;">為強化Apple Intelligence雲端運算安全，蘋果祭出抓漏獎勵</strong></a></p> <p>蘋果於本周四（10月24日）公開邀請所有安全及隱私研究人員，或者是任何有興趣的人存取Private Cloud Compute（PCC），並提供抓漏獎勵，最高可獲得100萬美元的獎金。為了實現此一宣布，蘋果提供了PCC的安全指南，PCC的虛擬研究環境（Virtual Research Environment，VRE），以及PCC的某些關鍵原始碼。</p> <p>什麼是PCC？這是蘋果AI服務Apple Intelligence的一環，使用者可於Mac、iPhone及iPad上直接執行AI任務，更複雜的任務將會移至PCC執行。值得一提的是，這是蘋果第一次將裝置的安全及隱私能力擴展至雲端，以確保發送到PCC的個人資料無法被使用者之外的任何人存取，包括蘋果在內。蘋果號程PCC是雲端大規模AI運算史上最先進的安全架構。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165683"><strong>【10月24日】FortiManager零時差漏洞已被用於實際攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165652"><strong>【10月23日】中國駭客組織IcePeony對亞洲國家網頁伺服器發動SQL注入攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165631"><strong>【10月22日】資安業者ESET以色列合作夥伴驚傳遭駭，駭客冒名從事網釣攻擊</strong></a></p> </div></div></div>
2024/10/25 16:38作者周峻佑https://www.ithome.com.tw/news/165697
針對Fortinet本週揭露的網路設備管理平臺零時差漏洞，研究人員指出6月就已遭到利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Fortinet週三（10月23日）發布公告，揭露<a href="https://www.ithome.com.tw/news/165661">網路設備管理平臺FortiManager重大漏洞CVE-2024-47575（也被稱做FortiJump</a>），並警告已有實際利用的情況，有資安業者著手進行調查，表示在4個月前就有駭客掌握並用於攻擊行動。</p> <p>資安業者Mandiant表示，<a href="https://cloud.google.com/blog/topics/threat-intelligence/fortimanager-zero-day-exploitation-cve-2024-47575">他們發現名為UNC5820的駭客組織，於6月27日就開始嘗試利用上述漏洞攻擊FortiManager</a>，從而將受到管理的FortiGate防火牆組態資料流出。這些詳細資料包含使用者名稱及經過雜湊處理的密碼，攻擊者有機會進一步對FortiManager下手，並對受到管理的其他Fortinet裝置進行橫向移動，進而對企業環境發動進一步攻擊。</p> <p>不過，根據研究人員取得的情報，他們尚未發現駭客利用漏洞進行橫向移動的跡象，而且也沒有後續活動，對於攻擊者的意圖或是地理位置，目前仍不得而知。</p> <p>他們先後看到兩次漏洞利用的情況，第一次發生在6月27日，多臺FortiManager裝置收到來自特定IP位址及541埠通訊協定的流量，幾乎在同一時間，攻擊者將多種Fortinet設備的組態配置檔案，打包成Gzip壓縮檔/tmp/.tm。</p> <p>到了9月23日，研究人員再度於相同組織看到漏洞利用的跡象，而且，這兩次事故有個奇怪的模式，納就是駭客在壓縮檔打包完成不久，就產生對外流量。</p> <p>其中，在第2次利用漏洞的時候，攻擊者將自己的裝置向FortiManager進行註冊。研究人員提及，一旦攻擊者利用這項漏洞對FortiManager下手，該設備的管理主控臺就有可能出現未經授權的「裝置」。</p> <p>雖然攻擊者的動機仍不明朗，但Mandiant與Fortinet仍持續合作，針對各行各業超過50個可能會出現大規模攻擊的FortiManager裝置著手調查，並呼籲將FortiManager曝露在網際網路的企業，應著手調查是否有遭到入侵的跡象。</p> </div></div></div>
2024/10/25 12:08作者周峻佑https://www.ithome.com.tw/news/165689
美國發布首個AI國家安全備忘錄
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國總統拜登（Joe Biden）周四（10/24）<a href="https://www.whitehouse.gov/briefing-room/statements-releases/2024/10/24/fact-sheet-biden-harris-administration-outlines-coordinated-approach-to-harness-power-of-ai-for-u-s-national-security/" target="_blank">發布了</a>首個與人工智慧（Artificial Intelligence，AI）有關的<a href="https://www.whitehouse.gov/briefing-room/presidential-actions/2024/10/24/memorandum-on-advancing-the-united-states-leadership-in-artificial-intelligence-harnessing-artificial-intelligence-to-fulfill-national-security-objectives-and-fostering-the-safety-security/" target="_blank">國家安全備忘錄</a>（National Security Memorandum，NSM），其三大重點為確保美國引領全球的AI發展，利用尖端的AI技術推動美國國家安全，以及推動AI的國際治理。</p> <p>備忘錄在美國政府中並不具備法律約束力，但擁有指導性地位，提供明確的政策方向與原則。此一AI備忘錄將確保採用AI的同時反映民主價值，而且保護人權、公民權利、公民自由及隱私，亦尋求國際上的AI使用規範，也將採取行動追蹤並防禦對手在AI上的發展與應用。</p> <p>簡而言之，美國希望自己成為全球的AI領導者，在利用AI技術來促進國家安全的同時，也將觀察並防禦對手的AI發展，希望擁有同樣價值觀的國家共同建立AI規範。</p> <p>上述三大重點支柱的細項包括：拜登簽署《晶片法案》（CHIPS Act）以投資開發AI系統所需的大量高階晶片；將競爭對手針對美國AI產業的間諜行動的情報列為最高優先等級；指定AI安全研究所（AI Safety Institute）作為美國AI產業的主要聯繫窗口；加強對National AI Research Resource的支持，以讓大學、民間與小企業的研究人員可進行有意義的AI研究，而非只仰賴大企業。</p> <p>其它細項則包括有效地將AI應用於國家安全任務，同時遵循民主價值觀；在國家安全領域建立一個AI治理及風險管理的框架；已有56個國家簽署《軍事使用AI與自主武器的政治宣言》（Political Declaration on the Military Use of AI and Autonomy）建立軍事AI能力的原則；以及指示美國與盟國合作建立一個負責任且尊重人權的AI治理框架等。</p> </div></div></div>
2024/10/25 14:28作者陳曉莉https://www.ithome.com.tw/news/165692
思科針對網路防火牆產品線的多個軟體平臺發布更新，總共修補51個弱點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10月23日思科針對旗下防火牆系統Adaptive Security Appliance（ASA）、Firepower Threat Defense（FTD），以及集中控管軟體Firewall Management Center（FMC）<a href="https://sec.cloudapps.cisco.com/security/center/viewErp.x?alertId=ERP-75300">發布一系列資安公告</a>，揭露51項漏洞，並發布更新軟體修補。</p> <p>根據CVSS風險評分，這次有3項被列為重大層級的漏洞<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asa-ssh-rce-gRAuPEUF">CVE-2024-20329</a>、<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ftd-statcred-dFC8tXT5">CVE-2024-20412</a>、<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-fmc-cmd-inj-v3AWDqN7">CVE-2024-20424</a>最為危險，資安風險評為9.9至9.3分。</p> <p>其中最嚴重的是CVE-2024-20329與CVE-2024-20424。CVE-2024-20329存在於ASA系統，為SSH遠端命令注入漏洞，攻擊者可在未經授權的情況下，遠端以root的權限執行作業系統層級的命令。</p> <p>這項漏洞發生的原因，在於未充分驗證使用者輸入內容，導致攻擊者有機會在透過SSH遠端執行命令的過程中，藉由提出偽造的輸入利用漏洞。一旦成功觸發，攻擊者就能以root等級的權限在作業系統底層執行命令，CVSS風險值為9.9。</p> <p>另一個同樣被評為9.9分的漏洞是CVE-2024-20424，這項漏洞發生在管理平臺FMC，屬於命令注入類型的弱點，同樣也能讓未通過身分驗證的攻擊者，遠端在作業系統底層以root執行任意命令。</p> <p>造成這項漏洞的原因在於，FMC的特定HTTP請求的輸入驗證不夠充分，攻擊者可藉由發送偽造的HTTP請求，在網頁管理介面進行身分驗證來觸發漏洞。一旦漏洞觸發，攻擊者就能掌握root權限，對FMC或納入此系統進行管理的FTD防火牆執行命令。不過，利用這項漏洞必須搭配特定條件，那就是攻擊者必須先取得被授與資安分析師角色的有效使用者帳密。</p> <p>第3個被列為重大層級的漏洞是CVE-2024-20412，這項漏洞影響執行FTD系統的Firepower 1000、2100、3100、4200系列防火牆，未經身分驗證的攻擊者可利用靜態的帳密資料，存取受到影響的系統。</p> <p>此漏洞涉及多個固定帳號密碼被寫死（hard-coded passwords）在系統的狀況，攻擊者可利用該漏洞於命令列介面（CLI）登入系統，成功利用漏洞有機會截取敏感資訊、執行有限的除錯作業、竄改部分組態，或是導致設備無法正常開機啟動作業系統，CVSS風險評為9.3分。</p> <p>除了上述的重大層級漏洞，另一個中度風險的漏洞<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-bf-dos-vDZhLqrW">CVE-2024-20481</a>也值得留意，因為，該公司產品安全事件回應團隊（PSIRT）已經發現有人利用的跡象。</p> <p>這項漏洞是在今年4月威脅情報團隊Talos調查<a href="https://www.ithome.com.tw/news/162367">大規模鎖定SSL VPN、SSH系統暴力破解攻擊</a>的過程發現，影響啟用Remote Access VPN（RAVPN）服務的ASA、FTD防火牆系統，未經身分驗證的攻擊者可遠端發動阻斷服務（DoS）攻擊，CVSS風險評為5.8。</p> <p>值得留意的是，思科坦承，想要緩解CVE-2024-20481漏洞，目前只能套用軟體更新，用戶應儘速處理。</p> </div></div></div>
2024/10/25 15:40作者周峻佑https://www.ithome.com.tw/news/165693
Meta釋出Llama 3.2 1B/3B模型的量化版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼於今年9月<a href="https://www.ithome.com.tw/news/165241" target="_blank">開源</a>Llama 3.2的1B與3B模型之後，Meta周四（10/24）釋出了<a href="https://ai.meta.com/blog/meta-llama-quantized-lightweight-models/" target="_blank">1B與3B模型的量化版</a>，讓模型大小平均減少了56%，記憶體使用量平均減少了41%，模型速度提高了2~4倍，還能降低功耗，以讓這些模型能夠部署到更多的行動裝置上。</p> <p>Meta說明，他們使用量化感知訓練（Quantization-Aware Training，QAT）與後訓練量化（SpinQuant）兩種方法來量化這兩個模型。前者使用LoRA調節器，於訓練過程中即考慮量化的影響，著重的是模型的準確性，後者則是在模型完成訓練後再進行量化，強調模型的可移植性。</p> <p>不管是Llama 3.2的1B或3B模型都各自有兩個量化版本，因此總計有4個量化模型，分別是Llama 3.2 1B QLoRA、Llama 3.2 1B SpinQuant，以及Llama 3.2 3B QLoRA與Llama 3.2 3B SpinQuant。</p> <p>Meta指出，這些量化的模型比非量化（Llama BF16）模型快得多，佔用更少的記憶體，使用更低的功耗，同時還保持與Llama BF16版本幾乎相同的精度。</p> <p>量化後的Llama 3.2 1B/3B模型儘管只支援8,000個Token的脈絡（原本支援12.8萬個Token），但Meta的評測卻發現，不管是Llama QLoRA或Llama SpinQuant等量化版本的各項基準測試，都與原來的Llama BF16版本相去不遠。</p> <p>Meta是與合作夥伴共同開發了量化模型，並將這些模型提供給搭載Arm CPU的高通與聯發科的系統單晶片。除了CPU之外，Meta亦計畫透過神經處理單元（NPU）來提升這些量化模型的性能，其合作夥伴已經於開源的行動裝置推論解決方案ExecuTorch上整合了可利用NPU的基礎元件，也正努力於NPU執行這些量化模型。</p> <p>迄今Meta已於Android OnePlus 12、三星S24+/S22及iOS裝置上測試過這些量化模型，確定它們都可達到相當的準確性。</p> </div></div></div>
2024/10/25 16:13作者陳曉莉https://www.ithome.com.tw/news/165694
蘋果開放研究人員存取Apple Intelligence的Private Cloud Compute，祭出抓漏獎勵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果於本周四（10/24）<a href="https://security.apple.com/blog/pcc-security-research" target="_blank">公開邀請</a>所有安全及隱私研究人員，或者是任何有興趣的人存取Private Cloud Compute（PCC），並將抓漏獎勵延伸到PCC，最高可獲得100萬美元的獎金。為了實現此一宣布，蘋果提供了PCC的<a href="https://security.apple.com/documentation/private-cloud-compute/navigation" target="_blank">安全指南</a>，PCC的<a href="https://security.apple.com/documentation/private-cloud-compute/vresetup" target="_blank">虛擬研究環境</a>（Virtual Research Environment，VRE），以及PCC的<a href="https://github.com/apple/security-pcc" target="_blank">某些關鍵原始碼</a>。</p> <p>Private Cloud Compute是蘋果AI服務Apple Intelligence的一環，使用者可於Mac、iPhone及iPad上直接執行AI任務，更複雜的任務便移至PCC執行。這也是蘋果第一次將裝置的安全及隱私能力擴展至雲端，以確保發送到PCC的個人資料無法被使用者之外的任何人存取，包括蘋果在內。蘋果還將PCC稱作是雲端大規模AI運算史上最先進的安全架構。</p> <p>先前蘋果已開放第三方稽核人員及安全研究人員存取包括VRE在內的PCC資源，以驗證PCC的安全及隱私承諾，現在則開放所有人存取，包括PCC安全指南、VRE及PCC原始碼。</p> <p>其中，PCC安全指南含有各種元件的技術資訊，以及這些元件如何協作以維護隱私與安全，例如PCC的認證機制是建立在硬體層級的安全性上，不容易被竄改；PCC如何驗證使用者請求，以及如何分發它們以避免使用者遭到鎖定；或是PCC的隱私及安全功能在不同攻擊場景中的表現。</p> <p>蘋果首次替一個蘋果平臺建立的虛擬研究環境就是PCC VRE。該VRE是一套工具，讓研究人員得以在自己的Mac電腦上針對PCC進行安全分析。</p> <p>此一VRE是在虛擬機器中執行PCC節點軟體；用戶空間的軟體執行方式與PCC節點完全相同，僅為了適應虛擬化而變更啟動過程與核心；它包含一個虛擬的安全隔離處理器，以供研究人員探查此一元件；還可利用macOS內建的半虛擬化繪圖支援來實現推論功能。</p> <p>研究人員可利用VRE來列出及檢查PCC的軟體版本，驗證透明度日誌的一致性，下載每個版本對應的二進位檔，於虛擬化環境中啟動一個版本，針對示範模型執行推論，修改或調試PCC軟體以展開更深入的調查。</p> <p>執行VRE的系統需求為蘋果晶片、16GB或以上的記憶體，以及macOS Sequoia 15.1 開發者預覽版。</p> <p>至於透過GitHub釋出的PCC原始碼則有負責建構與驗證PCC節點的CloudAttestation專案；於用戶裝置上執行守護程序，以確保所有雲端AI運算安全性的Thimble專案；防止資料意外洩露的splunkloggingd守護程式；以及可在虛擬環境中研究與分析PCC系統的srd_tools專案。</p> <p>在透過VRE開放了PCC之後，蘋果也將PCC納入Apple Security Bounty抓漏專案中，獎金從5萬美元至100萬美元不等，找到因部署或配置不當而造成的資料外洩漏洞即可獲得5萬美元的獎金，若是找到能夠執行任意程式碼並完全控制系統的遠端攻擊漏洞，便能得到100萬美元的抓漏獎金。</p> </div></div></div>
2024/10/25 12:21作者陳曉莉https://www.ithome.com.tw/news/165690
可搭16臺E3.S SSD與4張GPU卡，Dell推2U2路Xeon 6伺服器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/dell_poweredge_r770_csp_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾<a href="https://www.ithome.com.tw/news/163298">今年6月發表Xeon 6伺服器處理器平臺</a>，先提供配備E-core的款式（代號Sierra Forest），多家廠商也響應推出伺服器產品，我們先前曾介紹的<a href="https://www.ithome.com.tw/review/163763">雲達QuantaGrid D55X-1U</a>，就是一例。</p> <p>對於另一家伺服器廠商Dell而言，他們在5月舉行的自家全球用戶大會，就已提前預告將推出兩款採用Xeon 6處理器的伺服器機型，分別是<a href="https://www.ithome.com.tw/review/164102">PowerEdge R670 CSP Edition</a>、PowerEdge R770 CSP Edition，強調效能可提升至前代產品的2.3倍，並且配備架構在OpenBMC而成的Dell伺服器管理平臺Open Server Manager，可用於大型異質資料中心環境，提供兼顧簡化管理與開放生態系的特色。</p> <p>而在6月舉行的2024台北國際電腦展期間，我們在英特爾展示的眾多Xeon 6伺服器，看到Dell提供的PowerEdge R670 CSP，採用1U、2路配置；</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Xeon%206-2024-06-04-1(1).jpg" style="width: 398px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20R670%20CSP-2024-06.jpg" style="width: 198px;" /></p> <p>到了7月底，Dell終於公開這兩款機型的細部規格與主要特色，我們也趁機介紹先在臺灣亮相的PowerEdge R670 CSP。</p> <p>現在讓我們看看Dell另一款Xeon 6伺服器：PowerEdge R770 CSP，採用2U、2路配置。</p> <p>單就處理器、記憶體的規格而言，R770 CSP與R670 CSP如出一轍，皆搭配兩個Xeon 6處理器，單個處理器最多內建144顆核心，並且可安裝32支32GB或64GB的DDR5-6400 RDIMM記憶體，總容量最大達2 TB。不過，R770 CSP的機箱為2U尺寸，空間較大，可擴充4張PCIe 5.0 x16規格的介面卡，兩張OCP 3.0外形的網路卡（從機箱的前沿與背部均可進行抽換），以及16臺E3.S外形的NVMe固態硬碟。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/dell-per770-16x2-5-internal.jpg" style="width: 198px;" /> <a href="https://s4.itho.me/sites/default/files/images/Dell R770 CSP-storage.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20R770%20CSP-storage.jpg" style="width: 398px;" /></a></p> <p>對比之下，我們稍早介紹的<a href="https://www.ithome.com.tw/review/164102">R670 CSP</a>，機箱為1U尺寸，空間相當局促，雖然能藉此實現超高運算密度（1U提供288顆處理器核心），但伺服器本身只能擴充2張PCIe 5.0 x16規格的介面卡，兩張OCP 3.0外形的網路卡（從機箱的前沿與背部均可進行抽換），以及8臺E3.S外形的NVMe固態硬碟。</p> <p>關於Dell早先預告的2.3倍效能增長效益，他們在7月下旬公布運算效能測試細部組態與結果。</p> <p>受測的主角R770 CSP，配備兩個144核心、熱設計功耗為330瓦的Xeon 6780E，以及DDR5-6400記憶體，代表Xeon 6 E-Core世代的處理器平臺，對上Dell同樣主打雲端服務供應商市場的既有2U、2路伺服器：HS5620，由於這款產品處理器最高可搭配32核心的第四代Scalable（代號Sapphire Rapids）或第五代Xeon Scalable（代號Emerald Rapids），因此Dell設置兩臺HS5620，一臺搭配32核心、64個執行緒、熱設計功耗為225瓦的Xeon Gold 6448Y，以及DDR5-4800記憶體，代表第四代Xeon Scalable處理器平臺，另一臺搭配32核心、64個執行緒，熱設計功耗為250瓦的Xeon Gold 6548N，以及DDR5-5600記憶體，代表第五代Xeon Scalable處理器平臺。</p> <p>而在SPEC CPU 2017測試之下，搭配Xeon 6 E-Core處理器的R770 CSP運算效能，均可達到前代平臺的2.3倍與2.2倍；</p> <p><a href="https://s4.itho.me/sites/default/files/images/R770-SPECCPU vs 4th Xeon SP.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/R770-SPECCPU%20vs%204th%20Xeon%20SP.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/R770-SPECCPU vs 5th Xeon SP.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/R770-SPECCPU%20vs%205th%20Xeon%20SP.png" style="width: 298px;" /></a></p> <p>若以每瓦效能而言，R770 CSP為1.58倍與1.68倍。</p> <p><a href="https://s4.itho.me/sites/default/files/images/R770-SPECCPU vs 4th Xeon SP Perf-per-watt.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/R770-SPECCPU%20vs%204th%20Xeon%20SP%20Perf-per-watt.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/R770-SPECCPU vs 5th Xeon SP Perf-per-watt.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/R770-SPECCPU%20vs%205th%20Xeon%20SP%20Perf-per-watt.png" style="width: 298px;" /></a></p> <p>到了9月中，Dell揭露R770 CSP與同樣搭配Xeon 6 E-Core處理器的Supermicro SYS-222H-TN，這次比較的效能測試項目是SPEC Power，<a href="https://www.spec.org/power_ssj2008/results/res2024q3/">第三季SPECpower_ssj 2008測試結果也在這個月出爐</a>，R770 CSP拿下20,516分，略勝SYS-222H-TN，</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell Specpower-R770.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20Specpower-R770.jpg" style="width: 600px;" /></a></p> <p>而在100％運作與閒置（Active Idle）狀態下，平均耗電量能夠再低1成——根據SPEC Power揭露的組態，我們猜測，耗電量差異可能在於搭配的硬碟儲存，R770 CSP設置1臺480 GB容量的M.2外形NVMe固態硬碟，這應該是Dell為其伺服器專門提供的BOSS-N1，而SYS-222H-TN設置1臺6.4TB容量的美光7450 NVMe固態硬碟，外形是2.5吋U.3。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-09-Comparing Dell Technologies and Supermicro on power efficiency-r770.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-09-Comparing%20Dell%20Technologies%20and%20Supermicro%20on%20power%20efficiency-r770.png" style="width: 400px;" /></a></p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p><strong><span style="color:#0000FF;">Dell PowerEdge R770 CSP</span></strong><br /> ●原廠：Dell<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：2U（482 x 86.8 x 814.52公釐）<br /> ●處理器：2顆，Intel Xeon 6系列（單顆最多144核心）<br /> ●記憶體：32個DDR5插槽，RDIMM可支援32支6400 MT/s（最大總共2 TB）<br /> ●儲存配置：8臺或16臺E3.S外形NVMe固態硬碟（最大總共122.4 TB、244.8 TB）、2臺M.2外形NVMe固態硬碟（BOSS-N1 DC-MHS）<br /> ●I/O介面：PCIe 5.0 x16（4個）<br /> ●電源供應器：2臺800瓦/1100瓦/1500瓦（1+1備援）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/10/25 13:01作者李宗翰https://www.ithome.com.tw/review/165642
Container快報第160期：CNCF成員來臺揭露K8s三大發展，多家臺灣金融和服務業分享第一手K8s實戰經驗，D…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color:#0000FF;"><strong>2024/9/21～10/25 精選容器新聞：</strong></span></h3> <p><strong><span style="color:#FF0000;">#K8s Summit #第一手K8s實戰 #雲原生永續</span><br /> 多家金融、高科技和服務業分享第一手K8s實戰和踩雷經驗，雲原生永續議題也在臺發酵</strong></p> <p>iThome主辦的K8s Summit，十月底一連兩天在臺北舉行，超過8百人報名，第一天主題演講由凱基證券亞太區資訊長黃榮林開場，分享凱基證券正在進行的核心轉型歷程，這項轉型計畫稱為天空計畫，要用K8s和微服務架構來重新打造證券核心，取代原本用了40年，以大型專有系統如AS400，使用COBOL、RPG等老舊程式語言開發的證券核心系統。</p> <p>參與了最新K8s碳排追蹤專案Kepler的IBM東京實驗室的科學家Marcelo Amaral也在第二天主題演講中分享最新的雲原生永續和K8s能耗追蹤技術，例如專案團隊正在強化eBPF探測技術的強化，也開始訓練VM能源模型，也持續重構和驗證專案程式品質。CNCF技術委員會成員Katie Gamanji和推廣大使太田航平則分享了K8s未來三大新進展，尤其強調WebAssembly對雲原生發展的重要性，可以提供一個獨立的環境，不受限於任何開發語言、作業系統和CPU，提供了一個安全、輕便而且可以在任何地方執行的技術。</p> <p>更有金控、銀行、證券、支付、高科技製造業、廣告服務業、人力銀行、房仲業者分享自家K8s實戰經驗，從核心架構改造、架構搬遷、雲端費用控管、大規模部署、K8s維運和故障排除、安全和金鑰控管、災難復原，甚至如何用來打資料工作流程等。</p> <p><strong><span style="color:#FF0000;">#WebAssembly #eBPF</span><br /> CNCF成員來臺揭露K8s三大重要發展，包括WebAssembly、eBPF和IT永續新工具</strong></p> <p>CNCF技術委員會成員Katie Gamanji和推廣大使太田航平在K8s Summit研討會中分享了K8s未來三大新進展。第一項是WebAssembly。為何這項技術對雲原生的發展，非常重要？太田航平解釋，WebAssembly可以提供一個獨立的環境，不受限於任何開發語言、作業系統和CPU。WebAssembly是一個二進位檔案，可以用不同的開發語言編譯成這種格式的檔案，再部署到瀏覽器或非瀏覽器的環境中執行。「WebAssembly提供了一個安全、輕便而且可以在任何地方執行的環境。」</p> <p>第二個重要新發展是eBPF，這項技術於本只是用來過濾網路封包，但現在的應用越來越多元，太田航平指出，eBPF有三大應用場景，資安監控，網路路由和過濾，以及可觀察性中的矩陣數據搜集，都各有不少知名的開源專案。這三類應用都是雲原生環境運作需要的核心能力。例如像New Relic的Pixie可觀察性工具，就是用eBPF技術來取得K8s運作的矩陣數據。<br /> 最後一項發展方向是永續性。「如何讓技術部門可以觀察，紀錄和評估他們自己的碳排放，在雲原生環境中，需要新的工具來解決這個課題。」Katie Gamanji指出。目前有兩項重要工具，Kepler專案可以用來追蹤K8s的能耗，另一個是碳察覺KEDA工具，可以依據碳排量數據變化來調度的自動擴充機制。例如可以設計系統使用「碳排密度」指標來調整規模，在配置檔中定義不同碳排密度事件的層級，當密度高時，自動降低應用系統的副本數量，來達到減少碳排的效果。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/K8s-CNCF%E5%88%86%E4%BA%AB.JPG" /></p> <p><strong><span style="color: rgb(255, 0, 0);">#雲原生省錢 #K8s省錢 #SRE</span><br /> 阿物科技SRE分享雲端省錢術，揭露20%節費的關鍵策略</strong></p> <p>來自嘉義的臺灣行銷科技業者阿物科技，主力開發團隊在南臺灣總部，卻能服務全臺，甚至是日本到全球的上萬家企業，就是善用了公雲基礎架構，來提供各種行銷自動化的服務。</p> <p>不過，如何更有效管理上雲的費用卻是一大挑戰，阿物科技SRE經理謝明宏在幾今年K8s Summit上也分享了阿物科技能夠節省20%雲端費用的關鍵，就是靠雲端節費地圖（CLoud Cosy Optimization Map）。</p> <p>他在這張節費地圖中，盤點5種雲端成本的來源，像是雲算資源、穩路資源、儲存資源、軟體授權和訂閱費用等常見項目，也納入容易忽略的人為失誤的成本。並歸納出6大節費核心策略，從資源成本優化、儲存成本優化、網路成本優化到善用價格便宜的Spot VM（現貨虛擬機器），另外還包括了成本監控和擁抱FinOps/DevOps文化等六項。<br /> 謝明宏更分別針對雲原生環境與K8s環境，各自如何落實這六項節費核心策略，一一說明更多細節。</p> <p>例如，K8s可以透過Pod資源請求與限制的設置，以及調整Cluster Autoscaler來優化資源成本，或是進行Ingress流量優化和調整叢集設計，可以優化網路成本。在開發與測試環境或針對非核心服務善用Spot虛擬機器，甚至混用現貨虛擬機器和按需提供的虛擬機器，也有利於成本控管。而在雲原生環境的節費實作上，例如透過VM規模調整、自動化開關機、CUR/RI購買都能優化資源的成本，進行資料生命週期管理或優化資料庫也能改善儲存成本等。</p> <p>謝明宏也分享了阿物科技如何在不同情境中，運用雲端節費地圖中節費策略的實作案例，像是在電商網站站內搜尋使用Spot虛擬機器的經驗，或是導入IaC、GItOps來降低SRE團隊維運成本等。</p> <p>他建議企業要善用架構和工具來降低維運成本，也利用架構設計提高服務可用性，並藉助節費地圖來降低雲端成本，同時考量三者來兼顧高可用性又能節省成本。他更大方公開了雲端節費地圖的心智圖，供大家按圖參考，來設計符合自家企業雲原生環境和K8s維運的雲端節費地圖。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%9B%B2%E7%AB%AF%E7%AF%80%E8%B2%BB%E5%9C%B0%E5%9C%96-big.png" /></p> <p><strong><span style="color:#0000FF;">#</span><span style="color:#FF0000;">AI訓練框架 #微服務 </span><br /> 瞄準AI模型訓練需求，GKE開始提供Nvidia微服務框架NIM</strong></p> <p>最近Google雲宣布，開是在GKE上提供Nvidia的AI框架NIM，這是一個可以用來訓練大型語言模型的微服務框架，以微服務架構的形式，提供了一整套的大型語言訓練元件，可以讓企業使用現成的元件，就可以自行打造出自己的訓練平臺，來簡化大型語言模型訓練的複雜度。像是臺大與產學合作打造的Porject TAME繁中LLM模型，就使用了NIM來建立訓練基礎架構。NIM框架也針對不少現有模型提供了最佳化版本，企業可以在GKE控制臺上直接使用NIM微服務來部署模型，例如幾個點擊就可以部署出LLama 3.1版700億參數的NIM最佳化版的模型。另外，也更容易用GKE來協調部署搭載Nvidia GPU的GKE叢集來執行NIM版模型。</p> <p><strong><span style="color:#FF0000;">#容器工具 #Linux容器管理</span><br /> AWS容器工具Finch終於支援Linux，可跨三大作業系統管理容器 </strong></p> <p>日前，AWS宣布自家容器工具Finch開始支援Linux。這款開源的命令列工具，可以供開發者在多個作業系統中建構並執行Linux容器，提供跨平臺一致的體驗，現在無論在macOS、Windows還是Linux上，都能使用相同的工具和工作流程，另外，這次改版還加入對Docker API的支援，方便開發者延續現有Docker容器工作流程。<br /> 新版最大重點是，可以直接在Linux上建置和執行容器映像檔，而不再需要虛擬化技術，可以原生支援的容器技術包括Docker和containerd可直接使用Linux核心功能。新版Finch與Finch Daemon整合，還提供了Docker API的部分功能，讓習慣Docker工作流程的開發者，能夠使用熟悉的命令和工具來管理容器。<br /> 不過，這個做法與Finch在macOS和Windows上的運作方式不同，在這兩個作業系統中，則是使用中繼元件Lima提供虛擬化技術，透過macOS的QEMU或Virtualization Framework模擬Linux所需要的核心功能，而Windows則使用WSL2（Windows Subsystem for Linux 2）來提供類似的虛擬化支援，讓Windows用戶也可以執行Linux容器。</p> <p><strong>#H<span style="color:#FF0000;">elm Chart #GitOps</span><br /> 快速掃描Python和Java程式碼，StackGen能生成Helm Chart封裝檔加速部署</strong></p> <p>最近StackGen（前身是appCD釋出了自動生成部署檔，來強化對 Argo CD的整合支援，利用靜態分析技術，可以自動分析Python和Java程式碼的意圖，元件相依性，來剖析API介面、服務配置、網路配置或其他必要變數的設置，用AI自動生成Terraform部署程式碼，或是Helm Charts封裝檔。根據StrackGen宣稱，可以將軟體部署過程從數天，縮短到數分鐘。</p> <p><span style="color:#FF0000;"><strong>#基礎架構程式碼化 #Terraform</strong></span><br /> <strong>基礎架構自動化工具大更新，HashiCorp多項工具改版，要簡化大規模擴張的複雜度</strong></p> <p>IaC知名自動化軟體工具廠HashiCorp最近一口氣更新多項基礎設施生命周期管理產品，從Terraform、Packer、Nomad到Waypoint，要來簡化大規模基礎設施管理流程，尤其新功能聚焦減少使用者手動操作的繁瑣，改進使用者在不同基礎設施階段的操作，讓建構、部署和持續管理基礎設施能夠更簡潔方便。</p> <p>例如，HCP Packer提供映像檔管理功能，新增的CI/CD工作管線後設資料管理能夠追蹤每個映像檔的生成過程，確保用戶使用的映像檔皆經過驗證且符合規範，這是大型企業管理開源基礎架構環境時常見的需求。HCP Packer加入了儲存桶層級的RBAC（Role-Based Access Control），進一步加強對映像檔的存取控制，確保不同角色的用戶只能存取必要的部分。<br /> 另外在Terraform基礎設施部署工具上，則增加了HCP Terraform Stacks，可將多個Terraform模組整合成單一操作，避免基礎設施部署繁瑣的手動相依管理。大規模Kubernetes部署時，HCP Terraform Stacks新增的推延變更（Deferred Change）功能，可以讓用戶應對未知的變化來避免部署中斷。</p> <p>分散式負載調度工具Nomad新增加GPU支援，能夠靈活配置高效能運算資源，而應用部署執行管理工具Waypoin新功能則提供自動化應用部署流程，讓平臺營運團隊可以利用標準化模版和附加元件，簡化內部開發流程提升基礎設施和應用開發之間的協作效率。</p> <p><strong><span style="color:#FF0000;">#部署容器化應用 #DHH</span><br /> RoR之父打造的容器化Web應用部署工具Kamal大改版，2.0新版不只支援大量主機部署，也能快速將多套AP部署到一臺主機</strong></p> <p>專案管理平臺業者37signals在2023年大舉下雲，一年可以省下2百萬美元上雲費用的關鍵，正是RoR之父打造的一套大規模的容器化Web應用部署工具Kamal，主要利用Docker來部署和管理Web應用。Kamal在2024年初時推出1.3版，不只可以在裸機上部署Web應用，也可以用來部署雲端環境中的Web應用，這是一款可以通吃本地端和雲端的通用部署工具。</p> <p>這套讓37signals下雲的關鍵工具在10月釋出了Kamal 2新版，原本1.0版主要針對跨大量主機搭配外部負載平衡器來部署同一套應用，支援數百萬人等大規模的用戶。新推出的2.0版則有另一個大升級，可以將多個Web應用，快速部署到單一臺伺服器，來提高伺服器的AP密度，並且可以用Let’s Encrypt來實作自動HTTPS，還大幅簡化了部署管理最煩人的秘密管理。</p> <p>Kamal 2.0預設部署在Rails 8.0，但不只可用於Rails應用，也可以部署到任何語言或框架開發的Web應用。DHH強調，不需要用到像Kubernetes如此複雜的工具，用Kamal 2也能快速將容器化應用部署到雲端或地端的各種基礎架構環境，從便宜VPC，雲端虛擬機器叢集到本地端的硬體都可以使用，來降低部署和後續維運的複雜度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DHH%E5%88%86%E4%BA%AB.jpeg" /></p> <p><strong><span style="color:#FF0000;">#K8s資安 #映像檔工具</span><br /> 小心K8s映像檔製作工具發現重大漏洞，恐曝露虛擬機器root權限，官方先釋出緩解工具</strong></p> <p>最近Kubernetes資安回應團隊公布了一項映像檔建置工具（Image Builder）漏洞CVE-2024-9486、CVE-2024-9594，攻擊者有可能藉此得到虛擬機器（VM）的root權限，而這些漏洞發生的原因，源於映像檔建置過程中，使用了預設的帳密資料。較為嚴重的是CVE-2024-9486漏洞，CVSS評分達到6.3分，這是當用Proxmox提供者（provider）建置而成的虛擬機器映像，無法停用當中的預設帳號，若用這些映像檔建置節點，後續有心人士可透過這些預設帳密進行存取，藉此取得root權限，CVSS風險評分達到9.8。</p> <p>這些漏洞影響0.1.37版以前的Kubernetes Image Builder，開發團隊發布0.1.38版緩解上述弱點。Kubernetes資安回應團隊呼籲用戶，應透過這些已解決上述問題的工具，重建具有潛在風險的映像檔。</p> <p><strong>更多新聞：</strong></p> <ul> <li>Docker新價格方案將於11月中上路，Hub用量限制則於明年2月生效，企業得開始準備</li> <li>資安業者Group-IB提醒，新興勒索軟體Cicada3301鎖定多平臺攻擊，包括VMware ESXi環境。</li> </ul> <p><strong>責任編輯：王宏仁</strong></p> </div></div></div>
