iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 11篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 11:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

GitHub將同時支援OpenAI、Google與Anthropic模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub周二（10/29）<a href="https://github.blog/news-insights/product-news/bringing-developer-choice-to-copilot/" target="_blank">宣布</a>，將於Copilot Chat中同時提供OpenAI的o1-preview與o1-mini，Anthropic的Claude 3.5 Sonnet，以及Google的Gemini 1.5 Pro供用戶選擇，同一天也發表了可完全利用自然語言建置應用程式的AI工具GitHub Spark。</p> <p>GitHub最早是在2021年與OpenAI<a href="https://www.ithome.com.tw/news/145340" target="_blank">聯手</a>，利用OpenAI開發的Codex人工智慧系統打造GitHub Copilot，目的是讓AI充當結對工程師。Codex是OpenAI GPT-3的早期版本，針對撰寫程式碼進行了微調，之後GitHub Copilot陸續採用了GPT-3.5、GPT-4、 GPT 3.5-turbo、GPT 4o與4o-mini 。</p> <p>對於從只與OpenAI合作到擴大合作夥伴，GitHub解釋，過去一年來人們經歷了許多高品質且擅長不同程式設計任務的大、小語言模型，可明顯看出下一階段的AI程式碼生成功能將不僅由多模態功能來定義，而會由多模型選擇來主導，致力於成為開放開發者平臺的GitHub，將確保每個開發人員都能夠使用最適合的模型來建置。</p> <p>因此，Copilot Chat中除了既有的OpenAI o1-preview與o1-mini模型之外，下周將出現Claude 3.5 Sonnet， Gemini 1.5 Pro則會在未來幾周登場，並可應用在Copilot Workspace、多文件編輯、程式碼審查、安全自動修復及CLI等，未來亦會將多模型選擇延伸到更多服務上。</p> <p>每個模型各有擅場，其中，OpenAI o1-preview與o1-mini模型的推論能力，能夠更深入地理解程式碼的限制條件與邊界狀況，因而能產生高效與高品質的結果；Claude 3.5 Sonnet擅長在整個軟體開發生命周期中撰寫程式碼，展現對複雜與多步驟程式碼撰寫任務的熟練程度；Gemini 1.5 Pro支援200萬個Token的脈絡長度，可同時處理文字、程式碼、圖像、聲音與影片，在程式碼建議、文件及解釋上有良好的回應速度。</p> <p>除了宣布Copilot Chat支援多模型之外，GitHub還發表了<a href="https://githubnext.com/projects/github-spark" target="_blank">GitHub Spark</a>。這是一個基於AI的開發工具，允許使用者完全利用自然語言來建置應用程式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1030-GitHub%20Spark.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／GitHub</span></span></p> <p>GitHub Spark的3大元件分別是一個基於自然語言（NL）的編輯器，一個託管的運作環境，以及一個支援PWA（Progressive Web Apps）的儀表板。GitHub說，使用者可利用GitHub Spark來創造與分享微程式，這些微程式是針對特定需求與偏好打造的，完全不需要撰寫或部署任何程式碼，就能直接在桌面與行動裝置上使用。</p> <p>例如要求它建立一個用來學西班牙文的教學卡片程式，並藉由自然語言或選擇不同的模型來要求各種功能；或是要求它建置一個程式可讓使用者評論所造訪景點；也能建立一個用來追蹤小孩零用錢的程式等。</p> <p>不過，目前GitHub Spark處於非常早期的狀態，仍在封閉測試階段，僅開放少數使用者參與測試。</p> </div></div></div>
2024/10/30 14:27作者陳曉莉https://www.ithome.com.tw/news/165761
Google有超過1/4的新程式碼是由AI生成的
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自從OpenAI在2022年底發表ChatGPT以來，AI已席捲了科技領域，各大科技業者無不加速擁抱AI，不管是建立AI模型，或是於作業中導入AI，本周Alphabet及Google執行長Sundar Pichai即趁著財報日，<a href="https://blog.google/inside-google/message-ceo/alphabet-earnings-q3-2024/#full-stack-approach" target="_blank">揭露AI於Google的進展</a>，指出Google的新程式碼中，已經有超過1/4是由AI生成的，再由工程師負責審查與接納。</p> <p>Pichai先描繪了Google在AI創新上的全棧優勢，首先是具備強大的AI基礎設施，涵蓋資料中心、晶片與全球光纖網路，其次則是擁有一流的研究團隊，最後則是藉由觸及全球數十億人的產品及平臺，來實現廣泛的全球影響力，形成良性循環。</p> <p>其中，Google投資了位於美國、泰國與烏拉圭的基礎設施，也簽署了首個向多個小型模組化反應爐購買核能的企業協定，還針對硬體與模型進行重大的改善，讓AI Overviews每個查詢的機器成本，在18個月內減少超過90%，而客製化Gemini模型的尺寸則大了一倍。Google同時使用Nvidia的GPU與自製的TPU，目前使用的是代號為Trillium的第六代TPU；至於AI研究則是有賴DeepMind團隊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0515-google%20io%2024-Trillium%20TPU.jpg" style="width: 500px;" /></p> <p>而正在開發的Project Astra則定位為未來的通用AI助理，可帶來多模態的互動功能，允許使用者透過語音、文字、圖像與影片與之溝通。Google計畫在明年開放外界試用Project Astra。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1030-google%20io%20keynote-Project%20Astra.png" style="width: 600px;" /></p> <p>Pichai指出，迄今Google已經有7種產品或平臺的用戶數超過20億，而且它們全都採用Gemini模型。相關服務涵蓋了搜尋、Android、Chrome、Google Play、YouTube及Gmail，再加上該季新入榜的Google Maps。</p> <p>此外，Google已將Gemini應用程式團隊併入Google DeepMind，以加速新模型的開發，並簡化訓練後的工作。Google內部也利用AI來改善寫程式的程序，目前已有超過1/4的新程式碼都是由AI所生成。</p> <p>結合AI能力的<a href="https://www.ithome.com.tw/news/160879" target="_blank">Circle to Search</a>則已於超過1.5億臺的Android裝置上推出，人們用它來購物、翻譯文字與了解周圍的世界，在嘗試過Circle to Search的使用者中，有1/3每周都會使用它。基於影像辨識的Google Lens每月已被用來執行逾200億次的視覺化搜尋。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1004-Google%20Lens%E6%96%B0%E5%A2%9E%E5%BD%B1%E7%89%87%E5%8F%8A%E8%AA%9E%E9%9F%B3%E6%90%9C%E5%B0%8B%E5%8A%9F%E8%83%BD.png" style="width: 432px;" /></p> <p>在今年第三季創下114億美元營收，成長35%的Google Cloud也提供各種AI服務，包括AI基礎設施與企業AI平臺Vertex等。</p> <p>看起來，未來不管是大型科技業者或企業都可能會將AI融入每個環節中而無法再切割，AI模型將無所不在。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/10/30 13:26作者陳曉莉https://www.ithome.com.tw/news/165758
Alphabet營收成長15%，Google Cloud成長35%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Alphabet周二（10/29）<a href="https://abc.xyz/assets/71/a5/78197a7540c987f13d247728a371/2024q3-alphabet-earnings-release.pdf" target="_blank">公布第三季財報</a>，顯示該季創下883億美元的營收，成長15%。其中，Google Services營收占了765億美元，成長13%，而Google Cloud則為114億美元，成長35%，每股盈餘為2.12美元，成長37%。財報公布後，Alphabet盤後上漲了5.89%，股價升至181.22美元。</p> <p>Alphabet執行長Sundar Pichai表示，該公司的發展動力非常強勁，Alphabet對創新的承諾，以及對AI的長期關注與投資，正隨著消費者與合作夥伴自這些AI工具中受益而得到回報。</p> <p>Pichai舉例，搜尋中的AI功能拓展了人們能夠搜尋的內容與搜尋方式，雲端中的AI解決方案正在推動既有客戶更深入地採用產品，以吸引新客戶並贏得更大的交易。</p> <p>此外，YouTube過去4個季度的廣告加上訂閱營收，首度超過了500億美元。</p> <p>自財報可看出，Google Services包含了搜尋、YouTube、Google Network，以及訂閱及裝置等其它營收，分別替Alphabet帶來494億美元、89億美元、75億美元及107億美元的營收。而除了Google Services與Google Cloud之外，還有一個營收類別是新創事業（Other Bets），包含Waymo、Wing、Verily及Calico等眾多新創公司，該類別在第三季創下3.88億美元的營收，高於去年同期的2.97億美元。</p> <p>在營業利潤（Operating Income）的表現上，Google Services在該季創造了309億美元的利潤；Google Cloud也賺了19.47億美元，遠高於去年同期的2.66億美元；至於新創事業則虧損了11.16億美元，略低於去年同期所虧損的11.94億美元。</p> </div></div></div>
2024/10/30 10:52作者陳曉莉https://www.ithome.com.tw/news/165757
不滿開發進度停滯，前Google Flutter成員推分叉專案Flock
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>考量Flutter開發資源不足的困境，前Google Flutter團隊成員Matt Carroll決定推出Flutter分叉專案<a href="https://flutterfoundation.dev/blog/posts/we-are-forking-flutter-this-is-why/">Flock</a>，期望打破現有局面。新專案的目標是要解決Flutter在多平臺的資源困境，並為開發者提供更靈活的貢獻環境。</p> <p>Matt Carroll在Flock專案介紹網頁提到，Flutter團隊目前僅約50名成員，卻要服務全球超過百萬的開發者需求，相當於每位成員需要支援約2萬名開發者。這樣的比例使得問題回應和錯誤修正的速度無法滿足龐大的需求。另外，他認為，因為Google近期把焦點集中在人工智慧領域，使得Flutter桌面平臺支援優先度下降，許多桌面應用的問題停留在待處理清單數年，導致部分公司與開發者放棄Flutter。</p> <p>另外，他也指出，Flutter的貢獻審核過程過於繁瑣冗長，缺乏靈活性，外部貢獻者通常無法順利推動改進，根據他自己的經驗，Flutter團隊對外部貢獻的需求僅止於口號，實際上因審核資源有限和內部文化的隔閡，導致外部開發者難以參與。Matt Carroll提出質疑，Flutter專案如果歡迎外部貢獻，近十年不可能只合併1,500名開發人員所貢獻的程式碼。</p> <p>為了解決Flutter既有且似乎近期無法從內部改善的問題，Matt Carroll推出Flock專案，並且稱其為Flutter+。Flock將保持與Flutter核心程式碼同步更新，但會加入社群所期待的修復和新功能。Matt Carroll強調，Flock專案的目的不是要分裂Flutter，而是希望可以成為一個增強版的Flutter，以更符合社群的需求。</p> <p>Flock專案的釋出在<a href="https://news.ycombinator.com/item?id=41975047">網路論壇</a>引起廣泛關注，期待與質疑的聲音皆有。不少開發者認同Matt Carroll的觀點，特別是桌面端與網頁端的Flutter開發者，普遍抱怨支援度不足。Flock的推出對Flutter社群產生一定的影響，在跨平臺開發者市場，Flock成為了一種新的選擇，若Flock成功吸引大量開發者，可能迫使Google投入更多資源，維持其對跨平臺市場的影響力。</p> </div></div></div>
2024/10/30 07:38作者李建興https://www.ithome.com.tw/news/165754
OSI發布開源AI定義，確立AI系統四大開源標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開放原始碼促進會（OSI）正式宣布全球第一個開源人工智慧定義<a href="https://opensource.org/blog/the-open-source-initiative-announces-the-release-of-the-industrys-first-open-source-ai-definition">OSAID v1.0</a>，替人工智慧系統在開源環境中確立標準。該定義是OSI與全球社群共同合作創建，目的是要確立人工智慧系統的使用、研究、分享和修改的自由，進一步推動人工智慧領域的透明性和重現性。</p> <p>OSI成立於1998年，是一個推廣開源技術教育和倡議的非營利組織，其所定義的開源授權，成為了開源軟體的標準，而這次發布的開源人工智慧定義，是開源技術領域重要的里程碑，針對人工智慧系統訂立符合開源原則的標準和框架，對於推動人工智慧應用與發展的開源價值，存在重要意義。</p> <p>根據OSAID v1.0的定義，人工智慧系統必須符合四大自由標準，才能被稱為開源人工智慧系統。這四大自由指的是使用自由、研究自由、分享自由和修改自由。定義中還特別強調透明性和重現性的重要性，像是人工智慧模型的訓練資料應該提供足夠資訊，使得具備技術的專業人士，也可以利用相似的資料重現系統。</p> <p>該要求明顯超過目前許多聲稱開源人工智慧模型所提供的資訊，因此OSAID v1.0的推動，同時將有助於推動開源資料在人工智慧生態系中的普及。 OSI執行董事Stefano Maffulli表示，在制定開源人工智慧定義的過程充滿挑戰，包括技術障礙和整合社群內部的不同意見。經過多方協調後，最終才確立OSAID v1.0，達成OSI最初設定的目標。OSI也呼籲更多組織和開發者加入推動開源人工智慧的行列，替未來人工智慧生態系，奠定開放、透明的基礎。</p> </div></div></div>
2024/10/30 07:48作者李建興https://www.ithome.com.tw/news/165755
法國大型ISP業者Free證實資料遭到外流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據資安新聞網站<a href="https://securityaffairs.com/170333/data-breach/free-suffered-a-cyber-attack.html">SecurityAffairs</a>、<a href="https://www.bleepingcomputer.com/news/security/free-frances-second-largest-isp-confirms-data-breach-after-leak/">Bleeping Computer</a>的報導，上週末有人在駭客論壇BreachForums兜售法國大型網路服務供應商（ISP）Free的內部資料，他們聲稱握有19,192,948筆客戶帳號資料，以及511萬筆國際銀行帳戶號碼（IBAN）。對此，10月26日Free向法新社透露證實資料外洩的情況，表示他們因管理工具遭到鎖定而遇害，導致部分個資遭到未經授權存取。</p> <p>而對於外洩的資料，Free強調不含密碼、無銀行卡片，也沒有電子郵件、簡訊、語音訊息等通訊內容。該公司表示，他們的服務及營運並未受到這起資料外洩事故影響。該公司已向法國國家資訊科技和公民自由委員會（CNIL）、國家資訊系統安全局（ANSSI）通報此事，並採取法律行動。</p> <p>究竟駭客掌握那些資料？資安研究員SaxX指出，<a href="https://twitter.com/_SaxX_/status/1848662776656351565">駭客聲稱竊得Free Mobile及Freebox用戶的資料</a>，資料取得的時間是今年10月17日，但就根據駭客的說法，以及發文者在21日（發文前一天）才註冊帳號，他無法確定駭客說法的真實性，不過為了保險起見，呼籲該電信業者用戶應提高警覺、更換密碼、啟動多因素驗證等方式，來因應資料外流可能會引發的網路攻擊。</p> </div></div></div>
2024/10/29 16:49作者周峻佑https://www.ithome.com.tw/news/165751