2024/10/25 13:09作者王宏仁https://www.ithome.com.tw/news/165691
美國防部將以三年、四階段推動CMMC規則
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了讓美國國防工業產業（DIB）的供應鏈業者，有足夠的時間準備、理解和實施CMMC規則（CMMC Rule）的各種要求，以及解決任何CMMC評估、啟動過程中遭遇到的各種問題，並提供培訓所需的評估人員時間，美國國防部為CMMC規則制定了三年、四階段的推動計畫。</p> <p>美國德州KLC諮詢顧問公司也是被Cyber AB授權，授權可以執行美國國防部CMMC第三方認證（C3PAO）的公司。KLC諮詢顧問公司執行長暨資安長Kyle Lai（賴弘偉）表示，CMMC規則包含兩大部分，分別是專注政府採購程序和合約要求的48 CFR Part 204，以及針對相關國防供應鏈承包商與分包商所有CMMC規範的32 CFR Part 170。其中，32 CFR Part 170的最終版（final 32 CFR part 170 CMMC Program rule）已經在今年10月15日正式公布，預計60天後生效實施（今年12月16日）</p> <p>但另外針對美國國防採購相關的《48 CFR CMMC Acquisition Proposed Rule》，先是在今年8月15日公布48 CFR草案，Kyle Lai（賴弘偉）：「美國國防部預計CMMC規則的實施日期，是在最終的《48 CFR part 204 CMMC Acquisition rule》發布後的60天內實施。」至此，CMMC對業者及對政府的規範才算完備。</p> <h2><strong>推動CMMC四個階段的重點</strong></h2> <p>美國國防部會分成四個階段推動CMMC規則（CMMC Rule），第一階段也就是初步實施階段（Initial Implementation），自《48 CFR規則》（48 CFR Rule）生效日期開始；在適用的情況下，招標將要求CMMC認證等級第一級（Level 1）或第二級（Level 2）認證的自我評估（Self - Assessment）。</p> <p>企業需要針對基本的安全保護措施進行自我評估，並在相關系統中進行記錄。該階段為期一年。</p> <p>第二階段在第一階段開始後的12個月啟動，在適用的情況下，美國美國國防部國防部的招標，將要求CMMC認證等級第二級的第三方認證（C3PAO）。</p> <p>這表示，除了自我評估之外，部分企業需要聘請經過認證的第三方評估機構（C3PAO），對其進行正式的安全合規評估。</p> <p>第三階段則是在第一階段開始後的24個月啟動，在適用的情況下，美國國防部的招標，將要求CMMC第三級由國防部國防合約管理局（DCMA）網路安全評估中心（DIBCAC）主導的CMMC第三級認證。</p> <p>這個階段將逐步引入CMMC第三等級認證（Level 3）的要求，並將其應用於部分國防部的招標和合同中，第三級認證的要求，可能作為合約選擇期內的條件，而並不是初始合約授予的必要條件。</p> <p>第四階段就是全面實施（Full Implementation）階段，在第一階段開始後的36個月啟動，所有招標和合約都將包含適用的CMMC認證等級要求，作為合約簽訂的條件。也就是說，在第四階段，CMMC要求將全面實施，適用於新合約和選擇期授予的合約。</p> <p>美國國防部可根據需要，通過談判對CMMC實施前授予的合約進行修改，將CMMC的認證要求，添加到這些合約中。這項規則不需要進行任何更改，來反映現有的合約管理流程；關於具體合約事務的問題，包括合約成本和資金，不在此規則的範疇內。</p> <p>隨著 32 CFR第170部分「CMMC計畫規則」和48 CFR第204部分「CMMC採購規則」《48 CFR CMMC Acquisition Final Rule》的最終實施，潛在的國防部承包商和分包商，應積極準備好應對國防部的合約機會，當合約要求承包商或分包商處理、存儲或傳輸FCI（聯邦合約資訊）或CUI（受控未分類資訊）時，這些合約將包括CMMC各級認證的要求。</p> <h2><strong>以模擬方式，理解推動CMMC四個階段的時間點</strong></h2> <p>由於許多人很難理解CMMC規則的實施時間的計算，Kyle Lai就以一個模擬的方式，讓大家更清楚該如何計算CMMC各階段實施的時間。</p> <p>首先，他表示，對國防供應鏈業者應該如何理解CMMC規則的內涵，主要是在於要清楚，國防工業產業（DIB）的業者對於CMMC規則的規範與要求，都要參考32 CFR Part 170的最終版的內容；但國防部對於是否納入CMMC作為標案和國防採購案的相關規範，則必須參考最終版的48 CFR part 204 CMMC Acquisition rule。</p> <p>美國國防部會在48 CFR part 204 CMMC Acquisition rule最終版公布後60天正式生效實施，Kyle Lai假設該規則是2025年3月1日生效實施，這天就是國防部正式開始推動CMMC第一階段。</p> <p>在第一階段，國防供應鏈業者可以開始執行CMMC第一級和第二級認證中的自評（Self-Assessment），美國國防部也開始會把對於CMMC要求自評的規定，放在國防採購合約中。</p> <p>第二階段的推動時間點則是第一階段開始後的一年，就是2026年3月1日啟動，這時候國防業者可以開始執行CMMC由第三方評估（C3PAO）進行的第二級認證，國防部也開始會把需要C2PAO認證的要求，放在國防部的採購合約中。</p> <p>第三階段就是第二階段開始後的一年，就是2027年3月1日啟動，這時候執行由美國國防部國防合約管理局（DCMA）網路安全評估中心（DIBCAC）主導的CMMC第三級認證，就可以開始放在採購合約中執行。</p> <p>第四階段就是2028年3月1日開始啟動，也是第三階段開始後的一年，此時國防部會把對CMMC認證的要求，全數放入相關的採購合約中。</p> <p>Kyle Lai指出，這些國防業者究竟應該要取得CMMC哪一個等級的認證，主要都是看國防採購合約上的規定，這不會是任憑業者的自由意志決定，而是看當時的合約中，簽約的業者是否會傳輸、處理或儲存相關FCI（聯邦合約資訊）或CUI（受控非分類資訊）的機密性或重要性，在國防採購合約中明定業者應該取得的CMMC認證等級。</p> <p>在32 CFR第170部分CMMC計畫規則（32 CFR Part 170 CMMC Program Rule）公布在《聯邦公報》時，美國國防部也指出，將有8,350家中型和大型實體機構或單位，需要符合CMMC第二級第三方評估（C3PAO）的認證要求，這是簽訂合約的必要條件。</p> <p>CMMC第二級的要求將適用於所有處理、存儲或傳輸受控未分類信息（CUI）的承包商，並為國防部提供一種手段，來評估是否已滿足《32 CFR》第2002部分中規定的對CUI（受控未分類資訊）的保護要求。</p> <p>美國國防部估計，在第一年將完成135次由第三方評估機構（C3PAO）主導的認證評估，第二年將完成673次，第三年將完成2252次，第四年將完成4452次。</p> <p> </p> <div class="ui-widget-content ui-draggable" id="haloword-lookup" style="position: relative;"> <div id="haloword-title"> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"></div> </div> <div id="haloword-content"> </div> </div> </div></div></div>
2024/10/25 11:10作者黃彥棻https://www.ithome.com.tw/news/165688
Fintech周報第254期：知名銀行AI成熟度指標Evident AI公布今年評比結果，多數銀行積極發表AI策略和應…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 dir="ltr" style="margin: 10pt 0px 4pt; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.38; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">9/24~10/24金融科技精選新聞</span></span></h3> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 全球50大銀行</span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><strong style="color: rgb(255, 255, 255); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"><span style="background-color: rgb(51, 153, 255);">AI成熟度評比</span></strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></p> <h3>知名銀行AI成熟度指標Evident AI公布今年評比結果，多數銀行積極發表AI策略和應用，但極少能揭露投資報酬率數據</h3> <p>Evident AI近期公布今年度全球50大銀行AI成熟度排名，摩根大通連續三年拿下第一，第一資本排名第二，加拿大皇家銀行排名第三。在今年調查結果中，Evident AI表示，全球50大銀行中，有41間銀行的AI成熟度分數提高，顯示大多數領先者金融業仍積極發展AI。此外，報告顯示，今年全球50大銀行在領導力指標和透明度指標的分數顯著上升，因為，越來越多金融業者將AI發展策略列入年度報告中，並在今年公布自家的負責任AI原則。</p> <p>不過，Evident AI表示，雖然金融業者積極發表AI應用成果，但大多數沒有揭露AI投資報酬率。50間銀行中，僅有2間銀行嘗試估算AI投資回報。這兩間銀行分別是摩根大通和星展銀行。摩根大通營運長Daniel Pinto曾在今年五月表示，他們估算內部的AI應用價值，大約落在10億美元至15億美元間，這些應用涉及個人化服務、交易、營運效率、防詐和信貸決策等場景。星展銀行則在今年2月表示，2023年，AI幫助星展實現了3.7億新元的價值，是2022年的兩倍多。</p> <p><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 國泰金控</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><strong style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255); font-size: 18.6667px;"><span style="background-color: rgb(51, 153, 255);">GAIA</span></strong><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></p> <h3>國泰金控公開生成式AI技術發展框架GAIA</h3> <p>國泰金控近日在自家技術年會上，首度公開生成式AI技術發展框架GAIA，也揭露了內部AI評測機制。GAIA包含三個核心模組，分別是知識庫、Model Hub，和護欄。GAIA的知識庫類型可分為對內和對外，對內包含HR知識庫、授信知識庫、洗防知識庫等，對外則包含貸款產品知識、壽險產險產品知識、理財產品知識等。</p> <p>Model Hub是國泰GAIA架構中的另一個核心，能提供多種模型選擇，包含雲端、地端、開源或閉源模型，也提供標準化API接口，能介接各種服務。最後一個核心，是國泰自行開發的護欄，包含複合式規格護欄和多層抽換模組護欄。前者是在知識庫連接模型時進行資訊過篩，後者則是在既有模型護欄上，再加上防護措施，例如增加業務專屬的業務護欄，實現多層次過濾機制。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 集保</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><strong style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255); font-size: 18.6667px;"><span style="background-color: rgb(51, 153, 255);">數位簽章</span></strong><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></h3> <h3>超過500萬集保App用戶明年將可用數位簽章免臨櫃辦理股務事務</h3> <p>配合電子簽章法修法在今年5月開始施行，臺灣集中保管結算所（以下簡稱集保）規畫明年推出eCounter，讓股務事務結合數位簽章，投資人免臨櫃辦理資訊變更，提供股民更大的便利性。未來，當投資人通過身分驗證登入eCounter平臺，使用數位簽章遞交基本資料變更書件，平臺就會將書件資料送到各個股務單位審查、辦理變更。投資人不用臨櫃申辦相關業務，只要透過單一平臺就能完成資料變更。</p> <p>明年3月，集保預計推出PC版eCounter網站，提供使用者修改基本資料，例如戶名、ID、戶籍資料、通訊地址、連絡電話、股利配發集保帳號、銀行款項帳號等等。明年年底，eCounter功能會擴大至集保App中，超過500萬名集保e手掌握App用戶，能透過手機線上申辦資料變更。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 虛擬資產保管業務試辦</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></h3> <h3>金管會計畫開放金融機構申請虛擬資產保管業務試辦</h3> <p>近期，金管會公布虛擬資產保管業務試辦初步規畫，邀請外界提供相關建議。在金管會的初步規畫中，金融機構若要申請虛擬資產保管業務試辦，須提供保管模式、向客戶提供的服務資訊、法規遵循、組織分工及管理制度、安全性規畫、資產隔離，和財務會計制度共七大項目資訊。</p> <p>今年七月，金管會主委彭金隆發表金融科技發展規畫，其中一項措施便是要開放金融業辦理虛擬資產保管業務。當時，彭金隆表示，希望從開放虛擬資產保管業務開始，讓銀行涉入虛擬資產，「在技術到位的情況下，我們就會開放銀行開始參與這一項業務。」</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 業務試辦作業要點</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></h3> <h3>金管會公布「金融業申請業務試辦作業要點」，對擴大業務試辦範圍的作業規範更明確</h3> <p>今年七月，金管會主委彭金隆宣布五大金融科技策略，涵蓋近20項措施，其中一項措施是要大幅放寬銀證保業務試辦範圍。近日，金管會因應這項推動措施，公布「金融業申請業務試辦作業要點」，讓業務試辦範圍擴大更有明確的作業規範可循，更清楚列出開放公會和周邊單位的自律規範，以及金管會發布的行政規則、函釋作為試辦範圍，並增加可申請試辦的金融業業別。</p> <p>此外，在作業要點中，金管會也因應業務試辦範圍擴大，同步調整業者申請業務試辦時應提供的申請文件。並且，金管會也鼓勵金融業者能與其他非金融業合作申請業務試辦，發展創新應用。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> FIDO</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 聯卡中心</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></h3> <h3>聯合信用卡處理中心將在ACS平臺導入FIDO機制，聯邦銀行最先在明年第一季採用</h3> <p>聯合信用卡處理中心（以下簡稱聯卡中心）近日宣布，將在ACS平臺導入FIDO機制，讓既有的EMV 3DS網路交易安全認證服務，支援以生物識別機制進行身分驗證。意味著，未來持卡人在網站刷卡購物時，除了採用OTP方式，輸入簡訊提供的密碼進行身分驗證，也可以採用生物識別的方式驗證身分，完成刷卡購物。</p> <p>聯卡中心表示，這項機制將由聯邦銀行率先導入，預計在明年第一季上線。未來，持有聯邦銀行信用卡的消費者在網站刷卡購物時，能透過聯邦銀行網銀App進行身分驗證，例如使用指紋或臉部辨識。完成驗證後，網銀App會將固定識別值傳送給聯卡中心，讓聯卡中心根據識別值驗證持卡人身分。確認身分無誤，就能授權持卡人進行線上刷卡交易。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 新加玻</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> OTP</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></h3> <h3>新加坡銀行計畫三個月內淘汰OTP驗證機制，改用SingPass取代</h3> <p>為了預防釣魚攻擊，今年七月，新加坡金融管理局及新加坡銀行公會宣布，新加坡主要零售銀行將在未來3個月內淘汰使用OTP驗證方式。近期，新加坡金融管理局和新加坡銀行公會選定Singpass取代OTP驗證機制，未來三個月，新加坡銀行將逐步採用Singpass作為使用數位憑證的身分驗證機制。這意味著，未來，新加坡銀行客戶若要使用數位憑證登入行網銀，須要使用Singpass進行身份驗證，才能順利登入。</p> <p>新加坡政府從2003年就開始推動SingPass，這是當地民眾的數位身分證，SingPass用戶可透過人臉辨識認證身分，使用上百個政府或商用組織提供的數位服務。</p> <h3>其他重要Fintech新聞：</h3> <ul> <li>澳洲麥格理集團完成核心交易和結算系統上雲</li> <li>跨境支付平臺HIVEX和韓國電子支付Zero Pay合作，未來臺灣電子支付品牌將能在韓國店家完成支付</li> <li>金管會擬於2025年增設金融市場發展與創新處</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年10月</p> <p></p> </div></div></div>
2024/10/25 09:37作者李昀璇https://www.ithome.com.tw/news/165687
Arm將取消對高通晶片技術授權，恐影響全球手機、Copilot+ PC
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國晶片設計業者Arm計畫年底終止對高通（Qualcomm）技術授權。一旦成真，可能影響數以億計的手機、微軟Copilot+ PC及Arm筆電的晶片供應。</p> <p><a href="https://www.bloomberg.com/news/articles/2024-10-23/arm-to-cancel-qualcomm-chip-design-license-in-escalation-of-feud" target="_blank">彭博本周報導</a>，Arm近日通知高通，將在60天後取消晶片技術授權。Arm技術是高通賴以生產Oryon CPU的關鍵，這個CPU又是高通多款Snapdragon晶片的一部份。一旦無法取得授權，將影響眾多使用Snapdragon的裝置，包括智慧型手機、連網電視，以及微軟和高通合推的Copilot+ PC。<a href="https://www.pcworld.com/article/2497912/arm-will-cancel-qualcomms-license-to-make-the-snapdragon-x-elite.html" target="_blank">PCWorld</a>已向業者證實此事。</p> <p>雙方爭執源自高通2021年收購晶片業者Nuvia引發Arm的不滿。Nuvia原先也取得Arm授權生產晶片，並使用Arm商標，高通在收購Nuvia後仍持續這行為，但是Arm認為Nuvia並無權轉讓該授權。<a href="https://www.ithome.com.tw/news/152821" target="_blank">2022年Arm控告高通</a>違反授權協議且侵犯Arm的商標權。高通也反告Arm。雙方官司預定12月開庭。</p> <p>高通向來是手機晶片主要供應商。本周高通才公布號稱效能全球最快的<a href="https://www.ithome.com.tw/news/165604" target="_blank">Snapdragon 8 Elite</a>，即採用Oryon CPU，預定2025年內建三星Galaxy S25或OnePlus等智慧型手機。此外，今年微軟偕同高通推出的Copilot+ PC及Surface Pro，則是使用包含Oryon的Snapdragon X Elite與X Plus。也就是說，一旦Arm真的取消授權，將影響全球智慧型手機的晶片版圖。</p> <p>對於Arm在開庭前夕取消授權，高通對媒體<a href="https://www.windowscentral.com/microsoft/report-arm-is-sensationally-canceling-qualcomms-chip-license-oct-2024" target="_blank">發出聲明指出</a>，此舉是Arm的一貫技倆，是旨在搶奪長年合作夥伴、干擾其效能領先的CPU與增加權利金的「毫無勝算的威脅」。高通認為在12月開庭前Arm狗急跳牆的作法，突顯Arm企圖干擾法律程序，Arm終止授權的理由完全沒有根據。高通說有信心其權利將透過官司獲得確認，而Arm打壓競爭的行為也不會被容忍。</p> <p>Arm則認為自己佔上風。<a href="https://www.pcworld.com/article/2497912/arm-will-cancel-qualcomms-license-to-make-the-snapdragon-x-elite.html" target="_blank">這家英國晶片業者聲明</a>，取消授權一舉是高通多次違反Arm授權協議，Arm不得已採取正式行動要求高通修正其違約行為，或是終止合約。該公司也說有信心12月的判決結果對自己有利。</p> </div></div></div>
2024/10/25 09:23作者林妍溱https://www.ithome.com.tw/news/165685
OpenAI圖片生成AI新方法sCM，速度是傳統擴散模型的50倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI研發了一種稱為<a href="https://openai.com/index/simplifying-stabilizing-and-scaling-continuous-time-consistency-models/">sCM（Continuous-Time Consistency Model）</a>的生成方法，能夠大幅提升取樣速度，相比傳統的擴散模型，sCM只需要兩步驟取樣即可生成高品質樣本。研究顯示，sCM在生成效率提升約50倍，且樣本品質與最佳擴散模型相當，適合用於即時生成應用。</p> <p>擴散模型已廣泛用於生成圖片、3D模型、音訊和影片，但是傳統擴散模型取樣過程緩慢，通常需要數十到數百個逐步降噪的過程，才能生成一個高品質樣本，因此，這類模型在即時應用和大規模資料生成方面效率很低且難以擴展，雖然現在已經有一些技術能夠加快擴散模型的速度，但是通常伴隨複雜訓練過程，甚至是樣本品質下降的副作用。</p> <p>為了解決擴散模型的既有問題，OpenAI研究團隊開發了sCM。sCM這種經過改良的生成模型方法，只需要兩個取樣步驟即可生成與擴散模型品質相當的高解析度樣本，大幅縮短生成樣本的時間。由於sCM可實現約50倍的速度提升，因此特別適合用於即時應用，像是圖片、音訊和影片生成。</p> <p>sCM也具有高可擴展性和穩定性，該模型可以處理大規模資料集，並能擴展至擁有15億參數的模型，而且在該規模下，sCM仍可保持高品質生成效果。sCM訓練過程利用預訓練擴散模型蒸餾出來的知識，在縮短了取樣時間的同時，保持高品質樣本生成。</p> <p>研究人員使用ImageNet 512x512資料集訓練的sCM，能夠生成細節豐富且高品質的圖像，展現其在高解析度生成方面的能力。雖然sCM只有兩個取樣步驟，但是生成的樣本品質依然可接近最佳擴散模型，研究人員使用FID（Fréchet Inception Distance）分數進行評估，sCM樣本品質與需要數百步驟取樣的擴散模型相比，差異不到10％。</p> </div></div></div>
2024/10/25 08:27作者李建興https://www.ithome.com.tw/news/165684
【AI應用不可或缺的儲存傳輸加速架構】持續擴展中的GDS儲存應用
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1025-cover1-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Nvidia的一系列GPUDirect傳輸技術中，GPUDirect Storage（GDS）是作為儲存裝置與GPU之間的傳輸加速用途，在AI應用的資料流框架中，原本是最後端、外圍的角色，只在最初的資料饋入，與最終的寫入保存運算結果時派上用場，但隨著AI應用的資料量持續暴漲，也讓GDS的重要性跟著水漲船高。</p> <p>為此，<a href="https://www.ithome.com.tw/article/160493" target="_blank"><span style="color:#3366ff;">我們去年（2023）12月的封面故事「GPU直連I/O傳輸架構的崛起」</span></a>，曾初步介紹GDS傳輸加速架構的運作概念，與當時儲存業界的支援情況，如今GDS的相關應用又有一連串顯著進展。</p> <p>首先，過去幾個月以來，又有多家重要儲存廠商加入GDS支援行列，或是發表支援GDS的新產品，使得力挺GDS的廠商與儲存產品數量一舉超過20個，涵蓋所有一線大廠與重要新創廠商，以及不同層級的儲存產品與裝置。其次，各儲存廠商也紛紛以GDS模式下的傳輸效能數字，標榜自身產品的AI應用效能，因此，GDS儼然成為衡量AI應用中的儲存效能基準。這些新發展，也促使我們再次回到這個議題。</p> <p>在檢視GDS應用的新發展之前，我們首先簡單回顧GDS的基本概念，以及運作方式。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>克服GPU運算時代的I/O瓶頸</strong></span></span></p> <p>GDS這項技術誕生的遠因，是為了因應GPU運算時代，效能瓶頸從運算力轉移到I/O的現象。</p> <p>過去基於CPU為核心的運算環境中，資料處理的主要瓶頸在於CPU的運算能力，I/O相對不是大問題；而在今日基於GPU的運算環境中，由於GPU的運算能力提升幅度，大於I/O吞吐能力的提升，反而讓I/O成為整個資料處理過程中的效能瓶頸所在。必須同步提高I/O效能，才能有效改善整體處理能力。</p> <p>GDS這項技術誕生的近因，則是AI應用資料量持續暴漲的結果。</p> <p>儲存裝置在AI應用中的主要任務，是負責向運算單元饋入訓練資料集，以及寫入與保存運算結果。但隨著AI訓練的資料集容量持續增加，從儲存裝置將資料載入到GPU，所需時間也越來越長。</p> <p>如此一來，從本地端儲存裝置到GPU之間的資料傳輸，以及從外部儲存設備到GPU伺服器之間的資料傳輸，成為制約AI應用的效能瓶頸所在，如果儲存設備向GPU載入資料的速度過慢，將會大大拖累整體處理速度。這也促使Nvidia在2019年推出GDS架構，以提高從儲存設備到GPU伺服器之間的傳輸效率。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>AI應用環境的I/O需求</strong></span></span></p> <p>大語言模型、1080P高畫質影像訓練的資料集，動輒就能達到TB或數十TB等級，不可能完全預先載入GPU伺服器的記憶體，而需多次從內部或外部儲存裝置讀取，因而會對儲存裝置帶來龐大的讀取流量需求；為了確保訓練過程中的容錯需求，也需要定期寫入檢查點，從而為儲存裝置產生TB等級資料的龐大寫入流量。</p> <p>所以，儲存裝置也必須確保足夠的傳輸效能，才能讓AI訓練工作有效率的執行，這也正是GDS的目的。</p> <p>在Nvidia的DGX SuperPOD參考架構文件《NVIDIA DGX SuperPOD: Next Generation Scalable Infrastructure for AI Leadership Reference Architecture Featuring NVIDIA DGX H100》，就針對資料集較龐大、無法直接載入快取記憶體的AI訓練工作，建議應啟用GDS架構，提供更高的持續傳輸速度，從而發揮最佳的AI訓練效能。</p> <p>事實上，上述這份文件，推薦適用於大型AI模型訓練所需的「最佳」（Best）儲存效能指標——單一節點可提供40GB/s以上讀取效率，以及20GB/s寫入效率，理想目標是盡可能接近80GB/s的網路最佳效能，然而，目前也只有在GDS架構的幫助下，才能有效率地實現這個目標。</p> <p><span style="font-size:20px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 效能瓶頸的轉移：CPU運算 vs. GPU運算 </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1025-cover(2)-600.jpg" style="width: 600px;" /></p> <p><span style="font-size:20px;"><span style="color: rgb(51, 153, 255);"><strong>關於資料處理的過程，我們可以簡單分解為資料的讀取載入、運算，以及寫入運算結果等3個步驟。</strong></span></span></p> <p><span style="font-size:20px;"><span style="color: rgb(51, 153, 255);"><strong>在以往基於CPU的運算環境，資料處理過程的大部分時間，都耗費在運算，資料讀取與寫入占用的時間比重有限，瓶頸往往落在運算這一環節，I/O相對不是大問題。</strong></span></span></p> <p><span style="font-size:20px;"><span style="color: rgb(51, 153, 255);"><strong>而在今日基於GPU的運算環境中，依靠GPU大幅縮減運算處理時間，也使得整個資料處理過程中，I/O耗費時間的比重大幅增加，成為新的瓶頸所在。</strong></span></span><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／Nvidia</span></span></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>GDS打破傳統傳輸架構的限制</strong></span></span></p> <p>在傳統的伺服器I/O架構下，如果我們要從GPU伺服器的本地端儲存裝置，將資料傳送給GPU當中處理時，資料會先經由GPU伺服器的PCIe交換器，複製到伺服器CPU記憶體的回彈緩衝區（Bounce Buffer），後續再複製到GPU記憶體。</p> <p>若要從外部儲存設備傳送資料到GPU，則會經由GPU伺服器的網路卡與PCIe交換器，先將資料複製到伺服器主機CPU記憶體的回彈緩衝區，再複製到GPU記憶體。</p> <p>在這樣的資料傳輸路徑中，存在2個效能瓶頸：</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 延遲增加 </span></strong></span></p> <p>將資料從儲存裝置傳送到GPU的過程，需要經過至少3到4個環節的中介，內接SSD會經過PCIe交換器、主機CPU、與系統記憶體等3個環節，外部儲存設備還會多經過網路卡這個環節。而這整個過程中，還須進行至少2次記憶體資料複製——先複製到主機CPU記憶體回彈緩衝區，再複製到GPU記憶體，資料才能為GPU存取，因而增加了延遲，也會耗費許多CPU操作週期，增加CPU負荷。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 傳輸頻寬受限 </span></strong></span></p> <p>儲存裝置將資料傳送到GPU的過程中，傳輸率會受到GPU與CPU之間的PCIe傳輸通道頻寬制約。</p> <p>這個問題主要是出現在一些較舊款的GPU伺服器，如搭配A100、V100等GPU平臺的伺服器，主機CPU連接PCIe交換器的傳輸頻寬，只有GPU的PCIe傳輸頻寬一半，因而若資料傳輸路徑通過CPU，那麼傳輸率就會受限於CPU的PCIe傳輸頻寬。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#000000;"> 直接記憶體存取（DMA）技術突破效能瓶頸 </span></span></strong></p> <p>從儲存裝置向GPU傳送資料的過程中，須經由主機CPU與記憶體的中介，正是形成效能瓶頸的原因所在，解決辦法就是盡量不讓資料繞經這個環節，而是直接讓儲存設備將資料傳送到GPU，亦即應用直接記憶體存取（Direct Memory Access，DMA）技術。</p> <p>而Nvidia的GDS傳輸加速架構的基本概念，就是儲存裝置透過直接記憶體存取（DMA）技術，直接經由PCIe交換器晶片將資料寫入GPU記憶體，繞開GPU伺服器主機CPU。如此一來，既能減少延遲，又能利用到GPU的最大傳輸頻寬。</p> <p>GDS省略將資料複製到主機記憶體（即回彈緩衝區）的過程，因而能顯著減少延遲。另一方面，由於主機CPU不參與資料傳輸作業，也能減輕主機CPU的負荷。最後，儲存裝置到GPU之間的傳輸效能，也不會受到主機CPU的PCIe傳輸通道頻寬限制。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> GDS傳輸架構的價值 </span></strong></span></p> <p>Nvidia宣稱，透過GDS可獲得2倍以上的資料傳輸頻寬提升，並降低存取延遲與CPU負荷。而相關廠商的實測報告，也印證GDS的效能提升效果。</p> <p>如VAST Data所提供的測試數據顯示，他們的儲存平臺透過8個InfiniBand埠將資料載入Nvidia DGX-2，啟用GDS可讓持續傳輸率提高近3倍（從33 GB/s提高到94 GB/s），CPU負荷減輕將近85%（CPU利用率從99%降到15%），證實GDS提高傳輸率、減少主機CPU負荷的效果。</p> <p>美光的測試報告，進一步突顯GDS在高負載環境的效能改善效益。</p> <p>該公司以9400 NVMe SSD搭配Nvidia DGX A100系統進行的實測顯示，比起傳統I/O架構，GDS在4KB小區塊傳輸下，可提升33%的傳輸率，並減少25%回應時間，在1024KB大區塊傳輸測試中，則有16%的傳輸率與回應時間改善。數字雖然看來不錯，但似乎不如Nvidia宣稱那樣大幅度的提升，然而美光的報告顯示，GDS的真正價值，其實是在主機處於高負載的繁忙情境。</p> <p>前述測試數字是在主機處於閒置狀態、沒有其他工作負載的效能表現，但實際應用並不會如此，用戶往往必須在主機處於訓練工作的高負載情況下，同時讓儲存裝置向主機傳送資料，資料傳輸工作會面臨與其他工作負載爭搶主機CPU與記憶體資源的困境，導致效能大受衝擊。此時若有GDS這種繞過主機CPU與記憶體的存取架構，便能維持一定程度的傳輸能力。</p> <p>美光模擬了主機CPU處於86%的高利用率，CPU的記憶體頻寬利用率也達到50%的情境，此時利用傳統I/O架構進行傳輸作業，效能將變得極為低落，GDS則仍能維持相當程度的運作。在最消耗主機資源的4KB小區塊傳輸測試中，GDS仍能提供相當於理想狀態一半的傳輸率與回應延遲表現，相較同樣環境中的傳統I/O架構，GDS的效能與傳輸率足足高出7.3倍與6.4倍。而在相對較不消耗主機資源的1024KB大區塊傳輸測試，GDS的回應時間雖然增加2倍，但傳輸率幾乎不受影響，比起傳統I/O架構，傳輸率與回應延遲都改善1.5倍。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>迅速擴展中的GDS應用環境</strong></span></span></p> <p>Nvidia是在2019年中發表GDS技術架構，2020年底推出正式的第1版軟體，隨後便在2021年湧現了第一波儲存廠商支援熱潮，DDN、Dell、Hitachi Vantara、HPE、IBM、VAST Data、Weka、ScaleFlux等儲存廠商，都是在這個時期，將GDS納入自身產品平臺的傳輸架構支援。</p> <p>到了2022與2023年，GDS支援產品的擴展速度稍有減緩。2022年只增加NetApp、Kioxia，但NetApp是先後以2種平臺參與對GDS的支援，2023年有華為、美光、PEAK:AIO，HPE也在此時增加了第2種支援GDS的平臺。</p> <p>在我們去年底首次介紹GDS時，市場上支援GDS的廠商大致就是以上這些。不過在這個時間點之後，GDS的產品支援擴展速度又開始加快。</p> <p>首先是Pure Storage在2023年底宣布支援GDS，並獲得Nvidia認證。當時間進入2024年後，Hammerspace、WD分別在年初與年中，加入支援GDS的行列，HPE也在2024年中時、新增旗下第3種支援GDS的儲存平臺，Nutanix亦在7月預告，他們的儲存平臺也即將加入GDS的支援。</p> <p>最晚近發布的GDS相關產品消息，則是Pure Storage在9月底發布的新產品FlashBlade//S100規格，也列入GDS的支援，是目前最新一款支援GDS架構的產品。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>躋身AI應用的標準儲存傳輸架構</strong></span></span></p> <p>儘管儲存界支援GDS的聲浪浩大，然而，並非所有儲存廠商都認同GD這項技術，例如高效能物件儲存系統供應商MinIO便聲稱，他們的平臺利用標準乙太網路，就能提供足夠的傳輸效能，無需使用GDS，從而避免使用InfiniBand或RDMA架構所帶來的複雜性。</p> <p>MinIO認為自身的部署經驗顯示，GPU應用環境的I/O瓶頸在於網路通道頻寬，而不在於傳輸路徑是否使用回彈緩衝區，因而GDS並非是必要的架構。</p> <p>但MinIO只是少數派，多數主要儲存廠商都認同GDS的價值，並積極支援GDS技術，持續增加的GDS支援廠商便是證明，也讓GDS逐漸成為AI應用必備的傳輸架構。</p> <p>當前AI應用的熱潮仍持續不減，考慮到Nvidia GPU在AI應用中的關鍵地位，以及GDS所能提供的傳輸效能提升效果，我們可以很肯定地認為：任何想要在AI應用中扮演重要角色的儲存廠商，都必須支援這套傳輸架構，才能具備足夠的競爭力。</p> <p><strong style="font-size: 36px; color: rgb(255, 255, 0);"><span style="background-color:#000000;"> GPUDirect Storage的適用場合 </span></strong></p> <p><strong>藉由GPUDirect Storage（GDS）所帶來的I/O傳輸加速效益，並非所有場合都有效，必須是在I/O密集型環境，以及不涉及CPU處理的情境中，才能發揮作用。</strong></p> <p><strong>首先，GDS針對的是儲存設備到GPU之間的I/O瓶頸問題，如果I/O不是應用環境的瓶頸，GDS自然沒有幫助。例如在不涉及大量資料傳輸的運算密集型環境，運算耗費的時間遠大於資料傳輸時間，或運算工作無須等待I/O完成的非同步I/O環境，由於I/O並不是這些應用的瓶頸，GDS便無法發揮效益。</strong></p> <p><strong>其次，GDS僅有助於儲存裝置到GPU之間的傳輸，GPU必須是應用程式資料傳輸過程第1個或最後1個接觸的環節，GDS才能發揮助益。若應用程式在GPU運算之前或之後，還需使用主機CPU處理或分析資料，將會消除GDS的效益。</strong></p> <p><strong>反之，如果是涉及大量資料傳輸，且能卸載給GPU執行的應用情境，GDS便能發揮顯著的加速效果，AI模型訓練便是這種情境的典型。</strong></p> <p><strong><span style="font-size:22px;"><span style="color:#FFFFFF;"><span style="background-color:#ff0066;"> </span></span><a href="https://www.ithome.com.tw/article/165672" target="_blank"><span style="color:#FFFFFF;"><span style="background-color:#ff0066;">相關報導</span></span></a><span style="color:#FFFFFF;"><a href="https://www.ithome.com.tw/article/165672" target="_blank"><span style="background-color:#ff0066;"> </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1205-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=Y3cA8B0K" style="width: 550px;" /></a></span></span></strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/nvidia">Nvidia</a></div><div class="field-item odd"><a href="/tags/gpudirect-storage">GPUDirect Storage</a></div><div class="field-item even"><a href="/tags/gds">GDS</a></div><div class="field-item odd"><a href="/tags/ai%E5%84%B2%E5%AD%98%E7%94%9F%E6%85%8B%E5%9C%88">AI儲存生態圈</a></div></div></div>
2024/10/25 06:00作者張明德https://www.ithome.com.tw/tech/165665
GPUDirect Storage（GDS）的基本概念
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1025-cover2-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美光Micron</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>下圖是從SSD向GPU傳送資料的傳統I/O路徑，資料會經由PCIe交換器、經過主機CPU、複製，寫入主機記憶體的回彈緩衝區（bounce buffer），再經由CPU、PCIe交換器，複製寫入GPU的記憶體，供GPU存取。這整個過程需要經過6個環節，以及2次資料複製作業。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1025-cover(2)-600--1.png" style="text-align: center; width: 452px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／美光Micron</span></span></p> <p>之所以必須採用這種繁瑣的傳輸路徑，是一系列原因造成的。</p> <p>在儲存裝置與GPU之間的資料移動，是透過CPU運行的系統軟體驅動程式來管理，並可由下列3種方式來執行傳輸作業，但各有限制：</p> <p>（1）經由GPU的直接記憶體存取（DMA）引擎執行資料傳輸工作，但是，第3方周邊裝置通常不會公開其記憶體給其他裝置的DMA引擎定址，因而GPU無法以其DMA引擎直接存取第3方的周邊裝置，只有主機CPU的記憶體可供GPU DMA引擎存取。這也導致第3方周邊裝置向GPU的資料傳輸路徑，必須經過主機CPU記憶體中的回彈緩衝區，來作為中介。</p> <p>（2）經由CPU的載入與儲存指令來執行資料傳輸，但CPU無法在2個周邊裝置之間直接複製資料，而須經由CPU記憶體回彈緩衝區的中介。</p> <p>（3）經由周邊裝置的DMA引擎來執行資料傳輸，如NVMe SSD、網路卡或RAID卡的DMA引擎，而GPU的PCIe基底位址暫存器（PCIe Base Address Register，BAR）的定址，是可以提供給其他周邊裝置DMA引擎存取的，Nvidia的GPUDirect RDMA技術，就是利用這點來實現GPU與網路卡之間的直連存取。</p> <p>問題在於，若存取的目標是檔案系統層級的儲存裝置，就必須由作業系統介入存取過程，但作業系統並不支援將GPU的虛擬定址傳遞給檔案系統，因而無法執行DMA存取。</p> <p>傳統I/O路徑會帶來下列3個副作用：（1）延遲增加；（2）傳輸效率受CPU的PCIe通道頻寬限制；（3）傳輸作業需耗費CPU週期，增加CPU與主機記憶體負擔，並與其他工作負載爭搶CPU資源與主機記憶體頻寬，導致傳輸率的抖動與不穩定。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1025-cover(2)-600--2.png" style="width: 450px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／美光Micron</span></p> <p>上圖是在GDS架構，從SSD向GPU傳送資料的I/O路徑，可以繞過（Bypass）主機CPU與記憶體，讓SSD直接透過PCIe交換器，以DMA方式將資料複製寫入GPU的記憶體，整個過程只需經過2個環節，以及1次資料複製，從而帶來3項直接效益：（1）避開主機CPU的PCIe通道頻寬限制；（2）減少傳輸過程的環節，降低延遲；（3）降低主機CPU與記憶體的負擔，減少資料傳輸作業對於其他工作負載的影響。</p> <p>除此之外，GDS架構還能帶來幾項附帶的效益：</p> <p>（1）透過額外的PCIe傳輸通道提高傳輸頻寬：當資料傳輸無須繞經主機CPU與記憶體，只需在PCIe交換器與周邊裝置之間進行時，若搭配採用多層PCIe交換器，同時啟用多條傳輸通道，將能顯著提高伺服器整體傳輸頻寬。</p> <p>而在傳統I/O架構下，由於資料傳輸必須經由主機CPU與記憶體，頻寬會被主機CPU的PCIe通道給綁住，即便有多層PCIe交換器，也無法獲得頻寬提高的效果。</p> <p>（2）解放主機記憶體的占用：資料傳輸使用的回彈緩衝區，會占用到相當可觀的主機記憶體容量，有時候甚至多達1TB，GDS則能解除資料傳輸作業對寶貴主機記憶體空間的占用。</p> <p><strong><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 0, 102);"> </span></span><a href="https://www.ithome.com.tw/article/165672" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 0, 102);">相關報導</span></span></a><span style="color: rgb(255, 255, 255);"><a href="https://www.ithome.com.tw/article/165672" target="_blank"><span style="background-color: rgb(255, 0, 102);"> </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1205-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=Y3cA8B0K" style="width: 550px;" /></a></span></span></strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/nvidia">Nvidia</a></div><div class="field-item odd"><a href="/tags/gpudirect-storage">GPUDirect Storage</a></div><div class="field-item even"><a href="/tags/gds">GDS</a></div><div class="field-item odd"><a href="/tags/ai%E5%84%B2%E5%AD%98%E7%94%9F%E6%85%8B%E5%9C%88">AI儲存生態圈</a></div></div></div>
2024/10/25 06:00作者張明德https://www.ithome.com.tw/tech/165666
GPUDirect Storage的部署與啟用條件需求
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1025-cover3-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome整理製表，2024年10月</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>藉由GPUDirect Storage（GDS），可以讓GPU伺服器本機的NVMe SSD，或是外部第3方的檔案儲存系統，透過DMA或RDMA方式，繞過GPU主機CPU與系統記憶體，直接將資料傳送到GPU的記憶體，從而大幅提高儲存裝置與GPU之間的資料傳輸效率。但要啟用這套架構，必須有硬體與軟體方面的配合。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>● 硬體需求</strong></span></span></p> <p>在GPU伺服器端，只有較新款的Data Center等級GPU平臺，與Quadro等桌上型等級GPU平臺，可以支援與運行GDS（詳見Nvidia網站公布的清單），若要透過GDS連結外部儲存設備，GPU伺服器還需要搭配支援RDMA架構的網路卡，如InfiniBand或RDMA乙太網路卡。</p> <p>至於儲存裝置端則分為兩種，一為區塊類型，另一為網路附加型儲存裝置。</p> <p>區塊類型儲存裝置分兩種，一為GPU伺服器本機儲存裝置，能透過PCIe連結GPU的NVMe SSD即可。二為外部儲存設備從遠端掛載的區塊儲存區（Volume），需支援NVMe-oF形式的外部儲存設備。</p> <p>對於網路附加型儲存裝置，基本上都是外部遠端掛載的檔案系統，檔案系統必須支援RMDA網路介面才能運行GDS。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>● 軟體需求</strong></span></span></p> <p>要在GPU伺服器端啟用GDS，首先，必須安裝Nvidia的MLNX_OFED與nvidia-fs.ko這兩個軟體元件，前者用於為InfiniBand與RDMA乙太網路卡建立跨遠端的RDMA存取，後者用於為儲存裝置提供對於GPU記憶體的DMA直接存取。</p> <p>其次，是必須安裝內含GDS軟體元件的CUDA 11.4版以後軟體套件。</p> <p>在儲存裝置端，GDS對儲存裝置的存取，是在GDS的CuFile API控制下，透過nvidia-fs.ko驅動程式，經由Linux的虛擬檔案系統（Virtual Filesystem，VFS）介面的中介，在檔案系統層級上進行。</p> <p>所以對於GPU伺服器連接的區塊型儲存裝置，包括本機的NVMe SSD，或是遠端掛載的外部儲存裝置邏輯儲存區（如EBOF儲存櫃），必須格式化為EXT4或XFS檔案系統的形式，再掛載到GPU伺服器使用。</p> <p>對於檔案系統型儲存裝置，第3方檔案系統若要支援GDS，必須能支援RDMA遠端存取，通常採取2種實作方式，一為透過修改的NFS協定（例如NFS over RDMA），另一為透過OFED（OpenFabrics Enterprise Distribution）介面，藉此將檔案系統空間掛載給GPU伺服器使用，採取前者作法的平臺，例如Dell PowerScale 9.2版以後版本，後者則有DDN的EXAScaler 5.2以後版本，Weka的WekaFS 3.13以後版本等。</p> <p>這些GDS相容檔案儲存平臺，多是第3方廠商專屬儲存設備的檔案系統，因而只能跟著這些廠商的儲存產品硬體一同提供。不過，也有部分平臺例外，可以單獨提供檔案系統軟體套件，供用戶自行建置儲存系統，如BeeGFS與Weka FS，都提供這種建置模式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1025-cover(3)-600.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">資料來源：iThome整理，2024年10月</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:22px;"><strong>GDS使用的儲存裝置分為2大類型、一共3種形式：</strong></span></span></p> <p><span style="color:#3399ff;"><span style="font-size:22px;"><strong>第1大類是區塊型儲存裝置，包括GPU伺服器本機的NVMe SSD，以及外部儲存設備透過NVMe-oF掛載的Volume儲存區，這一類儲存裝置將被格式化為EXT4或XFS檔案系統形式後，經由Linux的VFS介面連結nvidia-fs.ko軟體元件，藉此讓儲存裝置能以DMA引擎存取GPU的記憶體。</strong></span></span></p> <p><span style="color:#3399ff;"><span style="font-size:22px;"><strong>第2大類是檔案型儲存裝置，相容GDS的第3方檔案系統，可透過nvidia-fs.ko軟體元件，以DMA方式存取GPU記憶體。</strong></span></span></p> <p><strong><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 0, 102);"> </span></span><a href="https://www.ithome.com.tw/article/165672" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 0, 102);">相關報導</span></span></a><span style="color: rgb(255, 255, 255);"><a href="https://www.ithome.com.tw/article/165672" target="_blank"><span style="background-color: rgb(255, 0, 102);"> </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1205-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=Y3cA8B0K" style="width: 550px;" /></a></span></span></strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/nvidia">Nvidia</a></div><div class="field-item odd"><a href="/tags/gpudirect-storage">GPUDirect Storage</a></div><div class="field-item even"><a href="/tags/gds">GDS</a></div><div class="field-item odd"><a href="/tags/ai%E5%84%B2%E5%AD%98%E7%94%9F%E6%85%8B%E5%9C%88">AI儲存生態圈</a></div></div></div>
2024/10/25 06:00作者張明德https://www.ithome.com.tw/tech/165668
【AI直連儲存加速時代來臨】GPUDirect Storage產品生態總覽
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1025-cover4-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>NetApp</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>憑藉AI應用持續興盛，以及輝達在GPU與加速運算的龐大影響力，用於改善GPU應用環境I/O傳輸效率的GPUDirect Storage（GDS），短短幾年內，就成為GPU領域標準的傳輸架構之一，也是有意在AI應用扮演重要角色的儲存廠商，必須支援的I/O技術架構。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>支援GDS的儲存裝置形式</strong></span></span></p> <p>從儲存裝置的存取層級來說，GDS支援2種類型的儲存裝置：</p> <p>（1）GPU伺服器本機掛載的區塊型（Block）儲存裝置，又分為兩種類型，一為透過NVMe介面直連的NVMe SSD，另一為外部儲存設備經由NVMe-oF架構連接的儲存區（Volume），這類裝置將格式化為EXT4或XFS檔案系統，再提供給GDS建立連結。</p> <p>（2）GPU伺服器遠端掛載的外部檔案系統，也就是支援RDMA傳輸架構，且相容於GDS技術的第3方檔案層級儲存設備。</p> <p>所以從儲存裝置的型態來說，GDS一共支援3種儲存裝置：（1）GPU伺服器內接的NVMe SSD，（2）經由NVMe-oF掛載的外部區塊型儲存裝置，（3）經由RDMA網路連結的外部檔案型儲存裝置。</p> <p>在這3類儲存裝置中，GPU伺服器內接NVMe SSD的規格限制條件最少，幾乎適用所有相容於GPU伺服器的NVMe SSD產品（包括ScaleFlux的運算型儲存裝置產品），存取延遲最低，但在容量與傳輸頻寬擴展能力方面，會受到相當大的限制，取決於GPU伺服器能支援的NVMe SSD數量，一般而言，最多搭配十多臺NVMe SSD。</p> <p>考慮到AI相關應用的規模擴展需求，更實用的GDS儲存應用架構，將是搭配外部儲存設備的型式，也就是藉由NVMe-oF掛載的外部區塊型儲存設備，以及經由RDMA網路連結的外部檔案型儲存設備。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> 典型的GDS應用架構：NetApp EF系列與BeeGFS的組合 </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1025-cover(4)-600--2.png" style="width: 600px;" /></p> <p><span style="color: rgb(51, 153, 255);"><span style="font-size: 22px;"><strong>這是後端NVMe-oF搭配前端InfiniBand/RDMA的GDS應用架構。由NetApp的EF600儲存陣列，以NVMe over InfiniBand協定經由200Gb IfiniBand網路介面，將儲存區直接掛載到運行BeeGFS檔案系統的SR655伺服器上，後者再經由InfiniBand交換器，將檔案系統空間以InfiniBand/RDMA方式連到GPU伺服器，構成GDS連接。</strong></span></span><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／NetApp</span></span></p> <p><span style="font-size:28px;"><span style="color:#B22222;"><strong>支援GDS的儲存平臺</strong></span></span></p> <p>目前支援GDS的外部儲存設備，以檔案型儲存設備占大多數，總共有十多家廠商的產品，幾乎涵蓋當前市場上多數常見的檔案儲存平臺，包括：在高效能運算領域常見的知名老牌檔案儲存平臺，例如DDN的EXAScaler，HPE Cray ClusterStor，IBM Spectrum Scale（現在已改稱Storage Scale），ThinkParQ的BeeGFS，還有兩大分散式高效能檔案平臺新秀——VAST Data的Universal Storage，Weka的WekaFS，以及知名的通用檔案儲存平臺，如Dell的PowerScale、NetApp的ONTAP，PureStorage的FlashBlade，以及華為的GFS（Global File System）等。</p> <p>前述這些平臺，又可依照支援GDS的傳輸架構型式，分為直接透過RDMA網路連接（InfiniBand或RoCE乙太網路），以及透過NFS over RDMA協定（NFSoRDMA）等2大類。前者有EXAScaler、Spectrum Scale、BeeGFS、WekaFS等平行檔案系統，後者則有PowerScale、ONTAP等通用型平臺。</p> <p>至於區塊型儲存設備，原則上任何支援NVMe-oF架構的產品都適用GDS，但實際確實標示支援GDS的產品，我們目前已知的，有Excelero的NVMesh，以及WD的OpenFlex Data24這2款外接NVMe儲存櫃，其中Excelero已於2022年併入Nvidia。</p> <p>接下來，我們檢視其中較具代表性的平臺。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> Dell </span></strong></span></p> <p>Dell算是最早支援GDS的廠商之一，9.2版以後的PowerScale OneFS檔案系統，能透過基於NFS v3的NFS over RDMA協定，搭配Mellanox的CX系列RDMA乙太網路卡支援GDS傳輸架構。稍後推出的OneFS 9.5版，又進一步改善了GDS傳輸效率，Dell實測顯示提升幅度可達36%。</p> <p>Dell宣稱最小規模的3節點組態PowerScale F600儲存叢集，透過GDS可提供24 GB/s的傳輸率，若擴展到最大252節點規模時，將能擁有高達2 TB/s的龐大傳輸能力。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> DDN </span></strong></span></p> <p>長年致力於高效能運算儲存服務的DDN，當然也沒有在GDS支援上缺席，是首批支援廠商之一。DDN基於Lustre平行檔案系統發展的EXAScaler檔案系統，包括基於Lustre 2.12的EXAScaler 5.2以後版本，以及基於Lustre 2.4的EXAScaler 6以後版本，都能透過InfiniBand支援GDS，適用的DDN硬體產品，包括DDN AI200X、AI400X與AI7990X。</p> <p>DDN以4節點AI400X的實測為例宣稱，啟用GDS可獲得多達57%的傳輸率提升，提供高達162 GB/s讀取與143 GB/s的寫入速率。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> IBM </span></strong></span></p> <p>源自GPFS平行檔案系統、在高效能運算儲存領域耕耘已久的IBM Spectrum Scale平臺，也就是今日的IBM Storage Scale平臺，同樣是第一批支援GDS的儲存平臺，自5.1.2以後的版本，都支援經由InfiniBand或RMDA乙太網路介面，建立GDS傳輸架構（5.1.2版只支援InfiniBand，5.1.3版以後額外支援RoCE乙太網路）。</p> <p>IBM以兩臺ESS 3200儲存陣列（運行Spectrum Scale 5.1.2版）搭配兩臺Nvidia DGX A100，進行實測的結果顯示，藉由GDS可獲得196 GB/s的總傳輸頻寬，相當於兩臺ESS 3200網路介面線速的95%以上。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> NetApp </span></strong></span></p> <p>NetApp目前有兩個平臺支援GDS，一是由NetApp EF600儲存陣列搭配ThinkParQ BeeGFS檔案系統的組合，一是NetApp自身的ONTAP儲存平臺。</p> <p>在NetApp EF600與BeeGFS的組合中，NetApp其實是配角，EF600僅扮演單純提供儲存空間的角色，將自身的儲存區經由InfiniBand HCA網路卡，以NVMe over InfiniBand協定，掛載到負責執行BeeGFS檔案系統的Lenovo SR655伺服器，再由後者以InfiniBand HCA網路卡經由InfiniBand交換器，以RDMA/InfiniBand協定掛載給GPU伺服器使用，並由SR655伺服器運行的BeeGFS檔案系統，負責建立GDS連接。</p> <p>而在NetApp所提出的參考架構中，是使用在RHEL 7.8作業系統上運行的7.2或7.3版BeeGFS檔案系統。而在實測中，這個組合架構搭配Nvidia DGX A100後，可獲得74 GB/s的傳輸率（基於8U的組態）。</p> <p>NetApp的ONTAP儲存平臺，9.10.1版以後也提供透過NFS over RDMA協定，支援GDS傳輸架構的能力，適用於AFF A400、A700與A800等儲存陣列產品，可搭配Nvidia / Mellanox CX-5或CX-6等支援RDMA架構的乙太網路卡，使用經修改的NFS v4.0協定來運作。</p> <p>後來在9.14.1以後版本的ONTAP平臺上，NetApp將搭配的NFS版本擴展到NFS v3與NFS v4.1，支援的儲存陣列機型也增加AFF C系列與AFF A900。</p> <p>在GDS實測上，NetApp以4臺AFF A800儲存陣列搭配2臺DGX A100與2臺DGX-1，在使用2組、4組、8組A800控制器的情況下，分別可得到45.6 GB/s、86.5 GB/s與171 GB/s的傳輸率，總傳輸頻寬高於EF600與BeeGFS的組合，不過，若換成每節點或每U空間的平均頻寬，則略遜於後者。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> HPE </span></strong></span></p> <p>HPE算是一線大廠最積極支援GDS架構的一家，旗下共有3個儲存平臺可支援GDS，包括Ezmeral Data Fabric（5.5版以後）、Cray ClusterStor（4.2版以後）、GreenLake File Storage（3.0版以後）。</p> <p>它們其實都不是HPE原生開發的產品。例如：Ezmeral Data Fabric來自2019年HPE併購MapR取得的MapR Data Platform，一開始改稱HPE Data Fabric，2021年後名稱才換成現在的Ezmeral Data Fabric，應該是透過修改的NFS協定來支援GDS。</p> <p>ClusterStor是HPE於2019年併購Cray取得的產品線，核心其實就是Cray修改版的Lustre平行檔案系統，應該是以InfiniBand支援GDS；GreenLake File Storage是由Alletra MP硬體執行的VAST Data分散式檔案系統，透過NFS over RDMA支援GDS。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> Hitachi Vantara </span></strong></span></p> <p>身為老牌大廠之一的Hitachi Vantara，目前是透過源自Weka的分散式檔案系統產品——Hitachi Content Software for File（HCSF），提供對於GDS的支援。</p> <p>回顧過去，Hitachi Vantara是在2021年中，以OEM形式引進Weka的WekaFS平行檔案系統，搭配自身的伺服器硬體，組成新的HCSF產品線，因而也跟Weka本家一樣，具備支援GDS的能力。</p> <p>除了以獨立產品線銷售，Hitachi Vantara在7月正式推出的BasePOD整合套件Hitachi iQ 中，也搭配HCSF作為套件中的儲存單元。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> Pure Storage </span></strong></span></p> <p>Pure Storage是從2023年10月開始支援GDS，適用於FlashBlade家族中的效能取向款式FlashBlade//S，需搭配4.3.4版以後的Purity//FB作業系統（目前最新版本是4.5.x版），採用的連接架構是基於乙太網路的NFS over RDMA。</p> <p>至於FlashBlade家族中成本取向的FlashBlade//E系列，目前則不提供GDS的支援。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> Weka </span></strong></span></p> <p>就時間點來看，Weka的WekaFS是最早支援GDS架構的第3方儲存平臺，2020年便與Nvidia進行驗證測試，自3.13版以後的WekaFS（現在稱作WEKA Data Platform），便能透過InfiniBand來建立GDS連接。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> VAST Data </span></strong></span></p> <p>VAST Data也是第一波支援GDS的儲存廠商，其Universal Storage平臺在4.1版以後，支援以NFS over RDMA建立GDS連接。</p> <p>Universal Storage平臺採用特別的「解構與共享一切」（Disaggregated Shared Everything，DASE）架構，由負責儲存服務的運算節點，與提供儲存空間的儲存節點組成叢集，搭配Nvidia GPU環境時，VAST Data所建議的參考架構，是採用新的高效能LightSpeed儲存機箱，透過100GbE乙太網路將空間掛載到VAST Data的檔案服務節點，再由VAST Data的檔案伺服器節點，以InfiniBand將儲存空間掛載給GPU伺服器。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 尚未通過Nvidia認證的GDS支援產品 </span></strong></span></p> <p>除了前述名列Nvidia認證的GDS支援廠商與平臺，還有幾家廠商雖然尚未列入Nvidia的認證名單，但也已發表支援GDS的解決方案，包括Hammerspace、PEAK:AIO、華為。</p> <p>以平行NFS儲存系統打出名號的Hammerspace，是在今年初加入支援GDS行列。Hammerspace的口號是讓用戶現有的儲存設備，透過他們Hyperscale NAS介接，從而支援GDS架構。基本概念是將用戶原有的NVMe-oF儲存陣列、或是沒有RDMA連網能力的NAS，掛載到Hammerspace的Data Services（DSX）節點上，然後由後者藉由NFS over RDMA與GPU伺服器建立GDS連接。</p> <p>英國新創公司PEAK:AIO的AI Data Server軟體平臺，同時具備NFS檔案存取與NVMe/TCP區塊存取支援能力，也能透過NFS與NVMe/TCP這兩種方式支援GDS架構，在2023年底與HPE合作的測試中，驗證了這項能力。</p> <p>至於華為，是在2023年8月發布OceanStor A310儲存陣列的GDS測試結果，當中顯示他們的GFS（Global File System）平行檔案系統具備支援GDS的能力，但華為並未說明GFS是以何種底層傳輸架構支援GDS。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>不同傳輸架構帶來的效能差異</strong></span></span></p> <p>迄今已有超過15種第3方檔案儲存平臺支援GDS，我們在10月檢視各廠商發布的GDS實測報告，以及儲存新聞網站「Block & Files」收集的GDS測試結果，發現各種平臺達到的GDS傳輸效率，有著很大的差距，而且其中還存在一些共同的傾向。</p> <p>依照當前各種不同平臺支援GDS時，所採用的傳輸架構，我們可以大致分為3個群組——基於NVMe-oF，基於InfiniBand RDMA，以及基於NFS over RDMA架構。</p> <p>參照Block & Files將各廠商測試結果標準化以後的平均單位節點輸出效能，我們發現IBM、DDN、Weka這些廠商，利用InfiniBand建立GDS傳輸架構的平行檔案系統，還有WD基於NVMe-oF連接架構的平臺，效能要比Dell、NetApp這些採用NFS over RDMA的平臺，高出一個層次。不過也有例外，例如Pure Storage與PEAK:AIO，都透過NFS over RDMA獲得不錯的讀取效能，但寫入效能仍不能與前述平臺相比。</p> <p>這顯示NVMe-oF與InfiniBand RDMA具備一定的效能優勢，但從另一方面來看，NFS over RDMA雖然效能上受到較大限制，也有著運用簡便，與低成本的優點。</p> <p>由於傳輸架構只是影響傳輸效能的眾多因素之一，加上各廠商的測試環境設定差異，前述比較並不精確，不過仍能作為我們衡量在GDS應用中使用不同傳輸架構時，一個粗略的參考依據。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1025-cover(4)-600-PNG.png" style="width: 600px;" /></p> <p><strong><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 0, 102);"> </span></span><a href="https://www.ithome.com.tw/article/165672" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 0, 102);">相關報導</span></span></a><span style="color: rgb(255, 255, 255);"><a href="https://www.ithome.com.tw/article/165672" target="_blank"><span style="background-color: rgb(255, 0, 102);"> </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1205-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=Y3cA8B0K" style="width: 550px;" /></a></span></span></strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/nvidia">Nvidia</a></div><div class="field-item odd"><a href="/tags/gpudirect-storage">GPUDirect Storage</a></div><div class="field-item even"><a href="/tags/gds">GDS</a></div><div class="field-item odd"><a href="/tags/ai%E5%84%B2%E5%AD%98%E7%94%9F%E6%85%8B%E5%9C%88">AI儲存生態圈</a></div></div></div>
2024/10/25 06:00作者張明德https://www.ithome.com.tw/tech/165670
企業儲存市場新動能：GPU直連儲存系統
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1205-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=Y3cA8B0K" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>構成AI運算能力來源的GPU，已成為IT基礎架構升級新動能，而在儲存系統領域當中，Nvidia打造的GPUDirect Storage（GDS）直連傳輸架構，也成為影響AI應用效能的關鍵，獲得眾多儲存廠商的積極支援，從而形成一個基於GDS架構的AI儲存生態圈</p> </div></div></div>
2024/10/25 06:00作者張明德https://www.ithome.com.tw/article/165672
一家廠商主導的AI硬體生態系統