【資安日報】10月29日，中國駭客開發專偷雲端資料的惡意軟體工具包並用於實際攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客組織Evasive Panda最近動作頻頻，先是使用後門程式Macma<a href="https://www.ithome.com.tw/news/164099">攻擊臺灣及美國的macOS用戶</a>，後來<a href="https://www.ithome.com.tw/news/164300">對網際網路服務供應商（ISP）發動DNS中毒攻擊</a>，再對不安全的軟體更新機制下手，最近有研究人員指出，這些駭客最近2年開發了惡意軟體工具包，專門偷取企業組織的雲端資料。</p> <p>值得留意的是，這款工具包在駭客從事攻擊行動2年後才被發現、揭露，且有部分元件用途仍不明朗，代表相關行蹤可能相當不易察覺。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165749"><strong style="font-size: 22px;">中國駭客開發專偷雲端資料的惡意軟體工具包，前兩年臺灣有政府機關與宗教組織遇害</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/cloudscout-figure-3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/cloudscout-figure-3.png" style="width: 300px; float: right;" /></a></p> <p>駭客鎖定雲端服務來進行偵察、收集資料的情況，近期有不少研究人員對這樣的現象提出警告，如今有資安業者發現，他們看到駭客專門打造一組工具包，用來從雲端服務存取、搜尋企業組織的機敏資料。</p> <p>資安業者ESET指出，中國駭客組織Evasive Panda於2022年至2023年攻擊臺灣政府機關和宗教團體，過程中利用名為CloudScout的工具包，攔截連線階段（Session）及Cookie，而能從多種雲端服務挖掘資料。此外，該工具包還能透過外掛程式擴充功能，並與該組織慣用的另一款惡意軟體框架MgBot緊密協作。</p> <p>研究人員發現這起攻擊的緣由，在於他們偵測到該組織於臺灣某個政府機關部署3個過往未被揭露的.NET模組CGD、CGM、COL，而這些元件的主要功能，就是藉由挾持網路的連線階段內容，而能存取Google Drive、Gmail、Outlook等公有雲服務。研究人員提及，駭客主要透過瀏覽器組態竊得Cookie，然後在特定的網路連線請求當中利用，從而得到雲端服務的存取權限。</p> <p><a href="https://www.ithome.com.tw/news/165750"><strong style="font-size: 22px;">美國政府證實電信業者遭到中國駭客入侵</strong></a></p> <p>華爾街日報先後於9月底至10月初報導，中國駭客Salt Typhoon已成功入侵美國多家網際網路服務供應商（ISP），目的是滲透美國政府的竊聽系統並收集情報，駭客潛入的業者包含AT&T、Verizon、Lumen，如今美國政府也發布公告，證實中國資助的駭客非法存取他們的電信基礎設施。</p> <p>10月25日美國聯邦調查局（FBI）與網路安全暨基礎設施安全局（CISA）發布聯合聲明，表示他們正在調查中國駭客未經授權存取電信業者基礎設施的行為。</p> <p>究竟攻擊者的身分為何？這份公告並未透露，也沒具體交代資安事故發生的經過。但此公告一出，外界不禁懷疑可能與Salt Typhoon的網路間諜活動有關。值得留意的是，中國駭客的攻擊行動不光針對美國，相鄰的加拿大也是目標。</p> <p><a href="https://www.ithome.com.tw/news/165751"><strong style="font-size: 22px;">法國大型ISP業者Free證實資料遭到外流</strong></a></p> <p>根據資安新聞網站SecurityAffairs、Bleeping Computer的報導，上週末有人在駭客論壇BreachForums兜售法國大型網路服務供應商（ISP）Free的內部資料，他們聲稱握有19,192,948筆客戶帳號資料，以及511萬筆國際銀行帳戶號碼（IBAN）。對此，10月26日Free向法新社透露證實資料外洩的情況，表示他們因管理工具遭到鎖定而遇害，導致部分個資遭到未經授權存取。</p> <p>而對於外洩的資料，Free強調不含密碼、無銀行卡片，也沒有電子郵件、簡訊、語音訊息等通訊內容。該公司表示，他們的服務及營運並未受到這起資料外洩事故影響。該公司已向法國國家資訊科技和公民自由委員會（CNIL）、國家資訊系統安全局（ANSSI）通報此事，並採取法律行動。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/russia-targets-ukrainian-conscripts-with-windows-android-malware/">俄羅斯駭客UNC5812偽裝成與烏克蘭友好組織，意圖透過Telegram散布惡意程式</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/10/cert-ua-identifies-malicious-rdp-files.html">俄羅斯駭客APT29利用惡意RDP組態檔案入侵組織網路環境</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fog-ransomware-targets-sonicwall-vpns-to-breach-corporate-networks/">勒索軟體Fog鎖定SonicWall防火牆的VPN功能而來，意圖入侵企業網路環境</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/rekoobe-backdoor-and-typosquatting-domains-a-potential-threat-to-tradingview-users/">後門程式Rekoobe鎖定交易社群網站TradingView用戶而來</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/synology-fixes-critical-vulnerabilities-in-synology-photos-and-beephotos-after-pwn2own-exposure/">群暉修補Pwn2Own發現的相簿應用程式弱點</a></strong></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165692"><strong style="font-size: 22px;">美國發布首個AI國家安全備忘錄</strong></a></p> <p>10月24日美國總統拜登（Joe Biden）發布首個與人工智慧（Artificial Intelligence，AI）有關的國家安全備忘錄（National Security Memorandum，NSM），其三大重點為確保美國引領全球的AI發展，利用尖端的AI技術推動美國國家安全，以及推動AI的國際治理。</p> <p>上述三大重點支柱的細項包括：拜登簽署《晶片法案》（CHIPS Act）以投資開發AI系統所需的大量高階晶片；將競爭對手針對美國AI產業的間諜行動的情報列為最高優先等級；指定AI安全研究所（AI Safety Institute）作為美國AI產業的主要聯繫窗口；加強對National AI Research Resource的支持，以讓大學、民間與小企業的研究人員可進行有意義的AI研究，而非只仰賴大企業。</p> <p><a href="https://www.ithome.com.tw/news/165688"><strong style="font-size: 22px;">美國防部將以三年、四階段推動CMMC規則</strong></a></p> <p>為了讓美國國防工業產業（DIB）的供應鏈業者，有足夠的時間準備、理解和實施CMMC規則（CMMC Rule）的各種要求，以及解決任何CMMC評估、啟動過程中遭遇到的各種問題，並提供培訓所需的評估人員時間，美國國防部（DoD）為CMMC規則制定了三年、四階段的推動計畫。</p> <p>美國國防部會分成四個階段推動CMMC規則（CMMC Rule），第一階段也就是初步實施階段（Initial Implementation），自《48 CFR規則》（48 CFR Rule）生效日期開始；在適用的情況下，招標將要求CMMC認證等級第一級（Level 1）或第二級（Level 2）認證的自我評估（Self - Assessment）。</p> <p>第二階段在第一階段開始後的12個月啟動，在適用的情況下，美國國防部會在相關的國防採購招標案中，要求相關的業者必須取得CMMC認證等級第二級的第三方認證（C3PAO）。</p> <p> </p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165725"><strong>【10月28日】上周四勒索軟體RansomHub聲稱攻擊臺灣被動元件製造廠</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165697"><strong>【10月25日】Fortinet零時差漏洞4個月前就遭駭客組織UNC5820利用</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165683"><strong>【10月24日】FortiManager零時差漏洞已被用於實際攻擊行動</strong></a></p> </div></div></div>
2024/10/29 16:58作者周峻佑https://www.ithome.com.tw/news/165752
中國駭客開發專偷雲端資料資料的惡意軟體工具包，前兩年臺灣有政府機關與宗教組織遇害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客鎖定雲端服務來進行偵察、收集資料的情況，近期有不少研究人員對這樣的現象提出警告，如今有資安業者發現，他們看到駭客專門打造一組工具包，用來從雲端服務存取、搜尋企業組織的機敏資料。</p> <p>資安業者ESET指出，<a href="https://www.welivesecurity.com/en/eset-research/cloudscout-evasive-panda-scouting-cloud-services/">中國駭客組織Evasive Panda於2022年至2023年攻擊臺灣政府機關和宗教團體</a>，過程中利用名為CloudScout的工具包，攔截連線階段（Session）及Cookie，而能從多種雲端服務挖掘資料。此外，該工具包還能透過外掛程式擴充功能，並與該組織慣用的另一款惡意軟體框架MgBot緊密協作。</p> <p>研究人員發現這起攻擊的緣由，在於他們偵測到該組織於臺灣某個政府機關部署3個過往未被揭露的.NET模組CGD、CGM、COL，而這些元件的主要功能，就是藉由挾持網路的連線階段內容，而能存取Google Drive、Gmail、Outlook等公有雲服務。研究人員提及，駭客主要透過瀏覽器組態竊得Cookie，然後在特定的網路連線請求當中利用，從而得到雲端服務的存取權限。</p> <p>他們取得其中3個模組並進行程式碼分析，從而確認源自於開發代號為CloudScout的惡意程式開發框架，此框架以C#打造而成，但根據遙測的資料，駭客已在2起事故運用CloudScout。</p> <p>其中一起發生在2022年5月，臺灣某個宗教機構遭到惡意軟體MgBot及Nightdoor的攻擊，而MgBot被用來安裝一種外掛程式，目的是部署CloudScout的模組。</p> <p>另一起事故出現於2023年2月，研究人員疑似在臺灣政府機關發現CloudScout模組及Nightdoor。</p> <p>值得一提的是，CloudScout是.NET惡意軟體框架，並能搭配不同的模組攻擊對應的雲端服務。研究人員在看到駭客使用的3種模組之餘，發現駭客列出其餘7個該框架支援的模組，但他們發現，駭客並未將這些模組部署到受害電腦。這代表攻擊者很可能根據實際需求，僅安裝指定的模組。他們根據駭客的命名規則，研判其中的CTW及CFB模組，是用來挾持X（原推特）及臉書帳號之用。</p> <p>該工具套件主要的核心元件，被稱為CommonUtilities，能為所有模組執行的過程提供必要的低階程式庫。研究人員認為，網路上雖然有許多類似的開源工具，但駭客仍自行實作特定的程式庫，能對受害組織內部工作流程進行更多控制；隨著這款惡意程式框架的曝光，突顯這些駭客的技術能力之餘，也提醒大家應更重視資料保護，存放在雲端的資料、使用者組態檔案、電子郵件等機敏內容都是駭客覬覦的目標。</p> </div></div></div>
2024/10/29 15:20作者周峻佑https://www.ithome.com.tw/news/165749
美國政府證實電信業者遭到中國駭客入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>華爾街日報先後於9月底至10月初報導，<a href="https://www.ithome.com.tw/news/165354">中國駭客Salt Typhoon已成功入侵美國多家網際網路服務供應商（ISP）</a>，目的是滲透美國政府的竊聽系統並收集情報，駭客潛入的業者包含AT&T、Verizon、Lumen，如今美國政府也發布公告，證實中國資助的駭客非法存取他們的電信基礎設施。</p> <p>10月25日美國聯邦調查局（FBI）與網路安全暨基礎設施安全局（CISA）發布聯合聲明，<a href="https://www.cisa.gov/news-events/news/joint-statement-fbi-and-cisa-prc-activity-targeting-telecommunications">表示他們正在調查中國駭客未經授權存取電信業者基礎設施的行為</a>。</p> <p>在FBI察覺針對電信業的惡意活動後，FBI與CISA隨即通知受到影響的企業，並提供技術支援、共享情資，協助其他潛在的受害者。</p> <p>究竟攻擊者的身分為何？這份公告並未透露，也沒具體交代資安事故發生的經過。但此公告一出，外界不禁懷疑可能與Salt Typhoon的網路間諜活動有關。</p> <p>值得留意的是，中國駭客的攻擊行動不光針對美國，相鄰的加拿大也是目標。</p> <p>因為加拿大政府<a href="https://www.cyber.gc.ca/en/news-events/statement-peoples-republic-china-reconnaissance-canadian-systems">也在同日發布警訊</a>，由中國政府資助的駭客組織在最近幾個月裡，對該國眾多網域名稱進行廣泛的偵察及掃描，鎖定關鍵基礎設施、國防部門、新聞媒體、智庫、非政府組織等數十個企業組織而來，呼籲大家應遵循網路安全最佳實務，以便因應這項國家資安威脅。</p> </div></div></div>
2024/10/29 15:58作者周峻佑https://www.ithome.com.tw/news/165750
一般消費者占了OpenAI逾7成營收
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI財務長Sarah Friar周一（10/28）接受Bloomberg TV專訪時<a href="https://www.bloomberg.com/news/articles/2024-10-28/openai-cfo-says-75-of-its-revenue-comes-from-paying-consumers?embedded-checkout=true" target="_blank">透露</a>，該公司約有75%的營收是來自一般消費者的訂閱，且該公司每周的活躍用戶數已達2.5億。</p> <p>OpenAI所提供的生成式聊天機器人服務ChatGPT除了免費版之外，還包括去年2月上線、供個人訂閱、每月20美元的<a href="https://www.ithome.com.tw/news/155347" target="_blank">ChatGPT Plus</a>，去年8月上線、供大型企業訂閱的<a href="https://www.ithome.com.tw/news/158474" target="_blank">ChatGPT Enterprise</a>，以及今年1月上線、鎖定中小企業團隊、每人每月30美元的<a href="https://www.ithome.com.tw/news/160799" target="_blank">ChatGPT Team</a>，再加上今年5月發表的教育版<a href="https://www.ithome.com.tw/news/163223" target="_blank">ChatGPT Edu</a>。其中，ChatGPT Enterprise與ChatGPT Edu都是依使用人數計價，並未有固定價格，且只有ChatGPT Plus用戶被視為是一般消費者，其它方案的用戶皆被視為商業用戶。</p> <p>Friar並未揭露OpenAI的營收。</p> <p>OpenAI是今年才開始推出商用服務，去年只有供個人訂閱的ChatGPT Plus。The Information今年初引述消息來源<a href="https://www.ithome.com.tw/news/160633" target="_blank">報導</a>，OpenAI在2023年創下了16億美元的營收，遠高出外界原本預期的2億美元。</p> <p>此外，Quartz於今年9月上旬<a href="https://qz.com/openai-chatgpt-enterprise-team-edu-paid-users-million-1851640780" target="_blank">報導</a>，OpenAI的商用使用者已超過100萬人，包括ChatGPT Enterprise、ChatGPT Team與ChatGPT Edu。該數字在今年4月只有60萬人，但OpenAI在之後發表了ChatGPT Edu。</p> <p>CNBC則在9月下旬<a href="https://www.cnbc.com/2024/09/27/openai-sees-5-billion-loss-this-year-on-3point7-billion-in-revenue.html" target="_blank">報導</a>，OpenAI預期今年可創造37億美元的營收，虧損5億美元。</p> <p>倘若上述報導為真，那麼一般消費者今年可望替OpenAI帶進27.75億美元的營收。OpenAI甫於本月初完成66億美元的<a href="https://www.ithome.com.tw/news/165304" target="_blank">增資</a>，增資後的身價已達1,570億美元。</p> </div></div></div>
2024/10/29 14:19作者陳曉莉https://www.ithome.com.tw/news/165748
Google本周將於全球部署AI Overviews