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這幾年來，Nvidia堪稱最活躍、最受各界矚目的企業級加速運算平臺廠商，隨著伺服器虛擬化、大數據分析、生成式AI技術浪潮一波波襲來，Nvidia都在其中扮演重要角色，他們不斷打破既有市場規則，開創許多新的典範。</p> <p>以及今年發表的Blackwell架構資料中心GPU為例，截至目前為止，Nvidia在尚未推出基於這個GPU晶片而成的運算模組或加速卡之際，居然就已開始主推新一代融合晶片GB200 Grace Blackwell Superchip（結合自研Arm處理器Grace與Blackwell架構GPU），基於36個GB200的整櫃式系統GB200 NVL72，以及預載8個Blackwell架構GPU的加速運算基板：HGX B200、HGX B100，而非按部就班地推廣各種GPU解決方案。</p> <p>先前Nvidia在Ampere架構與Hopper架構的作法，是先解說與強調單個A100或H100 GPU的性能與效益，同時帶入匯集4或8個GPU的加速運算基板／GPU伺服器，展示整個伺服器廠商生態的支持與響應，後續再擴及搭配更大量GPU的單櫃或多櫃型系統。不過，隨著Nvidia去年完成融合晶片GH200 Grace Hopper Superchip的設計，以及多家廠商這兩年陸續推出基於GH200的伺服器，像是：雲達、Supermicro、技嘉、華碩、永擎、和碩、Nvidia、Amax、立端、HPE，或許是因為這些廠商的熱烈響應，使Nvidia對這類採用「超級晶片」的伺服器更有信心，因此，今年3月GTC大會與6月台北國際電腦展，他們更是開門見山、直接主推基於GB200而成的伺服器與整櫃型系統。至於Blackwell架構GPU的主要技術特色介紹，並不像前幾代資料中心GPU架構發表時那樣詳盡，目前只能仰賴Nvidia網站的介紹，而且，上面公布的技術架構簡介文件，聚焦Blackwell架構的部分，嚴格來說只有5頁篇幅，相較之下，現行Hopper架構技術白皮書，在架構設計、規格、效能的總覽與深度解析有近50頁之多。</p> <p>在Blackwell架構GPU的效能展現上，今年8月底公布的AI推論測試結果MLPerf Inference v4.1，首度以第三方機構的角度，揭露基於此架構而成的產品B200能耐（單臺伺服器、單個GPU），從中可看出同樣使用Llama 2 70B的模型時，B200均大幅領先AMD Instinct MI300X、Nvidia GH200、Nvidia H200。</p> <p>若就網路與儲存的產品技術搭配與合作廠商來看，Nvidia更是遙遙領先其他競爭對手。就網路技術而言，英特爾、AMD、Nvidia都能同時提供超高速網路介面卡，以及資料處理器（DPU）、基礎架構處理器（IPU），幫忙分攤伺服器的加解密處理，以及具備可程式化能力的調度指揮機制。然而，截至目前為止，只有Nvidia很果決地將這樣的解決方案，與他們的AI加速運算系統進行搭配，而且不僅提供乙太網路與InfiniBand這兩種技術的支援，也將旗下的資料處理器、網路交換器、網路線、軟體定義網路系統，統合為新的網路平臺，名為Spectrum-X與Quantum-X，再加上Nvidia的網路解決方案先前就已陸續支援GPUDirect系列技術，並且將原本他們想要發展的網內運算（In-Network Computing），更聚焦在如何加速AI工作負載，藉此提供更有效率、更少損耗、更低延遲的資料中心網路環境。</p> <p>相較之下，其他兩家廠商的網路卸載／加速解決方案，並未與他們的資料中心GPU或AI加速器連成一氣、形成互相支援的技術堆疊架構，仍是各行其是。不過，AMD本月發表新的資料處理器Pensando Pollara 400，或許後續能帶來更多技術整合層面的突破，因為在這當中，AMD提供同樣稱為GPUDirect的GPU橫跨乙太網路的直連通訊功能。</p> <p>在儲存方面，Nvidia已拉攏不少廠商加入支援與合作陣營。近年來，越來越多企業級儲存系統廠商支援Nvidia發展的GPUDirect Storage（GDS），根據Nvidia在他們網站文件區公布的GPUDirect Storage Release Notes，8月份的分散式檔案系統產品支援矩陣，有多達9個廠牌、15個儲存系統平臺，被認可的時間最早是2021年6月（WekaIO），最近的是2023年12月（Pure Storage），除此之外，還有其他廠商陸續宣布支援，<a href="https://www.ithome.com.tw/article/165672" target="_blank"><span style="color:#3366ff;">在1205期週刊的封面故事當中</span></a>，我們的技術主筆張明德會有更完整的報導。</p> <p><strong><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 0, 102);"> </span></span><a href="https://www.ithome.com.tw/article/165672" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 0, 102);">相關報導</span></span></a><span style="color: rgb(255, 255, 255);"><a href="https://www.ithome.com.tw/article/165672" target="_blank"><span style="background-color: rgb(255, 0, 102);"> </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1205-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=Y3cA8B0K" style="width: 550px;" /></a></span></span></strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/nvidia">Nvidia</a></div><div class="field-item odd"><a href="/tags/ai%E7%94%9F%E6%85%8B%E7%B3%BB">AI生態系</a></div><div class="field-item even"><a href="/tags/%E5%84%B2%E5%AD%98%E7%B3%BB%E7%B5%B1">儲存系統</a></div><div class="field-item odd"><a href="/tags/gpudirect-storage">GPUDirect Storage</a></div><div class="field-item even"><a href="/tags/gds">GDS</a></div></div></div>
2024/10/25 06:00作者李宗翰https://www.ithome.com.tw/voice/165674
【資安日報】10月24日，FortiManager零時差漏洞已被用於實際攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週研究人員揭露多起漏洞利用攻擊的資安事故，例如：Fortinet網路設備管理系統漏洞CVE-2024-47575、三星行動裝置處理器漏洞CVE-2024-44068、macOS作業系統漏洞CVE-2024-44133。</p> <p>其中，又以CVE-2024-47575相當值得留意，原因是這項漏洞在Fortinet尚未公開之前，已有研究人員提出警告，並有企業傳出遭受攻擊的情況。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165625"><strong style="font-size: 22px;">勒索軟體Cicada3301鎖定VMware虛擬化平臺、NAS設備而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cicada3301-profile-min-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cicada3301-profile-min-1.png" style="width: 300px; float: right;" /></a>一般而言，勒索軟體的攻擊目標多半是Windows電腦，到了前幾年，陸續有駭客組織針對VMware虛擬化平臺ESXi開發Linux版勒索軟體，然而最近出現的新勒索軟體，更進一步做到可橫跨多個平臺運作，而引起研究人員的注意。</p> <p>資安業者Group-IB揭露從今年6月開始出沒的新興勒索軟體Cicada3301，3個月內已有30家企業組織遭受攻擊。特別的是，駭客以Rust打造勒索軟體，不只能在Windows、Linux電腦，以及VMware ESXi運作，罕見的是，網路儲存設備（NAS）、PowerPC架構的電腦，也無法倖免於難。</p> <p>此外，該勒索軟體還能終止虛擬化平臺的運作，不僅能用於前述的VMware ESXi，還能對微軟Hyper-V出手，將虛擬機器（VM）關機。</p> <p><a href="https://www.ithome.com.tw/news/165656"><strong style="font-size: 22px;">多款熱門行動程式直接將AWS與Azure帳密資料寫入程式碼</strong></a></p> <p>資安業者賽門鐵克警告，有多個熱門的Android及iOS行動程式直接在程式中寫入未加密的AWS或Azure憑證，將允許駭客破壞應用程式的後端基礎設施、竊取用戶資料，或是中斷服務。</p> <p>根據調查，有6款程式直接於程式碼庫中嵌入了未加密的AWS憑證，包括Google Play上的拼貼程式The Pic Stitch: Collage Maker，下載次數超過500萬；其他3款則是位於App Store上，包括連鎖甜點店的官方程式Crumbl，下載次數超過390萬；填寫問卷賺現金的調查應用程式Eureka: Earn money for surveys，有超過40萬次的下載；超過35萬下載量的影片編輯程式Videoshop - Video Editor Videoshop；超過24萬次下載的紙牌遊戲Solitaire Clash: Win Real Cash；以及超過23.5萬次下載量的填問卷賺現金的調查程式Zap Surveys - Earn Easy Money。</p> <p>另有6款程式嵌入的是微軟Azure憑證，包括Google Play上的叫車程式Meru Cabs，下載超過500萬次；一個針對印度市場的黃頁程式Sulekha Business，下載超過50萬次；以及可以用來緩解耳鳴的ReSound Tinnitus Relief；下載超過50萬次；超過10萬次下載的看病程式Saludsa；下載超過10萬次的車輛檢查程式Chola Ms Break In，以及另一個用來緩解耳鳴的Beltone Tinnitus Calmer，亦有逾10萬次下載。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/notlockbit-ransomware-can-target-macos-devices/">勒索軟體NotLockBit鎖定macOS電腦而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/10/ransomware-gangs-use-lockbits-fame-to.html">有人冒用LockBit名號發動勒索軟體攻擊，將竊得資料外傳AWS S3儲存桶</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/10/new-grandoreiro-banking-malware.html">金融木馬Grandoreiro變種鎖定墨西哥而來</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165661"><strong style="font-size: 22px;">Fortinet網路設備管理平臺API漏洞出現零時差攻擊</strong></a></p> <p>10月23日資安業者Fortinet發布資安公告，指出旗下的網路設備管理平臺FortiManager存在重大漏洞CVE-2024-47575，本地建置及雲端版本皆受到影響，而且，他們已掌握用於實際攻擊行動的情況，呼籲用戶儘速套用相關更新。</p> <p>這項漏洞存在於名為fgfmd的系統元件，起因是重要功能缺乏身分驗證，導致攻擊者有機會在未經身分驗證的情況下，藉由發送偽造請求，遠端執行任意程式碼或命令，CVSS風險評分達到9.8。該漏洞影響本地建置6.2.0至7.6.0版、雲端版6.4至7.4.4版的FortiManager，該公司推出新版程式修補。</p> <p>附帶一提的是，他們也提及，部分網路分析設備FortiAnalyzer提供的相關功能模組（FortiManager on FortiAnalyzer），也同樣存在這項弱點而曝險。</p> <p><a href="https://www.ithome.com.tw/news/165660"><strong style="font-size: 22px;">三星修補已遭濫用的Exynos行動裝置處理器漏洞</strong></a></p> <p>10月7日三星發布韌體更新，修補出現在三星手機與穿戴裝置搭配的Exynos處理器的高風險漏洞CVE-2024-44068，此漏洞涉及記憶體釋放後再行利用（Use After Free），攻擊者有機會藉此提升權限，搭載Exynos 9820、9825、980、990、850、W920等處理器的裝置受到影響，CVSS風險評為8.1分。</p> <p>本漏洞是由Google威脅分析小組Clement Lecigene，以及裝置與服務安全研究小組研究人員Xingyu Jin於7月發現，並向三星通報已遭到利用的情況。他們發現攻擊者將其用來進行提升權限，並確認相關攻擊鏈能在Galaxy S10手機發動。</p> <p><a href="https://www.ithome.com.tw/news/165640"><strong style="font-size: 22px;">蘋果修補macOS的HM Surf漏洞，目前已有嘗試利用的跡象</strong></a></p> <p>今年9月蘋果發布電腦作業系統大改版macOS Sequoia 15，當中修補中度風險漏洞CVE-2024-44133，這項漏洞影響由行動裝置管理平臺（MDM）控管的裝置，應用程式有可能藉由漏洞繞過特定的隱私權組態，CVSS風險評為5.5分，通報此事的微軟近日公布相關細節，並指出他們偵測到疑似漏洞利用的情況。</p> <p>微軟威脅情報中心指出，這項漏洞有機會讓攻擊者繞過macOS的Transparency, Consent, and Control（TCC）保護機制，進行在未經授權的情況下，存取受到保護的使用者資料。研究人員將這項漏洞稱為HM Surf，並指出該漏洞涉及移除Safari瀏覽器程式資料夾的TCC防護，以及更動特定資料夾的組態檔案，使得攻擊者有機會存取使用者資料，包含瀏覽過的網頁、裝置的視訊鏡頭、麥克風、地理位置。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/microsoft-windows-flaw-cve-2024-30090-poc-exploit-published-posing-system-privilege-threat/">針對微軟6月修補的一系列核心層級漏洞，資安業者Devcore警告可被用來提升權限</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/exploit-released-for-new-windows-server-winreg-ntlm-relay-attack/">微軟7月修補的遠端登錄檔漏洞WinReg，若不處理攻擊者可發動NTLM中繼攻擊</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165636"><strong style="font-size: 22px;">Sophos宣布以8.59億美元買下資安廠商Secureworks</strong></a></p> <p>英國防毒廠商Sophos於10月21日宣布，以8.59億美元現金收購美國資安業者Secureworks。Secureworks為網路安全服務供應商，提供安全監控、威脅偵測及SoC服務，該公司於2011年被Dell併購，2016年Dell將之分拆上市，並成為這家資安公司的最大股東。今年8月媒體報導，Dell有意出售Secureworks，直到本週才確定由Sophos接手。</p> <p>Sophos表示，Secureworks的Taegis平臺和Sophos代管服務與安全產品可相輔相成，提供進階延伸偵測回應（XDR）及代管偵測回應（MDR）解決方案。他們計畫整合二家公司產品，使Sophos新增身分威脅偵測與回應（identity threat detection and response，ITDR）、次世代安全資訊與事件管理（SIEM）、操作科技（OT）及進階弱點風險排序等，提供滿足大、中、小型企業的產品。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165652"><strong>【10月23日】中國駭客組織IcePeony對亞洲國家網頁伺服器發動SQL注入攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165631"><strong>【10月22日】資安業者ESET以色列合作夥伴驚傳遭駭，駭客冒名從事網釣攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165602"><strong>【10月21日】Internet Archive再傳遭駭</strong></a></p> </div></div></div>
2024/10/24 18:42作者周峻佑https://www.ithome.com.tw/news/165683
CNCF技術委員會成員來臺揭露K8s未來三大進展，包括WebAssembly、eBPF和IT永續新工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>兩位蘋果工程師Katie Gamanji和太田航平(Kohei Ota)，在今年Kubernetes Summit研討會第二天的主題演講中，回顧了K8s十年發展，並揭露了接下來三大發展方向。Katie Gamanji是CNCF技術監督委員會成員，她主導設立了雲原生證照KCNA認證制度和相關課程，而太田航平則是CNCF推廣大使，去年參與創立了日本雲原生社群，是日本開源社群的活躍者。</p> <p>Katie Gamanji指出，K8s是傑出的容器調度框架，關鍵是透過宣告式配置和各種自動化機制，提供了很好的移植性和適應力，今年是K8s誕生十周年，超過8萬8千人參與貢獻，橫跨8千家氣頁，超過4,200萬次上傳。十年來發展出了很完整的雲原生技術版圖（Cloud Native LandScape）。</p> <p>目前CNCF擁有190個開源專案，分布在三個不同成熟度的等級，127個處於創意解方嘗試階段的沙盒專案，37個開始有企業貢獻和採用的孵化專案，以及27個達到穩定和成熟，甚至成為業界標準的畢業專案。另外，還有些專案發展不如預期，會落入歸檔的專案，目前有9個。</p> <p>太田航平指出，因為跨不同作業系統和雲端供應商，推動了CRI（容器Runtime介面）和CNI（容器網路介面）這兩類專案的蓬勃發展，可以針對特定雲端業者量身克制，提供更多彈性，也支援更多樣化的容器執行環境。隨著大規模應用和有態工作流程的需求，帶動了CSI（容器儲存介面）和服務網格技術的興起，可用於管理超級複雜的網路流量。</p> <p>為了滿足多租戶架構，讓每個用戶可以有自己專屬的叢集，太田航平表示，K8s的叢集API成了關鍵標準化機制，可以將叢集的身分驗證功能，和底層的基礎設施脫離。透過叢集API，不論是本地端、公有雲或邊緣環境，都可以提供一致的K8s叢集建立和管理方式，也能建立一套涵蓋叢集生命周期的標準化管理方式。</p> <h3><span style="color:#FF0000;"><strong>未來K8s三大發展：WebAssembly、eBPF和永續性</strong></span></h3> <p>K8s的下一波發展，太田航平指出有三大重要機制，第一項就是WebAssembly。為何這項技術對雲原生的發展，非常重要？太田航平解釋，WebAssembly可以提供一個獨立的環境，不受限於任何開發語言、作業系統和CPU。換句話說，WebAssembly等於是提供了一個可以通吃任何開發環境、作業系統，甚至是CPU架構的執行程式。WebAssembly也是一個二進位檔案，可以用不同的開發語言編譯成這種格式的檔案，再部署到瀏覽器或非瀏覽器的環境中執行。「WebAssembly提供了一個安全、輕便而且可以在任何地方執行的環境。</p> <p>太田航平舉例說明如何用K8s開發者熟悉的GO語言、行動開發者慣用的Swift，甚至網頁開發者會用的Ruby語言，來編譯成WebAssembly的wasm格式檔，都可以很容易完成。也很容易用Docker來打包出一個可以執行WebAssembly二進位檔的容器映像檔。</p> <h3><strong><span style="color:#FF0000;">eBPF應用越來越廣，從網路處理，擴大到資安監控和可觀察性</span></strong></h3> <p>除了WebAssembly之外，第二個重要新發展是eBPF，這項技術原本只是一項用來過濾網路封包的技術，但現在的應用越來越多元，不只是網路處理，也擴大應用到資安監控和可觀察性工具上。</p> <p>太田航平指出，eBPF的威力是，在同一套一致的安全模式下，提供了低負載的過濾機制以及核心等級的程式化能力，主要透過JIT即時編譯技術和執行前驗證機制來實現。由於eBPF的程式碼具有Linux核心等級的執行能力，因此採取許多預先驗證機制，也採取了一些預防runtime時期出現意外行為的機制，例如限制可用的系統呼叫。另外，還會隨時監控資料型別和存取模式，來避免程式碼非法存取記憶體。</p> <p>目前，eBPF主要有三大應用場景，資安監控，網路路由和過濾，以及可觀察性中的矩陣數據搜集，都各有不少知名的開源專案。這三類應用都是雲原生環境運作需要的核心能力。例如像New Relic的Pixie可觀察性工具，就是用eBPF技術來取得K8s運作的矩陣數據。</p> <p>為了確保安全，eBPF二進位檔會先載入到用戶空間，經過各種執行前驗證檢查後，才會把檔案放入到核心空間，再用JIT編譯器完成編譯後，才允許連結到系統呼叫。<br /> 最後一項K8s的新發展方向是永續性。</p> <h3><span style="color:#FF0000;"><strong>技術部門若不行動，未來技術碳排不減反而會大增</strong></span></h3> <p>Katie Gamanji指出，根據調查，全球碳排放量有1.4%來自技術部門，如果將資料中心和資訊基礎架構改用再生能源來運作，可以減少80%的碳排，但是，目前技術部門的行動力不夠，導致技術部門未來十年產生碳排量，不但不會減少，反而預估還會增加了10%。</p> <p>「如何讓技術部門可以觀察，紀錄和評估他們自己的碳排放，在雲原生環境中，需要新的工具來解決這個課題。」Katie Gamanji指出。這正是K8s接下來在永續性的發展方向。目前K8s有兩項重要的永續工具，第一個Kepler專案，可以用來追蹤K8s的能耗，另一個工具則是碳察覺KEDA工具，可以依據碳排量數據變化來調度的自動擴充機制。</p> <p>Kepler利用了eBPF技術來探測K8s叢集在系統層級的能耗數據，再匯出到Prometheus中彙整，可以用Gafana來視覺化，這項專案是由IBM和紅帽在2022年發起，2023年捐給CNCF基金會，目前處於沙盒階段，意味著還是一項新興的創意嘗試解決專案，還沒有足夠多的企業案例，也很需要嘗試者來貢獻意見。Kepler可以追蹤到不同命名空間，甚至是每一個容器，每一天的碳排數據變化。若用命名空間來區分不同的應用，就可以找出碳排量特別高的應用系統。</p> <h3><strong><span style="color:#FF0000;">不只追蹤碳排數據，還可依碳排密度自動調度K8s叢集</span></strong></h3> <p>有了追蹤碳排數據的工具後，如何運用到K8s叢集的調度上，另一個關鍵工具就是具備碳察覺自動擴充操作器Carbon Aware KEDA Operator。KEDA（Kubernetes Event-driven Autoscaling）專案是一項K8s的自動擴充、縮小叢集規模工具，可以用事件驅動來觸發。碳察覺KEDA操作器則是可以讓KEDA工具，可以依據叢集外部的事件，來調整應用程式的規模，達到碳排放量調整的效果。</p> <p>例如可以設計系統使用「碳排密度」指標來調整規模，碳排放量密度是一個新興的綠色IT指標，以每千瓦小時排放多少二氧化碳量來計算。可以在配置檔中，透過KEDA Scaler CRD或自定義資源設定，來定義不同碳排密度事件的層級，當密度高時，自動降低應用系統的副本數量，來達到減少碳排的效果。</p> <p>Katie Gamanji表示，參與CNCF專案有很多種形式，不一定要貢獻程式碼，也可以參與白皮書制定，或加入工作小組。例如有不少中小企業參與了形形色色各種議題的技術諮詢小組，雲原生生態圈是一個隨著更多參與和互動，而不斷改變的環境，需要一個健康的社群來支持，社群也需要永續的發展。</p> </div></div></div>
2024/10/24 18:28作者王宏仁https://www.ithome.com.tw/news/165682
北韓IT人到歐美企業遠距任職引發危機，可能導致商業機密遭竊、勒索
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近2到3年美國政府多次提出警告，要企業防範北韓駭客假借謀取遠距辦公職務的名義，取得企業內部網路環境的存取權限，從事間諜活動並偷取機密資料的情況，今年美國更是二度查緝協助這些「IT工作者」犯案的<a href="https://www.ithome.com.tw/news/164451">筆電農場（Laptop Farm）</a>，自資安意識教育訓練業者KnowBe4公布<a href="https://www.ithome.com.tw/news/164108">他們不慎雇用北韓駭客差點資料外流的事故</a>，有資安業者針對這種威脅態勢進行調查，並指出近期相關攻擊已出現顯著變化。</p> <p>資安業者Secureworks指出，<a href="https://www.secureworks.com/blog/fraudulent-north-korean-it-worker-schemes">他們針對專門從事這類攻擊的駭客組織Nickel Tapestry（也被稱做Famous Chollima、UNC5267）進行追蹤</a>，結果發現這些駭客在得手企業內部資料後，開始會向雇主進行勒索，要求付錢換取不將資料外流。研究人員指出，這樣的手法過往未曾出現。</p> <p>在其中一起事故裡，受害企業因該員工表現不佳終止僱傭關係，不久就收到一系列電子郵件，其中一封挾帶聲稱竊得內部機密資料的ZIP檔案，另一封則是要求受害企業支付數十萬美元的加密貨幣贖金，後來駭客從另一個電子郵件信箱寄信，以Google Drive共享檔案來表明，他們握有更多內部資料，藉此施壓。</p> <p>此外，他們也發現這些駭客往往還會更改公司寄送工作用筆電的地址，要求送到筆電農場，這意味著駭客通常不會在求職提供的個人所在地區資訊直接填寫筆電農場的地址，而有可能通過人資部門初期審查。</p> <p>在部分事故裡，IT工人會企圖要求受害企業同意使用自己的電腦辦公，並表達對虛擬桌面環境（VDI）組態的偏好。研究人員指出，駭客這麼做的目的，很可能是避免在公務電腦留下相關證據。</p> <p>再者，這些駭客還會使用Astrill VPN提供的IP位址及代理伺服器服務，來隱匿行蹤。研究人員在其中1起事故當中，看到駭客存取公司的VDI系統將內部資料傳送到私人Google Drive儲存空間。</p> <p>研究人員看到駭客存取企業內部環境的方式，包含了Chrome遠端桌面功能、AnyDesk，這對於IT工人謀得的職務而言並不尋常。</p> <p>基本上，北韓駭客為避免穿幫，通常會儘可能會在通話及視訊會議的過程當中，聲稱筆電的視訊鏡頭異常等理由，將鏡頭關閉。但在近期的資安事故中，這樣的態勢也出變化，研究人員根據鑑識取得的證據發現，對方疑似使用名為SplitCam的自媒體協作工具，在避免身分及地點被曝光的情況下開會，使得受害企業比較不會察覺有異。</p> <p>此外，他們還發現受到相同公司聘僱的IT工人會彼此互通有無，包含互相推薦、擔任類似的職務、使用類似的履歷與電子郵件格式。此外，這些工人也往往具備相同的寄送物品及領取工資的方式。研究人員發現，這些駭客還可能一人分飾多個角色──他們在駭客的往來信件當中，看到完全不同的寫作風格，研判這些駭客很可能經常聚集在相同地點，並且共同分擔工作。</p> <p>針對上述的發現，研究人員指出，向受害企業索討贖金的作法，顯然偏離這些駭客初期犯案的規畫，而且，駭客不再以維持就業賺取薪水為主要目的，並將其攻擊目標轉向剽竊智慧財產，使得企業不慎僱用到這些工人的資安風險變得更加嚴重。</p> </div></div></div>
2024/10/24 18:06作者周峻佑https://www.ithome.com.tw/news/165679
北韓駭客Lazarus假借DeFi遊戲為誘餌，利用Chrome零時差漏洞發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月15日Google發布Chrome 125更新（125.0.6422.60、61），<a href="https://www.ithome.com.tw/news/162904">修補零時差漏洞CVE-2024-4947</a>，通報此弱點的資安業者卡巴斯基表示，當時他們看到北韓駭客組織Lazarus假借提供電玩遊戲的名義，並利用這項漏洞企圖控制受害者的電腦。</p> <p>這起攻擊行動之所以曝光，起初是在5月13日，該廠牌防毒軟體在俄羅斯個人用戶的電腦，偵測到後門程式Manuscrypt感染的情況，由於使用該惡意程式的Lazarus鮮少針對個人用戶下手，這樣的情況引起研究人員的注意，進一步調查發現，detankzone[.]com網站利用瀏覽器弱點發動攻擊。</p> <p>基本上，這個網站看起來像是介紹多人線上競技（MOBA）的坦克電玩遊戲DeTankZone，該遊戲號稱以去中心化金融（De-Fi）及非同質化代幣（NFT）為基礎開發而成，該網站亦提供試用版下載。但研究人員指出，這其實是障眼法，駭客在網站後臺埋藏指令碼，一旦使用者透過Chrome存取就會觸發漏洞，攻擊者可藉此完全控制連入此網站的電腦。</p> <p>研究人員進一步指出，攻擊者架設的網站以TypeScript及React打造而成，他們將漏洞利用程式碼埋在名為index.tsx的檔案，但值得留意的是，這些程式碼不光利用CVE-2024-4947，還運用另一個近期才揭露的V8沙箱弱點。</p> <p>形成CVE-2024-4947漏洞的原因，在於Google去年底推出的Chrome 117，納入即時（JIT）編譯器Maglev，該元件能根據解譯器（Interpreter）回饋的內容進行最佳化，快速產生品質較好的程式碼，但Maglev由於具有這項弱點而釀禍。</p> <p>簡而言之，攻擊者的指令碼濫用Maglev、破壞Chrome使用的記憶體位址，並覆蓋該處理程序占用的區域，從而存取Cookie、Token、儲存的密碼，以及上網記錄。</p> <p>他們也發現這些駭客藉由人工智慧技術，產生幾可亂真的資料在社群網站X進行宣傳，並聯繫加密貨幣領域的有力人士，請他們協助宣傳。此外，這些駭客也透過專業設計網站、LinkedIn付費帳號，以及釣魚郵件從事相關活動。</p> <p>值得留意的是，這款遊戲確實能實際正常安裝，並具有實際登入畫面，但無法註冊帳號或是登入。研究人員發現，駭客很可能是竄改名為DeFiTankLand（DFTL）的遊戲製作而成。因為攻擊者於2月20日開始宣傳，3月2日DFTL傳出有開發者從其中1個冷錢包偷走2萬美元DFTL2加密貨幣，所以，研究人員根據這些跡象推測：Lazarus先是偷走了原始碼，再洗劫冷錢包。</p> <p>研究人員指出，雖然他們向Google通報後遵循漏洞揭露政策，當時並未公開具體細節，讓用戶能有更多時間套用修補程式，然而，這起事故其實在5月底就已露出端倪，因為當時微軟<a href="https://www.ithome.com.tw/news/163179">公布北韓駭客組織Moonstone Sleet的勒索軟體攻擊行動</a>，當中恰巧提及此事部分攻擊過程。</p> <p>根據微軟那時的描述，也可印證漏洞攻擊事件的經過。他們表示，駭客從2月開始，利用假的遊戲開發公司為幌子，以尋求投資者及開發人員支持為由發動網釣攻擊，導致電腦被植入惡意程式；攻擊者在4月對其中一家遭駭的公司植入勒索軟體FakePenny，並索討660萬美元比特幣。</p> </div></div></div>
2024/10/24 16:26作者周峻佑https://www.ithome.com.tw/news/165669
強化我國通訊數位韌性，數位部展示高空氣球建立緊急通訊網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>當災害或因為緊急狀態，導致地面的光纖、行動網路出現異常時，當地用戶或救援團隊如何獲得通訊服務？數位部今天(10/24)與國內研究單位共同在臺東展示國產的高空通訊平臺技術，透過繫留的高空氣球建立緊急通訊網路，在災害地區可提供民眾、救援團隊使用。</p> <p>高空通訊平臺(High Altitude Platform Station)技術，主要利用近地的空中載具，從高空建立通訊服務，以提供地面使用，例如Meta曾以太陽能無人機，在高空中長時間滯留飛行，提供地面通訊服務，Google的母公司Alphabet的Loon專案，以高空氣球提供通訊服務，曾以此在肯亞提供商用連網服務。</p> <p>數位部展示國產高空通訊平臺技術，今天在臺東經常舉辦熱氣球活動的鹿野高臺，利用熱氣球升空飛行至800公尺高度，建立高空通訊平臺，可提供周遭11公里距離內通訊服務，以作為災害發生後，迅速建立緊急通訊網路，恢復當地基本通訊服務的應變措施。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/414642-1.jpg" style="width: 600px; height: 401px;" /></p> <p>數位部指出，高空氣球升空後，可上升至800公尺高度穩定滯留，在半徑11公里的範圍內提供緊急通訊服務，該高空氣球具備獨立的電源供應裝置，並使用氫燃料電池作為主要能源來源，確保氣球上的通訊設備能夠長時間運作，最長可以滯空超過14天的時間。</p> <p>高空氣球可載重50公斤，因應不同的情境需要，搭載不同的設備。數位部表示，高空氣球長時間滯空，可長時間穩定提供緊急通訊服務，可用於災區建立緊急通訊，或是用於提升偏遠地區的通訊服務，縮減數位落差，有助於提升面對天災或重大事件的應變能力。</p> <p>今天的展示也模擬災害發生時，通訊服務中斷下，利用高空氣球緊急恢復基本通訊服務，搭配無人機的空中搜救，提高災害的救援應變。</p> <p>事實上，在災害發生或因為緊急狀態導致當地通訊服務中斷，電信業者可調派行動通訊車前往災區建立緊急通訊網路，或是調度中、低軌衛星通訊設備或行動車前進災區，為當地建立緊急應變網路，例如今年403花蓮強震，業者就曾調派行動通訊車，數位部也緊急調派中低軌衛星通訊設備前往災區，建立衛星通訊鏈路，供災區民眾、救護救援團隊使用。</p> </div></div></div>
2024/10/24 17:11作者蘇文彬https://www.ithome.com.tw/news/165673
華為發表切割Android的HarmonyOS NEXT正式版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>華為於本周三（10/23）<a href="https://www.huawei.com/cn/news/2024/10/harmonyos5" target="_blank">發表了</a>HarmonyOS NEXT正式版，同時宣布已開放HUAWEI Pura 70系列、HUAWEI Pocket 2系列，以及11吋的HUAWEI MatePad Pro平板電腦測試HarmonyOS NEXT。</p> <p>HarmonyOS NEXT是華為自製的原生作業系統，跟HarmonyOS最大的差異是它不再兼容Android，將完全與Android切割。</p> <p>華為表示，HarmonyOS NEXT採用全新的分散式軟總線，裝置之間只要靠近即可感知並連接；亦整合了AI，提供Harmony Intelligence服務；新版作業系統禁止9種不合理的權限，包括讀取應用程式列表及簡訊等，也針對包括相機、圖庫或通訊錄等7種使用場景推出安全存取機制；由於採用了自家的方舟引擎（MapleEngine），深度整合軟、硬體讓HarmonyOS NEXT的流暢度提升了30%，續航力增加56分鐘，執行時節省1.5GB的記憶體。</p> <p>Huawei Central<a href="https://www.huaweicentral.com/harmonyos-next-is-a-closed-operating-system-just-like-ios-developer/" target="_blank">指出</a>，如同蘋果的iOS，HarmonyOS NEXT是個封閉的作業系統，只適用於華為的裝置，無法支援其它品牌，此外，HarmonyOS NEXT已經不含任何來自美國的元件，不管是Linux、其它作業系統核心或程式語言。</p> <p>在HarmonyOS NEXT之前，華為裝置都是搭載仍相容於Android的HarmonyOS，華為常務董事余承東表示，目前的HarmonyOS含有1.1億行的程式碼，已有超過1.5萬款的HarmonyOS原生應用程式上架，採用HarmonyOS的裝置亦已突破10億個。</p> </div></div></div>
2024/10/24 14:38作者陳曉莉https://www.ithome.com.tw/news/165664
Google開源SynthID Text
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google DeepMind周三（10/23）<a href="https://x.com/GoogleDeepMind/status/1849110263871529114" target="_blank">宣布</a>，已透過Responsible Generative AI Toolkit的更新開源了SynthID Text浮水印工具，以用來辨識由AI生成的文字內容，可供開發人員及企業免費使用。</p> <p>SynthID同時具備建立浮水印，以及辨識AI生成內容的能力。它可在不危及原本內容的前提下，將數位浮水印直接嵌入由AI生成的圖像、聲音、文字及影片中，同時它也能掃描這些內容的數位浮水印，以辨識它們是否由AI生成。此次Google僅開源針對文字生成的SynthID Text。</p> <p>Google說明，大型語言模型（LLM）在生成文字時一次會生成一個Token，這個Token可能是一個字元、一個單字，或者是段落的一部分，為了建立連貫的文字，模型會預測下一個最可能生成的Token，相關的預測是基於先前的文字以及每個潛在Token的機率。</p> <p>例如當LLM要生成「我最喜歡的水果是...」時，可能會填入「芒果」、「荔枝」、「木瓜」或「榴槤」等Token，每個Token都會獲得一個機率分數，只要有許多不同的Token可供選擇，SynthID即會在不影響輸出品質及準確性的情況下，調整每個Token的機率分數（調整非常少）。</p> <p>在不斷重複上述程序之後，單一句子可能含有10個或更多經過SynthID調整的機率分數，一個頁面就可能含有數百個。模型最終選擇的Token機率分數，再結合該Token被SynthID所調整的機率分數，就形成了浮水印。這就像是一個隱形的數位簽名，它並不影響所生成的文字內容，人眼也看不出來，卻能夠利用特定工具來檢測與驗證。</p> <p>此一SynthID Text浮水印技術論文已於<a href="https://www.nature.com/articles/s41586-024-08025-4" target="_blank">《Nature》上出版</a>，並透過Google Responsible Generative AI Toolkit開源。此外，Google也已經在Gemini的應用程式及網頁版中整合了SynthID Text技術。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1024-SynthID%20for%20AI-generated%20text-google%20deepmind.png" style="width: 500px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／Google</span></span></p> </div></div></div>
2024/10/24 13:46作者陳曉莉https://www.ithome.com.tw/news/165662
Amazon子公司eero發表戶外Wi-Fi路由器Outdoor 7
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon麾下的網狀網路Wi-Fi裝置製造商eero，在周三（10/23）<a href="https://www.aboutamazon.com/news/devices/eero-wifi-outdoor" target="_blank">發表了</a>全新的戶外Wi-Fi路由器Outdoor 7，它具備IP66防護等級，絕對地防塵，也能承受高壓強力水柱，可在攝氏負40度至54.4度的環境中運作，覆蓋範圍達1,5萬平方呎（約1,393平方公尺），售價為349.99美元。</p> <p>Amazon是在<a href="https://www.ithome.com.tw/news/128702" target="_blank">2019年</a>以9,700萬美元買下eero，eero專門開發網狀網路系統，這是個去中心化的網路架構，讓所有節點彼此連結以形成一個多點互通的網狀結構，而非傳統般地依賴單一的集中式路由器。</p> <p>Outdoor 7支援Wi-Fi 7並提供高達2.1 Gbps的無線網路速度，整合TrueMesh網路專利技術，可動態採用最快路徑來路由資料並限制干擾，再藉由TrueChannel與TrueRoam技術來提供無縫的連線能力，還能用來連結超過100個裝置。</p> <p>eero曾在亞利桑那州的高溫下、商用冰箱裡、海灘，以及風速每小時達160公里的隧道中測試過Outdoor 7，驗證它可在惡劣的環境中持續運作，不管是想在戶外提供Wi-Fi網路的咖啡廳，或是想在偏僻別墅安裝監視器，Outdoor 7都是個好選擇。</p> <p>使用者還可利用兩個Outdoor 7來拓展網路，兩個Outdoor 7之間的間距可達300公尺。Outdoor 7預計於11月13日開賣，將率先於美國及加拿大上市。</p> </div></div></div>
2024/10/24 14:12作者陳曉莉https://www.ithome.com.tw/news/165663
Fortinet網路設備管理平臺API漏洞出現零時差攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10月23日資安業者Fortinet發布資安公告，<a href="https://www.fortiguard.com/psirt/FG-IR-24-423">指出旗下的網路設備管理平臺FortiManager存在重大漏洞CVE-2024-47575</a>，本地建置及雲端版本皆受到影響，而且，他們已掌握用於實際攻擊行動的情況，呼籲用戶儘速套用相關更新。</p> <p>這項漏洞存在於名為fgfmd的系統元件，起因是重要功能缺乏身分驗證，導致攻擊者有機會在未經身分驗證的情況下，藉由發送偽造請求，遠端執行任意程式碼或命令，CVSS風險評分達到9.8。該漏洞影響本地建置6.2.0至7.6.0版、雲端版6.4至7.4.4版的FortiManager，該公司推出新版程式修補。</p> <p>附帶一提的是，他們也提及，部分網路分析設備FortiAnalyzer提供的相關功能模組（FortiManager on FortiAnalyzer），也同樣存在這項弱點而曝險。</p> <p>若是IT人員無法即時套用更新，Foritnet也提出臨時緩解措施，IT人員可透過防止未知設備嘗試註冊，或是將防火牆設備FortiGate的IP位址列入白名單的方式因應。</p> <p>值得留意的是，<a href="https://www.bleepingcomputer.com/news/security/fortinet-warns-of-new-critical-fortimanager-flaw-used-in-zero-day-attacks/">根據資安新聞網站Bleeping Computer的報導</a>，Fortinet在10天前（10月13日）就透過電子郵件通知用戶此事，後續也有用戶反映，這項漏洞似乎已被利用一段時間，有企業收到Fortinet通知的前一週就遭到攻擊，當時IT人員推測這是零時差漏洞。</p> <p>資安專家Kevin Beaumont也於<a href="https://cyberplace.social/@GossiTheDog/113299762582288860">10月13日提出警告</a>，要IT人員留意Fortinet支援網站，以便在第一時間取得與該漏洞有關更新；若是FortiManager可透過網際網路存取，他認為最好先暫時中斷連線因應。</p> <p>後來Beaumont透過部落格文章<a href="https://doublepulsar.com/burning-zero-days-fortijump-fortimanager-vulnerability-used-by-nation-state-in-espionage-via-msps-c79abec59773">再度警告此事</a>，並將這項漏洞命名為FortiJump。</p> <p>根據調查，他認為該漏洞存在於防火牆與FortiManager之間的通訊協定FortiGate to FortiManager（FGFM），並指出透過該通訊協定使用的541埠，在物聯網搜尋引擎Shodan可以找到59,720臺能經由網際網路存取的FortiManager。而根據<a href="https://www.virustotal.com/gui/collection/23cb5f786e67f14aa7dd49e88e5b6e0301447919ea601c98bc760dfd4a6af2dc/iocs">惡意軟體分析平臺VirusTotal收到的通報</a>，已有3個IP位址嘗試利用漏洞，這些IP位址分別位於美國、韓國、日本。</p> <p>不過，想要利用這項漏洞還是有先決條件，Beaumont表示攻擊者必須事先取得有效的帳密資料，但難度不高，因為只要能透過防火牆設備就有機會取得並重覆利用。</p> <p>而對於這項漏洞的危害，他認為由於FGFM的運作方式能夠穿越NAT，若是攻擊者成功入侵受到控管的FortiGate，有機會穿越到FortiManager，並存取其他防火牆及網路環境。</p> </div></div></div>
2024/10/24 13:08作者周峻佑https://www.ithome.com.tw/news/165661
三星修補已遭濫用的行動處理器Exynos漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一個出現在三星手機與穿戴裝置Exynos處理器的重大漏洞，已出現濫用情形。三星已在本月初完成修補。</p> <p>編號CVE-2024-44068的漏洞發生在三星行動處理器中的使用已釋放記憶體（Use-After-Free）漏洞，可能導致提權（privilege escalation）攻擊。受到本漏洞影響的產品包括Exynos 9820、9825、980、990、850和W920。三星在10月7日發布了韌體更新。</p> <p>本漏洞是由Google威脅分析小組Clement Lecigene，以及裝置與服務安全研究小組研究人員Xingyu Jin於7月發現並<a href="https://googleprojectzero.github.io/0days-in-the-wild/0day-RCAs/2024/CVE-2024-44068.html" target="_blank">通報</a>存在零時差漏洞。</p> <p>在漏洞細節方面，這漏洞位於處理器驅動程式IOCTL M2M1SHOT_IOC_PROCESS，它主要功能是提供JPEG解碼和圖形縮放等功能的硬體加速。在執行過程中會將使用者空間頁面（userspace page）對應到I/O頁，以執行韌體指令。</p> <p>在虛擬記憶體系統中，當應用程式訪問I/O設備時，I/O虛擬記憶體頁（virtual page）會被對應到物理記憶體頁（physical pages）。PFNMAP（Page Frame Number Map）作用是管理這些對應，確保虛擬頁面正確對應到物理頁。Google發現的攻擊手法，則是利用漏洞擾亂對應過程，而釋放出實體記憶體，最後透過IOCTL呼叫進行核心空間映射攻擊（Kernel Space Mirroring Attack），執行韌體指令。</p> <p>研究人員發現到零時差攻擊是提權攻擊鏈的一部份，攻擊者可在具有特權的cameraserver行程中執行任意程式碼，而且還將行程改名，可能是為了防止調查。研究人員發現的攻擊可在Galaxy S10手機上成功作用。</p> <p>三星透過官網<a href="https://semiconductor.samsung.com/support/quality-support/product-security-updates/cve-2024-44068/" target="_blank">發出了公告</a>。三星僅列出公告及顯示為高度嚴重性，並未列出風險值，不過多家媒體<a href="https://www.theregister.com/2024/10/24/samsung_phone_eop_attacks/" target="_blank">報導</a>風險值為CVSS 8.1。</p> <p> </p> </div></div></div>
2024/10/24 11:46作者林妍溱https://www.ithome.com.tw/news/165660
中鋼用AI驅動數位轉型，以4大對策克服少子化缺工、經驗傳承難題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國內生育率低落，產業面臨少子化缺工問題如何解決？老牌鋼鐵業者在新興AI浪潮下如何推動數位轉型，中鋼近期分享如何運用AI加速數位轉型，並提出4大對策，包括研發人機協作技術，運用數位雙生及生成式AI等技術，來克服缺工、經驗難以傳承的挑戰。</p> <p>中鋼綠能與系統整合研發處研究員許朝詠表示，中鋼約從2014年開始導入AI，主要應用在產線、銷售端，然而儘管中鋼投入大量資源研發AI應用，並且實際落地使用，但卻發現這些AI技術很難為企業帶來明顯效益，因為企業發展AI多是以單一技術或單一產線為目標，以中鋼研發無人天車為例，目標是讓無人天車技術得以實現，但並不容易可以量化，難以呈現為公司帶來的效益。</p> <p>因此，2023年他們轉換方向，推動數位轉型不僅要讓AI技術能夠落地，而且不論是報表或是整體的營運績效上，最終要帶來實際效益。中鋼成立的數位轉型推動小組，前身為智能產銷委員會，目的是在生產及銷售兩個部門推動AI技術，研發部門則提供生產及銷售部門必要的技術支援。</p> <p>去年成立的中鋼數位轉型推動小組，他們將資訊及行政部門納入，其中資訊部門負責資訊流的串接整合，行政部門則負責數位轉型的教育訓練及管理，AI核心技術訓練、數位賦能等等。</p> <p>中鋼委託資策會以全球7大鋼廠為對象，歸納鋼鐵業者數位轉型的4大目標方向，提升生產效率、低碳化製造、智慧化營運、投資新產品，這些目標與中鋼推動數位轉型的目標不謀而合。</p> <p>如同其他產業在營運上所面臨的困境，鋼鐵業也受到少子化勞力短缺衝擊，並且面臨台積電等科技業者競爭人才，「對於中鋼而言，過去在南部招募人力並不是問題，現在招募人才除了要和同業競爭，還要和科技業競爭，過去聽到的是台積電要來了，現在最常聽到的是同仁要去台積電了」，許朝詠說。</p> <p>勞力短缺不只影響生產力，對員工高齡化的中鋼而言，人才招募不易，新血來不及補充，年輕的員工愈來愈少，衍生出經驗傳承難題，老員工的經驗難以交給新員工。</p> <p><span style="color:#B22222;"><strong>4大對策克服缺工難題</strong></span></p> <p>「中鋼導入數位技術的整體目標就是，達到2大目標，提升工作效率、加速經驗傳承」，許朝詠說。中鋼提出4大對策，包括提升人機協作程度、提升AI導入效率、建立高效訓練模式、提升經驗擴散速度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96-600(2).jpg" style="width: 600px; height: 333px;" /></p> <p>中鋼導入不同的數位技術來實現2大目標，例如提升人機協作程度，結合AI電腦視覺、遠端控制、低延遲通訊技術，讓人員可以在安全的環境下操控設備；基礎建設方面，導入混合雲架構，讓AI應用能在雲地協作式開發、維運，加速推動AI普及；導入數位雙生技術，以數位模擬真實的生產環境，以瞭解虛擬環境的變數對真實世界產生影響；運用生成式AI開發行政、操作、維護各方面的數位助理。</p> <p><span style="color:#B22222;"><strong>開發天車人機協作技術、遠端協作技術</strong></span></p> <p>在鋼鐵的生產環境中，不論原料或半成品，重量多達數噸，一般機械手臂難以搬運，因此中鋼多仰賴天車吊運物料，約有一千多部不同的天車，用於搬運不同的物料及設備，每天天車吊運作業成為鋼鐵產線的重要工作。</p> <p>為了提高人機協作方面，過去仰賴人工上下天車，在駕駛艙操控天車吊運物料，天車位於廠房的高架上，駕駛操控的天車手因吃飯、上廁所，經常需要上下天車，現場作業環境也有工安疑慮，為了推動自動化，幾年前中鋼研發AI無人天車，不需人工駕駛，讓天車透過電腦視覺及雷射測距，判定需要吊運的鋼捲位置，自動化吊運鋼捲作業。</p> <p>但是，由於AI難以完成細緻化的吊運作業，因此天車雖為三軸同動，中鋼僅在限制環境下讓AI操作天車，例如AI無人天車只能兩軸同動，無法執行三軸同動作更細緻化的操作，即使無人天車能夠24小時作業，難以完全取代人力。</p> <p>因此在無人天車之後，中鋼也開發天車的人機協作技術，他們在天車作業環境部署5G及Wi-Fi，並建立 5G及Wi-Fi網路備援，滿足天車遠端控制的低時延通訊需求，搭配大頻寬傳輸天車作業的即時影像，開發智能輔助夾取技術，包括改造天車防撞系統、人員安全辨識系統、天車半自動駕駛技術。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96-600(3).jpg" style="width: 600px; height: 352px;" /></p> <p>以小鋼胚的天車吊運作業為例，傳統上，天車手和地面人員協作，天車手操作電磁吸盤吊運多個鋼胚，從A儲位吊運到B儲位，每次吊運的鋼胚數量由地面人員計算後，輸入到倉儲管理系統（WMS）。</p> <p>為克服缺工問題，中鋼在天車吊臂上架設攝影機，利用AI電腦視覺辨識天車所吊運的小鋼胚數量，然而，他們很快發現儲位大量的鋼胚，導致AI辨識吊運鋼胚數量容量誤判，因此他們在攝影機旁邊再加裝雷射線，每次天車吊起多個鋼胚，將雷射線打在被吊起的鋼胚上，由AI偵測雷射線區分被吊起的鋼胚和儲位的其他鋼胚，自動計算吊起的小鋼胚數量，利用這個方式，在天車多次吊運測試下，AI計算鋼胚數量的正確率提高到99%。</p> <p>許朝詠表示，AI落地經常發生的問題大多和環境有關，他認為AI專案應用有3個層次，第一個層次是單純使用AI技術，因為條件不可控，使得AI技術難以符合現場環境；第二個層次是限定環境使用AI，以天車吊運鋼胚為例，使用雷射線即是限定環境使用AI技術，但是容易因為環境變異造成AI辨識失準；第三個是精確設計環境後使用AI技術，控制雷射線只打在吊起的鋼胚上，在設計的環境中就能很好地使用AI技術。</p> <p>另外，中鋼也開發天車遠端協作技術，在第二熱軋鋼帶工廠，利用5G專網涵蓋鋼捲儲區，透過5G網路及Wi-Fi網路備援，建立低延遲網路來傳送控制命令，同時改造天車系統，將控制訊號拉到控制室，使其可以遠端控制，天車手不需登上高處的天車，只要在地面上安全的操作臺，透過多個螢幕呈現不同視角的天車操作即時影像，從遠端操控天車吊運鋼捲。</p> <p>天車手在地面的控制臺遠端操控天車，中鋼也盤點天車吊運鋼捲作業程序，評估哪些程序適合由人工操作，例如吊取鋼捲、放置鋼捲比較適合人工遠端操控，其他程序如電子圍籬、防撞系統、鋼捲號碼辨識、點到點移動控制則可由AI代勞，如此一來，每個天車的人工操作負擔大幅降低。</p> <p>如圖所示，天車手只需在地面控制臺，透過多個螢幕來遠端操控天車吊運鋼材：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20240927_075021516-600.jpg" style="width: 600px; height: 338px;" /></p> <p>許朝詠表示，原本的人工操控天車程序，在導入人機協作後，人工操控只剩下夾取、放置鋼捲，其他則由AI自動化控制，天車手的工作負擔降到原本的20%，天車手剩餘時間可以切換操控其他天車，未來一個人可以遠端操控多臺天車，提高工作效率。</p> <p><span style="color:#B22222;"><strong>運用數位雙生技術模擬天車操控、高爐內佈料情形</strong></span></p> <p>為了訓練新手操控天車，中鋼打造模擬訓練系統，利用數位雙生技術打造鋼捲倉庫的數位分身，天車新手可以先在鋼捲倉庫的模擬環境中，練習操控天車吊運鋼捲，這套訓練系統支援駕駛艙操控及遠端遙控操作，讓天車手考照的同時，先熟悉未來的工作環境。</p> <p>在鋼鐵的生產過程中，高爐用於高溫熔煉原料產生鐵水，但是高爐內上千度高溫，高爐內操控在鋼鐵業的產線過程中如同盲盒，高爐內布料的情形不易被瞭解，中鋼運用數位雙生技術打造高爐的數位分身，</p> <p>許朝詠指出，中鋼透過Nvidia Omniverse建立高爐佈料的模擬，模擬高爐爐頂佈料到料面的情況，瞭解和真實高爐的佈料情況是否一致，從模擬系統的佈料變動，預測判斷真實高爐佈料的結果。</p> <p><strong><span style="color: rgb(178, 34, 34);">以生成式AI打造數位助理，加速經驗傳承、職能訓練</span></strong></p> <p>為了加速新舊員工的經驗傳承，以及新手員工的訓練，中鋼也運用生成式AI，以多年累積的既有知識庫結合ChatGPT，開發個人的數位助理。以生成式AI數位賦能員工，將他們不具備的技能、知識，讓他們具備或是能夠從系統中提取。</p> <p>許朝詠認為讓員工大量使用生成式AI，最終他們會從工作場域中找出合適的生成式AI應用，並且提出他們的需求。</p> <p>目前中鋼內部已有生成式AI應用，例如將設備、線路資料格式化後存於資料庫，傳統上，不會SQL語法的員工需要仰賴熟悉SQL語法的其他人協助，從資料庫中取得需要的資料，現在利用生成式AI，不會SQL語法的員工得以自然語言提出問題，由AI生成SQL語法從資料庫中取得資料，再以自然語言回答。</p> <p>中鋼運用生成式AI開發工程小管家，工程人員遇到問題，可以自然語言像系統提問，由小管家搜尋資料後回覆：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96-600(1).jpg" style="width: 600px; height: 367px;" /></p> <p>另一個生成式AI的應用實例是在維修指引方面，資深員工多年從事維修工作所留下的文件，中鋼根據這些文件開發維護指引系統，結合生成式AI，維護人員遇到不熟悉的維護難題，可以自然語言向指引系統提問，由指引系統找尋資料答覆，讓新手員工學習如何維護設備。</p> <p>許朝詠指出，數位轉型過程中最重要的是，如何導入數位技術協助員工完成工作，中鋼在推動數位轉型中導入各種數位技術，例如導入AI來開發遠端操作人機協作，利用人工和AI各自的優點打造人機共同作業，以提升工作效率，其次是導入數位雙生技術，在建立數位分身的過程，藉此機會盤點內部的資訊流是否足以呈現實境情況，以及虛境模型能不能解釋實境的現象，「能夠做到這兩件事，數位雙生才能帶來效益」。另外，中鋼導入混合雲，結合低程式碼工具，讓員工可以快速建立AI應用，最後運用生成式AI建立專家詢問系統，活用過去員工的經驗資料，讓新進員工汲取知識，獲得經驗傳承，達到訓練效果。</p> </div></div></div>
2024/10/24 10:27作者蘇文彬https://www.ithome.com.tw/news/165653
高通、Google合推AI車上資訊系統開發平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>晶片大廠高通（Qualcomm）和Google本周<a href="https://www.qualcomm.com/news/releases/2024/10/qualcomm-announces-multi-year-strategic-collaboration-withgoogle" target="_blank">宣布簽定</a>多年技術合作，將共同打造數位駕駛艙開發框架，以提供車商開發結合AI與雲端技術的車聯網與車上資訊系統。</p> <p>雙方將結合高通的車用平臺Snapdragon Digital Chassis和Google技術，包括Android Automotive OS、Google Cloud與生成式AI打造汽車數位化系統，以及車聯網的標準化參考框架。高通Snapdragon Digital Chassis是高通今年初CES 2024宣布的數位化汽車平臺，由3種單系統晶片（SoC），包含自動駕駛（Ride）、座艙（Cockpit）、車聯網（Auto Connectivity）及Snapdragon車到雲服務（Car-to-Cloud Services）軟體組成。</p> <p>這項合作目標則以高通的數位汽車平臺為基礎，打造二款參考框架，加速汽車廠商開發。一是生成式AI驅動的數位座艙開發框架，內建Google Android Automotive OS（AAOS），提供使用者可客製化的Google AI語音使用者介面與即時驅動程式更新，簡而言之，可讓汽車業者能開發自有版本Gemini助理。二是整合式軟體定義車輛（Software-Defined Vehicle，SDV）車到雲（car-to-cloud）框架。Snapdragon Connected Services Platform是高通針對物聯網（IoT）推出的平臺，旨在提供安全連網服務。在此則是提供統一框架，允許汽車產業透過Google Cloud快速開發可彈性部署於車上AAOS或其他平臺的應用服務，並且可隨時更新。</p> <p>高通同時<a href="https://www.qualcomm.com/news/releases/2024/10/qualcomm-races-ahead-in-the-evolution-of-software-defined-vehicl" target="_blank">發表</a>Snapdragon Cockpit Elite及Snapdragon Ride Elite二款晶片。高通對媒體<a href="https://www.reuters.com/technology/artificial-intelligence/qualcomm-alphabet-team-up-automotive-ai-mercedes-inks-chip-deal-2024-10-22/" target="_blank">表示</a>，賓士汽車將在未來車款使用Snapdragon Cockpit Elite。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1024-Snapdragon%20Cockpit%20Elite-Snapdragon%20Ride%20Elite.png" style="width: 450px;" /></p> <p>這並非兩公司第一次合作。2021年雷諾汽車集團已曾在Mégane E-TECH Electric車款中<a href="https://www.qualcomm.com/news/releases/2021/09/qualcomm-works-google-bring-premium-and-intelligent-vehicle-experiences" target="_blank">使用</a>其Snapdragon Cockpit晶片，以執行Google車上服務，包括Google Maps、Google Assistant和Google Play。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／高通</span></span></p> </div></div></div>
2024/10/24 09:38作者林妍溱https://www.ithome.com.tw/news/165658
資安業者警告，多個熱門行動程式直接將AWS與Azure憑證寫入程式中
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者賽門鐵克（Symantec）本周<a href="https://www.security.com/threat-intelligence/exposing-danger-within-hardcoded-cloud-credentials-popular-mobile-apps" target="_blank">警告</a>，有多個熱門的Android及iOS行動程式直接在程式中寫入未加密的AWS或Azure憑證，將允許駭客破壞應用程式的後端基礎設施、竊取用戶資料，或是中斷服務。</p> <p>根據調查，有6款程式直接於程式碼庫中嵌入了未加密的AWS憑證，包括Google Play上的拼貼程式The Pic Stitch: Collage Maker，下載次數超過500萬；其它3款則是位於App Store上，包括連鎖甜點店的官方程式Crumbl，下載次數超過390萬；填寫問卷賺現金的調查應用程式Eureka: Earn money for surveys，有超過40萬次的下載；超過35萬下載量的影片編輯程式Videoshop - Video Editor Videoshop；超過24萬次下載的紙牌遊戲Solitaire Clash: Win Real Cash；以及超過23.5萬次下載量的填問卷賺現金的調查程式Zap Surveys - Earn Easy Money。</p> <p>另有6款程式嵌入的是微軟Azure憑證，包括Google Play上的叫車程式Meru Cabs，下載超過500萬次；一個針對印度市場的黃頁程式Sulekha Business，下載超過50萬次；以及可以用來緩解耳鳴的ReSound Tinnitus Relief；下載超過50萬次；超過10萬次下載的看病程式Saludsa；下載超過10萬次的車輛檢查程式Chola Ms Break In，以及另一個用來緩解耳鳴的Beltone Tinnitus Calmer，亦有逾10萬次下載。</p> <p>還有一款摩托車追蹤暨社交程式EatSleepRIDE Motorcycle GPS是在程式碼中寫下了Twilio憑證，該程式亦有超過10萬次的下載。</p> <p>賽門鐵克表示，此一趨勢令人感到不安，這代表任何有權存取應用程式二進位檔或原始程式碼的使用者都能取得這些憑證，並濫用它們以擺布或竊取資料，帶來嚴重的安全威脅。</p> <p>該公司建議開發人員在建置程式時應該將敏感憑證儲存於環境變數中，而不是直接嵌入至程式碼；並應採用秘密管理工具以安全地儲存及存取憑證；如果憑證必須儲存於程式中，那麼至少要將其加密；應該定期檢查及審核程式碼以預防類似或其它漏洞；在CI/CD 管道中整合自動安全掃描工具，以及早檢測各種漏洞。</p> </div></div></div>
2024/10/24 08:36作者陳曉莉https://www.ithome.com.tw/news/165656
IBM推Guardium Data Security Center強化量子運算、AI與雲端資料安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IBM針對企業在生成式人工智慧、量子運算技術與雲端領域可能面臨的風險，推出<a href="https://www.ibm.com/products/guardium-data-security-center">Guardium Data Security Center</a>，協助企業在整個資料生命周期，於各種環境保護資料，並提供統一的控制中心。</p> <p>IBM Guardium是一套資料安全與法規遵循管理解決方案，目的是要在雲端和本地系統中，提供企業保護重要資料資產的工具。而現在IBM推出Guardium Data Security Center整合性平臺，專門負責統一管理資料安全，從資料探索、威脅偵測到補救行動，整合所有Guardium模組和功能，提供企業資安團隊統一的總覽和工作流程，進一步保護企業資料資產。</p> <p>IBM這次還公開了Guardium Quantum Safe和Guardium AI Security兩個新模組，分別針對量子運算以及生成式人工智慧安全風險。</p> <p>IBM Guardium Quantum Safe目標是應對量子運算技術可能帶來的加密風險。隨著量子電腦逐漸具備破解現有加密演算法的能力，該模組協助企業發現並優先處理系統中的加密漏洞，並提供加密安全態勢管理，協助企業保護敏感資料免受量子技術威脅。</p> <p>該模組整合政策執行、加密漏洞偵測和法遵監控，讓使用者可透過單一儀表板進行追蹤與管理。IBM表示，Guardium Quantum Safe模組結合了IBM Research和IBM Consulting的專業知識，同時融入美國NIST近期後量子加密演算法標準，提供強健的安全基礎。</p> <p>而IBM Guardium AI Security則用於管理生成式人工智慧的模型和資料。由於人工智慧模型應用越來越廣泛，官方提到，Guardium AI Security模組可以發現未經核准的影子人工智慧模型，並防止敏感資料在訓練人工智慧模型時遭到濫用。該模組協助偵測人工智慧模型漏洞，確保企業人工智慧系統符合法規要求，並且提供統一的資料總覽，促進資料和模型安全。</p> <p>除了針對量子技術與人工智慧的保護模組外，Guardium Data Security Center還包括其他模組，進一步強化企業資料安全，像是威脅偵測與回應模組Guardium DDR，Guardium DSPM模組則可自動發現、分類和保護雲端環境敏感資料，還有簡化法規管理需求、提升可視性與最佳化監控流程的Guardium Data Compliance模組。</p> </div></div></div>
2024/10/24 08:43作者李建興https://www.ithome.com.tw/news/165655
【資安日報】10月23日，中國駭客組織IcePeony對亞洲國家網頁伺服器發動SQL注入攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客的攻擊行動頻傳，我們昨天報導APT41針對賭博及遊戲業者<a href="https://www.ithome.com.tw/news/165606">進行為期接近9個月的網路間諜行動</a>，另一個過往未曾被發現的駭客組織IcePeony也相當值得留意，因為，這些駭客專門針對影響中國的海洋戰略趨勢，對特定亞洲國家發動攻擊。</p> <p>值得留意的是，這些駭客也似乎比照中國IT業者的「996」上班制度長時間活動，這意味著，他們可能持續對企業組織的網路環境發動攻擊，而且每天活動的期間涵蓋一般IT人員已經下班的時間。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165649"><strong style="font-size: 22px;">中國駭客組織IcePeony利用SQL注入手法，針對亞洲國家網頁伺服器下手</strong></a></p> <p>中國駭客發動攻擊的情況不時傳出，近期研究人員揭露多組過往未曾發現的駭客組織，如今有個組織因駭客的作業疏失，而讓研究人員有機會一探究竟。</p> <p>資安研究團隊Nao_sec揭露中國駭客組織IcePeony的攻擊行動，並推測這些駭客至少從2023年開始活動，針對印度、模里西斯、越南等國家的政府機構、學術單位、政治組織發動網路攻擊，根據他們取得的事件記錄資料，駭客試圖攻擊印度各個政府網站的情況相當頻繁，有超過200次的記錄。</p> <p>這些駭客會鎖定網頁伺服器發動SQL注入攻擊，一旦找到弱點，就會藉此注入Web Shell或惡意程式，其中一種是專門針對IIS伺服器的後門IceCache，最終目的是竊取帳密資料。研究人員認為，這些駭客的攻擊意圖，很有可能與中國的國家利益有關，尤其優先考慮海洋戰略層面的利益。</p> <p><a href="https://s4.itho.me/sites/default/files/images/IcePeony-12.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/IcePeony-12.png" style="width: 580px;" /></a></p> <p><a href="https://www.ithome.com.tw/news/165635"><strong style="font-size: 22px;">思科坦承客戶支援網站資料外流，強調公司內部並未遭駭</strong></a></p> <p>兩周前駭客在網路上兜售聲稱來自思科的資料，思科坦承確有部分公司資料流出，來自提供客戶支援的資源網站，而非公司內部系統。</p> <p>10月18日思科針對駭客IntelBroker宣稱駭入該公司系統取得資料的說法，公布初步調查結果。思科聲稱，有信心公司系統未被駭。在駭客論壇兜售的資料是從思科對外公開的資源DevHub網站流出，該網站提供軟體程式碼、腳本程式等資源，供客戶必要時下載。</p> <p>到目前為止，思科尚未觀察到這批資料包含任何機密資訊如個資或財務資料，但說會持續調查。為謹慎起見，思科已經預防性關閉外部存取管道。同時思科也預告，一旦調查發現客戶資訊外流，將會直接聯繫受影響的客戶。</p> <p><a href="https://www.ithome.com.tw/news/165644"><strong style="font-size: 22px;">日本馬達大廠尼得科傳出遭到勒索軟體攻擊，疑VPN帳密外流釀禍</strong></a></p> <p>今年8月上旬日本馬達大廠尼得科（Nidec）證實，越南子公司NPCV的網路環境遭到非法入侵，駭客竊取資料並向他們索討贖金，換取駭客不外流檔案。事隔兩個月，該公司公布更多細節。</p> <p>10月17日尼得科表示，他們在8月5日收到駭客的通知，對方聲稱成功滲透NPCV網路環境，並從伺服器竊得檔案，要他們付錢。該公司經過與外部專家進行調查，確實有部分資料被公布在暗網。但他們強調此事發生後，沒有出現新的攻擊事故，或是檔案遭到加密的情形。</p> <p>究竟事件發生的原因為何？該公司研判駭客是取得員工VPN帳密資料而能得逞。他們已對所有端點電腦進行掃描、重設密碼，以及重新審查伺服器的存取權限因應。</p> <p><a href="https://www.ithome.com.tw/news/165641"><strong style="font-size: 22px;">未妥善揭露2020年SolarWinds供應鏈攻擊，Unisys與Check Point等4家業者遭SEC罰款</strong></a></p> <p>SolarWinds旗下的IT監控平臺Orion在2020年12月遭到駭客滲透，駭客入侵了Orion的更新機制，於特定的Orion版本中植入Sunburst木馬程式，估計在3.3萬家Orion客戶中，有1.8萬家安裝了含有Sunburst的Orion，間接受害的企業或機構，除了眾多的美國聯邦組織，還包括FireEye、微軟、思科、英特爾與Nvidia等業者，這起事故最近出現新的發展。</p> <p>美國證券交易委員會（SEC）周二（10月22日）針對Unisys、Avaya、Check Point、Mimecast等4家業者祭出裁罰，原因是這些公司遭遇上述事故波及時，試圖對外淡化造成的影響（Downplaying the extent of a material cybersecurity breach），損及股東與投資人的權益。</p> <p>根據調查，這4家公司先後在2020年、2021年發現駭客循線入侵他們的內部系統，但卻在公開訊息淡化相關事故。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=170123&SPOKE_DATE=20241022&COMPANY_ID=5288"><strong style="font-size: 22px;">機車零配件廠豐祥遭受攻擊，傳出部分檔案遭到加密</strong></a></p> <p>10月22日晚間機車零配件廠豐祥發布重大訊息，指出他們當天早上資訊系統遭遇加密攻擊，該公司已找出源頭並阻斷加密行為，目前正著手恢復系統。該公司初步評估，這起事故對公司營運無重大影響。</p> <p>對於這起資安事故的因應，豐祥資訊團隊立即尋求外部資安咨詢業者合作，共同進行後續處理及復原作業，並全面強化相關防禦機制。該公司未來將持續强化網路與資訊基礎架構的管控，以確保資訊安全。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=142357&SPOKE_DATE=20241023&COMPANY_ID=2492"><strong style="font-size: 22px;">被動元件製造商華新科技遭到網路攻擊</strong></a></p> <p>今天下午被動元件製造商華新科技在股市公開觀測站指出，他們有部分資訊系統遭遇網路攻擊，在察覺事故的當下立即啟動相關防禦機制因應。</p> <p>針對這起事故可能帶來的影響，該公司表示目前評估尚未出現個資或內部文件外流的情況，對於公司營運尚無重大影響。 </p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/ducktail-quasar-rat-vietnamese-threat-actors-target-meta-ads-professionals/">越南駭客鎖定經營Meta廣告的從業人員，散布惡意程式Ducktail、Quasar RAT</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/exposed-docker-apis-under-attack-new-malware-campaign-deploys-perfctl/">惡意軟體Perfctl鎖定曝露的Docker API而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.elastic.co/security-labs/tricks-and-treats">惡意軟體Hijack Loader攻擊出現變化，駭客結合ClickFix社交工程手法引誘使用者上勾</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/endpoint-security/samsung-zero-day-vuln-under-active-exploit-google-warns">三星行動裝置SoC存在零時差漏洞，Google警告已遭到積極利用</a></strong></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-21216-cvss-9-8-oracle-weblogic-flaw-that-could-give-attackers-full-control/">Oracle WebLogic伺服器存在重大漏洞，若不處理攻擊者有機會得到完整控制權</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165631"><strong>【10月22日】資安業者ESET以色列合作夥伴驚傳遭駭，駭客冒名從事網釣攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165602"><strong>【10月21日】Internet Archive再傳遭駭</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165573"><strong>【10月18日】紅隊演練工具EDRSilence遭濫用，16種EDR系統可能因此被「噤聲」</strong></a></p> </div></div></div>
2024/10/23 18:18作者周峻佑https://www.ithome.com.tw/news/165652
調查3千人！Google發布年度DORA報告，更公布AI對開發生產力的成效數據
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google Cloud在<a href="https://dora.dev/research/2024/">十月下旬公布了</a>2024年度的DORA研究報告，除了持續公布全球DevOps能力指標的最新結果，卓越團隊（Elite）達到19%，比去年略高了1%。但是高階團隊的比例，從去年的31%，今年下滑到只有22%，發者所屬企業達到精英團隊的程度，還公布了AI對開發生產力的調查數據，高達75.9%開發者開始用AI寫程式碼，但只有3成開發者認為很有幫助。</p> <p>今年是Google旗下DevOps研究與評估組織（簡稱DORA組織）連續第十年，進行全球DevOps能力的大調查，累計近3萬9千人參加，其中，今年全球共有近3千人參與調查，來自104國，包括臺灣開發者。</p> <p>在今年DORA調查中，除了DevOps軟體交付績效指標的調查之外，今年更增加了不少AI對開發者生產力影響的調查題目。DORA調查去年就開始增加了開發者對AI影響力的態度研究，主要調查開發者預期，GAI對哪些技術工作最有幫助。到了今年，DORA調查更直接詢問，開發者在日常工作中如何採用AI技術，以及對開發生產力有多大的成效。</p> <h3><span style="color:#FF0000;"><strong>DORA四大軟體交付指標最新結果，全球19%企業達到卓越團隊水準</strong></span></h3> <p>先來看DORA四大軟體交付指標的最新調查結果，這四大指標包括了平均部署頻率、更新準備時間、平均復原時間和變更失敗率。DORA組織利用分群演算法，將參與作答的開發者，針對這四項指標的表現，分為四種DevOps能力等級的團隊，分為卓越、高階、中階到低階團隊共四級，並歸納出每一級能力水準的團隊，在DORA四項指標上的要求程度。這也成了各界用來衡量全球企業DevOps能力的分級指標。</p> <p>今年同樣也分為四個等級，達到卓越等級的作答者達到19%，比去年的18％，些微增加了一些。達到卓越等級的團隊，在四項指標上，可以做到按需部署的部署頻率，變更準備時間不能超過一天，變更失敗率則要低於5%，部署作業失敗後的復原時間則是能短於1小時。這個能力水準和去年的要求一樣。</p> <p>但是，今年達到高階團隊等級的比例大幅下滑，從去年的31%，今年下滑到只有22%，幾乎少了快一成。今年的中階團隊比例則些微增加，從去年的33%，今年增加到35%，而今年低階團隊水準的作答者更提高到25%，遠高於去年的17%。</p> <p>去年高階團隊的四項指標要求是，部署頻率介於每天一次到每周一次，更新準備時間同樣是一天到一周內，部署失敗的平均復原時間則要在一天內，變更失敗率得低於10%。但是，今年DORA報告對於高階團隊的變更失敗率要求，放寬到20%。</p> <p>DORA組織在報告中解釋，他們認為，速度快但品質穩定性稍差的團隊，和速度慢卻品質穩定的團隊相比，前者可以視為績效更好的團隊，他們更看重「團隊速度」的價值。所以，今年的高階團隊，雖然變更失敗率達到20%，遠比中階團隊的10%還要來得差。但其他準備時間，部署頻率，復原時間，高階團隊都比中階團隊的表現更快。</p> <h3><span style="color:#FF0000;"><strong>揭露AI對開發生產力的影響數據，7成5開發者的日常工作開始用AI</strong></span></h3> <p>今年DORA調查和過去最大的不同是，今年DORA報告花了很大的篇幅，介紹和探討AI對開發生產力的數據和影響。從今年調查中，高達81%企業開始把AI帶進自家應用和服務中，其中49.2%企業更大大提高了AI應用的優先程度。</p> <p>不只如此，在開發者的日常工作中，高達75.9%的填答者至少有一件工作開始用AI。最常用AI的開發日常工作排名中，程式碼撰寫是第一名，高達74.9%開發者已經用AI來輔助開發，排名第二的靠AI摘要資訊的比例也高達71.2%，這是開發者最常見的兩種GAI用法。</p> <p>用AI來解釋陌生程式碼、優化程式碼和轉寫程式碼文件這三項的比列也高達6成左右。另外還有三項比例超過5成，但略低於6成的則是用AI來撰寫測試、除錯和資料分析。上述8項是過半數開發者日常慣用AI來輔助的項目，每兩位開發者，至少有一位會用AI來輔助。</p> <p>這些工作所用的AI也大多是各種生成式AI工具和服務。開發者最常用GAI互動介面是Chatbot（78.2%），其次是透過外部網頁介面（73.9%），另外也有72.9%開發者是使用IDE工具中的內建GAI工具。另外，也有半數開發者是在自動化CI/CD流程中使用到AI。</p> <h3><span style="color:#FF0000;"><strong>對開發生產力提升效果不如預期，僅1成開發者認為明顯提升，也有5%開發者認為有負面影響</strong></span></h3> <p>雖然，大多數開發者在日常工作中開始運用AI，但在今年初舉辦的這項DORA調查結果顯示，實際帶來的開發生產力提升，卻不如預期得高。只有1成開發者認為，明顯可以提升生產力，25%則認為效果中等，另外也有2成開發者認為沒有效果。甚至有，不到5%的開發者認為，AI不但沒有幫助，還帶來負面影響，削弱了原本的生產力。</p> <p>從職務角色來看，資料科學家和ML工程師比其他角色更愛用AI，而硬體工程師則是最不愛用的技術職。AI對開發生產力提升效果顯著的職務，包括了資安類工程師、系統管理和全端工程師（Full-Stack）。認為對開發生產力提升效果較差的職務，則包括了行動開發者、SRE工程師和專案管理。</p> <p>對於AI生成的程式碼品質可用程度上，開發者多數認為只有部分可用，3成開發者覺得多數程式碼的品質夠好，27.3%則認為品質偏低，更有11.9%開發者認為完全不可相信GAI產生的程式碼。對於程式碼品質的看法，取決於不同的用途而會有很大的落差。</p> <p>DORA組織也透過訪談開發者，來了解對AI生成程式碼品質落差很大的情況。多數受訪者預期自己還需要對AI生成的程式碼進行調整，也願意做這些調整。也有受訪者形容，目前AI生成的程式碼大約相當於早期的StackOverflow，還需要修改。</p> <h3><strong><span style="color:#FF0000;">若全面導入AI，文件品質提升3成，程式碼品質提高1成，但也增加技術債和複雜度</span></strong></h3> <p>除了開發者AI採用調查，DORA組織還進行了AI採用成效的推估分析，DORA預估，若開發者將四分之一的工作量開始導入AI後，對文件品質、程式碼品質、程式碼審查（Review）速度會有比較明顯的提升，例如，DORA組織預估，開發者每將AI導入到25%的工作量，預估可以提高文件品質7.5%，程式碼品質改善3.4%，審查速度加快1.3%，換句話說，若開發者100%的工作量都採用AI，效果以翻四倍來計算，可以提高30%文件品質，提高13.4%程式碼品質，加快5.2%的審查速度。</p> <p>但是也伴隨著會帶來一些程式碼複雜度提高和技術債增加的負面影響。另外，導入AI對於軟體交付品質和速度也會造成一些負面影響，DORA預估，每25%工作量導入AI，會延緩交付速度1.5%，讓交付穩定性下滑7.2%，換句話說，若100%導入AI，交互速度會延緩6%，而穩定性則會下滑約3成。這是DORA依據今年調查數據推算的預估影響。</p> <p>DORA更從整體成效角度，來看導入AI後，對企業整體、開發團隊和軟體產品的整體效果，在報告中推估，對企業和團隊成效比較有明顯的幫助（100%導入開發工作上，可帶來5～10％的提升效果），但是，DORA結合了使用性、可用性、功能性、價值和效能和資安角度來整體衡量下，導入AI對於軟體產品的成效提升成效還不明顯。</p> <p> </p> </div></div></div>