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周一（10/28）<a href="https://blog.google/products/search/ai-overviews-search-october-2024/" target="_blank">宣布</a>，將把搜尋引擎中的AI功能AI Overviews部署到全球逾100多個市場，讓AI Overviews的每月用戶數超過10億，而且已開始於美國市場刊登廣告。</p> <p>AI Overviews是在使用者搜尋時，由AI彙整網路上的重要資訊並提供連結，原本是Search Labs的實驗之一，它在今年5月率先現身於美國市場，<a href="https://www.ithome.com.tw/news/164523" target="_blank">8月擴增</a>到日本及印尼等其它市場，並將自本周起陸續部署至包括臺灣在內的逾100個市場。</p> <p>現階段AI Overviews支援英文、日文、西班牙文、葡萄牙文、印尼文與印地語等，也將漸次支援更多的語言。</p> <p>不過，根據Google的說明，AI Overviews與知識面板（Knowledge Panel）同為Google搜尋的核心功能之一，這些核心功能都是無法關閉的，但使用者在搜尋之後，可以選擇搜尋引擎中的Web過濾工具，之後即可展示簡單的文字連結，而不出現AI Overviews。</p> <p>而在廣告的部分，Google<a href="https://blog.google/products/ads-commerce/google-lens-ai-overviews-ads-marketers/" target="_blank">表示</a>，AI Overviews可以滿足快速追求所需資訊的使用者，調查顯示與AI Overviews互動的使用者對搜尋結果更滿意，也覺得出現在AI Overviews上方或下方的廣告很有用，因而將於AI Overviews中以Sponsored標籤來展示廣告內容。</p> <p>例如在公園晃了一天的使用者發現自己的牛仔褲沾滿了草漬，並向Google求助，Google除了以AI Overviews整合各種解決方案之外，也可呈現各種相關的廣告。</p> <p>外界預期隨著Google將AI Overviews推向全球，相關的廣告服務也將蔓延至全世界。</p> </div></div></div>
2024/10/29 12:35作者陳曉莉https://www.ithome.com.tw/news/165747
Apple Intelligence正式登場，M4進駐iMac
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果周一（10/28）<a href="https://www.apple.com/newsroom/2024/10/apple-intelligence-is-available-today-on-iphone-ipad-and-mac/" target="_blank">藉由發布</a>iOS 18.1、iPadOS 18.1與macOS Sequoia 15.1正式釋出了Apple Intelligence功能，同一天也<a href="https://www.apple.com/newsroom/2024/10/apple-introduces-new-imac-supercharged-by-m4-and-apple-intelligence/" target="_blank">發表了</a>搭載M4處理器的iMac。</p> <p>Apple Intelligence（AI）是蘋果替旗下不同裝置所打造的人工智慧功能，可同時於裝置上或私有雲運算環境中執行AI運算，本周透過更新作業系統所推出的AI功能包括Writing Tools、更聰明的Siri、更厲害的照片（Photos）程式，也被整合在郵件、備忘錄（Notes）與電話（Phone）等程式中。不過，此波的AI更新僅支援iPhone 15 Pro、iPhone 16全系列，以及採用M1或更新處理器的iPad與Mac，預計明年會擴大支援其它裝置。</p> <p>其中，書寫工具（Writing Tools）允許使用者改寫、校對與摘要文字，支援郵件、訊息、備忘錄與第三方程式。聰明版的Siri現在可以同時支援文字及語音，還可回答上千個關於蘋果產品功能與設定的問題。新版照片程式現在允許使用者以自然語言來搜尋照片或影片。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1029-Apple%20Intelligence_iMac%20with%20M4.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1029-Siri_iMac%20with%20M4.png" style="width: 600px;" /></p> <p>在郵件程式上，AI表現在可彰顯收件匣中最重要與緊急的郵件，無需打開郵件即可查看摘要，並可根據郵件內容提供智慧回覆建議。而備忘錄與電話程式的AI功能則允許使用者錄製音訊，並產生逐字稿與摘要。</p> <p>蘋果計畫陸續強化旗下裝置的AI能力，除了上述外，新一波的AI功能可望於下個月問世。</p> <p>另一方面，繼於<a href="https://www.ithome.com.tw/news/162758" target="_blank">今年5月發表</a>首個搭載M4晶片的iPad Pro之後，蘋果本周發表了第二個搭載M4的iMac。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1029-M4-iMac-960.jpg" style="width: 600px;" /></p> <p>蘋果是在2021年於iMac上搭載自製的M1晶片，<a href="https://www.ithome.com.tw/news/159571" target="_blank">去年10月再推出</a>基於M3的iMac，一年後再升級至M4。</p> <p>或許是為了說服舊用戶升級，蘋果的新聞稿中只比較基於M1與M4的iMac性能差異，例如採用M4的iMac的CPU效能大增，速度是M1版的1.7倍，升級後的GPU在編輯照片或玩遊戲的速度也是M1版的2.1倍，此外，M4版的神經網路引擎也是M1版的3倍快，大幅提升處理AI的能力。</p> <p>此外，M4版iMac在處理微軟Excel任務的速度是M1版的1.7倍，以Safari瀏覽網路的速度也是M1版的1.5倍。若是相較於市場上搭載Intel Core 7處理器的24吋一體成型PC，M4版iMac速度最快是其4.5倍。若是比較最受歡迎的Intel版iMac，M4版可能快上6倍。</p> <p>新版iMac提供7種顏色，根據不同規格的最低售價為1,299美元（臺灣最低售價為44,900元新臺幣），預計於下個月出貨。目前尚未開放臺灣市場訂購。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> </div></div></div>
2024/10/29 11:34作者陳曉莉https://www.ithome.com.tw/news/165746
蘋果贏得血氧技術官司，獲賠250美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果上周一項血氧設備官司贏得一項久違的勝利，並得以要求對方禁售產品。</p> <p>根據專業媒體<a href="https://news.bloomberglaw.com/ip-law/apple-wins-250-in-mixed-jury-verdict-over-smartwatch-patents" target="_blank">報導</a>，蘋果控告血氧設備供應商Masimo的血氧量測手錶W1和Freedom、健康模組與充電器侵犯蘋果設計專利，上周法庭認定Masimo侵權行為是「刻意為之」，判決Masimo的部份元件侵犯蘋果設計必須停售侵權產品，且支付蘋果要求的250美元賠償金，沒有少個「萬」或幾個0。</p> <p>這是有史以來金額最小的專利侵權賠償。蘋果代理律師對陪審團說，該公司的目的不是錢，而是要求對方停止抄襲其設計。</p> <p>不過Masimo也宣稱這結果是他們的勝利，因為蘋果要求的是禁售市面銷售的W1和Freedom產品，但最終法官僅允許禁售已經沒在銷售的健康模組和充電器。</p> <p>這是蘋果自2020年遭這家廠商控告後，難得的法庭勝利。Masimo<a href="https://www.ithome.com.tw/news/135303" target="_blank">控告</a>蘋果侵犯10項專利並竊取該公司的商業機密，以將血氧量測技術應用在Apple Watch 4及Apple Watch 5。去年法官核准Masimo禁制令，要求蘋果若不移除侵權技術，就需停售最新的Apple Watch 9、Ultra 2。今年初蘋果<a href="https://www.ithome.com.tw/news/160851" target="_blank">變更</a>美國版Apple Watch設計，移除血氧量測功能，才得以確保Apple Watch的銷售。</p> <p>蘋果今年6月<a href="https://support.apple.com/en-us/120359" target="_blank">公告</a>，美國版Apple Watch將不會有血氧量測功能，這對許多想買Apple Watch 10的美國消費者來說是個<a href="https://www.wired.com/review/apple-watch-series-10/" target="_blank">缺憾</a>。</p> </div></div></div>
2024/10/29 08:26作者林妍溱https://www.ithome.com.tw/news/165743
SQLite擬遷移至輕量建置系統Autosetup，提升可維護性與穩定性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SQLite開發團隊啟動了一項探索性專案，<a href="https://sqlite.org/src/timeline?r=autosetup">計畫將現有建置系統從原本的GNU Autotools，轉移至Autosetup</a>。這項變更的目的是要提高系統的可維護性和穩定性，但由於新系統與現有配置方法存在一些差異，可能對部分應用的自動化建置流程產生影響。目前團隊正在積極測試新方案，並持續收集回饋以決定最終實作。</p> <p>SQLite從創立以來就使用GNU Autotools作為主要建置工具，由於其開源和靈活等特性，能夠適應多數Unix-like平臺和作業系統，但是隨著SQLite應用逐漸擴展至各種嵌入式和企業環境，Autotools複雜的語法和外部相依需求，逐漸成為專案維護的阻礙，因此SQLite團隊希望更換成更為簡化的建置工具Autosetup，能夠嵌入至專案原始碼樹中，維持建置的獨立性和穩定性。</p> <p>Autosetup是一個使用TCL語法的建置工具，內建輕量版的TCL直譯器JimTCL，可用於不具備完整TCL安裝的環境，由於SQLite團隊長期以來測試和工具皆使用TCL，因此Autosetup也就成為理想的建置工具選擇。</p> <p>SQLite團隊現在正探索遷移至Autosetup的可能性，以解決Autotools的維護困難。因為Autosetup的輕量特性，減少了建置系統的複雜性和開發人員負擔，此外，將Autosetup直接嵌入到專案中，SQLite團隊也就不用擔心外部工具更新時所帶來潛在的不相容問題。</p> <p>而且相較於Autotools，Autosetup擁有更簡單的語法和更快的執行速度，過去Autotools架構混合了GNU m4和POSIX Shell語法，而Autosetup僅使用TCL，使得建置流程對開發者更為友善。而且SQLite專案中原本相依於TCL的所有程式碼生成步驟，現在都可以直接使用Autosetup提供的JimTCL完成，大幅減少建置過程的系統需求。</p> <p>雖然Autosetup擁有不少優勢，但是也產生一些新的問題，像是Autosetup主要針對POSIX標準開發，目前對部分非POSIX平臺的支援尚未完全確認。SQLite團隊正在評估對應方案，當新系統無法全面相容這些平臺，可能會透過提供靜態Makefile確保新系統的相容性。</p> <p>另外，因為Autosetup和Autotools在解析和執行配置旗標的方式不同，部分建置選項需要重新命名以保持相同語義，雖然這些變更僅會影響少數自動化建置流程，但開發者仍需要調整腳本跟新系統相容。</p> <p>SQLite團隊正在測試Autosetup的適用性，以確保新系統能在相容性和長期維護性間取得平衡，目前團隊尚未做出最終決定，將會根據測試結果決定是否正式遷移。</p> </div></div></div>
2024/10/29 07:55作者李建興https://www.ithome.com.tw/news/165736
Next.js 15引入非同步請求API簡化渲染與快取模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>官方正式推出<a href="https://nextjs.org/blog/next-15#turbopack-dev">Next.js 15</a>，不僅提升框架的穩定性，也帶來一系列開發功能更新。更新亮點包括加入非同步請求API，提供更靈活的渲染方式，並且新支援React 19和React編譯器，在強化效能的同時，減少開發者手動最佳化的負擔，還正式推出Turbopack開發模式帶來更高效的開發體驗。</p> <p>Next.js15引入非同步請求API，提供伺服器端渲染更多的靈活性，這對於大型應用的效能提升非常有用。傳統的伺服器端渲染需要等待請求才能開始渲染，而Next.js 15則允許提前準備與請求無關的元件渲染，在收到請求前就開始準備渲染。此變化影響了請求相關的API，諸如cookies、headers和params等API都將會轉換成為非同步模式。這項變更為破壞性更新，Next.js團隊提供了程式碼轉換工具來簡化升級流程。</p> <p>隨著React 19釋出，Next.js 15開始提供穩定支援，並添加實驗性React編譯器。新的React編譯器能夠深度理解JavaScript語義並且自動最佳化，讓開發者不需要手動進行useMemo或useCallback效能調整，整體來說使程式碼更簡潔易讀，也降低出錯的風險，對於需要處理大量互動的應用程式來說更為友善。</p> <p>Turbopack開發模式在Next.js 15中進入穩定階段，能夠明顯提升開發體驗。Turbopack的優點在於減少開發延遲，提升開發的順暢度，使得團隊在迭代程式碼過程更加高效。根據在大型Next.js應用程式的實測資料，該模式可以加快本地伺服器啟動速度76.7％，程式碼更新速度提升96.3％，在沒有快取的情況下，初始路由編譯速度可提升45.8％，因此很適合用於需要頻繁調整程式碼的大型專案。</p> <p>Next.js 15新加入的instrumentation.js工具讓開發者可以深入觀察伺服器運作狀況，以識別效能瓶頸和錯誤來源。透過整合OpenTelemetry等遙測工具，開發者可以清楚追蹤伺服器的操作步驟，並獲得即時報告，進一步提升應用的可維護性和穩定性。</p> <p>對TypeScript開發者的好消息是，Next.js 15支援使用TypeScript編寫next.config.ts檔案，並提供NextConfig類型支援。這將使得配置過程更加安全，並且TypeScript開發者可獲得自動完成功能，避免因為配置錯誤導致潛在問題。</p> <p>Next.js 15還新增了<Form>元件，讓開發者在處理表單更加方便。該元件預設具備預擷取和客戶端導航功能，這兩項功能分別讓表單在畫面顯示時，會自動提前載入表單提交後的頁面和資料，使頁面切換更加順暢，另外，在提交表單時，系統將不再需要重新載入整個網頁，直接在客戶端完成導航過程。這樣的設計讓表單在網頁上的回應更迅速，特別適合需要進行頁面跳轉的表單，並讓程式碼開發工作更容易。</p> </div></div></div>
2024/10/29 08:04作者李建興https://www.ithome.com.tw/news/165742
零售IT雙周報第44期：歐洲電商巨頭如何用生成式AI打造商品上架輔助功能，來自動填入商品資訊欄位