2024/10/23 19:07作者王宏仁https://www.ithome.com.tw/news/165654
中國駭客組織IcePeony利用SQL注入手法，針對亞洲國家網頁伺服器下手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客發動攻擊的情況不時傳出，近期研究人員揭露多組過往未曾發現的駭客組織，如今有個組織因駭客的作業疏失，而讓研究人員有機會一探究竟。</p> <p>資安研究團隊Nao_sec揭露<a href="https://nao-sec.org/2024/10/IcePeony-with-the-996-work-culture.html">中國駭客組織IcePeony的攻擊行動</a>，並推測這些駭客至少從2023年開始活動，針對印度、模里西斯、越南等國家的政府機構、學術單位、政治組織發動網路攻擊，根據他們取得的事件記錄資料，駭客試圖攻擊印度各個政府網站的情況相當頻繁，有超過200次的記錄。</p> <p>這些駭客會鎖定網頁伺服器發動SQL注入攻擊，一旦找到弱點，就會藉此注入Web Shell或惡意程式，其中一種是專門針對IIS伺服器的後門IceCache，最終目的是竊取帳密資料。研究人員認為，這些駭客的攻擊意圖，很有可能與中國的國家利益有關，尤其優先考慮海洋戰略層面的利益。</p> <p>研究人員調查該組織行蹤的原因，主要是意外發現駭客因操作錯誤不慎曝露了Cobalt Strike、SQLmap等攻擊資源。值得一提的是，他們發現駭客工作的時間相當長，幾乎每天都有新的進展，僅有週日沒有活動，研究人員推測，駭客很可能採取中國IT業界常見的996工作制度──即每天從上午9時工作到晚間9時，每週工作6天。</p> <p>對於駭客使用的工具，研究人員指出他們特別偏好開源軟體，其中包含由代理伺服器工具Stowaway改造而成的StaX、惡意程式IceCache與IceEvent。值得一提的是，這些駭客會在他們的工具加上簡體中文內容的註解，顯示該組織應該來自慣用此種語文的國家，也就是中國。</p> </div></div></div>
2024/10/23 17:25作者周峻佑https://www.ithome.com.tw/news/165649
OpenAI及微軟與新聞組織合作，利用AI來推動可持續性的地方新聞服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>非營利的新聞組織Lenfest Institute for Journalism周二（10/22）<a href="https://openai.com/index/lenfest-institute/" target="_blank">宣布</a>，將與微軟及OpenAI合作，藉由AI協作及獎學金計畫（Lenfest Institute AI Collaborative and Fellowship Program），來協助編輯室探索AI的應用，讓地方新聞業實現可持續發展與創新。</p> <p>Lenfest創立的唯一使命就是開發及支援地方新聞的可持續商業模式，此一計畫是針對美國都會區的新聞機構，提供價值1,000萬美元的資源，包括資金與使用AI的企業額度，首波將有5家新聞業者受惠，包括芝加哥公共媒體（Chicago Public Media）、新聞日報（Newsday）、明尼蘇達明星論壇報（The Minnesota Star Tribune）、費城詢問報（The Philadelphia Inquirer）與西雅圖時報（The Seattle Times）。該計畫還會遴選出第二波受惠的新聞機構，但名額只有3家。</p> <p>這1,000萬美元的資源是由OpenAI與微軟各自提供250萬美元的現金，以及價值250萬美元的軟體服務額度。第一輪的5家新聞業者都將獲得一筆贈款，以聘請一名為期2年的AI研究人員，專注於追求能夠改善業務可持續性，以及在組織內導入AI技術的專案，再加上可使用OpenAI及Microsoft Azure的額度，以讓這些新聞機構能夠實驗及開發可協助當地新聞的各種工具。</p> <p>每家新聞機構都已提出各自的AI專案，例如出版芝加哥太陽時報並經營公共廣播電臺的Chicago Public Media，將專注於利用AI進行轉錄、摘要與翻譯，以擴展內容產品並吸引新的受眾。The Minnesota Star Tribune打算利用AI替記者與讀者摘要、分析及發現內容。</p> <p>Newsday將替編輯室、讀者或企業開發AI公共資料摘錄及匯總工具，並把它們當作行銷服務產品。The Philadelphia Inquirer則將利用AI平臺替其存檔建置一個對話式的搜尋介面，並利用AI來監控與分析當地政府機構所發行的媒體。The Seattle Times打算以AI來協助其在廣告市場的推廣，銷售培訓支援，並進行銷售分析，之後再擴展至其它部門。</p> <p>OpenAI內容與IP主管Tom Rubin表示，儘管沒有什麼能夠取代記者的核心角色，但相信AI技術可在新聞的研究、調查、遞送與變現上派上用場，透過此一計畫來支持小型的獨立出版商，確保它們能夠獲得與大型組織同樣的先進工具及機會。Rubin認為，地方新聞是新聞產業特別脆弱的領域，但AI將能協助它們蓬勃發展。</p> </div></div></div>
2024/10/23 16:18作者陳曉莉https://www.ithome.com.tw/news/165647
蘋果修補macOS的HM Surf漏洞，目前已有嘗試利用的跡象
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年9月蘋果發布電腦作業系統大改版macOS Sequoia 15，當中修補中度風險漏洞CVE-2024-44133，這項漏洞影響由行動裝置管理平臺（MDM）控管的裝置，應用程式有可能藉由漏洞繞過特定的隱私權組態，CVSS風險評為5.5分，通報此事的微軟<a href="https://www.microsoft.com/en-us/security/blog/2024/10/17/new-macos-vulnerability-hm-surf-could-lead-to-unauthorized-data-access/">近日公布相關細節</a>，並指出他們偵測到疑似漏洞利用的情況。</p> <p>微軟威脅情報中心指出，這項漏洞有機會讓攻擊者繞過macOS的Transparency, Consent, and Control（TCC）保護機制，進行在未經授權的情況下，存取受到保護的使用者資料。研究人員將這項漏洞稱為HM Surf，並指出該漏洞涉及移除Safari瀏覽器程式資料夾的TCC防護，以及更動特定資料夾的組態檔案，使得攻擊者有機會存取使用者資料，包含瀏覽過的網頁、裝置的視訊鏡頭、麥克風、地理位置。</p> <p>對於這項漏洞發生的原因，他們提到Safari被作業系統賦予一種名為com.apple.private.tcc.allow的權限，而能夠繞過作業系統的TCC檢查，自由存取通訊錄、相機、麥克風等，但在預設情況下，此瀏覽器還是透過自己的TCC機制，管控、徵求每個網頁的存取權限。</p> <p>然而研究人員發現，他們仍有機會透過公用程式dscl變更使用者資料夾位置，從而移除~/Library/Safari的TCC保護，而能成功利用HM Surf。這樣的利用手法，類似涉及TCC的另一個弱點<a href="https://www.ithome.com.tw/news/148844">powerdir（CVE-2021-30970）</a>。</p> <p>為了驗證漏洞，他們藉此下載相機拍攝的畫面，但實際上，攻擊者不會這麼客氣，可能還會結合其他隱密手法洩漏資料，像是將照片埋藏起來，或是儲存攝影機串流影片，也有可能使用非常小的視窗啟動Safari來利用漏洞，而避免引起使用者注意。</p> </div></div></div>
2024/10/23 14:19作者周峻佑https://www.ithome.com.tw/news/165640
日本馬達大廠尼得科傳出遭到勒索軟體攻擊，疑VPN帳密外流釀禍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年8月上旬日本馬達大廠尼得科（Nidec）證實，<a href="https://www.nidec.com/jp/nidec-precision/corporate/news/2024%E5%B9%B4/20240812_%20incident/">越南子公司NPCV的網路環境遭到非法入侵</a>，駭客竊取資料並向他們索討贖金，換取駭客不外流檔案。事隔兩個月，該公司公布更多細節。</p> <p>10月17日尼得科<a href="https://www.nidec.com/jp/nidec-precision/corporate/news/2024%E5%B9%B4/20241017_%20incident_2/">表示</a>，他們在8月5日收到駭客的通知，對方聲稱成功滲透NPCV網路環境，並從伺服器竊得檔案，要他們付錢。該公司經過與外部專家進行調查，確實有部分資料被公布在暗網。但他們強調此事發生後，沒有出現新的攻擊事故，或是檔案遭到加密的情形。</p> <p>究竟事件發生的原因為何？該公司研判駭客是取得員工VPN帳密資料而能得逞。他們已對所有端點電腦進行掃描、重設密碼，以及重新審查伺服器的存取權限因應。</p> <p>這起資料外洩事故造成哪些災情？尼得科表示總共有50,694個檔案外流，涵蓋NPCV內部資料、商業夥件往來信件、合約、營運與供應鏈相關資料，以及訂單、發票、收據等交易文件。該公司表示，將個別通知受到影響的業務合作夥伴。</p> <p>究竟攻擊者的身分為何？根據<a href="https://www.bleepingcomputer.com/news/security/tech-giant-nidec-confirms-data-breach-following-ransomware-attack/">資安新聞網站Bleeping Computer的報導</a>，可能是勒索軟體駭客組織8Base或Everest。起初有個惡意團體8Base於6月中旬聲稱對尼得科發動攻擊，並於6月3日竊得其內部資料；隔月尼得科坦承遭遇勒索軟體攻擊，表示受害的是旗下的尼得科儀器（Nidec Instruments）。</p> <p>但到了8月8日，另一個勒索軟體駭客組織Everest發布從尼得科竊得的檔案。根據尼得科公布的調查結果，向他們勒索的駭客組織很有可能就是Everest。</p> </div></div></div>
2024/10/23 15:57作者周峻佑https://www.ithome.com.tw/news/165644
淡化SolarWinds遭駭影響，Unisys與Check Point等4家業者遭SEC罰款
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國證券交易委員會（Securities and Exchange Commission，SEC）周二（10/22）針對4家業者<a href="https://www.sec.gov/newsroom/press-releases/2024-174" target="_blank">祭出了罰款</a>，原因是它們在遭到SolarWinds被駭事件的波及時，對外試圖淡化其影響，危害了股東與投資人的權益，包括Unisys、Avaya、Check Point與Mimecast。</p> <p>SolarWinds為一專門開發網路、系統與IT管理軟體的美國業者，旗下的IT監控平臺Orion在2020年12月遭到駭客滲透，駭客入侵了Orion的更新機制，於特定的Orion版本中植入Sunburst木馬程式，估計在3.3萬家Orion客戶中，有1.8萬家安裝了含有Sunburst的Orion，間接受害的除了眾多的美國聯邦組織之外，還包括FireEye、微軟、思科、英特爾與Nvidia等業者。</p> <p>不過，SEC發現，同樣受到SolarWinds被駭事件危害的Unisys、Avaya、Check Point與Mimecast，對外提供了誤導性的披露，而讓投資人對此一資安事件的真實影響範圍一無所知。</p> <p>調查顯示，Unisys、Avaya與Check Point是在2020年，而Mimecast是在2021年發現，滲透SolarWinds的駭客曾經入侵它們的系統，但它們在公開披露中全都淡化了此一資安事件。</p> <p>例如Unisys就算已經知道已被SolarWinds駭客入侵兩次，資料也外洩了，對外卻還是以假設性的口吻來描述該風險，原因之一是因Unisys的揭露控制含有缺陷。Avaya則僅對外宣稱駭客存取了有限的電子郵件，但事實上駭客還存取了其雲端檔案共享環境中的145個檔案。</p> <p>至於Check Point儘管知道自己被入侵，卻以籠統的術語描述了該網路入侵活動與相關風險；Mimecast則未充份披露駭客所竊取的程式碼性質，以及所存取的憑證數量，試圖淡化該攻擊的嚴重性。</p> <p>SEC加密資產及網路部門的代理負責人Jorge Tenreiro表示，淡化重大網路安全事件是一個糟糕的策略，上述的兩個案例中，就算企業已經知道風險已經發生時，竟然還用假設性的說法來描述，違反了聯邦證券法令。</p> <p>上述業者皆已同意支付罰款，其中，Unisys將支付400萬美元，Avaya為100萬美元，Check Point是99.5萬美元，而Mimecast也要支付99萬美元。</p> </div></div></div>
2024/10/23 15:08作者陳曉莉https://www.ithome.com.tw/news/165641
聯發科GAI應用發展聚焦智慧助理、個人化，下一步邁向多代理協作模式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「未來AI 代理（Agents）將會無所不在。」聯發科人工智慧暨數據工程處本部協理葉家順近日在一場活動上分享自家內部生成式AI場景應用時這樣說道。</p> <p>葉家順表示，該公司已完成生成式AI 基礎設施，現階段發展重點聚焦智慧助理、個人化及任務管理，下一步將朝向多代理(multi-agent) 協作模式來發展。</p> <p>聯發科開始導入GAI（生成式AI）的目的，一方面是提升員工生產力，達到成本降低的目標；另一方面是讓現有產品或服務創造更高價值，替公司增加更多收益。</p> <p>為此，聯發科去年開發了自家的生成式AI服務平臺DaVinci，目標要打造像「Jarvis」這樣的AI助理，並先在內部導入，服務全球2萬多名員工，迄今推動跨部門超過50個生成式AI專案，集團內部的滲透率已達 97%。</p> <p>後來這套平臺發展成可供外部企業導入的生成式AI服務方案。目前已有上百家客戶在進行測試，數十家企業正式採用。</p> <p>透過DaVinci平臺，聯發科短短1年多已將生成式AI迅速應用於內部各單位，包括 IT、人資、法務、財務、產銷和稽核等。以IT部門為例，GAI被應用於軟體開發周期的各個階段，包括需求分析與規格設計、程式撰寫、測試與驗證，以及客戶支持等。並且先從OA環境中導入，之後再將AI逐步擴展到軟體開發和IC設計等高敏感性的工作環境。</p> <p>葉家順說，許多企業導入生成式AI時，往往會先購買算力並開始訓練模型，他建議，若企業希望在半年內取得顯著成效，以提升生產力或增加價值，可以優先在非核心業務中進行應用，例如生產、銷售、人力資源、財務和行政等部門，因為這些業務的機敏性相對較低，且所選擇的GAI模型不一定需要是經過微調或預訓練過程，因此可以很快拿來運用。</p> <p>聯發科的許多內部生成式AI 應用都是由各部門主導開發的，先由各單位確定業務場景和流程痛點後，再與AI專家討論應用的可行性，進而開發出相對應的應用，來解決自身的問題。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20240927_084745966(1).jpg" style="width: 600px; height: 351px;" /></p> <p>以財務部門為例，財務人員可以用GAI協助交易處理，包括月季結算、合併報表及權利金報告的撰寫，也能進行採購單（PO）和非採購單、固定資產的核對與分類，並處理收付款項和撰寫金融商品報告。在企業決策支援方面，GAI可用於整理稅務申報及稅務優惠資料，撰寫非營運公司報告，以及整理和撰寫內外部報告，如法說會、ESG 報告和財務報告等。不僅如此，GAI還能用在經營財務管理上，進行多維報告的資料彙整。</p> <p>聯發科將DaVinci發展成一套生成式AI智慧助理No Code工具，讓每位員工都可以透過No Code方式建立個人助理，使用者只需選擇模型、外掛、提示範本和知識庫，就能快速建立適合不同任務的AI智慧助理，藉此來改善內部作業流程，進而提高生產力。</p> <p>聯發科員工在內部開發了多種不同的AI 助理，像是有財務客服助理，能夠協助財務人員快速查詢公司基本資料、營收、應收帳款、逾期帳款和DE比等訊息，還有費用分析師助理，能夠查詢<span>營運成本相關內容</span>並提供商業見解。以及論文分析助理，能夠幫助研發單位快速分析和總結arXiv期刊或Medium網站文章，以便快速學習和吸收新知識與技術。甚至還有擔任策略顧問的AI助理，能提供商業建議與分析。</p> <p>葉家順提到說，在GAI應用開發過程中，只有挑選GAI模型還不夠，如果直接使用模型而未整合公司內部的知識庫，容易出現「幻覺」問題。因此在聯發科的 DaVinci 中，他們開發了多個公版外掛（plugin），能夠與外部系統對接，包括SharePoint、ERP和資料庫等。目前模型庫中包含幾十個模型，並提供數百個plugin。在模型庫中，也能選擇聯發科自己的繁中LLM模型BreeXe，或是其他經過微調或預訓練的模型。</p> <p>他們也建立了提示優化引擎，優化提示流程，提升模型回答的準確性。在訓練過程中，會保留大量資料，以不斷優化這些提示引擎，目前該引擎已發展至第二版。此外，模型使用後所產生的Log日誌數據會集中在地端保存，用於稽核和計費。</p> <p>身為企業用的AI助理，葉家順強調，與其他生成式AI助理相比，DaVinci更加注重安全、彈性和易用性，「比起專注於AI建置，我們更重視如何有效運用AI。」</p> <p>他表示，在手機領域，像安卓或iOS這樣的開放平臺不僅強調安全性，還具備易用性，讓每個人都能使用工具解決自己的問題。這一經驗同樣適用於生成式AI助理，「我們的目標是，未來無論是2萬名員工，或5萬名員工的公司，每個人都能在半天內訓練並開發出AI助理，解決手邊的問題。」</p> <p>聯發科雖然在內部大量導入GAI應用，但也採取不少措施，加強GAI應用安全與管控，「資安控管比選擇基礎模型更為重要。」葉家順表示。</p> <p>像在資安管控上，聯發科會根據機敏性程度將工作環境分為OA環境、軟體開發環境和IC設計環境，來提供安全隔離的環境，並透過API介接DaVinci平臺中的模型庫。每個環境所能夠使用的模型有所不同，例如，OA和軟體開發環境可以使用VPC（Virtual Private Cloud） API串接部署在雲端上的GAI 模型，如Google Gemini和AWS Bedrock等，但如果是核心的業務，如IC設計，由於不能上網，僅能選擇本地模型，如Llama 3、Mistral和 DeepSeek，且必須在自家的機房中部署推論伺服器來執行模型。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20240927_085653978.jpg" style="width: 600px; height: 338px;" /></p> <p>除了導入GAI提高員工生產力，聯發科也用GAI也幫其創造更多收益，推出名為智慧助理即服務（Smart Assistant as a Service,SAaaS）的新服務模式，將智慧助理功能API化後迅速部署到包括手機平板智慧音箱智能家居、自駕車等各種終端設備中提供AI助理服務。甚至也能結合個人化功能，進一惡進步提升服務體驗。</p> <p>舉例來說，未來在自駕車應用上，智慧助理能將整合使用手冊及車廠資料庫，可以用中文、日文或英文等不同語言回答用戶提問。在智能家庭上，聯發科已投入大量AIoT產品的開發，過去多以聲控為主，未來則能透過智慧助理提供更多服務。在個人助理方面，無論是B2B或B2C應用，智慧助理都能發揮用處。</p> <p>聯發科的 GAI 發展未來將從智慧助理，進到多Agent協作模式的應用階段。葉家順表示，未來的GAI應用將以Agent與Agent之間的協作為核心，這些Agent不只存在於雲端上，也會不同大小的裝置和設備中分工協作，共同完成任務。例如使用者的個人助理Agent可以自動與其他裝置中的Agent協調活動，如安排會議、規劃旅遊行程、訂房和交通等，串聯多項服務。未來將是 Agent 的時代。」葉家順強調。</p> </div></div></div>
2024/10/23 14:16作者余至浩https://www.ithome.com.tw/news/165638
Anthropic更新Claude 3.5 Sonnet，新增操作電腦能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI模型開發業者Anthropic周二（10/22）<a href="https://www.anthropic.com/news/3-5-models-and-computer-use" target="_blank">更新了Claude 3.5 Sonnet</a>，新版Claude 3.5 Sonnet首度開放使用者測試其電腦操作能力，也特別改善了程式碼撰寫及工具使用任務，並宣布將在10月底釋出Claude 3.5 Haiku。</p> <p>Claude Sonnet為Anthropic所開發的中階模型，著重在取得智力與速度的平衡，Claude Haiku則是最小也最低階的模型，主打即時回應，而最大的模型Claude Opus則是用來處理更複雜的任務，目前Anthropic僅發表Sonnet 3.5及Haiku 3.5，並未提及Opus 3.5。</p> <p>為了訓練Claude使用電腦，Anthropic打造了一個API以讓Claude能夠感知電腦介面並與之互動，開發人員即可整合該API，要求Claude將指令（例如：利用我電腦上的資料來填入表格）轉成電腦命令（檢查試算表，移動游標以開啟瀏覽器，導航至最相關的頁面，以及填入表格等）。</p> <p>Anthropic說，現代的大量工作都是透過電腦進行的，令AI能夠像人類一樣與電腦互動，將解鎖這一代AI助手無法處理的大量應用。這幾年AI有許多重要的發展，像是執行複雜邏輯推理的能力，以及查看與理解圖像的能力，而下一個重要領域則是使用電腦，讓AI模型可直接按照指示使用各種軟體，而不必再透過特製的軟體與電腦互動。開發人員可利用此一功能來自動化重複的流程，建置與測試軟體，或是執行諸如研究等開放式任務。</p> <p>有一個OSWorld標準是用來評測模型使用電腦的能力，在理解螢幕截圖（Screenshot）上，Claude 3.5 Sonnet取得了14.9%的成績，雖然尚遠不及人類水準（70~75%），卻已高於第二名Cradle BAAI的7.8%，以及OpenAI GPT-4 Vision的7.7%，倘若可以執行更多的步驟，Claude 3.5 Sonnet還能達到22%。</p> <p>不過，Anthropic坦承Claude目前操作電腦的能力並不完美，人們可以輕鬆執行的滾動、拖曳或縮放對Claude而言都是挑戰，在實驗中，它還停止了正在長時間運作的螢幕錄製，導致所有內容都不見。</p> <p>目前包括Asana、Canva、Cognition、DoorDash、Replit與The Browser Company都已在測試Claude 3.5 Sonnet的電腦執行能力，其中，線上程式開發平臺Replit利用它來建置Replit Agent的新功能，可在開發人員建置應用程式的過程中，自動檢查並評估應用程式的表現。</p> <p>除了操作電腦的能力之外，Claude 3.5 Sonnet在許多評測都有長足的進步，包括GPQA、MMLU Pro、HummaEval、MATH、AIME 2024、MMMU、SWE-bench Verified及TAU-bench等，除了MATH略遜Gemini 1.5 Pro之外，其它評測都勝過Gemini 1.5 Pro、Gemini 1.5 Flash、GPT-4o與GPT-4o mini。</p> <p>在與撰寫程式相關的HummaEval及SWE-bench Verified評測中，Claude 3.5 Sonnet分別奪得了93.7%及49%的成績，高過前一個版本的88.1%與40.6%。</p> <p>另一個TAU-bench是用來測試AI代理工具於真實世界場景中的表現，衡量能否處理複雜且多步驟的任務，並與使用者進行自然對話，Claude 3.5 Sonnet在零售領域的表現達到69.2%，在航空領域的表現為46%，高於前一版的62.6%與36%。</p> <p>至於速度最快的Claude 3.5 Haiku特別擅長撰寫程式碼，它在HummaEval的得分為88.1%，而在評估解決實際軟體問題能力的SWE-bench Verified上得分亦有40.6%。</p> <p>Anthropic表示，Claude 3.5 Haiku具備低延遲，更好的指令遵循能力，以及更準確的工具使用，非常適合面向使用者的產品、專門的子代理任務，以及從大量資料生成個人體驗的服務，例如購買歷史紀錄、定價或庫存紀錄等。</p> <p>不管是Claude 3.5 Sonnet或Claude 3.5 Haiku都可藉由API、Amazon Bedrock及Google Cloud的Vertex AI存取，只是Claude 3.5 Haiku尚未上線，而且初期僅支援文字，之後才會支援圖像輸入。</p> </div></div></div>
2024/10/23 13:00作者陳曉莉https://www.ithome.com.tw/news/165639
Sophos收購Dell持股的資安廠商Secureworks
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國防毒廠商Sophos日前（10/21）<a href="https://news.sophos.com/en-us/2024/10/21/sophos-to-acquire-secureworks-to-accelerate-" target="_blank">宣布</a>，以8.59億美元全現金收購美國資安業者Secureworks。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1023-Sophos%20to%20Acquire%20Secureworks.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Sophos</span></span></p> <p>Secureworks為網路安全服務供應商，提供安全監控、威脅偵測及SoC服務，知名產品包括Taegis XDR和Taegis ManagedXDR（MDR）。Secureworks於2011年為Dell<a href="https://www.ithome.com.tw/news/65351" target="_blank">收購</a>，2016年Dell將之分拆<a href="https://www.nasdaq.com/articles/dell-spin-secureworks-sets-terms-149-million-ipo-2016-04-11" target="_blank">上市</a>，成為這家資安公司的最大股東。今年8月媒體<a href="https://www.reuters.com/markets/deals/dell-attempts-sell-cybersecurity-firm-secureworks-again-sources-say-2024-08-29/" target="_blank">報導</a>，Dell再次嘗試出售Secureworks。</p> <p>在此收購下Sophos以全現金8.59億美元買下Secureworks，為Secureworks過去90天成交量加權平均（volume-weighted average price）股價的溢價28%，而Dell則可獲得每股8.5美元現金。本案預定2025年完成。</p> <p>Sophos表示，Secureworks的Taegis平臺和Sophos代管服務與安全產品可相輔相成提供進階延伸偵測回應（XDR）及代管偵測回應（MDR）解決方案。Sophos計畫整合二家公司產品，使Sophos新增身份威脅偵測與回應（identity threat detection and response，ITDR）、次世代安全資訊與事件管理（Security Information and Event management，SIEM）、營運科技（operational technology，OT）及進階弱點風險排序等，提供滿足大、中、小型企業的產品。</p> <p>Sophos在2020年由私募資金公司Thoma Bravo買下。Thoma Bravo先後有過多起重大資安收購案，包括2021年曾以123億美元<a href="https://www.thomabravo.com/press-releases/thoma-bravo-completes-acquisition-of-proofpoint" target="_blank">買下</a>電子郵件和資料保護產品供應商Proofpoint，今年又斥資53億美元<a href="https://www.thomabravo.com/press-releases/thoma-bravo-announces-a-cash-offer-to-acquire-cybersecurity-leader-darktrace" target="_blank">買下</a>AI威脅偵測軟體業者Darktrace，<a href="https://www.thomabravo.com/press-releases/thoma-bravo-completes-acquisition-of-everbridge" target="_blank">以及</a>公共警報軟體供應商Everbridge。</p> </div></div></div>
2024/10/23 10:34作者林妍溱https://www.ithome.com.tw/news/165636
一雪前恥，Stability AI開源Stable Diffusion 3.5
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提供AI圖片生成的新創公司Stability AI本周<a href="https://stability.ai/news/introducing-stable-diffusion-3-5" target="_blank">宣布</a>開源最新版模型Stable Diffusion 3.5，修正之前版本品質低落的問題。</p> <p>6月份Stability AI釋出第一個開源模型Stable Diffusion 3 Medium，但是<a href="https://the-decoder.com/stability-ai-apologizes-for-disappointing-stable-diffusion-3-promises-much-improved-model-soon/" target="_blank">未能滿足社群期望</a>，像是生成的人物身形怪異、手指變形、或是未能按照提示生成圖像等，迫使該公司為此致歉。<a href="https://www.yeschat.ai/blog-Stable-Diffusion-3-is-something-39324" target="_blank">原因</a>可能出於開源版本只有20億參數，效果遠不如付費版本。</p> <p>為此Stability AI決定重新開發一個版本，而非以修補方式強化原來的Stable Diffusion 3 Medium。該公司強調3.5版更能反映其以門檻低、多數應用場景免費的進階工具幫助開發人員和創作者的承諾，也鼓勵開發人員將之用於微調、優化、LoRA（Low-Rank Adaptation，深度學習模型的微調法）、應用或創作。</p> <p>最新版本模型包含二款多模態大型語言模型Stable Diffusion 3.5 Large（8B）及Stable Diffusion 3.5 Large Turbo（8B）。其中Stable Diffusion 3.5 Large為多模態擴散Transformer（MMDiT）文字轉圖片模型，使用三種預訓練固定式text encoder及QK-normalization（正規化）方法提升訓練穩定性。Stable Diffusion 3.5 Large Turbo則是在Stable Diffusion 3.5 Large基礎上，加上對抗性擴散蒸餾（adversarial diffusion distillation）方法，以提升圖片畫質、類別和複雜提示理解力，以及資源效率，而且可減少推論步驟。</p> <p>Stable Diffusion 3.5經由寬鬆Stability AI社群授權開源，開發人員可以從<a href="https://huggingface.co/collections/stabilityai/stable-diffusion-35-671785cca799084f71fa2838" target="_blank">Hugging Face下載</a>Stable Diffusion 3.5 Large及Large Turbo，並在<a href="https://github.com/Stability-AI/sd3.5" target="_blank">GitHub下載</a>推論程式碼。</p> </div></div></div>
2024/10/23 11:12作者林妍溱https://www.ithome.com.tw/news/165637
思科坦承客戶支援網站流出資料，強調未被駭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>兩周前駭客在網路上兜售聲稱來自思科的資料，思科上周<a href="https://sec.cloudapps.cisco.com/security/center/resources/october_15_2024" target="_blank">坦承</a>確有部份公司資料流出，來自提供客戶支援的資源網站，不是公司系統被駭。</p> <p>思科針對駭客IntelBroker<a href="https://www.ithome.com.tw/news/165513" target="_blank">宣稱</a>駭入該公司系統取得資料公布初步調查結果。思科聲稱，有信心公司系統未被駭。在駭客論壇兜售的資料是從思科對外公開的資源DevHub網站流出，該網站提供軟體程式碼、腳本程式等供客戶必要時下載。</p> <p>到目前為止，思科尚未觀察到這批資料包含任何機密資訊如個資或財務資料，但說會持續調查。但為謹慎起見，思科已經預防性關閉外部存取管道。同時思科也預告，一旦調查發現客戶資訊外流，將會直接聯繫受影響的客戶。</p> <p>上周駭客宣稱掌握了思科GitHub專案、程式原始碼、產品檔案、憑證、token、公私鑰，以及客服資料。一名研究人員分析，受外洩資料影響的客戶包括AT&T、Verizon、T-Mobile US、Vodafone、微軟、SAP、及能源巨擘雪佛龍（Chevron）。思科並未證實此事。</p> </div></div></div>
2024/10/23 10:12作者林妍溱https://www.ithome.com.tw/news/165635
Rust 1.82更新強化套件管理與Apple Silicon支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.rust-lang.org/2024/10/17/Rust-1.82.0.html">Rust 1.82</a>版本正式發布，帶來多項重要更新，包括Cargo新增cargo info子命令強化套件管理，而Apple Silicon成為第一層級（Tier 1）支援目標，提升了Apple平臺支援的優先度，同時Rust 1.82也引入更精確的生命周期捕捉語法use<..>，並新增原始指標（Raw Pointer）操作語法。這些更新進一步強化了Rust跨平臺支援、安全性和開發效率。</p> <p>在這個版本中，Rust對套件管理工具Cargo進行重要強化，加入cargo info子命令，讓開發者可以快速檢視註冊表中的詳細資訊，包括版本、授權條款、文件和來源庫連結等，並且還會提示是否有更新版本可用。這個功能構想第一次<a href="https://github.com/rust-lang/cargo/issues/948">在2014年11月被提出</a>，在接近10年後官方終於實作完成。</p> <p>在本次更新中，Rust針對Apple Silicon，包括M1或更新的處理器提升至第一層級支援，這代表該平臺的支援度達到最高級，每一次Rust的變更，都會針對Apple Silicon平臺進行完整測試以確保其執行穩定度。Apple Silicon從Rust 1.49開始獲第二層級的支援，而這次的支援度提升，表示Rust對Apple M系列晶片有更高的優先度和可靠性承諾。</p> <p>Rust 1.82引入新的use<..>語法，讓開發者可以明確指定在泛型程式碼中，想要紀錄或是使用的生命周期，這樣可以避免過去程式中，因為生命周期推斷不夠明確而導致的錯誤，並讓開發者能夠更精確地控制變數的有效時間，提升程式的穩定性和可讀性。</p> <p>過去開發者需要使用捕捉技術來處理生命周期相關的問題，這使得生命周期的管理顯得複雜。而現在透過use<..>語法，特別是在impl Trait綁定中，開發者可以更有效地控制泛型生命周期參數的捕捉行為，讓程式碼生命周期管理變得更加直覺簡潔。</p> <p>新版本另一項重大改進是Rust現在提供新的原始指標操作語法，取代過去仰賴巨集的作法。開發者現在可以使用&raw const expr和&raw mut expr來創建原始指標，這在處理不安全程式碼，尤其是記憶體對齊問題的情況下，能夠明顯提升程式碼的可讀性和安全性，而這項改進也使得不安全程式碼中的指標操作更不容易出錯。</p> </div></div></div>
2024/10/23 08:36作者李建興https://www.ithome.com.tw/news/165630