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000FF;"><strong>重點新聞(1013~1026)</strong></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #商品上架輔助 #商品分類管理</span></span></strong><br /> <strong>Zalando如何用生成式AI打造商品上架輔助功能，來自動填入商品資訊欄位</strong></p> <p><a href="https://engineering.zalando.com/posts/2024/09/content-creation-copilot-ai-assited-product-onboarding.html">歐洲時尚電商巨頭Zalando揭露了他們如何打造生成式AI商品上架輔助功能。</a>這個功能會根據商品圖片特徵，自動辨認並填入商品資訊欄位。這個功能整合了多個資料來源及AI服務，架構上主要可以分為內容生成工具、商品主數據、提示生成器及OpenAI-GPT服務等4部份。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/zala2.png" style="width: 600px;" /></p> <p>運作模式是，商家在內容生成工具中上傳圖片，就會傳送到提示生成器，結合Zalando商品主數據，來辨認出特徵，並生成提示給OpenAI-GPT服務，來進一步生成商品資訊描述建議。這些建議，會再會回傳至內容生成工具，自動填入商品資訊欄位。</p> <p>為了支援25國語言商家，Zalando選擇用英文來進行大部分數據處理，再於OpenAI-GPT服務設置一個翻譯層，翻譯產出建議到商家語言，並過濾掉生成內容中不需要的資訊。另外，為了讓模型能更準確給出商品屬性建議，他們也設置了一系列機制，包括進一步提示模型如何區別不同商品屬性的小細節等。</p> <p>隨著Zalando不斷強化此功能，未來他們希望還能藉由此功能來全面性豐富商品數據，並用來支援商品銷售數據分析、精準行銷等情境。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#SCM #商品數據 #精準行銷 #OMO零售</span></span></strong><br /> <strong>鞋全家福如何將商品數據應用於行銷、採購及供應商管理</strong></p> <p>鞋全家福電商部副理呂榮生近日揭露了自家導入數據科技的做法與應用方向。呂榮生說，鞋全家福應用數據的目的是，整合線上線下數據、提升顧客體驗，以優化進銷存策略。不同於許多零售業者習慣從會員數據切入的策略，他們選擇以產品數據為中心，串聯起ERP、會員、供應鏈管理（SCM）等系統的產品相關數據，並從中找出對行銷、採購及供應商管理的價值。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/LINE_ALBUM_%E9%9E%8B%E5%85%A8%E5%AE%B6%E7%A6%8F_241028_1(1).jpg" style="width: 600px;" /></p> <p>行銷方面，鞋全家福透過分析產品銷售數據，包括商品關聯性、區域和門市熱銷主題、關鍵字分析等，來發掘潛在行銷角度。他們也會以門市銷售情況，來調整個別店面的商品陳列。</p> <p>採購方面，鞋全家福透過商品銷售數據來支援廠商篩選和品項選擇等作業，庫存迴轉率得到提升，跌價損失金額更減少了50%，新品採購的週期也縮短了15天。</p> <p>供應商管理方面，鞋全家福則與廠商共享商品銷售數據洞察，協助廠商提品、報價，並針對市場需求來開發產品。他們分享這些洞察的供應商，目前提升了12%提品成功率，以及高達70%業績。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#個人化電商首頁 #精準行銷 #再行銷</span></span></strong></p> <p><strong>Amazon電商App改版，利用ML技術呈現完全個人化的首頁內容</strong></p> <p>在電商頁面呈現個人化內容已經是相當基本的事情，<a href="https://www.aboutamazon.com/news/retail/amazon-homepage-redesign-features">不過Amazon這次電商App介面改版，個人化程度又再上一層樓</a>。傳統電商首頁往往嘗試呈現站上商品的不同分類商品，或當下行銷檔期訊息。新版Amazon電商介面則只保留基本版型，內容上則會根據顧客行為而完全不同，且會聚焦於和顧客喜好高度相關的主題或類別。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/amzfpui.jpg" style="width: 600px;" /></p> <p>這與Walmart先前宣布，在每一個顧客造訪電商時，生成專屬首頁的做法有異曲同工之妙。雖然Amazon沒有提到使用生成式AI技術來打造個人化首頁，但都是要將首頁功能從通用的入口網站，改造成超級個人化的再行銷接觸點。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#生成式AI #商品上架輔助</span></span></strong><br /> <strong>eBay推出大量商品上架輔助功能，一次讀取數百張商品照片並自動生成商品資訊</strong></p> <p>eBay又推出一項以視覺辨識為基礎的生成式AI商家輔助功能。<a href="https://innovation.ebayinc.com/tech/features/magical-bulk-listing-tool-is-ebays-latest-ai-powered-time-saver-for-sellers/">這次是一個批量商品上架功能</a>，商家只需批量上傳商品圖片，系統就能在幾秒內生成包含建議類別、標題和商品詳情等資訊。確認無誤後，商家就能快速上架這些商品。</p> <p>目前，此功能只開放給美國商家使用，只支援運動類交換卡片商品。不過eBay表示未來數月將拓展此功能支援商品類別，並開放給更多地區商家使用。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#搜尋引擎電商 #生成式AI #購物輔助功能</span></span></strong><br /> <strong>Google購物介面大改版，結合生成式AI商品推薦及相關商品知識搜尋等功能來輔助購物決策</strong></p> <p><a href="https://blog.google/products/shopping/google-shopping-ai-update-october-2024/">Google改版了Google Shopping服務介面，其中最大的改動是，用生成式AI來輔助購物決策的一系列功能。</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/gaisp.jpg" style="width: 600px;" /></p> <p>顧客輸入商品需求，如搜尋「西雅圖男士冬季外套」時，系統會生成一份AI說明，概述在這種情境下，購買此商品前應了解的重點。例如，應該注意的外套分類與特性等。系統會根據這些特性和分類，來呈現出商品搜尋結果，並解釋這些商品分類符合搜尋結果的原因。同時，搜尋結果頁面還會搜尋相關商品知識的文章和影片，供顧客更深入研究。</p> <p>其他改版功能還包括各式個人化商品推薦及優惠推薦功能。這些更新目前只在美國市場推出。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電商經營 #CRM</span></span></strong><br /> <strong>Salesforce針對小型企業推出電商經營工具</strong></p> <p>Salesforce在小型企業的解決方案中新增電商經營功能，主要功能包括電商頁面建立功能、Low-code電商設計工具、集中式商品管理工具，還有營運數據儀表板。此功能和原本解決方案中的銷售、客服、行銷功能及數據原生整合，有利於小型企業主一站式管理經營電商所需的其他作業，例如電商個人化行銷、會員關係管理等。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態：</span></strong></span></p> <p>1. <a href="https://www.onead.com.tw/product/retaildmp/">OneAD推出蒐集100家線上線下通路、11個產業以及25,000個以上品牌商品數據的DMP，用來支援市調及商品行銷決策</a></p> <p>2. <a href="https://newsroom.roku.com/news/2024/10/instacart-and-roku-expand-advertising-partnership-with-new-shoppable-formats/crouq6mo-1728406294">生鮮電商平臺Instacart將電商及外送功能整合到CTV巨頭Roku系統中，並提供廣告主利用前者數據在後者投放廣告的服務</a></p> <p>3. <a href="https://www.dunnhumby.com/about-us/news/tesco-media-unveils-new-retail-media-developments-at-annual-upfront-event/?_gl=1*vkck8h*_up*MQ..*_ga*OTk1ODUxMTQzLjE3MzAwOTgyNzk.*_ga_1HYPEY1HH6*MTczMDA5ODI3OC4xLjAuMTczMDA5ODI3OC4wLjAuMA..">特易購將RMN業務範疇拓展到數位短影音廣告及主題門市行銷模式，並推出自助式行銷成效分析工具</a></p> <p>資料來源：iThome整理，2024年10月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Zalando、Amazon、Google、郭又華攝</p> <p></p> </div></div></div>
2024/10/28 19:24作者郭又華https://www.ithome.com.tw/news/165741
【資安日報】10月28日，上周四勒索軟體RansomHub聲稱攻擊臺灣被動元件製造廠
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去一週以來，有5家上市櫃公司發布資安重大訊息，證實遭遇資安事故，其中一起被動元件製造商華新科技公告的網路攻擊事件，有資安業者透露很有可能是勒索軟體攻擊。</p> <p>值得留意的是，勒索軟體駭客組織RansomHub對臺灣企業下手的情況並非首例，今年6月，這些駭客聲稱從老牌筆電廠藍天電腦竊得200 GB內部資料。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165723"><strong style="font-size: 22px;">被動元件製造商華新科技上週公布遭駭重訊，勒索軟體RansomHub聲稱是他們發動攻擊所致</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/messageImage_1729849094638.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/messageImage_1729849094638.jpg" style="width: 300px; float: right;" /></a></p> <p>10月23日下午被動元件製造商華新科技在股市公開觀測站指出，他們有部分資訊系統遭遇網路攻擊，在察覺事故的當下立即啟動相關防禦機制因應。如今有研究人員指出，攻擊者很有可能是勒索軟體駭客組織RansomHub。</p> <p>臺灣資安業者竣盟科技25日發布部落格文章，揭露勒索軟體駭客組織RansomHub聲稱成功入侵臺灣上市被動元件大廠，該公司年營收接近30億美元，駭客竊得多達150 GB資料，內容涵蓋相關技術、有關協定、簽章資料，要脅這家公司在10月31日前支付贖金，否則將會公布竊得資料。</p> <p>另一個提到這次攻擊事故的消息來源，是網路威脅情報分析公司HackManac，10月24日他們也在社群網站X貼文揭露此事，而且直接點名苦主是Walsin Technology Corporation，也就是華新科技的英文名稱。</p> <p><a href="https://www.ithome.com.tw/news/165715"><strong style="font-size: 22px;">美國醫療服務供應商UnitedHealth坦承1億用戶資料遭竊</strong></a></p> <p>今年2月美國醫療服務供應商Change Healthcare遭到勒索軟體BlackCat攻擊，母公司UnitedHealth Group因為這起資安事故，在今年第3季財報認列超過20億美元損失，根據近日美國衛生及公共服務部（HHS）的公開資料顯示，Change Healthcare通報遭到外洩的用戶資料高達1億筆，成為美國醫療領域最嚴重的資料外洩事件。</p> <p>值得留意的是，UnitedHealth今年4月公布的第1季財報時，編列8.72億美元因應網路攻擊的成本，其中有5.93億美元屬於直接回應攻擊成本，另外的2.79億美元則是業務損失，並估計總成本將超過10億美元；而在UnitedHealth今年第3季的財報中，列出了該攻擊對該公司今年前9個月的影響，相關成本累計已超過24.5億美元。</p> <p><a href="https://www.ithome.com.tw/news/165706"><strong style="font-size: 22px;">因CrowdStrike大當機停擺多日，達美航空正式提告並求償5億美元</strong></a></p> <p>7月間資安廠商CrowdStrike更新軟體元件導致全球數百萬臺電腦大當機，受累的達美航空（Delta Airlines）上周正式提告，要求至少5億美元的賠償。</p> <p>根據路透社等多家媒體報導，達美航空向喬治亞州富爾頓（Fulton）郡高等法院提告，指CrowdStrike強迫將未測試的錯誤更新部署給客戶，導致850萬臺Windows電腦當機，引發災難性後果，要求賠償5億美元損失，以及利潤、律師費、商譽，以及未來營收的損失。</p> <p>對此CrowdStrike回應，達美航空說法是基於沒有根據的錯誤資訊，顯示不理解現代化網路安全運作方式，反映其推卸未能現代化老舊系統的責任。該公司宣稱，只要刪除更新的CrowdStrike檔案並重開機，就能排除問題。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=170029&SPOKE_DATE=20241025&COMPANY_ID=2208"><strong style="font-size: 22px;">大型造船廠台船郵件系統遭受攻擊</strong></a></p> <p>上週美利達、豐祥、華新科技，以及正新代加拿大子公司等多家上市櫃公司於股市公開觀測站發布重大訊息，週五（10月25日）傍晚大型造船廠台船發布重大訊息，表示他們發現部分郵件系統的使用者帳號遭到攻擊的情況。</p> <p>針對這起事故的後續處理，該公司表示資安單位立即啟動資安防禦機制，並執行使用者帳密修改作業，他們初步評估這起事故對公司營運無重大影響。值得留意的是，這是上週第2起郵件系統帳號遭到攻擊而登上重訊版面的資安事故，算是過往相當罕見的情況。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=180929&SPOKE_DATE=20241028&COMPANY_ID=1447"><strong style="font-size: 22px;">紡織業者力鵬傳出遭遇勒索軟體攻擊</strong></a></p> <p>今日（28日）晚間紡織業者力鵬發布重大訊息，證實他們楊梅廠的部分主機於早上遭遇檔案加密攻擊，而且，本地備份資料也不幸被刪除，他們正從異地的備援資料進行還原作業。</p> <p>針對這起勒索軟體攻擊事故可能會造成的損失或是影響，該公司目前評估對於公司的營運沒有重大影響，並表示他們後續將會持繽強化網路及資訊基礎架構的安全管控。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/10/notorious-hacker-group-teamtnt-launches.html">駭客組織TeamTNT鎖定雲端環境發動攻擊，將受害主機租給他人牟利</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/10/new-qilinb-ransomware-variant-emerges.html">勒索軟體Qilin出現變種，攻擊者採用更為複雜的方法埋藏加密金鑰</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.cybereason.com/blog/threat-analysis-beast-ransomware">勒索軟體Beast鎖定Windows、NAS、VMware ESXi而來</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/black-basta-ransomware-poses-as-it-support-on-microsoft-teams-to-breach-networks/">勒索軟體Black Basta透過微軟Teams進行社交工程攻擊</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165721"><strong style="font-size: 22px;">新型態降級攻擊可讓攻擊者植入惡意核心驅動程式、Rootkit</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/TXRZwIefiJ.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/TXRZwIefiJ.png" style="width: 300px; float: right;" /></a>今年8月資安業者SafeBreach在Black Hat USA 2024、DEF CON 32兩場大型資安會議上，揭露Windows Downdate降級攻擊，攻擊者可藉由視窗作業系統的弱點，對於重要元件進行降級，從而曝露原本已經修補完成的漏洞，其中一個藉由降級攻擊引發的弱點是CVE-2024-21302（CVSS風險評為6.7），微軟獲報後也在同月發布修補程式，如今研究人員公布更多細節，並提及一種新的降級攻擊手法。</p> <p>研究人員提及，雖然微軟對CVE-2024-21302發布了修補程式，但他們發現，微軟目前只處理已跨越安全邊界的部分，而對於能夠接管自動更新機制Microsoft Update的部分，由於這項弱點涉及以管理員身分執行核心程式碼，微軟不認為此舉跨越安全邊界而未處理，但實際上，仍有可能遭人濫用。</p> <p>他們發現，攻擊者若是能利用接管Microsoft Update的弱點，就有機會繞過驅動程式強制簽章（DSE）的系統核心防護機制，進而載入尚未簽章的驅動程式，並部署rootkit惡意程式，甚至能隱藏特定處理程序、網路活動、破壞作業系統的安全管控機制。研究人員將這種攻擊手法命名為ItsNotASecurityBoundary，並在完整套用所有更新的Windows 11 23H2作業系統上，展示如何用來發動降級攻擊。</p> <p><a href="https://www.ithome.com.tw/news/165714"><strong style="font-size: 22px;">Amazon修補Cloud Development Kit帳戶接管漏洞</strong></a></p> <p>資安業者Aqua揭露基礎設施即程式碼（Infrastructure as Code，IaC）開發框架AWS Cloud Development Kit（AWS CDK）的安全漏洞，此漏洞可能允許駭客接管CDK用戶帳戶，AWS收到Aqua通知之後，已於今年10月將其修補，估計約有1%的CDK用戶受到影響。</p> <p>這項漏洞發生的原因，是開發人員使用AWS CDK之前，必須先初始化其環境，過程裡AWS CDK會建立臨時S3儲存桶來存放部署資產，該儲存桶的命名是唯一的、與使用者帳戶有關，而且是可預測的。因此，駭客只要知道目標對象的帳號ID，就有機會替CDK建立暫存的S3儲存桶，進行竄改使用者上傳的範本，並得到該帳號的完整控制權。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/over-70-zero-day-flaws-get-hackers-1-million-at-pwn2own-ireland/">漏洞挖掘競賽Pwn2Own Ireland 2024找出逾70個零時差漏洞</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165697"><strong>【10月25日】Fortinet零時差漏洞4個月前就遭駭客組織UNC5820利用</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165683"><strong>【10月24日】FortiManager零時差漏洞已被用於實際攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165652"><strong>【10月23日】中國駭客組織IcePeony對亞洲國家網頁伺服器發動SQL注入攻擊</strong></a></p> </div></div></div>
2024/10/28 17:25作者周峻佑https://www.ithome.com.tw/news/165725
被動元件製造商華新科技上週公布遭駭重訊，勒索軟體RansomHub聲稱是他們發動攻擊所致
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10月23日下午被動元件製造商華新科技在股市公開觀測站指出，<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=142357&SPOKE_DATE=20241023&COMPANY_ID=2492">他們有部分資訊系統遭遇網路攻擊</a>，在察覺事故的當下立即啟動相關防禦機制因應。如今有研究人員指出，攻擊者很有可能是勒索軟體駭客組織RansomHub。</p> <p>臺灣資安業者竣盟科技指出，<a href="https://blog.billows.com.tw/?p=3389">勒索軟體駭客組織RansomHub聲稱</a>，他們成功入侵臺灣上市被動元件大廠，該公司年營收接近30億美元，駭客竊得多達150 GB資料，內容涵蓋相關技術、有關協定、簽章資料，要脅這家公司在10月31日前支付贖金，否則將會公布竊得資料。</p> <p>而對於遭到攻擊的公司，駭客指出擁有超過30個生產基地，旗下有完整的產品線，提供多樣性的電子產品類型及服務，其交付平臺遍布全球。</p> <p>雖然竣盟並未提及受害公司名稱，但他們提及該公司於10月23日發布重大訊息，證實有資訊系統遭受網路攻擊的情況，而當天僅有華新科技發布這類重大訊息，因此RansomHub指的顯然就是華新科技。竣盟也公布入侵指標（IoC），供IT人員偵測相關相關威脅。</p> <p>值得留意的是，RansomHub並非首度對於臺灣企業下手，今年6月，<a href="https://www.ithome.com.tw/news/163347">老牌筆電廠藍天電腦傳出遭駭</a>，該組織聲稱竊得逾200 GB資料。</p> </div></div></div>
2024/10/28 17:11作者周峻佑https://www.ithome.com.tw/news/165723
新型態降級攻擊可讓攻擊者植入惡意核心驅動程式、Rootkit
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年8月資安業者SafeBreach在Black Hat USA 2024、DEF CON 32兩場大型資安會議上，揭露<a href="https://www.ithome.com.tw/news/164368">Windows Downdate降級攻擊</a>，攻擊者可藉由視窗作業系統的弱點，對於重要元件進行降級，從而曝露原本已經修補完成的漏洞，其中一個藉由降級攻擊引發的弱點是CVE-2024-21302（CVSS風險評為6.7），微軟獲報後也在同月發布修補程式，<a href="https://www.safebreach.com/blog/update-on-windows-downdate-downgrade-attacks/">如今研究人員公布更多細節</a>，並提及一種新的降級攻擊手法。</p> <p>研究人員提及，雖然微軟對CVE-2024-21302發布了修補程式，但他們發現，微軟目前只處理已跨越安全邊界的部分，而對於能夠接管自動更新機制Microsoft Update的部分，由於這項弱點涉及以管理員身分執行核心程式碼，微軟不認為此舉跨越安全邊界而未處理，但實際上，仍有可能遭人濫用。</p> <p>他們發現，攻擊者若是能利用接管Microsoft Update的弱點，就有機會繞過驅動程式強制簽章（DSE）的系統核心防護機制，進而載入尚未簽章的驅動程式，並部署rootkit惡意程式，甚至能隱藏特定處理程序、網路活動、破壞作業系統的安全管控機制。研究人員將這種攻擊手法命名為ItsNotASecurityBoundary，並在完整套用所有更新的Windows 11 23H2作業系統上，展示如何用來發動降級攻擊，</p> <p>針對於這項繞過DSE的攻擊手法，研究人員解釋這是涉及<a href="https://www.elastic.co/security-labs/false-file-immutability">「檔案假性不變（False File Immutability，FFI）」</a>的新型態漏洞，此類弱點源自於檔案理應不會被變更的錯誤假設。</p> <p>他們進一步舉例說明。照理來說，封鎖寫入的存取共享機制將使得檔案不會被受到變更，但若是攻擊者藉由清理系統運作環境，並在檔案於記憶體存取的過程當中，觸發記憶體分頁錯誤，就有機會導致檔案重新讀取甚至是更改。</p> <p>這種雙重讀取的狀況，本質上，也涉及從檢查時間到使用時間（ Time-of-Check to Time-of-Use，TOCTOU）的競爭，攻擊者有機會藉此置換成未經簽章的惡意版本核心驅動程式，當作業系統處理驅動程式列表的過程裡，便會將該驅動程式的驗證碼視為有效並允許載入，從而達成ItsNotASecurityBoundary攻擊。</p> </div></div></div>
2024/10/28 16:20作者周峻佑https://www.ithome.com.tw/news/165721
Waymo完成56億美元的C輪增資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自駕車業者Waymo上周五（10/25）<a href="https://waymo.com/blog/2024/10/investing-to-bring-the-waymo-driver-to-more-riders/" target="_blank">宣布</a>，已完成由母公司Alphabet領投的C輪增資，募得了56億美元的款項。</p> <p>現階段Waymo旗下約有超過700輛自駕車，搭載該公司所開發的Waymo Driver駕駛技術，在舊金山、洛杉磯、鳳凰城和奧斯汀等城市提供Waymo One無人計程車服務。<a href="https://www.ithome.com.tw/news/164599" target="_blank">今年8月</a>，Waymo One每周的付費旅程次數已超過10萬次，是去年的10倍。此外，Waymo也與Uber簽署了合作協議，包括Uber用戶可透過Uber平臺呼叫Waymo車輛，以及將Waymo Driver自動駕駛技術整合到Uber的貨物運輸服務上。</p> <p>Waymo表示，新資金將用來拓展舊金山、鳳凰城和洛杉磯的Waymo One叫車服務，以及在奧斯汀及亞特蘭大擴大與Uber的合作；另也將用來繼續開發Waymo Driver，以於未來支援各種不同的商業應用。</p> <p>此次的增資都來自Waymo的原始股東，除了Alphabet之外，還包括Andreessen Horowitz、Fidelity、Perry Creek、Silver Lake、Tiger Global及Rowe Price。</p> <p>Waymo為美國無人駕駛計程車的領頭羊，其競爭對手還包括通用汽車（GM）旗下的Cruise，Cruise目前正在舊金山與鳳凰城等地經營無人駕駛計程車服務，且擁有1,000臺車輛，以及由現代汽車（ Hyundai Motor）與Aptiv合資的Motional，Motional主要以現代的IONIQ電動車來提供無人駕駛計程車服務，目前主要據點為拉斯維加斯與波士頓。</p> </div></div></div>
2024/10/28 15:03作者陳曉莉https://www.ithome.com.tw/news/165716
1U提供320核心，HPE既有伺服器支援AMD第五代EPYC
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/hpe_proliant_dl365_gen11_main_0.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年10月10日<a href="https://www.ithome.com.tw/news/165430">AMD發表第五代EPYC伺服器處理器平臺（9005系列，代號Turin）</a>，可提供8至192核心、熱設計功耗為125瓦至500瓦的款式，多家廠商也發布消息，強調既有伺服器可搭配這系列CPU，或為此推出新款伺服器。</p> <p>以HPE為例，他們的產品策略屬於前者，現行ProLiant Gen11世代的2U2路機型DL385、1U2路機型DL365、1U單路機型DL325，均在10月10日發布技術規格更新，明確列出處理器均可採用AMD EPYC 9004系列（最高搭配128核心、熱設計功耗360瓦的EPYC 9754），或是最新推出的AMD EPYC 9005系列（最高搭配160核心、熱設計功耗390瓦的EPYC 9845）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20ProLiant%20Gen11-AMD.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/DL365 Gen11 support AMD EPYC CPU models.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/DL365%20Gen11%20support%20AMD%20EPYC%20CPU%20models.png" style="width: 318px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/DL365 Gen11-image (7).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DL365%20Gen11-image%20(7).jpg" style="width: 238px;" /></a></p> <p>若以兼具高運算密度與高儲存密度應用需求而言，DL365 Gen11憑藉1U尺寸機箱的有限空間，最多可提供320顆核心（2個插槽）、6 TB容量的DDR5記憶體（24個插槽）、20臺EDSFF E3.S外形NVMe固態硬碟，以及2個PCIe 5.0 x16介面卡插槽（2個全高全長，或2個全高半長加上1個短版）與2個x16的OCP 3.0插槽。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DLGen11-GPU%20Support.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DLGen11-PCIe%20expansion.jpg" style="width: 600px;" /></p> <p>值得注意的是，HPE ProLiant DL365 Gen11的記憶體、儲存、GPU組態提供多種搭配選擇。</p> <p>若採用2.5吋硬碟儲存槽，預設容納8臺SATA/SAS傳統硬碟或SATA/SAS/NVMe固態硬碟，選配1臺光碟燒錄機，或2臺SATA/SAS傳統硬碟或SATA/SAS/NVMe固態硬碟，伺服器的記憶體插槽24個都能使用；若採用E3.S固態硬碟儲存槽，伺服器的記憶體插槽能用到16個；若採用GPU，能在機箱前緣安裝2張單寬或雙寬尺寸的GPU加速卡，搭配4臺2.5吋或8臺E3.S外形的NVMe固態硬碟，伺服器的記憶體插槽能用到20個。</p> <p><a href="https://s4.itho.me/sites/default/files/images/DL365 Gen11-storage1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DL365%20Gen11-storage1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/DL365 Gen11-storage2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DL365%20Gen11-storage2.jpg" style="width: 600px;" /></a></p> <p>對比其他以既有產品支援AMD EPYC 9005系列的伺服器廠商，若同為1U2路配置，大多都提供類似組態，例如，提供320顆核心（2個插槽）、6 TB容量的DDR5記憶體（24個插槽）。</p> <p>像是：<a href="https://www.supermicro.com/en/products/system/hyper/1u/as -1125hs-tnr?utm=smclpp">Supermicro H13世代的AS-1125HS-TNR</a>，最多同樣提供320顆核心（2個插槽）、6 TB的4800 MT/s或9 TB的6000 MT/s DDR5記憶體（24個插槽）、12臺2.5吋SATA/SAS/NVMe硬碟或固態硬碟，以及3個PCIe 5.0 x16介面卡插槽（1個全高半長、2個全高全長）與1個x16的AIOM插槽（相容OCP 3.0）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AS_20-1125HS-TNR_main.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AS_20-1125HS-TNR_main.jpg" style="width: 600px;" /></a></p> <p>聯想ThinkSystem V3支援AMD第四代與第五代EPYC處理器的機型當中，採用1U2路配置<a href="https://lenovopress.lenovo.com/lp1607-thinksystem-sr645-v3-server">ThinkSystem SR645 V3</a>，最多同樣提供320顆核心（2個插槽）、6 TB容量的DDR5記憶體（24個插槽）、16臺EDSFF E1.S外形NVMe固態硬碟，以及3個PCIe x16介面卡插槽——後3（2個PCIe 5.0與1個PCIe 4.0，皆為短版），機箱前沿也可安裝3張PCIe 5.0介面卡（薄型、全高、OCP 3.0各1），但此時需犧牲一些空間，而只能搭配4臺2.5吋硬碟。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ThinkSystem-SR645-V3.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/SR645 V3 front view configurations.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SR645%20V3%20front%20view%20configurations.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/SR645 V3 rear view with callouts.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SR645%20V3%20rear%20view%20with%20callouts.png" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>HPE ProLiant DL365 Gen11</strong></span><br /> ●原廠：HPE<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：1U<br /> ●處理器：2顆，AMD第四代EPYC（9004系列）、第五代EPYC（9005系列），最多搭配到160顆核心的款式<br /> ●記憶體：24個DDR5-6000，插滿256 GB，可達到6 TB<br /> ●儲存配置：10臺2.5吋傳統硬碟（SAS/SATA）或固態硬碟（SAS/SATA/NVMe，預設8臺），或是20臺E3.S NVMe固態硬碟；或是搭配2張單寬或雙寬GPU，以及8臺E3.S NVMe固態硬碟或4臺2.5吋U.3 NVMe固態硬碟<br /> ●I/O擴充介面：2個PCIe 5.0 x16（2個全高全長，或2個全高半長加上1個短版）<br /> ●電源供應器：2臺800瓦、1000瓦、1600瓦或1800瓦<br /> ●GPU選擇：Nvidia A16、L4</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/10/28 15:18作者李宗翰https://www.ithome.com.tw/review/165707
UnitedHealth承認當初有1億用戶資料遭竊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國衛生及公共服務部（HHS）的民權辦公室（OCR）上周更新了<a href="https://ocrportal.hhs.gov/ocr/breach/breach_report.jsf" target="_blank">健康資訊外洩列表</a>，顯示出今年2月遭駭的Change Healthcare所外洩的用戶資料高達1億筆，成為美國醫療領域最嚴重的資料外洩事件。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1025-Change%20Healthcar%20breach.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1025-Change%20Healthcar%20breach.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片擷取自美國衛生及公共服務部（HHS）網站</span></span></p> <p>Change Healthcare是美國健康保險集團UnitedHealth Group子公司Optum所買下的醫療服務供應商，主要提供醫療業者的收入周期管理、支付管理，以及健康資訊交換解決方案，每年處理150億筆的醫療照護交易，涉及1/3的美國病患紀錄。</p> <p>該公司在今年2月遭到勒索軟體BlackCat的攻擊，駭客利用竊來的憑證入侵了Change Healthcare的Citrix遠端存取服務，盜走了6GB的資料，也加密了Change Healthcare系統。隨後Change Healthcare並未說明外洩的筆數，僅說使用者的健康資訊、健保資訊、支付資訊，或是社會安全碼與駕照號碼等資訊外洩了。</p> <p>UnitedHealth Group在今年5月<a href="https://www.ithome.com.tw/news/162639" target="_blank">坦承</a>支付贖金予駭客，惟並未證實金額是否為外傳的2,200萬美元。</p> <p>然而，根據BleepingComputer的<a href="https://www.bleepingcomputer.com/news/security/unitedhealth-says-data-of-100-million-stolen-in-change-healthcare-breach/" target="_blank">報導</a>，BlackCat在收到贖金之後，忽然關閉了，而且將贖金據為己有，並未分配給合作夥伴，但此一合作夥伴依然握有Change Healthcare的機密資料，並再度向該公司勒索，而母公司UnitedHealth很可能支付了第二次的贖金。</p> <p>UnitedHealth今年4月公布<a href="https://www.ithome.com.tw/news/162361" target="_blank">第一季財報</a>時，編列了8.72億美元的網路攻擊成本，其中有5.93億美元屬於直接回應攻擊成本，另外的2.79億美元則是因攻擊所招致的業務損失，並估計總成本將超過10億美元；而在UnitedHealth<a href="https://www.unitedhealthgroup.com/content/dam/UHG/PDF/investors/2024/UNH-Q3-2024-Release.pdf" target="_blank">今年第3季的財報</a>中，列出了該攻擊對該公司今年前9個月的影響，顯示相關成本已超過24.5億美元。</p> </div></div></div>