衛福部資訊處揭次世代數位醫療平臺計畫進展，還自建LLM標準轉換器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>衛福部資訊處副處長王美珠日前在臺灣醫院資訊主管會議中，代表資訊處處長李建璋說明次世代數位醫療平臺計畫，包括要落實3大核心、5大願景，比如以採用國際醫療資料交換標準FHIR、建置規則庫（Rule library）、接軌FHIR智慧醫療應用程式市集SMART on FHIR等3大方法，來實現資料統一、規則統一、應用程式統一等3大願景。她還揭露，衛福部資訊處用大型語言模型（LLM）打造病歷資料標準轉換器，不只能除錯，還能將內容轉換為SNOMED CT、LOINC等國際標準。</p> <p><span style="font-size:22px;"><strong>衛福部推次世代數位醫療平臺計畫，鎖定3大核心、5大願景</strong></span></p> <p>王美珠表示，臺灣要打造智慧醫療護國神山，需要資料、算力和演算法，但臺灣各家醫院長年來發展出各自的醫療資訊系統（HIS）、資料格式與標準不一，再加上國內重要醫療資料庫彼此間也有資料邏輯不同、資料庫架構存在差異等資料互通問題，導致寶貴的醫療大數據無法好好被應用。</p> <p>而衛福部提出為期4年的次世代數位醫療平臺計畫，就是要解決這些問題。該計畫聚焦「一個平臺、三大核心、五大願景」，其中三大核心是指，確保不同平臺的「資料統一、規則統一、應用程式統一」，衛福部資訊處分別要以採用國際醫療資料交換標準FHIR、建置規則庫（Rule library），以及接軌FHIR智慧醫療應用程式市集SMART on FHIR等3大方法來實現。</p> <p>其中，採用FHIR是為了讓底層資料標準統一，規則庫則用來收集健保申報的FHIR程式，供醫院下載使用，並可延伸用於醫院品質監測、管理。至於SMART on FHIR，則是美國一款FHIR版的醫療App市集平臺，衛福部要鼓勵醫院和廠商發展符合SMART on FHIR規格的應用，並在該市集上架，跨出臺灣市場。</p> <p>衛福部資訊處希望透過這3大核心，發展出5大願景，也就是建立臺灣智慧醫療生態系、推動醫院品質管理數位化、發展智慧化臨床試驗平臺、成立真實世界電子病歷資料庫，以及實現個人化數位健康管理。</p> <p>針對第一項願景，衛福部資訊處也已聯手16家醫院，<a href="https://www.mohw.gov.tw/cp-16-80155-1.html">成立了3大類型AI中心</a>，包括負責任AI執行中心、臨床AI取證驗證中心、AI影響性研究中心，來落實AI模型透明和安全機制、加速TFDA智慧醫材取證、爭取健保給付等智慧醫療最後一哩路痛點，來塑造臺灣醫療AI生態系。</p> <p>之後，衛福部資訊處也將鼓勵這些智慧醫材上架到SMAR on FHIR市集，來拓展海外市場。甚至今年11月，衛福部資訊處將邀請SMART on FHIR創辦人暨哈佛醫學院教授Kenneth Mandl來臺簽約、舉辦相關工作坊，推動臺灣本地SMART on FHIR的應用開發。</p> <p><span style="font-size:22px;"><strong>次世代數位醫療平臺計畫瞄準醫中、區域地區醫院和衛生所，分3階層作法</strong></span></p> <p>再來，衛福部推動的次世代數位醫療平臺本身，分別針對醫學中心、區域/地區醫院、衛生所提出各自作法。</p> <p>比如針對醫學中心，衛福部資訊處決定各家維持各自的HIS系統，但資訊處要建置FHIR資料中臺／數據中臺，來讓醫學中心<strong>統一使用FHIR標準</strong>、促進資料互通，預計在接下來2年完成。（如下圖）</p> <p>接著是區域／地區醫院，衛福部希望逐步翻新這些醫院的HIS，要建置類似Android架構的數位醫療平臺（DHP）。也就是說，衛福部聯手工研院和醫資廠商，要打造一套共用的數位底盤PAUL（Platform Advancing Unified Healthcare），來將醫院原有系統升級為次世代電子病歷系統，並保留各醫院系統客製化開發的彈性。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96%E4%B8%89-%E6%AC%A1%E4%B8%96%E4%BB%A3%E6%95%B8%E4%BD%8D%E9%86%AB%E7%99%82%E5%B9%B3%E5%8F%B0%E4%B9%8B%E5%85%B1%E9%80%9A%E8%A6%8F%E5%8A%83.jpg" /></p> <p>至於衛生所，衛福部則要建置公版HIS，來讓衛生所直接使用，降低維運成本。</p> <p><span style="font-size:22px;"><strong>針對醫學中心，要導入國際標準、建置臺灣核心資料交換集</strong></span></p> <p>衛福部資訊處還針對醫學中心的資料互通發展，提出3種作法。首先是標準化電子病歷內容，包括導入國際實驗室數據標準LOINC、國際醫學名字標準SNOMED CT、國際處方藥物標準RxNorm，再來是採用國際標準工具FHIR來交換資料，最後是定義必須標準化的最小資料元素，如此才能真正確保資料標準統一、病歷能夠跨院互通。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%86%AB%E5%AD%B8%E4%B8%AD%E5%BF%83.JPG" /></p> <p>而這個最小資料元素，就是衛福部參考美國USCDI制定的臺灣核心資料交換集TW CDI（TW Core for Data Interoperability），目前可在衛福部TW Core IG網頁中查看。王美珠說明，這個資料集不只益於未來醫學研究，衛福部資訊處還希望，針對特定應用需求，醫療機構以聯盟形式制定TW CDI+實作指引，來發展更多元應用，形成臺灣超級醫學資料庫。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/TWCDI.JPG" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/TWIG.JPG" /></p> <p>她也解釋，導入上述這些國際標準，是因為早期臺灣發展健保代碼因費用計算而設計，顆粒度不夠細緻。而採用國際標準，不只能細緻描述疾病，這些資訊還能作為後續分析、AI研究使用。</p> <p><span style="font-size:22px;"><strong>衛福部打造LLM標準轉換器，要加速病歷資料標準化</strong></span></p> <p>另一方面，既然要推動病歷資料標準化，衛福部資訊處考量，此舉會涉及各大醫學中心過往累積的病歷資料，這些資料量非常龐大，要轉換標準不可能單靠人工完成。</p> <p>因此，衛福部資訊處打造了LLM標準轉換器，能將原始臺灣病歷按國際標準自動改寫，並且還能自動萃取SNOMED CT、LOINC、RxNorm等國際編碼，甚至自動列出編碼來比對，來讓人工確認。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/LLM%E7%B7%A8%E7%A2%BC%E5%B7%A5%E5%85%B7.JPG" /></p> <p>衛福部資訊處希望繼續優化這款工具，之後供醫學中心使用。</p> <p>另一方面，衛福部資訊處也希望，結合LLM和一系列開源軟體來協助醫學中心，確保病歷資料標準化。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/LLM%E5%B7%A5%E5%85%B7.JPG" /></p> <p>他們也建置一套Inferno平臺，可供醫學中心測試FHIR病歷資料是否完全標準化，要是通過，就會發給標章。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/api%E6%B8%AC%E8%A9%A6.JPG" /></p> <p></p> </div></div></div>
2024/10/22 20:40作者王若樸https://www.ithome.com.tw/news/165634
【資安日報】10月22日，資安業者ESET以色列合作夥伴驚傳遭駭，駭客冒名從事網釣攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客鎖定合作廠商發動攻擊的情況，很難不讓人聯想到供應鏈攻擊。最近發生在資安業者ESET合作夥伴Comsecure的資安事故，就是這樣的例子。</p> <p>值得留意的是，駭客疑似透過Comsecure經營的網域，意圖打著ESET的名號，假借提供防護工具為由，向以色列人散布資料破壞軟體（Wiper），為何攻擊者能夠利用該網域寄信？該公司並未進一步說明。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165629"><strong style="font-size: 22px;">資安業者ESET以色列合作夥伴傳出遭攻擊，駭客企圖散布資料破壞軟體</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot2024-10-09010631.png_6a221e3005390cedda85f19831ac93fa.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot2024-10-09010631.png_6a221e3005390cedda85f19831ac93fa.png" style="width: 300px; float: right;" /></a></p> <p>10月18日資安業者ESET的研究團隊指出，該公司以色列合作夥伴遭遇資安事故，根據的初步調查，在10分鐘內有限的惡意郵件攻擊就遭到封鎖。ESET強調，他們並未遭到入侵，正積極與合作夥伴緊密合作，進一步調查此事。</p> <p>在上述的公告裡，ESET並未透露相關細節，我們透過代理商台灣二版詢問該公司，他們表示這起事故主要的目標是以色列用戶，相關威脅已經成功攔截，而且不會對亞洲用戶造成影響。</p> <p>根據資安新聞網站Bleeping Computer的報導，這起資安事故發生在10月8日，帶有ESET商標的釣魚郵件從合法網域eset.co.il發送，這些釣魚郵件聲稱來自ESET進階威脅防禦團隊（ESET Advanced Threat Defense Team），國家級駭客打算對收信人的裝置下手，他們提供名為ESET Unleashed的工具來協助用戶因應。一旦收信人照做，就會取得ZIP檔案，其內容包含部分ESET防護軟體元件，以及偽裝成安裝程式（setup.exe）的資料破壞軟體（Wiper）。</p> <p><a href="https://www.ithome.com.tw/news/165606"><strong style="font-size: 22px;">中國駭客APT41鎖定賭博、遊戲產業發動攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/d03b6f_61b52f1fc0054a968fc81661ee3cb0ef~mv2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/d03b6f_61b52f1fc0054a968fc81661ee3cb0ef~mv2.png" style="width: 300px; float: right;" /></a></p> <p>最近中國駭客的攻擊行動頻頻，其中最惡名昭彰的APT41（又稱Winnti、Earth Baku、Brass Typhoon），有研究人員揭露長達9個月的攻擊行動，公布這些駭客隱密的手法供防守方參考。</p> <p>資安業者Security Joes揭露APT41最新一波攻擊，這些駭客鎖定一家賭博及遊戲業者，在維持秘密的行動下，企圖接管整個網路基礎設施，他們採取多階段攻擊，為期接近9個月，光是偵察活動花上半年，而在活動當中，駭客還根據受害公司資安團隊的回應調整工具。研究人員認為，上述活動，可能與資安業者Sophos揭露的Operation Crimson Palace攻擊有關。</p> <p>這波攻擊行動如何進行？研究人員目前無法確定駭客初始入侵的管道，但根據採集到的證據與過往該組織曾經運用的手段，研判可能藉由網路釣魚得到初期的存取權限，等到成功進入受害組織的基礎設施，就會執行DCSync攻擊，企圖取得服務及管理帳號的密碼雜湊資料，從而控制整個網路環境以便持續活動。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=155757&SPOKE_DATE=20241021&COMPANY_ID=9914"><strong style="font-size: 22px;">自行車業者美利達傳出電子郵件系統帳號遭到攻擊</strong></a></p> <p></p> <p>10月21日自行車業者美利達於股市公開觀測站發布重大訊息，指出他們有部分資訊系統遭遇網路攻擊的情況，這起攻擊行動是他們自行發現，部分郵件系統使用者的帳號被鎖定。對此，他們的資安部門在第一時間全面啟動相關防禦機制，並執行修改使用者帳號密碼的作業。</p> <p>而對於這起事故可能會造成的影響，該公司初步評估認為，對公司營運無重大影響。他們將持續提升網路與資訊基礎架構的安全，以及密碼的管控。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=160407&SPOKE_DATE=20241021&COMPANY_ID=2105"><strong style="font-size: 22px;">輪胎製造商正新加拿大子公司資訊系統遭到網路攻擊</strong></a></p> <p></p> <p>輪胎製造商正新於10月21日在股市公開觀測站發布重大訊息，表示他們加拿大子公司Cheng Shin Rubber Canada部分資訊系統遭到網路攻擊，事發當下資訊部門全面啟動相關防禦機制與復原作業，並協同外部資安業者進行後續處理。</p> <p>該公司指出，他們正對於所有網域、網頁，以及相關檔案執行徹底掃描，確保安全無虞，再以日常備份資料恢復運作。針對這起事故，他們初步評估對營運無重大影響。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/bumblebee-malware-returns-after-recent-law-enforcement-disruption/">5月遭執法單位圍剿的惡意軟體Bumblebee傳出已捲士重來</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/akira-ransomware-exploit-cve-2024-40766-in-sonicwall-sonicos/">SoincWall防火牆漏洞CVE-2024-40766傳出遭到勒索軟體Akira利用</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/10/new-malware-campaign-uses-purecrypter.html">木馬程式DarkVision RAT藉由載入工具PureCrypter Loader散布</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/over-6-000-wordpress-hacked-to-install-plugins-pushing-infostealers/">逾6千個WordPress網站遭到入侵，駭客用來從事ClickFix攻擊</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165628"><strong style="font-size: 22px;">5家雲端儲存平臺存在弱點，攻擊者可趁機濫用、洩露敏感資料</strong></a></p> <p>近年來全程加密（End-to-End Encryption，E2EE）受到重視，除了有許多即時通訊軟體採用，也有部分雲端檔案共享服務跟進強化資料安全，然而，有研究人員指出，這些雲端檔案共享平臺存在弱點，而有可能遭到利用。</p> <p>研究人員Jonas Hofmann、Kien Tuong Truong與蘇黎世聯邦理工學院應用密碼學團隊聯手，針對Sync、pCloud、Icedrive、Seafile、Tresorit等5家採用E2EE的檔案共享平臺進行分析，結果發現其伺服器組態設定存在漏洞，攻擊有機會用來隨意讀取、竄改、注入資料，研究人員認為，這樣的弱點很有可能會被國家級駭客盯上，破壞伺服器並對用戶下手。</p> <p>研究人員指出，這些漏洞的嚴重程度不盡相同，在大部分的情況下，攻擊者能藉由自己控制的惡意伺服器注入檔案、竄改資料，甚至能夠直接存取明文資料。他們強調，利用這些弱點進行攻擊的手法並非都很複雜，未必要精通密碼學才能達成；而且，不需大量資源就能發動攻擊。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://news.sophos.com/en-us/2024/10/21/sophos-to-acquire-secureworks-to-accelerate-cybersecurity-services-and-technology-for-organizations-worldwide">資安業者Sophos宣布以8.59億美元買下Secureworks</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165602"><strong>【10月21日】Internet Archive再傳遭駭</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165573"><strong>【10月18日】紅隊演練工具EDRSilence遭濫用，16種EDR系統可能因此被「噤聲」</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165552"><strong>【10月17日】Kubernetes映像檔製作工具存在重大漏洞</strong></a></p> </div></div></div>
2024/10/22 17:58作者周峻佑https://www.ithome.com.tw/news/165631
採用Core Ultra 200V處理器，華碩首款AI商用筆電開放預購
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/hua_shuo_expertbook_p5_p5405_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在每年舉行的國際消費電子產品展覽當中，除了1月於美國拉斯維加斯舉行的CES，每年9月於德國柏林舉行的IFA，通常也是許多個人與家用資訊產品發表的重要場合，<a href="https://www.intel.com/content/www/us/en/newsroom/news/keynote-core-ultra-200v-series-mobile.html#gs.gdaoo3">今年英特爾選在此時發表新一代處理器：Core Ultra 200V（代號Lunar Lake）</a>，多家個人電腦廠商也響應推出AI筆電產品，例如，華碩發表採用這系列處理器的消費型PC、商用PC、迷你PC，我們現在要介紹的是，率先上市的商用筆電ExpertBook P5系列的P5405，<a href="https://www.asus.com/us/news/bxqmazre76ajodgw/">10月10日宣布開放美國訂購</a>，<a href="https://www.facebook.com/asusclub.tw/posts/pfbid02JigBsYg5pGC5euxBY4vjW1JQEJakRt6NH5vUvZJxh9acwdb4mtFw3Cx3x8dMF3qyl?__cft__[0]=AZWF4KMwp1LNwwrtzSv53hLSy0JvoyvneXgwchAezz6xapaizyQp_kN7wwAqMws0QsrCbinAIA6MA0N-PUDcAnW949xKiJDq5-JC8683RywyxetbYFxabaBoQ-ObmKlxx50C37EdSXaHgqb4hWPH29MLEovfoVSv-ltu1401ZcAYbHxM3rP1CmqDhYMYoZ812n6wTAXpjReMjubVSGwTHLbV&__tn__=%2CO%2CP-R">10月21日開放臺灣預購</a>，預計11月中下旬全通路開賣。</p> <p>回顧ExpertBook這個筆電品牌，最初是<a href="https://www.asus.com/us/news/zin42bcvbnzppoqg/">在2020年登場</a>，<a href="https://www.notebookcheck.net/Asus-renames-the-super-light-AsusPro-B9-to-the-ExpertBook-B9-hopes-no-one-notices.449315.0.html">取代先前使用的AsusPro</a>，截至目前為主，在ExpertBook系列當中，推出最多款式的是B系列，其次是L系列，接著是P系列。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ExpertBook-2024-09-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ExpertBook-2024-09-1.jpg" style="width: 600px;" /></a></p> <p>而在今年6月台北國際電腦展期間，華碩預告下半年將推出第一款商用AI個人電腦ExpertBook P5，採用新一代Core Ultra處理器，搭載運算效能超過40 TOPS的AI引擎，整臺電腦的運算效能達到100 TOPS以上，能將AI效能提升至前代PC產品的3倍，並兼顧寧靜運作與系統散熱的需求；在AI應用方面，它整合AI視訊會議、AI助理，以及AI內容創作功能，可提供AI驅動的檔案搜尋、AI聲紋識別與降低背景噪音、即時AI共同編輯，以及支援多國語言的生成式AI會議內容記錄謄本。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ExpertBook-2024-09-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ExpertBook-2024-09-4.jpg" style="width: 600px;" /></a></p> <p>在此同時，ExpertBook P5配備14吋16:10支援2.5K解析度（2560 x 1600）的螢幕，機體符合美規MIL-STD 810H的要求，對於嚴苛的環境有一定程度的耐受能力；在資安防護上，它不僅內建獨立TPM 2.0安全晶片，並搭配Windows 11、可支援Secured-core PC硬體、韌體、軟體層面的保護要求，也採用符合NIST SP 800-155標準的商用等級BIOS，能保護BIOS完整性，而且支援3年保固，華碩也預告第三季將公布ExpertBook P5更多細節。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ExpertBook-2024-09-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ExpertBook-2024-09-5.jpg" style="width: 600px;" /></a></p> <p>到了9月IFA大展期間，適逢英特爾正式推出Core Ultra 200V處理器，華碩也揭露搭載這批處理器的ExpertBook P5產品型號為P5405，並標榜它是華碩第一款用於工作場合的微軟Copilot+ PC產品，也列出詳細規格，例如，NPU效能上看47 TOPS，整臺筆電AI效能可達120 TOPS，相較於前代處理器，單就系統單晶片層級而言，可節省40％的耗電；先前華碩預告將在ExpertBook P5提供的多種AI功能，如今以AI ExpertMeet的品牌統稱，目前僅供ExpertBook P5使用，可運用Core Ultra 200V處理器內建的NPU，單靠筆電本身的運算能力，強化企業人員工作流程效率與協同作業的進行，員工可運用當中的AI工具進行翻譯、字幕、會議摘要生成、降噪，以及套用企業浮水印。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ExpertBook-2024-09-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ExpertBook-2024-09-2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ExpertBook-2024-09-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ExpertBook-2024-09-3.jpg" style="width: 600px;" /></a></p> <p>舉例來說，華碩在此提供的AI Meeting Minutes，能將會議過程的對話，進行精準擷取與轉錄為文字，生成可涵蓋細節的摘要，並且辨識不同與會者的發言重點；</p> <p><a href="https://s4.itho.me/sites/default/files/images/Asus ExpertMeet1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Asus%20ExpertMeet1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Asus ExpertMeet2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Asus%20ExpertMeet2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Asus ExpertMeet-AI Meeting Minutes.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Asus%20ExpertMeet-AI%20Meeting%20Minutes.jpg" style="width: 500px;" /></a></p> <p>AI Translated Subtitles提供多國語言翻譯，可確保溝通無障礙；</p> <p><a href="https://s4.itho.me/sites/default/files/images/Asus ExpertMeet3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Asus%20ExpertMeet3.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Asus ExpertMeet-AI Transalted Subtitles.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Asus%20ExpertMeet-AI%20Transalted%20Subtitles.jpg" style="width: 500px;" /></a></p> <p>Watermark能針對個人視訊會議畫面，套用自定的名片資訊與螢幕浮水印，提升人員對於機密與專業內容的保護意識。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Asus ExpertMeet4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Asus%20ExpertMeet4.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Asus ExpertMeet-Watermark1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Asus%20ExpertMeet-Watermark1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Asus ExpertMeet-Watermark2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Asus%20ExpertMeet-Watermark2.jpg" style="width: 298px;" /></a></p> <p>若想要啟動上述這些AI工具，以及調校系統效能與能源使用效率的工具，ExpertBook P5內建名為ExpertPanel的控制中心介面，使用者可在此開啟這些軟體執行。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Asus ExpertPanel1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Asus%20ExpertPanel1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Asus ExpertPanel2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Asus%20ExpertPanel2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Asus ExpertPanel3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Asus%20ExpertPanel3.jpg" style="width: 298px;" /></a></p> <p>在安全性特色的部分，華碩將這款筆電的相關配置稱為ExpertGuardian。不僅如先前預告，ExpertBook P5針對BIOS層級提供多種防護：安全啟動、獨立TPM晶片、遵循NIST SP 800-155標準，也提供長達5年的BIOS與驅動程式更新支援，並有免費的備份工具SafeGuard Backup，使用者能藉此以加密方式安全備份重要資料。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Asus ExpertGuardian.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Asus%20ExpertGuardian.jpg" style="width: 600px;" /></a></p> <p>而在端點資安防護軟體的搭配上，華碩與資安廠商McAfee合作，宣布ExpertBook P系列將預載個人電腦防護軟體McAfee+ Premium Individual Unlimited，可免費使用1年，若是美國、英國、澳洲用戶，還能免費使用<a href="https://www.mcafee.com/support/s/article/000002378?language=zh_TW">McAfee Deepfake Detector</a>為期1年，具備AI輔助的深偽詐騙偵測技術。</p> <p><a href="https://s4.itho.me/sites/default/files/images/McAfee Deepfake Detecor.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/McAfee%20Deepfake%20Detecor.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>華碩ExpertBook P5 (P5405)</strong></span><br /> ●原廠：華碩<br /> ●建議售價：41,900元起<br /> ●螢幕尺寸：14吋2560 x 1600<br /> ●處理器：Core Ultra 5為226V、228V（GPU均為Arc 130V，NPU均為40 TOPS），Core Ultra 7為258V（GPU為Arc 140V，NPU為47 TOPS）<br /> ●最大記憶體：32 GB LPDDR5X-8533<br /> ●最大硬碟容量：2 TB PCIe 4.0 SSD（可安裝512GB、1TB容量的SSD，可安裝1或2片M.2 SSD）<br /> ●續航力：3芯鋰離子電池，電池容量為63瓦時，28小時（Core Ultra 7 258V機型）<br /> ●機身尺寸：31.2 x 22.3 x 1.49公分<br /> ●重量：1.27公斤<br /> ●無線網路規格：Wi-Fi 6E（2025提供Wi-Fi 7網卡）、藍牙5.3</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/10/22 19:09作者李宗翰https://www.ithome.com.tw/review/165578
資安業者ESET以色列合作夥伴傳出遭攻擊，駭客企圖散布資料破壞軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10月18日資安業者ESET的研究團隊指出，<a href="https://x.com/ESETresearch/status/1847192384448172387">該公司以色列合作夥伴遭遇資安事故</a>，根據的初步調查，在10分鐘內有限的惡意郵件攻擊就遭到封鎖。ESET強調，他們並未遭到入侵，正積極與合作夥伴緊密合作，進一步調查此事。</p> <p>在上述的公告裡，ESET並未透露相關細節，我們進一步向該公司確認，他們表示這起事故主要的目標是以色列用戶，相關威脅已經成功攔截，而且不會對亞洲用戶造成影響。</p> <p>根據<a href="https://www.bleepingcomputer.com/news/security/eset-partner-breached-to-send-data-wipers-to-israeli-orgs/">資安新聞網站Bleeping Computer的報導</a>，這起資安事故<a href="https://forum.eset.com/topic/42733-government-backed-attackers-may-be-trying-to-compromise-your-device-email/">發生在10月8日</a>，帶有ESET商標的釣魚郵件從合法網域eset.co.il發送，ESET向該新聞網站透露，此網域為他們以色列經銷商Comsecure經營。</p> <p>這些釣魚郵件聲稱來自ESET進階威脅防禦團隊（ESET Advanced Threat Defense Team），國家級駭客打算對收信人的裝置下手，他們提供名為ESET Unleashed的工具來協助用戶因應。</p> <p>一旦收信人照做，就會取得ZIP檔案，其內容包含部分ESET防護軟體元件，以及偽裝成安裝程式（setup.exe）的資料破壞軟體（Wiper）。</p> <p>值得留意的是，根據郵件的SPF、DKIM、DMARC資料，這些郵件確實來自eset.co.il，而且，攻擊者也利用該網域代管上述ZIP檔案。這樣的情況，資安防護系統很有可能視為無害，不會進行攔截。</p> <p>網路資安專家Kevin Beaumont也<a href="https://doublepulsar.com/eiw-eset-israel-wiper-used-in-active-attacks-targeting-israeli-orgs-b1210aed7021">著手調查此事</a>，並印證Bleeping Computer的發現，他指出setup.exe採用多項手法迴避偵測，只能使用實際電腦觸發。研究人員提及，該資料破壞軟體採用勒索軟體「閻羅王（Yanluowang）」部分參數，但並未透露攻擊者是否與該勒索軟體駭客組織有關。</p> </div></div></div>
2024/10/22 17:51作者周峻佑https://www.ithome.com.tw/news/165629
勒索軟體Cicada3301鎖定VMware虛擬化平臺、NAS設備而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一般而言，勒索軟體的攻擊目標多半是Windows電腦，到了前幾年，陸續有駭客組織針對VMware虛擬化平臺ESXi開發Linux版勒索軟體，然而最近出現的新勒索軟體，更進一步做到可橫跨多個平臺運作，而引起研究人員的注意。</p> <p>資安業者Group-IB揭露從今年6月開始出沒的<a href="https://www.group-ib.com/blog/cicada3301/">新興勒索軟體Cicada3301</a>，3個月內已有30家企業組織遭受攻擊。特別的是，駭客以Rust打造勒索軟體，不只能在Windows、Linux電腦，以及VMware ESXi運作，罕見的是，網路儲存設備（NAS）、PowerPC架構的電腦，也無法倖免於難。</p> <p>這款勒索軟體採用ChaCha20及RSA演算法加密檔案，並具備其他同類作案工具的特質，包含同時使用多個處理器執行緒以加密檔案、能透過網路而在遠端運作，並能指定加密部分檔案、終止處理程序，以及在加密前清除磁碟區陰影複製服務備份、系統還原點、資源回收筒檔案。</p> <p>此外，該勒索軟體還能終止虛擬化平臺的運作，不僅能用於前述的VMware ESXi，還能對微軟Hyper-V出手，將虛擬機器（VM）關機。</p> <p>研究人員成功入侵該勒索軟體部分附屬組織並著手調查，指出經營者採取相當複雜的制度，駭客在RAMP駭客論壇尋找滲透測試員與初始管道掮客，必須通過小型面試才能成為附屬成員，而且，一旦成功收到贖金，成員將能獲得20%獎勵。附帶一提的是，他們嚴格禁止成員攻擊獨立國家國協（CIS）的企業組織。</p> <p>此批駭客攻擊的目標，大多集中在美國和英國，但義大利、丹麥、瑞士、阿拉伯聯合大公國（UAE），日本也出現事故；從企業組織的產業類型來看，攻擊者似乎較為偏好房仲業者、金融服務、製造業、專家服務。</p> </div></div></div>
2024/10/22 15:36作者周峻佑https://www.ithome.com.tw/news/165625
5家雲端儲存平臺存在弱點，攻擊者可趁機濫用、洩露敏感資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來全程加密（End-to-End Encryption，E2EE）受到重視，除了有許多即時通訊軟體採用，也有部分雲端檔案共享服務跟進強化資料安全，然而，有研究人員指出，這些雲端檔案共享平臺存在弱點，而有可能遭到利用。</p> <p>研究人員Jonas Hofmann、Kien Tuong Truong與蘇黎世聯邦理工學院應用密碼學團隊聯手，<a href="https://brokencloudstorage.info/">針對Sync、pCloud、Icedrive、Seafile、Tresorit等5家採用E2EE的檔案共享平臺進行分析</a>，結果發現其伺服器組態設定存在漏洞，攻擊有機會用來隨意讀取、竄改、注入資料，研究人員認為，這樣的弱點很有可能會被國家級駭客盯上，破壞伺服器並對用戶下手。</p> <p>針對這次的發現，他們先後在4月下旬、9月底向這些業者通報，目前僅有Seafile於4月29日表明將著手處理，Icedrive、Tresorit也確認研究人員的通報電子郵件，但Icedrive決定不予處理；其餘2家業者尚未回應此事。</p> <p>研究人員指出，這些漏洞的嚴重程度不盡相同，在大部分的情況下，攻擊者能藉由自己控制的惡意伺服器注入檔案、竄改資料，甚至能夠直接存取明文資料。他們強調，利用這些弱點進行攻擊的手法並非都很複雜，未必要精通密碼學才能達成；而且，不需大量資源就能發動攻擊。</p> <p>為何會存在加密也防不了的弱點？有些雲端儲存平臺的問題在於上傳檔案的過程有機可乘，有的是密碼安全性不足，有的是檔案共用密鑰被假冒。其中Sync、pCloud、Icedrive是攻擊者能透過惡意伺服器破壞上傳檔案的機密性、完整性，從而注入檔案、竄改內容，而Seafile則是讓攻擊者能加速暴力破解使用者密碼，來達到注入檔案或竄改內容的目的。</p> <p>至於Tresorit的部分較為特別，攻擊者能在共用檔案的過程中，提供偽造密鑰，並竄改特定的中繼資料（Metadata）。</p> <p>研究人員針對導入E2EE的雲端檔案共享服務已有先例，2022年6月蘇黎世聯邦理工學院研究人員揭露Mega弱點，有可能破壞用戶資料的機密性、完整性；今年4月，倫敦國王學院和蘇黎世聯邦理工學院聯手，公布攻擊NextCloud的E2EE機制3種手法。</p> </div></div></div>
2024/10/22 16:45作者周峻佑https://www.ithome.com.tw/news/165628
中國駭客APT41鎖定賭博、遊戲產業發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近中國駭客的攻擊行動頻頻，其中最惡名昭彰的APT41（又稱Winnti、Earth Baku、Brass Typhoon），有研究人員揭露長達9個月的攻擊行動，公布這些駭客隱密的手法供防守方參考。</p> <p>資安業者Security Joes揭露<a href="https://www.securityjoes.com/post/the-silent-game-sophisticated-threat-actors-targeting-gambling-industry">APT41最新一波攻擊</a>，這些駭客鎖定一家賭博及遊戲業者，在維持秘密的行動下，企圖接管整個網路基礎設施，他們採取多階段攻擊，為期接近9個月，光是偵察活動花上半年，而在活動當中，駭客還根據受害公司資安團隊的回應調整工具。研究人員認為，上述活動，可能與資安業者Sophos揭露的<a href="https://www.ithome.com.tw/news/163333">Operation Crimson Palace攻擊</a>有關。</p> <p>這波攻擊行動如何進行？研究人員目前無法確定駭客初始入侵的管道，但根據採集到的證據與過往該組織曾經運用的手段，研判可能藉由網路釣魚得到初期的存取權限，等到成功進入受害組織的基礎設施，就會執行DCSync攻擊，企圖取得服務及管理帳號的密碼雜湊資料，從而控制整個網路環境以便持續活動。</p> <p>值得一提的是，駭客似乎沒有對網際網路的網頁應用程式下手，也沒有發動供應鏈攻擊的跡象。</p> <p>但特別的是，這些駭客在完全控制網域之後，並非選擇直接發動攻擊（如加密檔案、竊取資料），而是測試各種攻擊策略，然後觀察受害組織資安團隊的反應，若是行跡敗露，駭客就會停止活動一段時間，更換工具及新的戰術、技巧、流程（TTP），再度從事攻擊活動。這樣的做法如同實際的紅隊及藍隊演練，不只是從網路環境及設備持續收集情報，還會根據防守方的反應、不斷調整使用的工具。</p> <p>在這起資安事故發生的過程裡，至少有3次試圖於多臺主機提升權限的跡象，目的都是下載有效酬載並執行，做法卻存在顯著差異。</p> <p>在前2次活動裡，攻擊者利用Ghost DLL Hijacking手法執行惡意程式碼，而這些程式碼以加密檔案存放於磁碟，然後透過Windows服務SessionEnv及自製的DLL檔案解密及載入。</p> <p>攻擊者試圖散布DLL檔案TSVIPSrv.dll，並藉此執行Phantom DLL Hijacking手法，藉由視窗作業系統直接載入惡意程式碼，從而迴避資安系統的偵測。一旦電腦的SessionEnv服務啟動，這些惡意程式碼就會執行，充當惡意程式載入工具，然後透過SMB協定傳輸檔案。</p> <p>到了第3回出現變化，駭客利用公用程式WMIC進行寄生攻擊（LOLBins），執行內含重度混淆JavaScript程式碼的XSL檔案。</p> <p>在這3次滲透的過程當中，也被研究人員找到一個共通點，那就是攻擊者濫用具有管理者權限的服務帳號來進行，但即便他們掌握高權限，還是選擇投入時間進行測試與微調手法。</p> </div></div></div>