2024/10/28 13:53作者陳曉莉https://www.ithome.com.tw/news/165715
【資安週報】1021~1025，NHK記錄片再次引發大眾對安洵事件的關注，揭發中國對全球發動認知戰內幕
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧10月第四星期的資安新聞主要焦點，莫過於<a href="https://www.nhk.jp/p/special/ts/2NY2QQLPM3/episode/te/GNM1LMZGJ5/">日本電視臺NHK近期公開一部記錄片</a>，揭露中國資安業者安洵信息外洩文件，曝光了中國對台認知戰的內幕。<a href="https://www.ithome.com.tw/news/161454">今年2月我們已經報導此事</a>，當時安洵信息外洩資料暴露中國政府對全球各地的網路間諜攻擊手段，也顯現出中國民間的資安組織在政府從事全球性的APT攻擊中，亦發揮關鍵的作用。</p> <p>如今NHK耗時半年前往7國繼續深入調查此事，並以記錄片形式揭發此威脅手段，強調中國現在的網路攻擊不只針對系統，網路攻擊也同時針對民眾，透過大量網路輿論操弄的影響力行動來發動「認知戰」。事實上，近年許多資安業者都在持續強調這方面的威脅，需要更多國人重視這類問題。</p> <p>在資安威脅與警訊上，有兩則重要新聞，一是當心中國駭客組織IcePeony鎖定網頁伺服器注入Web Shell，以及針對IIS伺服器建立後門IceCache的狀況，資安業者發現該組織從去年就鎖定亞洲多國；另一是注意新興勒索軟體Cicada3301，有資安業者指出這是今年6月才開始出現，但最近3個月內已有30家企業組織遭受攻擊，主要鎖定企業的VMware虛擬化平臺、NAS設備。</p> <p>在資安事件方面，臺灣這一星期就有5家上市公司發布資安重訊，包括美利達、豐祥-KY、華新科、台船，以及正新代加拿大子公司發布，涵蓋產業包括自行車廠、輪胎廠、機車零配件廠、被動元件廠，以及國內最大造船廠。其中華新科的事故成主要焦點，因為後續已有媒體報導指出，勒索軟體駭客RansomHub在暗網宣稱握有該公司150 GB的機密資料；另一焦點在於，有兩家公司指出遭攻擊狀況與郵件系統帳號有關，喚起國內對這方面的警惕，因為這類情形過往很少登上重訊版面。</p> <p>●自行車廠美利達在21日發布重訊，說明偵測到部份郵件系統使用者帳號遭攻擊，已啟動防禦與修改使用者帳密。<br /> ●輪胎廠正新於21日代表旗下Cheng Shin Rubber Canada發布重訊，說明該子公司部份資訊系統遭受駭客網路攻擊。<br /> ●電機機械業豐祥-KY在22日發布重訊，說明公司資訊系統在凌晨遭受加密攻擊，已查出加密源頭並阻斷，正在恢復系統。<br /> ●被動元件廠華新科在23日發布重訊，說明部份資訊系統遭受駭客網路攻擊。<br /> ●國內最大造船廠台船在24日發布重訊，說明偵測到部分郵件系統使用者遭攻擊，已啟動防禦與修改使用者帳密。</p> <p>國際間則有2起事故受關切，包括思科坦承客戶支援網站資料外流，強調公司內部並未遭駭，以及資安業者ESET在以色列的合作夥伴傳出遭受攻擊，ESET強調公司內部並未遭到入侵，正與當地合作夥伴調查此事。此外，今年8月日本馬達大廠尼得科遭駭，如今有進一步的調查結果公布，研判駭客之所以得逞是因為取得了員工VPN帳密資料。</p> <p>在漏洞利用方面，這一星期有3個零時差漏洞利用需要重視，攻擊者鎖定Fortinet、Cisco與ScienceLogic產品，顯現出企業產品成為攻擊目標的態勢依然顯著。有一起已調查出幕後攻擊者，資安業者Mandiant指出，關於鎖定Fortinet漏洞的攻擊，已發現是名為UNC5820的駭客組織所為，並且是在6月底就出現嘗試利用跡象。</p> <p>●Fortinet修補涉及FortiManager的零時差漏洞CVE-2024-47575，Mandiant在公告後隔天揭露，有駭客組織在4個月前就將其用於實際攻擊行動。<br /> ●Cisco針對旗下多款產品修補51個漏洞，其中包含針對零時差漏洞CVE-2024-20481的修補，因為該公司PSIRT發布修補時即指出有遭利用跡象。<br /> ●ScienceLogic修補SL1平臺的零時差漏洞CVE-2024-9537，美國CISA已將此漏洞列入已知漏洞利用清單。<br /> ●微軟在7月初修補SharePoint的漏洞CVE-2024-38094，以及Roundcube在6月初修補Webmail的漏洞CVE-2024-37383，近日發現有駭客針對未修補用戶攻擊的情形。</p> <p>此外，蘋果在9月修補恐影響MDM行動裝置管理平臺的漏洞CVE-2024-44133，有業者示警疑似漏洞利用跡象。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/165602"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月21日】Internet Archive再傳遭駭</span></strong></a></h3> <p>兩週前駭客入侵網際網路檔案館（Internet Archive），並竄改其網頁，向密碼外洩資料庫Have I Been Pwned（HIBP）提供竊得的逾3千萬筆帳號資料，如今這起事故出現新的發展。</p> <p>在這波攻擊行動裡，駭客濫用該網站的IT服務臺系統Zendesk向用戶寄信「警告」，並取笑維護團隊處理資安事故的速度極為緩慢，用戶的資料外流到不知名人士手中。</p> <h3><a href="https://www.ithome.com.tw/news/165631"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月22日】資安業者ESET以色列合作夥伴驚傳遭駭，駭客冒名從事網釣攻擊</span></strong></a></h3> <p>駭客鎖定合作廠商發動攻擊的情況，很難不讓人聯想到供應鏈攻擊。最近發生在資安業者ESET合作夥伴Comsecure的資安事故，就是這樣的例子。</p> <p>值得留意的是，駭客疑似透過Comsecure經營的網域，意圖打著ESET的名號，假借提供防護工具為由，向以色列人散布資料破壞軟體（Wiper），為何攻擊者能夠利用該網域寄信？該公司並未進一步說明。</p> <p><a href="https://www.ithome.com.tw/news/165652"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月23日】中國駭客組織IcePeony對亞洲國家網頁伺服器發動SQL注入攻擊</span></strong></a></p> <p>中國駭客的攻擊行動頻傳，我們昨天報導APT41針對賭博及遊戲業者<a href="https://www.ithome.com.tw/news/165606">進行為期接近9個月的網路間諜行動</a>，另一個過往未曾被發現的駭客組織IcePeony也相當值得留意，因為，這些駭客專門針對影響中國的海洋戰略趨勢，對特定亞洲國家發動攻擊。</p> <p>值得留意的是，這些駭客也似乎比照中國IT業者的「996」上班制度長時間活動，這意味著，他們可能持續對企業組織的網路環境發動攻擊，而且每天活動的期間涵蓋一般IT人員已經下班的時間。</p> <p><a href="https://www.ithome.com.tw/news/165683"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月24日】FortiManager零時差漏洞已被用於實際攻擊行動</span></strong></a></p> <p>本週研究人員揭露多起漏洞利用攻擊的資安事故，例如：Fortinet網路設備管理系統漏洞CVE-2024-47575、三星行動裝置處理器漏洞CVE-2024-44068、macOS作業系統漏洞CVE-2024-44133。</p> <p>其中，又以CVE-2024-47575相當值得留意，原因是這項漏洞在Fortinet尚未公開之前，已有研究人員提出警告，並有企業傳出遭受攻擊的情況。</p> <p><a href="https://www.ithome.com.tw/news/165697"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月25日】Fortinet零時差漏洞4個月前就遭駭客組織UNC5820利用</span></strong></a></p> <p>本週最受到矚目的漏洞，應該就屬網路設備管理平臺FortiManager零時差漏洞CVE-2024-47575（也被稱做FortiJump），在Fortinet對外發布資安公告之後，有資安業者證實已有企業遭遇相關攻擊。</p> <p>資安業者Mandiant指出，他們看到駭客組織UNC5820在今年6月就開始利用這項漏洞，但對於攻擊者的身分，以及運用漏洞的目的，迄今仍無法掌握。</p> <p> </p> </div></div></div>
2024/10/27 22:08作者羅正漢https://www.ithome.com.tw/news/165708
蘋果可能正測試血糖管理App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>彭博引述消息人士<a href="https://www.bloomberg.com/news/articles/2024-10-25/apple-secretly-tests-blood-sugar-app-in-sign-of-health-ambitions" target="_blank">報導</a>，蘋果今年曾進行過血糖管理App的測試，不過短期間消費者應該看不到這款應用程式。</p> <p>報導指出，蘋果內部今年曾做過一項App測試，該App要求使用的員工需先證明的確是經由血液測試為糖尿病前期（pre-diabetic），然後他們再使用多種市售血糖計自我監控血糖值，同時以該App記錄飲食造成的血糖變化。</p> <p>糖尿病前期是一種代謝問題，可能即將演進成第二型糖尿病，但糖尿病前期可透過運動及飲食管理逆轉。<a href="https://idf.org/about-diabetes/diabetes-facts-figures/" target="_blank">根據統計</a>，全世界20到79歲人口有1/10人口患有糖尿病，有鑒於糖尿病的後遺症及對各國醫療支出的沈重負擔，糖尿病前期管理是公共健康管理領域一大重點。</p> <p>報導指出，蘋果蒐集血糖變化的目的是為了研究未來蘋果可能的研發方向，但是蘋果後來也暫停該App的研究，而轉向其他功能。</p> <p>蘋果研究這項功能並不令人意外。蘋果近年一直努力強化iPhone及Apple Watch的健康管理能力，迄今消費者已經可用Apple Watch偵測心電圖／心律不整、呼吸、睡眠狀態。去年Apple Watch還加入血氧飽和度偵測，直到被Masimo控告侵權，才全面移除這功能。外傳蘋果也正在研究血壓量測。</p> <p>報導指出，蘋果已花了15年投入研究非侵入式血糖值研究。為了免除採血痛苦，非侵入方法一直是科技廠商<a href="https://www.ithome.com.tw/news/134556" target="_blank">追求的目標</a>，然而迄今尚沒有夠精準的非侵入量測方法。Google姐妹公司Verily研究多年的血糖量測隱形眼鏡研發，在投入5年後，於<a href="https://www.ithome.com.tw/news/127118" target="_blank">2018年</a>宣布暫停研究。</p> </div></div></div>
2024/10/28 11:46作者林妍溱https://www.ithome.com.tw/news/165709
Meta AI首簽媒體內容授權合作，可存取路透社新聞內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了強化Meta AI的應用效益，Meta近日與媒體集團路透社（Reuters）簽定首個主要內容授權合作案，使其Meta AI聊天機器人得以搜尋及顯示後者的新聞內容。</p> <p><a href="https://www.axios.com/2024/10/25/meta-reuters-ai-news-facebook-instagram" target="_blank">《Axios》</a>首先報導，在Meta和路透社的多年合作下，Meta AI在回應用戶查詢時，將可顯示路透社新聞內容重點摘要及連結。路透社已經向媒體<a href="https://www.theverge.com/2024/10/25/24279259/meta-reuters-ai-chatbot-deal-news-licensing-media" target="_blank">證實</a>此事。</p> <p>Meta AI和路透社的內容授權，可涵括Meta眾多社群平臺應用，包括臉書（Facebook）、Instagram（IG）、WhatsApp、FB Messenger。</p> <p>這是在各家大廠掀起AI實力競賽以來，Meta簽下的首個內容授權合約。相較之下，OpenAI已經獲得多家歐美主要媒體的內容授權，可在ChatGPT上顯示新聞內容及連結，包括美國的紐約郵報、<a href="https://www.ithome.com.tw/news/163046" target="_blank">華爾街日報</a>、大西洋日報（The Atlantic）、法國的Le Monde、西班牙的<a href="https://www.ithome.com.tw/news/161783" target="_blank">Prisa Media</a>與德國的Axel Springer等。</p> <p>上周微軟及OpenAI<a href="https://www.ithome.com.tw/news/165647" target="_blank">合作</a>，則藉由AI協作及獎學金計畫（Lenfest Institute AI Collaborative and Fellowship Program），資助新聞編輯室探索AI的應用，以改善媒體關係。</p> </div></div></div>
2024/10/28 12:03作者林妍溱https://www.ithome.com.tw/news/165713
Amazon修補AWS Cloud Development Kit帳戶可被接管的安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aquasec.com/blog/aws-cdk-risk-exploiting-a-missing-s3-bucket-allowed-account-takeover/" target="_blank">資安業者Aqua上周揭露</a>了一個曾經存在於AWS Cloud Development Kit（AWS CDK）的安全漏洞，此一漏洞可能允許駭客接管CDK用戶帳戶，但在AWS收到Aqua通知之後，已於今年10月將其修補，並估計約有1%的CDK用戶受到影響。</p> <p>AWS CDK是個開源的基礎設施即程式碼（Infrastructure as Code，IaC）開發框架，它讓開發人員可透過自己熟悉的程式碼來定義雲端基礎設施，CDK可直接將這些程式碼轉換成AWS可解釋與部署的配置。</p> <p>要使用AWS CDK之前，開發人員必須先初始化其環境，以替CDK的堆疊部署作準備，在此一程序中，AWS CDK會建立一個暫時的S3儲存桶來存放部署資產，該儲存桶的命名是唯一的、與使用者帳戶有關，而且是可預測的。因此，駭客只要知道目標對象的帳號ID，就能跨所有AWS區域替CDK建立暫存的S3儲存桶。</p> <p>在駭客取得AWS CDK用戶的儲存桶之後，有兩個可能的情況，一是該儲存桶屬於新用戶，根本尚未被建立，因此此一新用戶在初始化期間要建立時就會出現錯誤，二是該儲存桶屬於舊用戶，而且已被該用戶移除（所以才能再被建立）。</p> <p>就算AWS CDK用戶手動刪除了S3儲存桶，但系統在部署時仍會存取該儲存桶，因而讓駭客有機可趁，修改使用者上傳的範本，進而獲得目標帳戶的完整控制權。</p> <p>Aqua分析了38,560個AWS帳戶，發現當中有2%安裝了CDK，並有10%帳戶及超過100個儲存桶可能受到上述攻擊，而AWS則說約有1%的CDK用戶受到影響。</p> <p>在今年6月收到Aqua的報告後，AWS即著手改善，包括在初始化時添增一個新條件，確保它只信任用戶帳戶中的S3儲存桶，以避免CDK將資料傳送到不屬於初始化程序帳戶擁有的儲存桶；另也更新文件，鼓勵使用者客製化初始化時的資源，以客製化的Qualifier取代預設的hnb659fds。值得注意的是，使用今年7月發表的CDK v2.148.1或是更早的CDK版本仍然受到上述漏洞的影響。</p> <p>Aqua建議開發人員應將自己的AWS帳戶ID視為機密，以免遭到鎖定或利用；使用IAM政策中的條件，來避免用戶或服務存取不可靠的儲存桶；以及不要使用可預測的儲存桶名稱。</p> </div></div></div>
2024/10/28 12:18作者陳曉莉https://www.ithome.com.tw/news/165714
Claude.ai推JavaScript分析工具，強化資料處理與視覺化能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Anthropic在Claude.ai加入<a href="https://www.anthropic.com/news/analysis-tool">全新資料分析工具</a>，內建JavaScript程式碼編寫和執行功能，使Claude能編寫JavaScript程式碼，並利用沙箱環境處理資料、執行計算，並生成即時分析結果，協助各種領域的使用者，有效挖掘資料中的資訊。此功能目前已經在預覽功能中開放所有用戶使用。</p> <p>Claude.ai的分析工具讓用戶可以載入、清理並分析大規模資料，例如CSV檔案中的資料集。Claude.ai藉由編寫JavaScript程式碼，企業可快速處理客戶互動資料，或是深入了解不同市場的銷售績效，甚至是分析終端用戶參與度資料。JavaScript分析工具的優勢之一，在於JavaScript這個語言的即時互動性和高相容性，讓用戶可以直接在瀏覽器中執行程式碼，快速處理和視覺化資料。</p> <p>此JavaScript資料分析工具解決傳統資料處理中，繁瑣的手動步驟與跨平臺作業限制，過去企業的資料常需要先在其他工具中經過處理後再匯入進行分析，這過程不僅耗時且容易出現錯誤，而現在Claude.ai內建功能讓用戶可在同一個平臺中，完成資料清理、探索和運算，獲得更加精確可驗證的結果，提升分析效率。</p> <p>雖然Claude一直以來都能夠編寫程式碼，但是這個JavaScript分析工具，可在Claude.ai平臺內直接執行這些程式碼，進而支援各種資料分析任務。這代表Claude不僅能提供有邏輯且經過推敲的答案，還能透過實際運算產生數學上精確且可重現的結果，讓分析更加可靠。</p> <p>用戶現在登入Claude.ai平臺，在設定中啟用分析工具預覽，即可開始使用JavaScript分析功能，進行各種資料處理和分析操作。此一工具不僅提升Claude應用深度，也拓展了企業應用人工智慧分析資料和視覺化的選擇。</p> </div></div></div>
2024/10/27 03:42作者李建興https://www.ithome.com.tw/news/165704
DeepMind公布整合2種思維模式的Talker-Reasoner AI代理人框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google DeepMind<a href="https://arxiv.org/abs/2410.08328v1" target="_blank">上周公布</a>具備2種思維模式的系統框架，可讓AI代理人（agent）能兼具快、慢思考的效益。</p> <p>現有大型語言模型能以自然語言和使用者互動，具有二種能力，包括對話和規劃／思考。DeepMind團隊設計的一種由雙系統組成的Talker-Reasoner代理人框架，能同時執行對話及多步驟推理任務，一如由以色列諾貝爾經濟學家Daniel Kahneman提倡的「快思慢想」（之後也被翻譯成多國語言版本，包括<a href="https://www.books.com.tw/products/0010962486" target="_blank">繁中版</a>）的人類一樣。</p> <p>DeepMind設計的雙系統代理人框架中，系統1 Talker LLM能執行快速、直覺及合成語言回應，負責感知觀察外界、獲得用戶回應，並且以自然對話和用戶互動。系統2 Reasoner LLM負責解決複雜的問題，這牽涉從外界取得資訊增強其知識，像是呼叫工具、從外部資料庫獲取資訊。相較Talker LLM的快速回應，Reasoner的運行更為緩慢、深刻及具邏輯性，包含多階段推理和規劃、呼叫、執行行為等動作。Talker和Reasoner之間經由共同記憶體互動。Reasoner獲得知識後，除了執行行為，也更新其（記憶體中的）知識信仰，並提供Talker產生新的說話內容。在接獲使用者互動輸入問題時，Talker可以以現有知識為基礎、提供直覺回應，也可以等待Reasoner代理人產出知識，延遲回應使用者。</p> <p>DeepMind團隊利用Gemini 1.5 Flash設計出包含雙系統AI代理人，在測試中，讓該系統扮演使用者睡眠指導顧問，在聽取使用者說明後，提供改善睡眠的建議。研究團隊發現，系統在「理解」使用者問題階段，其代理人（Talker）直覺化、流暢回應使用者，但當Reasoner未能理解其指導是哪個階段時，會提供較直覺化而無用的建議。例如使用降噪窗帘及隔音板。為解決此問題，研究團隊加入「指導」階段說明，Talker一旦讀取到指導階段時，就會等待Reasoner提供的資訊，而非直覺回應用戶。這時系統2就取得主導，而非只給系統1產出的回應，例如為房間換顏色柔和的壁紙。</p> <p>研究人員指出，本研究是首個使用雙系統的代理人，欲改善其效用，未來可以讓Talker-Reasoner框架中的Talker自動判斷是否加入System 2的資訊作為回應，或是System 2加入更多Reasoner，以多元化其輸入的記憶資訊。</p> </div></div></div>
2024/10/27 03:56作者林妍溱https://www.ithome.com.tw/news/165705
害停機多天，達美航空正式控告CrowdStrike求償5億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7月間安全廠商Crowdstrike更新軟體元件導致全球數百萬Windows PC當機，受累的達美航空（Delta Airlines）上周正式提告，要求至少5億美元的賠償。</p> <p><a href="https://www.reuters.com/legal/delta-sues-crowdstrike-over-software-update-that-prompted-mass-flight-2024-10-25/" target="_blank">路透社</a>等多家<a href="https://www.aol.com/delta-sues-crowdstrike-over-software-012219252.html" target="_blank">媒體</a>報導，達美航空向喬治亞州富爾頓（Fulton）郡高等法院提告，指Crowdstrike強迫將未測試的錯誤更新部署給客戶，導致850萬臺Windows電腦崩潰，引發災難性後果，要求5億美元損失以及利潤損失、律師費、商譽損失和未來營收損失。</p> <p>7月中Crowdstrike部署軟體更新到用戶電腦過程中引發Windows系統暫停運作，影響多個產業客戶。微軟估計事件影響850萬臺Windows PC。達美航空聲稱，若Crowdstrke有測試問題更新，就不會發生此事，此錯誤更新無法遠端移除，危及公司業務，造成大量班次延遲。該公司說受Windows當機影響，40,000臺Windows伺服器必須手動重啟，其中一個和追蹤機組人員相關的工具受創最鉅，因其無法處理這次變更造成的系統負荷。該公司估計，停機的5天期間達美和Delta Connection航空超過7,000個航班取消，影響超過130萬旅客。</p> <p>達美航空除了退費外，也必須賠償7月19日到28日的旅客損失。此外，達美航空因賠償爭議，8月間還<a href="https://edition.cnn.com/2024/08/07/business/delta-passengers-sue-crowdstrike-meltdown/index.html" target="_blank">引發</a>旅客集體控告。</p> <p>不過Crowdstrike上周回應，達美航空說法是基於沒有根據的錯誤資訊，顯示不理解現代化網路安全運作方式，反映其推卸未能現代化老舊系統的責任。事實上只要刪除更新的Crowdstrike檔案重開機就能排除問題。這家資安業者說，事發時表示願提供到府協助，但遭到達美航空拒絕，推論可能是因為達美部署的不是現代化的Windows系統。</p> <p>美國運輸部已於7月底<a href="https://edition.cnn.com/2024/07/24/tech/crowdstrike-outage-cost-cause/index.html?cid=external-feeds_iluminar_yahoo" target="_blank">啟動調查</a>。</p> </div></div></div>
2024/10/27 04:19作者林妍溱https://www.ithome.com.tw/news/165706
【資安日報】10月25日，Fortinet零時差漏洞4個月前就遭駭客組織UNC5820利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週最受到矚目的漏洞，應該就屬網路設備管理平臺FortiManager零時差漏洞CVE-2024-47575（也被稱做FortiJump），在Fortinet對外發布資安公告之後，有資安業者證實已有企業遭遇相關攻擊。</p> <p>資安業者Mandiant指出，他們看到駭客組織UNC5820在今年6月就開始利用這項漏洞，但對於攻擊者的身分，以及運用漏洞的目的，迄今仍無法掌握。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165689"><strong style="font-size: 22px;">針對Fortinet本週揭露的網路設備管理平臺零時差漏洞，研究人員指出6月就已遭到利用</strong></a></p> <p>資安業者Fortinet週三（10月23日）發布公告，揭露網路設備管理平臺FortiManager重大漏洞CVE-2024-47575（也被稱做FortiJump），並警告已有實際利用的情況，有資安業者Mandiant在公告後隔天揭露，他們在4個月前就掌握到駭客攻擊行動。</p> <p>他們發現名為UNC5820的駭客組織，於6月27日就開始嘗試利用上述漏洞攻擊FortiManager，從而將受到管理的FortiGate防火牆組態資料流出。這些詳細資料包含使用者名稱及經過雜湊處理的密碼，攻擊者有機會進一步對FortiManager下手，並對受到管理的其他Fortinet裝置進行橫向移動，進而對企業環境發動進一步攻擊。</p> <p>不過，根據研究人員取得的情報，他們尚未發現駭客利用漏洞進行橫向移動的跡象，而且也沒有後續活動，對於攻擊者的意圖或是地理位置，目前仍不得而知。</p> <p><a href="https://www.ithome.com.tw/news/165669"><strong style="font-size: 22px;">北韓駭客Lazarus假借DeFi遊戲為誘餌，利用Chrome零時差漏洞發動攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Lazarus_APT_for_SAS_11.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Lazarus_APT_for_SAS_11.png" style="width: 300px; float: right;" /></a>5月15日Google發布Chrome 125更新（125.0.6422.60、61），修補零時差漏洞CVE-2024-4947，通報此弱點的資安業者卡巴斯基表示，當時他們看到北韓駭客組織Lazarus假借提供電玩遊戲的名義，並利用這項漏洞企圖控制受害者的電腦。</p> <p>這起攻擊行動之所以曝光，起初是在5月13日，該廠牌防毒軟體在俄羅斯個人用戶的電腦，偵測到後門程式Manuscrypt感染的情況，由於使用該惡意程式的Lazarus鮮少針對個人用戶下手，這樣的情況引起研究人員的注意，進一步調查發現，detankzone[.]com網站利用瀏覽器弱點發動攻擊。</p> <p>研究人員進一步指出，攻擊者架設的網站以TypeScript及React打造而成，他們將漏洞利用程式碼埋在名為index.tsx的檔案，但值得留意的是，這些程式碼不光利用CVE-2024-4947，還運用另一個近期才揭露的V8沙箱弱點。</p> <p><a href="https://www.ithome.com.tw/news/165679"><strong style="font-size: 22px;">北韓IT人員到歐美企業遠距任職引發危機，可能導致商業機密遭竊、勒索</strong></a></p> <p>最近2到3年美國政府多次提出警告，要企業防範北韓駭客假借謀取遠距辦公職務的名義，取得企業內部網路環境的存取權限，從事間諜活動並偷取機密資料的情況，今年美國更是二度查緝協助這些「IT人員」犯案的筆電農場（Laptop Farm），自資安意識教育訓練業者KnowBe4公布他們不慎雇用北韓駭客差點資料外流的事故，有資安業者針對這種威脅態勢進行調查，並指出近期相關攻擊已出現顯著變化。</p> <p>資安業者Secureworks指出，他們針對專門從事這類攻擊的駭客組織Nickel Tapestry（也被稱做Famous Chollima、UNC5267）進行追蹤，結果發現這些駭客在得手企業內部資料後，開始會向雇主進行勒索，要求付錢換取不將資料外流。研究人員指出，這樣的手法過往未曾出現。</p> <p>在其中一起事故裡，受害企業因該員工表現不佳終止僱傭關係，不久就收到一系列電子郵件，其中一封挾帶聲稱竊得內部機密資料的ZIP檔案，另一封則是要求受害企業支付數十萬美元的加密貨幣贖金，後來駭客從另一個電子郵件信箱寄信，以Google Drive共享檔案來表明，他們握有更多內部資料，藉此施壓。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/new-rust-based-embargo-ransomware-threatens-us-companies-with-advanced-attack-techniques/">以Rust打造的Embargo勒索軟體鎖定美國企業而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/misconfigured-un-database-gender-violence-victims-data/">聯合國資料庫配置不當，曝露228 GB性暴力受害者資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/10/cisa-warns-of-active-exploitation-of.html">美國警告SharePoint漏洞CVE-2024-38094出現實際攻擊行動</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165693"><strong style="font-size: 22px;">思科針對網路防火牆產品線的多個軟體平臺發布更新，總共修補51個弱點</strong></a></p> <p>10月23日思科針對旗下防火牆系統Adaptive Security Appliance（ASA）、Firepower Threat Defense（FTD），以及集中控管軟體Firewall Management Center（FMC）發布一系列資安公告，揭露51項漏洞，並發布更新軟體修補。</p> <p>根據CVSS風險評分，這次有3項被列為重大層級的漏洞CVE-2024-20329、CVE-2024-20412、CVE-2024-20424最為危險，資安風險評為9.9至9.3分。</p> <p>除了上述的重大層級漏洞，另一個中度風險的漏洞CVE-2024-20481也值得留意，因為，該公司產品安全事件回應團隊（PSIRT）已經發現有人利用的跡象。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/nvidia-patches-high-severity-flaws-in-windows-linux-graphics-drivers/">針對顯示晶片驅動程式，Nvidia修補8項高風險漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/chrome-patches-multi-vulnerabilities-in-latest-stable-release/">Google發布Chrome 130更新，修補高風險漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165690"><strong style="font-size: 22px;">為強化Apple Intelligence雲端運算安全，蘋果祭出抓漏獎勵</strong></a></p> <p>蘋果於本周四（10月24日）公開邀請所有安全及隱私研究人員，或者是任何有興趣的人存取Private Cloud Compute（PCC），並提供抓漏獎勵，最高可獲得100萬美元的獎金。為了實現此一宣布，蘋果提供了PCC的安全指南，PCC的虛擬研究環境（Virtual Research Environment，VRE），以及PCC的某些關鍵原始碼。</p> <p>什麼是PCC？這是蘋果AI服務Apple Intelligence的一環，使用者可於Mac、iPhone及iPad上直接執行AI任務，更複雜的任務將會移至PCC執行。值得一提的是，這是蘋果第一次將裝置的安全及隱私能力擴展至雲端，以確保發送到PCC的個人資料無法被使用者之外的任何人存取，包括蘋果在內。蘋果號程PCC是雲端大規模AI運算史上最先進的安全架構。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165683"><strong>【10月24日】FortiManager零時差漏洞已被用於實際攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165652"><strong>【10月23日】中國駭客組織IcePeony對亞洲國家網頁伺服器發動SQL注入攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165631"><strong>【10月22日】資安業者ESET以色列合作夥伴驚傳遭駭，駭客冒名從事網釣攻擊</strong></a></p> </div></div></div>
2024/10/25 16:38作者周峻佑https://www.ithome.com.tw/news/165697