2024/10/22 12:52作者周峻佑https://www.ithome.com.tw/news/165606
微軟將在下個月公開預覽Copilot Studio的自動化代理自製功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在周一（10/21）於英國舉行的AI Tour上<a href="https://www.microsoft.com/en-us/microsoft-copilot/blog/copilot-studio/unlocking-autonomous-agent-capabilities-with-microsoft-copilot-studio/" target="_blank">宣布</a>，即將於下個月解鎖Copilot Studio的客製化自動化代理功能，以讓開發者能夠自行打造自動化的AI代理工具（Autonomous Agent），其公開預覽版將隨著11月19日展開的Microsoft Ignite 2024釋出。</p> <p>微軟是在2023年5月的Build大會上首度發表Copilot Studio，這是一個基於圖像介面與低程式碼開發的平臺，方便使用者建置客製化的AI代理工具，它代管了軟體即服務（SaaS）架構、AI模型、低程式碼的開發介面，以及數千個預建的連結器，亦整合個人、企業與分析資料，透過Copilot Studio打造的AI代理工具可發布到Copilot、網頁或使用者的應用中。</p> <p>初期的Copilot Studio主要用來打造回應式的AI代理工具，需要人為觸發才會執行動作，而打造自動化AI工具的功能目前則仍處於私人預覽階段，預計於下個月邁入公開預覽。微軟去年已利用Copilot Studio建置支援Microsoft 365的<a href="https://www.microsoft.com/en-us/microsoft-365/blog/2023/11/15/announcing-microsoft-copilot-studio-customize-copilot-for-microsoft-365-and-build-your-own-standalone-copilots/" target="_blank">AI工具</a>，本周則<a href="https://blogs.microsoft.com/blog/2024/10/21/new-autonomous-agents-scale-your-team-like-never-before/" target="_blank">宣布</a>，已利用Copilot Studio來打造支援Dynamics 365的10種自動化AI工具。</p> <p>根據微軟的統計，自引進生成式AI與Microsoft Copilot以來，每月已有210萬使用者與Copilot互動。微軟認為使用者應可將Copilot當成自己的私人助理，而代理工具則是代表一個企業或程序且自動運作的專家系統，企業的每個員工應該都擁有自己的Copilot，而且受到許多代理工具的支持。</p> <p>其實微軟內部也使用了Copilot與代理工具來重新定義每個職位的業務流程，讓業務團隊的每個業務平均多成交了近20%的交易，增加了9.5%的營收；解決客戶問題的速度快了12%；行銷團隊利用Copilot將Azure.com上的轉化率提高了21.5%。</p> <p>在微軟替Dynamics 365打造的10個自動化代理工具中，有一個是銷售資格代理工具（Sales Qualification Agent），負責研究潛在客戶與促銷的優先順序；以及與供應商交流的Supplier Communications Agent，也負責追蹤與監控供應商的交貨時程；以及理解客戶意圖的Customer Intent Agent與客戶知識管理Customer Knowledge Management Agent，結合這兩個代理工具將能大幅提升客服效率及改善服務品質。</p> <p>全球主要的客戶關係管理（CRM）服務供應商Salesforce也在今年9月發表了基於AI的<a href="https://www.salesforce.com/au/news/press-releases/2024/09/12/agentforce-announcement/" target="_blank">Agentforce</a>，亦集結了關乎服務、銷售、行銷與商務的各種自動化AI代理工具。</p> </div></div></div>
2024/10/22 14:35作者陳曉莉https://www.ithome.com.tw/news/165609
GovTech月報第34期：未來5年國內超級電腦總算力可望達280PFlops；美國開放臉部辨識登入聯邦政府服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0921~1021)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">超級電腦</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p dir="ltr" style="line-height:1.38;margin-top:0pt;margin-bottom:0pt;"><span style="font-size:22px;"><strong>國網中心揭露未來5年超級電腦藍圖，擬以總算力280PFlops提升我國競爭力</strong></span></p> <p>國網中心近期在一場活動中說明我國超級電腦發展藍圖，除了今年7月啟用的CPU架構超級電腦「創進一號」之外，為趕上AI算力需求，未來5年將陸續打造新的超級電腦，總算力合計達到280PFlops。</p> <p>根據其規畫，2024到2025年之間將打造2座GPU架構新超級電腦，分別提供16PFlops及100PFlops的算力，其中提供100PFlops算力的AI超級電腦，將搭載總數1,680個GPU，搭配25PB的儲存空間、200Gbps的InfiniBand高速網路，可望使我國超級電腦的全球500大超腦的排名在前20大。</p> <p>接下來在2026到2027年間再打造2座超級電腦，採用CPU及GPU混合架構，算力分別達到35PFlops及80PFlops，2028年整合量子運算，使超級電腦整體算力達到280PFlops。國網中心也計畫擁抱雲端架構，打造雲端平臺提供容器化的運算資源，第一階段先以GPU主機，提供大型語言模型、大型科學研究使用，第二階段再發展雲端AI主機，以滿足高效能運算需求。</p> <p>除了國網中心主導的超級電腦建置案，國科會也推動大南方計畫，2029年也將在臺南沙侖建置算力達200PFlops的AI超級電腦。因應AI應用帶動的算力需求增加，不只是政府主導超級電腦，民間業者也啟動相關的計畫，除了先前算力為22PFlops的Nvidia Taipei-1超級電腦之外，日前鴻海科技日也計畫和Nvidia聯手，在高雄打造算力超過90 EFlops的超級電腦。</p> <p>下圖為今年7月上線的CPU架構超級電腦創進一號，效能達到3.5 Petaflops：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%89%B5%E9%80%B2%E4%B8%80%E8%99%9F1-600.jpg" style="width: 600px; height: 331px;" /></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">臉部辨識</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>美國開放使用者以臉部辨識登入聯邦政府服務</strong></span></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"> </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96-600.jpg" style="width: 600px; height: 372px;" /></p> <p>美國總務管理局（U.S. General Services Administration）的登入網站Login.gov單一登入服務，近期開放使用者以自拍照，通過臉部辨識登入系統，符合美國聯邦政府的高確認性身分驗證標準。</p> <p>GSA強調採用符合NIST SP 800-63的身分確認等級Level 2（IAL 2）的生物特徵辨識技術，以通過身分驗證登入，並強調不會一對多（one to many）臉部辨識，對資料庫中的其他人進行比較，且對使用者所提交的照片不會用於其他用途。GSA還指出，將繼續保留既有的身分識別方法，以及符合IAL 2的生物特徵辨識方法。</p> <p>使用者採用此一新方法進行身分驗證時，依要求用手機自拍臉部照片，以和帶有照片的身分證件進行比對。GSA表示，使用者通過身分驗證是獲得政府福利及服務的第一步，透過此方式希望提供使用者安全且便利的登入方式，同時避免身分盜用及詐欺行為。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位發展部</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><strong><span style="font-size:22px;">數位部擬編列190億元預算分5年推動政府機關導入AI</span></strong></p> <p>數位部近期在立法院報告時說明，目前正在規畫政府AI發展計畫，預計從2026年開始的5年，編列190億元預算，以協助公務機關導入AI，包括智慧化為民服務、提升公務作業效率等等。</p> <p>數位部表示，目前5年期的政府AI發展計畫已送交行政院審核，該計畫訂定5大戰略目標，包括發展智慧化為民服務、建構自動化行政服務、完備AI資料與模型、打造數位平權智慧服務，以及厚植AI應用基礎環境。其中為智慧化的為民服務，將提供新的政府便民服務體驗，鼓勵機關發展智慧客服，讓民眾在AI的協助下獲取政府服務；另外，數位部也計畫引導公務機關應用AI，提高行政作業的自動化，以提升公務作業的效率。</p> <p>為了培養公務人員具備AI認知及技能，行政院人事行政總處表示，透過舉辦高階人才AI共識營、AI實務種子人員課程、公務員AI通識課程、AI工作坊、機關AI應用競賽等方式，促進基層到高階公務人員學習相關的知識、技能。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">CBDC</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">金融</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>俄羅斯央行揭露可能於明年7月廣泛推動數位盧布</strong></span></p> <p>俄羅斯政府規畫推動的CBDC央行數位貨幣政策，在過去幾年擴大試辦之下，俄羅斯央行近期在一項活動中透露俄羅斯的數位貨幣推動最新進展，並預告可能在2025年7月廣泛推動數位盧布。</p> <p>俄羅斯央行是在2021年宣布，與12家銀行聯手展開CBDC數位貨幣初步測試規畫，隨後在2022年宣布已有2家銀行完成個人間的數位貨幣轉帳周期，俄羅斯央行希望參與的銀行業者可以分階段測試處理數位盧布的交易，而參與測試的除了銀行業者，尚包括民眾及企業，參與測試的民眾已增加至9千人，參加的企業則從原來的22家增加至1200家。</p> <p>俄羅斯央行正在提供相關的軟體，以協助銀行將行動程式和數位盧布平臺相整合。根據該國央行的計畫，其數位貨幣會透過類似於俄羅斯快速支付系統（SBP）的QR Code來進行操作，允許使用者在手機上作跨行轉帳。俄羅斯希望建立SBP及數位盧布交易適用的QR Code標準。</p> <p>俄羅斯推動CBDC相當積極，除了因應國際上的金融科技趨勢，另一個原因是因為俄烏戰爭受到國際經濟制裁，該國迫切建立不依賴國際的數位支付工具。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">教育</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>英國政府投資發展AI工具，要讓AI生成教材、課程規畫減輕老師教學負擔</strong></span></p> <p>英國政府近期宣布一項AI的教育應用，將投入400萬英鎊，以政府文件來訓練AI工具，讓AI產生客製化課程，並且標記學生的作業，來減輕老師教學上的負擔。</p> <p>傳統上，老師的課程之外，還需要處理許多工作，例如規畫課程、準備教材、管理考核學生的學習成果等等，英國政府則希望讓AI工具輔助老師的工作，例如產生教材、課程指引，讓老師能專注在教學授課上，減輕他們的工作負擔。</p> <p>該專案的規畫之一是建立內容商店，專門存放教學文件，例如課程計畫、教學評估工具，讓開發人員可以存取這些資料發展出準確、具有上下文脈絡教材的模型，協助教師標註、評估學生學習成果，由AI產生課程計畫、客製化。</p> <p> </p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">臉部辨識</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>新竹縣政府導入人臉辨識差勤系統，1秒可辨識市府員工身分</strong></span></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"> </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/5-600.jpg" style="width: 600px; height: 400px;" /></p> <p>新竹縣政府強化智慧治理，近期導入人臉辨識技術，取代傳統的電腦打卡方式，讓市府員工上、下班可以在特定地點透過人臉辨識，1秒完成臉部辨識，相較傳統的打卡制度，透過人臉辨識快速驗證市府員工的身分。</p> <p>過去縣府差勤系統為採用電腦打卡的模式，員工到達辦公室後，打開電腦登入系統後打卡，約需要3到5分鐘不等的時間，新竹縣政府導入臉部辨識系統，1秒內完成臉部辨識，即使員工戴著口罩，也不需脫下口罩就能完成辨識，人臉辨識結合線上差勤系統，讓縣府方便管理員工出勤狀態，縣府強調透過設備的安全性、數據加密，強化資訊安全。</p> <p>新竹縣政府在各出入口導入臉部辨識設備10臺，9月正式推動臉部辨識打卡後，單日平均使用次數達1,600人次。</p> <p>在此之前，苗栗縣政府今年7月在員工差勤系統全面導入臉部辨識技術，為應付上下班尖鋒時間員工打卡需要，苗栗縣政府共部署10臺臉部辨識設備，後端結合人事差勤系統，縣府結合臉部辨識及差勤系統，匯入員工的出、缺勤資料，強化員工出勤狀態的管理。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">防救災</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>彰化縣啟用AI防救災系統，可自動辨識火、水災及交通事自動向消防單位發送預警</strong></span></p> <p>為提升防救災能量，彰化縣政府去年和三個縣市消防局共同合作，規畫發展智慧化防救災工作，在完成開發及測試之後，近期彰化縣政府消防局啟用AI防救災系統，「AI精準消防-防災影像辨識預警及救災任務語音紀錄」，可利用AI自動辨識監控影像，辨識火災、水災、交通事故，提高防救災效率。</p> <p>傳統的救災救護工作，多仰賴民眾發現後通報給消防單位，如果災難發生地點位於偏遠地區，或是人跡活動較少的深夜及清晨時段，往往延誤防救災的黃金時間，可能導致災情擴大、人員傷亡、延誤送醫，這套AI防救災系統，可以AI協助辨識監控影像，當辨識出水災、火災或發生交通事故，自動發送警示給119勤務指揮中心，讓值勤人員審視監控影像畫面後，根據發生地點，調派防救災人員抵達現場，從被動等待民眾通報，到主動發現災害、事故進行防救災工作。</p> <p>另外，在大型救災現場，可能有上百臺無線電共用同一頻段，救災人員通過無線電溝通救災工作，資訊量相當龐大，這套系統也可以AI監聽現場無線電通訊內容，產生逐字稿予以紀錄，並由生成式AI協助整理救災任務重點，存放於資料庫，事後自動產生任務報告。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%98%B2%E7%81%BD%E5%BD%B1%E5%83%8F%E8%BE%A8%E8%AD%98%E9%A0%90%E8%AD%A6%E5%8F%8A%E6%95%91%E7%81%BD%E4%BB%BB%E5%8B%99%E8%AA%9E%E9%9F%B3%E7%B4%80%E9%8C%84%E6%9C%8D%E5%8B%99%E6%B5%81%E7%A8%8B-600.jpg" style="width: 600px; height: 337px;" /></p> <p> </p> <p>圖片來源／國研院、GSA、新竹縣政府、彰化縣政府</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.美維吉尼亞州成立AI工作小組，推動州政府AI政策</strong></p> <p><strong>2.波特蘭機場航站重新啟用，TSA安全檢查站導入臉部辨識技術</strong></p> <p>資料來源：iThome整理，2024年10月</p> </div></div></div>
2024/10/22 15:01作者蘇文彬https://www.ithome.com.tw/news/165603
Stripe買下穩定幣基礎設施業者Bridge
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年才成立的穩定幣基礎設施業者Bridge在周一（10/21）<a href="https://x.com/Stablecoin/status/1848390039975469094" target="_blank">宣布</a>，已賣給了線上支付服務供應商Stripe。TechCrunch編輯Margaux MacColl則<a href="https://x.com/arrington/status/1848060479727435967" target="_blank">揭露</a>，該交易價值11億美元。</p> <p>根據Bridge官網上的<a href="https://www.bridge.xyz/" target="_blank">說明</a>，該公司所打造的是一個全新的支付平臺，建構在穩定幣上，以簡化全球的資金流動。所描述的<a href="https://www.bridge.xyz/#secSolution" target="_blank">解決方案</a>包括可在幾日內整合穩定幣支付，以於各大洲之間移轉資金；快速將本地貨幣轉為穩定幣，以簡化及加速全球財務運作；於國際上支付穩定幣，替承包商、企業或其他人提供經濟實惠的選項；它也支援用戶以美元及歐元存款與支付，並以Bridge所發行的金融卡於當地消費或轉帳。</p> <p>SiliconANGLE<a href="https://siliconangle.com/2024/10/21/stripe-acquires-stablecoin-infrastructure-startup-bridge/" target="_blank">分析</a>，Bridge的興起有賴於許多企業需要處理數位支付，但這些企業一來缺乏技術資源，二來還必須面對龐雜的金融法規與安全要求，Bridge簡化了企業導入穩定幣應用的流程。</p> <p>Bridge表示，在該公司於18個月以前成立之後，全球主要的金融機構Visa和SWIFT也開始支援穩定幣；隨後幾家跨境支付業者整合了Bridge API，證明了穩定幣可讓全球資金的流動更快，也更便宜；接著Bridge還與政府機構合作以支付援助款項，支持拉丁美洲的數千名一線工作人員；然後Bridge便建立了虛擬帳戶功能，以與Dolar App及Chipper Cash等金融科技整合，並讓全球的消費者與企業能夠持有與支付美元。</p> <p>Bridge認為上述的使用案例都證實了穩定幣可以成為全球資金流動的核心基礎設施，此一轉變並非是因為消費者或企業想要加密貨幣，而是因為穩定幣解決了關鍵的金融問題，包括方便轉移，以及持有及匯款的成本較低。</p> <p>至於Stripe則尚未對外說明此一交易，雙方預計於未來幾個月完成交易。</p> </div></div></div>
2024/10/22 13:43作者陳曉莉https://www.ithome.com.tw/news/165607
Windows 11 24H2安裝問題導致BSOD，微軟暫停對兩款華碩筆電部署更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟近日開始將Windows 11 24H2部署到部分用戶裝置上，但兩款華碩筆電近日在安裝後發生藍色死亡螢幕（Blue Screen of Death，BSOD），微軟已暫停部署。</p> <p>微軟周末透過官網<a href="https://learn.microsoft.com/en-us/windows/release-health/status-windows-11-24h2#some-asus-devices-might-fail-to-install-windows-11--version-24h2" target="_blank">說明</a>，一些華碩裝置，特別是<a href="https://www.asus.com/tw/laptops/for-home/all-series/asus-x415/" target="_blank">X415KA</a>和<a href="https://www.asus.com/tw/laptops/for-home/all-series/asus-x515/" target="_blank">X515KA </a>機型發生系統無法完成更新，原因是電腦發生BSOD。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1022-Some%20ASUS%20devices%20might%20fail%20to%20install%20Windows%2011-version%2024H2.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片擷取自微軟官網</span></span></p> <p>經過和華碩合作，初步調查本情形出於更新版和電腦特定硬體元件的相容性問題。微軟已經暫停這些機型的更新，使用者將暫時無法在Windows Update通道接獲並安裝Windows 11。使用Windows Update for Business報告的企業IT人員則可以安全代碼54157480檢查此問題。</p> <p>微軟和華碩目前正在合作解決，有進展時會再公布，微軟也建議用戶在問題解決前，不要以Windows 11 Installation Assistant（安全助理）或安裝光碟安裝。</p> <p>不過一些用戶可能很著急，因為Windows 11 21H2（Enterprise、Education與IoT Enterprise）及22H2（Home與Pro版）都已在10月8日<a href="https://www.ithome.com.tw/news/163844" target="_blank">終止支援</a>。</p> <p>兩周前，微軟也<a href="https://learn.microsoft.com/en-us/windows/release-health/status-windows-11-24h2" target="_blank">公告</a>24H2更新已因相容性問題，造成安裝某些應用程式的電腦小則軟體當機，大則電腦BSOD，包括防遊戲作弊程式Anti-Cheat、指紋辨識感測器、線上測驗程式Safe Exam Browser及混音程式Voicemeeter。</p> </div></div></div>
2024/10/22 14:03作者林妍溱https://www.ithome.com.tw/news/165608
高通發表支援生成式AI的全球最快手機晶片Snapdragon 8 Elite
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>高通（Qualcomm）在本周舉行的Snapdragon高峰會（Snapdragon Summit）上，<a href="https://www.qualcomm.com/news/releases/2024/10/qualcomm-unveils-snapdragon-8-elite-with-the-world-s-fastest-mob" target="_blank">發表了</a>新一代的Snapdragon 8 Elite行動平臺，它採用了原本應用在個人電腦的Oryon CPU，先進的Adreno GPU，以及Qualcomm Hexagon神經網路單元（NPU），CPU性能是前一代的45%。Android Authority採用GeekBench 6<a href="https://www.androidauthority.com/snapdragon-8-elite-benchmarks-3492368/" target="_top">進行基準測試</a>，顯示Snapdragon 8 Elite的多核性能超越了蘋果的iPhone 16 Pro。</p> <p>根據高通的<a href="https://www.qualcomm.com/content/dam/qcomm-martech/dm-assets/images/company/news-media/media-center/press-kits/snapdragon-summit-2024/day-1/documents/Snapdragon8EliteProductBrief.pdf" target="_blank">產品介紹</a>，Snapdragon 8 Elite的CPU尖峰時脈為4.32 GHz，CPU效能提升了45%，電池效率改善了44%，是行動產業最大的共享快取，可提供飛快的資料檢索，且其整體耗電可節省27%，延長2.5小時的遊戲時間。</p> <p>Snapdragon 8 Elite也強調其生成式AI能力，包括已受到許多AI模型的支援；支援全球最大的生成式AI模型生態體系；支援更長的Token輸入；利用Qualcomm Sensing Hub來理解個人化脈絡，以讓多模態生成式AI助理得以提供最符合需求的建議；快了45%的Qualcomm Hexagon，以及每瓦特的性能改善都讓它能更好地處理AI任務。</p> <p>而由AI驅動的AI ISP（Image Signal Processor）帶來了各種AI技術，Limitless Segmentation能夠識別並分割圖像，以分別強化它們，從人臉、頭髮、衣服、物件到背景等；而Real-time Insight AI則能在嚴苛的條件下捕捉與強化自然的皮膚及天空色調；Video Object Eraser則能用來刪除影片中不必要的元素。</p> <p>Android Authority利用GeekBench 6比較了Snapdragon 8 Elite與Snapdragon 8 Gen 3、iPhone 16 Pro、Samsung Galaxy S24 Ultra及Google Pixel 9 Pro XL的差異，發現它除了在單核測試中輸給了iPhone 16 Pro之外，其它評測都明顯領先，包括在多核測試中領先iPhone 16 Pro。iPhone 16 Pro搭載的是蘋果自行開發的A18 Pro處理器。</p> <p>而包括華碩、Honor、iQOO、OnePlus、OPPO、RealMe、三星、Vivo及小米等業者，都準備在未來幾周推出採用Snapdragon 8 Elite的裝置，其中，外傳華碩即將在下個月正式發表搭載Snapdragon 8 Elite的電競手機系列ROG Phone 9。</p> </div></div></div>
2024/10/22 11:30作者陳曉莉https://www.ithome.com.tw/news/165604
IBM開源Granite 3.0 8B、2B系列多個模型，強調效能優於大其10倍的競爭模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IBM周一<a href="https://newsroom.ibm.com/2024-10-21-ibm-introduces-granite-3-0-high-performing-ai-models-built-for-business" target="_blank">公布</a>其大型語言模型（large language model，LLM）Granite 3.0版多個版本及工具，涵括護欄能力、邊緣運算及高效能型，後者效能超越Google及Alibaba等公司10倍大的競爭模型。</p> <p>這是IBM繼5月Granite系列首次<a href="https://www.ithome.com.tw/news/163056" target="_blank">亮相</a>後，Granite系列最新成員。本次釋出的Granite 3.0有11個，主要有8B與2B版本，分成4種用途類型。第一是密集、通用LLM，Granite 3.0 8B及Granite 3.0 2B各有Instruct及Base版本，共4模型。第二有4模型，是輸出－輸入護欄（guardrail）模型，Granite 3.0 Guardian 8B與Granite 3.0 Guardian 2B，Instruct及Base版本各一，可提供護欄能力，確保回應內容安全和可信賴。</p> <p>第三類有2個，為現最小延遲性的專家混合（mixture of expert，MoE）模型，Granite 3.0-3B- A800M-instruct及Granite 3.0-3B- A400M-instruct，適合在CPU為底層的環境及端點運算執行。第四類是1個新的時間序列（Time Series）模型Granite-3.0-8B-Instruct-Accelerator，為提升推論速度和效率的推測解碼器，適合零／少量樣本預測，效能超過10倍大的模型。</p> <p>Granite 3.0版是以來自12種自然語言及116種程式語言文本，超過12兆字詞，運用二階段訓練方法，並結合數千項以提升資料品質、資料選擇及訓練參數訓練而成。預計到年底Granite 3.0 8B及2B模型可支援128K脈絡長度及多模態文件理解能力。</p> <p>IBM指出，許多企業資料卻仍未善用，結合小型Granite及企業資料有助於發揮企業資料的價值，Granite模型結合了IBM和RedHat 5月開源的一致化技術<a href="https://research.ibm.com/blog/instruct-lab" target="_blank">InstructLab</a>，可以更少的成本獲致大型模型的效能，估計成本可省3倍到23倍。</p> <p>Granite 3.0 8B和2B LLM可供企業執行大負載任務的模型，以高效能支援擷取增強生成（retrieval augmented generation，RAG）、分類、重點摘要、實體擷取等任務。這些模型允許以企業資料微調，整合到各種企業環境或工作流程中。</p> <p>IBM同時也公開Granite為底層的Code Assistant（程式撰寫助理）提供給一般程式開發用途，這項工具可在watsonx.ai平臺用以開發和部署AI應用及代理程式。</p> <p>IBM已將整個Granite 3.0模型系列都以Apache 2.0授權在<a href="https://huggingface.co/ibm-granite" target="_blank">Hugging Face</a>供下載。其中Granite Guardian 3.0 8B和2B已上架IBM watsonx平臺供商業用途。部份Granite 3.0模型可作為Nvidia NIM微服務推出，或在Google Cloud Vertex AI Model Garden上架。並有一些Granite 3.0模型透過Ollama和Replicate平臺提供給開發人員。</p> </div></div></div>
2024/10/22 12:19作者林妍溱https://www.ithome.com.tw/news/165605
資拓宏宇與 Cequence 攜手即日起在台灣提供業界領先的 API 保護和機器人管理服務
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資拓宏宇為國內資通訊系統整合領導廠商，日前宣布與 API 安全性與機器人管理的先驅，Cequence 展開全新合作，為台灣的客戶提供領先業界的 Unified API Protection 平台 ( UAP ) 與相關服務。</p> <p>API 是現代數位生態系統的骨幹，支撐無數的交易和互動。儘管 API 扮演關鍵角色，API 安全性卻往往未受到足夠重視。傳統的安全措施雖然必要，但不足以應對 API 本身的獨特漏洞。透過這次合作，Cequence 和 IISI 將協助企業超越合規標準，全面應對 OWASP Top 10 漏洞，保障數位資產和敏感數據的安全。</p> <p>「保護客戶的敏感數據和防止業務中斷是我們的首要任務。」Cequence 的執行長 Ameya Talkwalkar 表示。「我們與資拓宏宇的策略性合作，是我們進軍台灣市場的一大進展，使我們能為更多客戶提供先進的 API 安全性和機器人管理解決方案。Cequence 與資拓宏宇將共同提供無與倫比的API安全保護方案，幫助企業抵禦新興威脅，確保業務持續順利運行。」</p> <p>資拓宏宇資訊安全服務事業部副總經理吳黎權表示:「我們與 Cequence 的合作，是結合了專業知識、先進的技術能力以及成熟的商業模式的強大聯盟，致力於提供台灣區客戶全面且強健的 API 安全解決方案。」，同時加上資拓宏宇對創新、誠信和卓越服務的承諾，我們將共同開發最終的 API 安全解決方案並提供服務，幫助客戶抵禦先進的 API 攻擊。</p> <p>Cequence Security 的 UAP 平台針對 API 安全生命周期的每個階段提供全面解決方案，包括：</p> <ul> <li> <p><strong>發現API 攻擊</strong><strong>:</strong> 揭示威脅行為者的策略，提供最新的 API 攻擊面視圖，並針對風險進行優先處理，實現無摩擦的安全。</p> </li> </ul> <ul> <li> <p><strong>API </strong><strong>安全態勢管理</strong>: 通過評估整體 API 資產的風險，確保合規，並主動檢測與修復代碼錯誤，保護 API。</p> </li> </ul> <ul> <li> <p><strong>機器人攻擊管理和詐欺預防</strong>: 保護企業免於各類機器人攻擊，防止數據遺失、竊取與詐騙，減少停機時間、品牌損害、錯誤的銷售分析以及基礎設施成本的增加。</p> </li> </ul> <p>隨著 AI 的影響力擴大，對於先進的 API 安全性與機器人管理需求也愈發迫切。Cequence 站在這場演變的前沿，持續提升其 UAP 平台，無論是在雲端、內部佈署還是混合環境中，在保護 AI 應用方面，其防護面向是參照OWASP 對於 LLM 的安全建議。Cequence 的創新之處在於其 AI 的使用，不僅僅是防禦一般威脅，還主動針對 AI 應用的特定風險進行預防與中和。這種前瞻性的方式將重新定義 AI 安全標準，並顯著推動整體網絡安全領域的進步。</p> <p><strong>關於 Cequence Security</strong></p> <p>Cequence 作為 API 安全和機器人管理的先驅，是業界唯一提供 Unified API Protection (UAP) 的解決方案的廠商，統合了內部和外部 API 的發現，確保合規與保護，以防止攻擊、針對性濫用和詐欺行為。其靈活的部署模型支持 SaaS、內部部署和混合安裝，且 API 可在 15 分鐘內完成上線，無需應用程式嵌入、SDK 或 JavaScript 集成。Cequence 的解決方案能夠處理最苛刻的政府機構、世界 500 強和全球 500 強企業的需求，保障每天超過 80 億次的 API 互動，並保護超過 30 億個使用者帳戶。了解更多。更多訊息請造訪<a href="https://www.iisigroup.com/Product/Cequence">https://www.iisigroup.com/Product/Cequence</a>。</p> <h3><span style="color: rgb(59, 89, 152);"><strong>資拓宏宇官網：</strong></span><a href="https://www.iisigroup.com/"><span style="color: rgb(59, 89, 152);">https://www.iisigroup.com/</span></a></h3> <h3><strong><span style="color: rgb(59, 89, 152);">業務聯絡窗口</span></strong><span style="color: rgb(59, 89, 152);"><strong>：</strong></span><a href="mailto:[email protected]"><span style="color: rgb(59, 89, 152);">[email protected]</span></a></h3> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/960420_xin_wen_gao_banner_cequence.jpg?itok=t5-9Zn1E" width="960" height="420" alt="" /></div></div></div>
2024/10/22 08:00機構署名廠商新聞稿https://www.ithome.com.tw/pr/165251
歐盟地區App Store商業應用開發者，即日起需提供交易者身分資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應歐盟頒布的《數位服務法》，<a href="https://developer.apple.com/help/app-store-connect/manage-compliance-information/manage-european-union-digital-services-act-trader-requirements/">Apple要求</a>在歐盟App Store發布應用程式的開發者必須提供交易者（Trader）身分資訊。這項變更已從10月17日開始實施，並要求所有開發者在2025年2月17日前完成交易者身分認證，否則應用程式將會從歐盟地區的App Store下架。</p> <p>《數位服務法》是歐盟為了提升網路平臺透明度和保護消費者權益制定的規範，專門針對諸如Apple、Google和Meta這類大型數位平臺和市場。該法的要求之一，平臺必須公開在其上從事商業活動的交易者資訊，讓消費者清楚識別其所購買的產品或服務的供應商身分，這些資訊包括交易者的地址、電話號碼和電子郵件。藉由這項規定，歐盟目的是要提高消費者對網路交易的信任，同時減少平臺上非法和不透明行為。</p> <p>而為了符合《數位服務法》的要求，Apple要求開發者從10月17日起，在App Store Connect提交新應用或是更新應用程式時，需要確認其交易者身分。如果開發者屬於交易者，則開發者也需要提供聯絡資訊，諸如地址、電話和電子郵件，這些資訊將會直接顯示在應用程式的產品頁面上。</p> <p>官方強調，這些資訊僅提供顯示用途，並不會影響Apple Developer Program相關的註冊資料。所有在歐盟地區上架的應用程式，都必須要完成交易者身分驗證，否則將會在2025年2月17日後被移除。</p> <p>根據《數位服務法》的定義，交易者是指從事貿易、業務、工藝或是專業目的之自然人或是法人。也就是說，透過App Store從事商業活動的開發者，都可能被視為交易者，官方提供一些具體的衡量標準，例如開發者是否透過應用程式產生收入，是否向消費者進行產品或服務的宣傳和銷售，以及應用程式是否與開發者專業和業務活動有關等。</p> <p>不過，Apple也指出，如果開發者僅是愛好者，並且開發應用程式的目的並非商業化，則可能不會被視為交易者。該項規定對在歐盟地區發布應用程式的開發者產生廣泛的影響，個人開發者必須提供地址、電話號碼和電子郵件，組織則需要提交電話號碼和電子郵件，地址會由D-U-N-S編號關聯的資訊自動顯示。</p> <p>隨著《數位服務法》的正式實施，Apple積極調整其政策以符合法律規範，開發者應立即檢視交易者身分，確保在歐盟市場可以繼續發布應用程式，避免因未完成身分認證導致應用程式遭到移除。</p> </div></div></div>
2024/10/22 08:27作者李建興https://www.ithome.com.tw/news/165600