針對Fortinet本週揭露的網路設備管理平臺零時差漏洞，研究人員指出6月就已遭到利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Fortinet週三（10月23日）發布公告，揭露<a href="https://www.ithome.com.tw/news/165661">網路設備管理平臺FortiManager重大漏洞CVE-2024-47575（也被稱做FortiJump</a>），並警告已有實際利用的情況，有資安業者著手進行調查，表示在4個月前就有駭客掌握並用於攻擊行動。</p> <p>資安業者Mandiant表示，<a href="https://cloud.google.com/blog/topics/threat-intelligence/fortimanager-zero-day-exploitation-cve-2024-47575">他們發現名為UNC5820的駭客組織，於6月27日就開始嘗試利用上述漏洞攻擊FortiManager</a>，從而將受到管理的FortiGate防火牆組態資料流出。這些詳細資料包含使用者名稱及經過雜湊處理的密碼，攻擊者有機會進一步對FortiManager下手，並對受到管理的其他Fortinet裝置進行橫向移動，進而對企業環境發動進一步攻擊。</p> <p>不過，根據研究人員取得的情報，他們尚未發現駭客利用漏洞進行橫向移動的跡象，而且也沒有後續活動，對於攻擊者的意圖或是地理位置，目前仍不得而知。</p> <p>他們先後看到兩次漏洞利用的情況，第一次發生在6月27日，多臺FortiManager裝置收到來自特定IP位址及541埠通訊協定的流量，幾乎在同一時間，攻擊者將多種Fortinet設備的組態配置檔案，打包成Gzip壓縮檔/tmp/.tm。</p> <p>到了9月23日，研究人員再度於相同組織看到漏洞利用的跡象，而且，這兩次事故有個奇怪的模式，納就是駭客在壓縮檔打包完成不久，就產生對外流量。</p> <p>其中，在第2次利用漏洞的時候，攻擊者將自己的裝置向FortiManager進行註冊。研究人員提及，一旦攻擊者利用這項漏洞對FortiManager下手，該設備的管理主控臺就有可能出現未經授權的「裝置」。</p> <p>雖然攻擊者的動機仍不明朗，但Mandiant與Fortinet仍持續合作，針對各行各業超過50個可能會出現大規模攻擊的FortiManager裝置著手調查，並呼籲將FortiManager曝露在網際網路的企業，應著手調查是否有遭到入侵的跡象。</p> </div></div></div>
2024/10/25 12:08作者周峻佑https://www.ithome.com.tw/news/165689
美國發布首個AI國家安全備忘錄
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國總統拜登（Joe Biden）周四（10/24）<a href="https://www.whitehouse.gov/briefing-room/statements-releases/2024/10/24/fact-sheet-biden-harris-administration-outlines-coordinated-approach-to-harness-power-of-ai-for-u-s-national-security/" target="_blank">發布了</a>首個與人工智慧（Artificial Intelligence，AI）有關的<a href="https://www.whitehouse.gov/briefing-room/presidential-actions/2024/10/24/memorandum-on-advancing-the-united-states-leadership-in-artificial-intelligence-harnessing-artificial-intelligence-to-fulfill-national-security-objectives-and-fostering-the-safety-security/" target="_blank">國家安全備忘錄</a>（National Security Memorandum，NSM），其三大重點為確保美國引領全球的AI發展，利用尖端的AI技術推動美國國家安全，以及推動AI的國際治理。</p> <p>備忘錄在美國政府中並不具備法律約束力，但擁有指導性地位，提供明確的政策方向與原則。此一AI備忘錄將確保採用AI的同時反映民主價值，而且保護人權、公民權利、公民自由及隱私，亦尋求國際上的AI使用規範，也將採取行動追蹤並防禦對手在AI上的發展與應用。</p> <p>簡而言之，美國希望自己成為全球的AI領導者，在利用AI技術來促進國家安全的同時，也將觀察並防禦對手的AI發展，希望擁有同樣價值觀的國家共同建立AI規範。</p> <p>上述三大重點支柱的細項包括：拜登簽署《晶片法案》（CHIPS Act）以投資開發AI系統所需的大量高階晶片；將競爭對手針對美國AI產業的間諜行動的情報列為最高優先等級；指定AI安全研究所（AI Safety Institute）作為美國AI產業的主要聯繫窗口；加強對National AI Research Resource的支持，以讓大學、民間與小企業的研究人員可進行有意義的AI研究，而非只仰賴大企業。</p> <p>其它細項則包括有效地將AI應用於國家安全任務，同時遵循民主價值觀；在國家安全領域建立一個AI治理及風險管理的框架；已有56個國家簽署《軍事使用AI與自主武器的政治宣言》（Political Declaration on the Military Use of AI and Autonomy）建立軍事AI能力的原則；以及指示美國與盟國合作建立一個負責任且尊重人權的AI治理框架等。</p> </div></div></div>
2024/10/25 14:28作者陳曉莉https://www.ithome.com.tw/news/165692
思科針對網路防火牆產品線的多個軟體平臺發布更新，總共修補51個弱點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10月23日思科針對旗下防火牆系統Adaptive Security Appliance（ASA）、Firepower Threat Defense（FTD），以及集中控管軟體Firewall Management Center（FMC）<a href="https://sec.cloudapps.cisco.com/security/center/viewErp.x?alertId=ERP-75300">發布一系列資安公告</a>，揭露51項漏洞，並發布更新軟體修補。</p> <p>根據CVSS風險評分，這次有3項被列為重大層級的漏洞<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asa-ssh-rce-gRAuPEUF">CVE-2024-20329</a>、<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ftd-statcred-dFC8tXT5">CVE-2024-20412</a>、<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-fmc-cmd-inj-v3AWDqN7">CVE-2024-20424</a>最為危險，資安風險評為9.9至9.3分。</p> <p>其中最嚴重的是CVE-2024-20329與CVE-2024-20424。CVE-2024-20329存在於ASA系統，為SSH遠端命令注入漏洞，攻擊者可在未經授權的情況下，遠端以root的權限執行作業系統層級的命令。</p> <p>這項漏洞發生的原因，在於未充分驗證使用者輸入內容，導致攻擊者有機會在透過SSH遠端執行命令的過程中，藉由提出偽造的輸入利用漏洞。一旦成功觸發，攻擊者就能以root等級的權限在作業系統底層執行命令，CVSS風險值為9.9。</p> <p>另一個同樣被評為9.9分的漏洞是CVE-2024-20424，這項漏洞發生在管理平臺FMC，屬於命令注入類型的弱點，同樣也能讓未通過身分驗證的攻擊者，遠端在作業系統底層以root執行任意命令。</p> <p>造成這項漏洞的原因在於，FMC的特定HTTP請求的輸入驗證不夠充分，攻擊者可藉由發送偽造的HTTP請求，在網頁管理介面進行身分驗證來觸發漏洞。一旦漏洞觸發，攻擊者就能掌握root權限，對FMC或納入此系統進行管理的FTD防火牆執行命令。不過，利用這項漏洞必須搭配特定條件，那就是攻擊者必須先取得被授與資安分析師角色的有效使用者帳密。</p> <p>第3個被列為重大層級的漏洞是CVE-2024-20412，這項漏洞影響執行FTD系統的Firepower 1000、2100、3100、4200系列防火牆，未經身分驗證的攻擊者可利用靜態的帳密資料，存取受到影響的系統。</p> <p>此漏洞涉及多個固定帳號密碼被寫死（hard-coded passwords）在系統的狀況，攻擊者可利用該漏洞於命令列介面（CLI）登入系統，成功利用漏洞有機會截取敏感資訊、執行有限的除錯作業、竄改部分組態，或是導致設備無法正常開機啟動作業系統，CVSS風險評為9.3分。</p> <p>除了上述的重大層級漏洞，另一個中度風險的漏洞<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-bf-dos-vDZhLqrW">CVE-2024-20481</a>也值得留意，因為，該公司產品安全事件回應團隊（PSIRT）已經發現有人利用的跡象。</p> <p>這項漏洞是在今年4月威脅情報團隊Talos調查<a href="https://www.ithome.com.tw/news/162367">大規模鎖定SSL VPN、SSH系統暴力破解攻擊</a>的過程發現，影響啟用Remote Access VPN（RAVPN）服務的ASA、FTD防火牆系統，未經身分驗證的攻擊者可遠端發動阻斷服務（DoS）攻擊，CVSS風險評為5.8。</p> <p>值得留意的是，思科坦承，想要緩解CVE-2024-20481漏洞，目前只能套用軟體更新，用戶應儘速處理。</p> </div></div></div>
2024/10/25 15:40作者周峻佑https://www.ithome.com.tw/news/165693
Meta釋出Llama 3.2 1B/3B模型的量化版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼於今年9月<a href="https://www.ithome.com.tw/news/165241" target="_blank">開源</a>Llama 3.2的1B與3B模型之後，Meta周四（10/24）釋出了<a href="https://ai.meta.com/blog/meta-llama-quantized-lightweight-models/" target="_blank">1B與3B模型的量化版</a>，讓模型大小平均減少了56%，記憶體使用量平均減少了41%，模型速度提高了2~4倍，還能降低功耗，以讓這些模型能夠部署到更多的行動裝置上。</p> <p>Meta說明，他們使用量化感知訓練（Quantization-Aware Training，QAT）與後訓練量化（SpinQuant）兩種方法來量化這兩個模型。前者使用LoRA調節器，於訓練過程中即考慮量化的影響，著重的是模型的準確性，後者則是在模型完成訓練後再進行量化，強調模型的可移植性。</p> <p>不管是Llama 3.2的1B或3B模型都各自有兩個量化版本，因此總計有4個量化模型，分別是Llama 3.2 1B QLoRA、Llama 3.2 1B SpinQuant，以及Llama 3.2 3B QLoRA與Llama 3.2 3B SpinQuant。</p> <p>Meta指出，這些量化的模型比非量化（Llama BF16）模型快得多，佔用更少的記憶體，使用更低的功耗，同時還保持與Llama BF16版本幾乎相同的精度。</p> <p>量化後的Llama 3.2 1B/3B模型儘管只支援8,000個Token的脈絡（原本支援12.8萬個Token），但Meta的評測卻發現，不管是Llama QLoRA或Llama SpinQuant等量化版本的各項基準測試，都與原來的Llama BF16版本相去不遠。</p> <p>Meta是與合作夥伴共同開發了量化模型，並將這些模型提供給搭載Arm CPU的高通與聯發科的系統單晶片。除了CPU之外，Meta亦計畫透過神經處理單元（NPU）來提升這些量化模型的性能，其合作夥伴已經於開源的行動裝置推論解決方案ExecuTorch上整合了可利用NPU的基礎元件，也正努力於NPU執行這些量化模型。</p> <p>迄今Meta已於Android OnePlus 12、三星S24+/S22及iOS裝置上測試過這些量化模型，確定它們都可達到相當的準確性。</p> </div></div></div>
2024/10/25 16:13作者陳曉莉https://www.ithome.com.tw/news/165694
蘋果開放研究人員存取Apple Intelligence的Private Cloud Compute，祭出抓漏獎勵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果於本周四（10/24）<a href="https://security.apple.com/blog/pcc-security-research" target="_blank">公開邀請</a>所有安全及隱私研究人員，或者是任何有興趣的人存取Private Cloud Compute（PCC），並將抓漏獎勵延伸到PCC，最高可獲得100萬美元的獎金。為了實現此一宣布，蘋果提供了PCC的<a href="https://security.apple.com/documentation/private-cloud-compute/navigation" target="_blank">安全指南</a>，PCC的<a href="https://security.apple.com/documentation/private-cloud-compute/vresetup" target="_blank">虛擬研究環境</a>（Virtual Research Environment，VRE），以及PCC的<a href="https://github.com/apple/security-pcc" target="_blank">某些關鍵原始碼</a>。</p> <p>Private Cloud Compute是蘋果AI服務Apple Intelligence的一環，使用者可於Mac、iPhone及iPad上直接執行AI任務，更複雜的任務便移至PCC執行。這也是蘋果第一次將裝置的安全及隱私能力擴展至雲端，以確保發送到PCC的個人資料無法被使用者之外的任何人存取，包括蘋果在內。蘋果還將PCC稱作是雲端大規模AI運算史上最先進的安全架構。</p> <p>先前蘋果已開放第三方稽核人員及安全研究人員存取包括VRE在內的PCC資源，以驗證PCC的安全及隱私承諾，現在則開放所有人存取，包括PCC安全指南、VRE及PCC原始碼。</p> <p>其中，PCC安全指南含有各種元件的技術資訊，以及這些元件如何協作以維護隱私與安全，例如PCC的認證機制是建立在硬體層級的安全性上，不容易被竄改；PCC如何驗證使用者請求，以及如何分發它們以避免使用者遭到鎖定；或是PCC的隱私及安全功能在不同攻擊場景中的表現。</p> <p>蘋果首次替一個蘋果平臺建立的虛擬研究環境就是PCC VRE。該VRE是一套工具，讓研究人員得以在自己的Mac電腦上針對PCC進行安全分析。</p> <p>此一VRE是在虛擬機器中執行PCC節點軟體；用戶空間的軟體執行方式與PCC節點完全相同，僅為了適應虛擬化而變更啟動過程與核心；它包含一個虛擬的安全隔離處理器，以供研究人員探查此一元件；還可利用macOS內建的半虛擬化繪圖支援來實現推論功能。</p> <p>研究人員可利用VRE來列出及檢查PCC的軟體版本，驗證透明度日誌的一致性，下載每個版本對應的二進位檔，於虛擬化環境中啟動一個版本，針對示範模型執行推論，修改或調試PCC軟體以展開更深入的調查。</p> <p>執行VRE的系統需求為蘋果晶片、16GB或以上的記憶體，以及macOS Sequoia 15.1 開發者預覽版。</p> <p>至於透過GitHub釋出的PCC原始碼則有負責建構與驗證PCC節點的CloudAttestation專案；於用戶裝置上執行守護程序，以確保所有雲端AI運算安全性的Thimble專案；防止資料意外洩露的splunkloggingd守護程式；以及可在虛擬環境中研究與分析PCC系統的srd_tools專案。</p> <p>在透過VRE開放了PCC之後，蘋果也將PCC納入Apple Security Bounty抓漏專案中，獎金從5萬美元至100萬美元不等，找到因部署或配置不當而造成的資料外洩漏洞即可獲得5萬美元的獎金，若是找到能夠執行任意程式碼並完全控制系統的遠端攻擊漏洞，便能得到100萬美元的抓漏獎金。</p> </div></div></div>
2024/10/25 12:21作者陳曉莉https://www.ithome.com.tw/news/165690
可搭16臺E3.S SSD與4張GPU卡，Dell推2U2路Xeon 6伺服器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/dell_poweredge_r770_csp_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾<a href="https://www.ithome.com.tw/news/163298">今年6月發表Xeon 6伺服器處理器平臺</a>，先提供配備E-core的款式（代號Sierra Forest），多家廠商也響應推出伺服器產品，我們先前曾介紹的<a href="https://www.ithome.com.tw/review/163763">雲達QuantaGrid D55X-1U</a>，就是一例。</p> <p>對於另一家伺服器廠商Dell而言，他們在5月舉行的自家全球用戶大會，就已提前預告將推出兩款採用Xeon 6處理器的伺服器機型，分別是<a href="https://www.ithome.com.tw/review/164102">PowerEdge R670 CSP Edition</a>、PowerEdge R770 CSP Edition，強調效能可提升至前代產品的2.3倍，並且配備架構在OpenBMC而成的Dell伺服器管理平臺Open Server Manager，可用於大型異質資料中心環境，提供兼顧簡化管理與開放生態系的特色。</p> <p>而在6月舉行的2024台北國際電腦展期間，我們在英特爾展示的眾多Xeon 6伺服器，看到Dell提供的PowerEdge R670 CSP，採用1U、2路配置；</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Xeon%206-2024-06-04-1(1).jpg" style="width: 398px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20R670%20CSP-2024-06.jpg" style="width: 198px;" /></p> <p>到了7月底，Dell終於公開這兩款機型的細部規格與主要特色，我們也趁機介紹先在臺灣亮相的PowerEdge R670 CSP。</p> <p>現在讓我們看看Dell另一款Xeon 6伺服器：PowerEdge R770 CSP，採用2U、2路配置。</p> <p>單就處理器、記憶體的規格而言，R770 CSP與R670 CSP如出一轍，皆搭配兩個Xeon 6處理器，單個處理器最多內建144顆核心，並且可安裝32支32GB或64GB的DDR5-6400 RDIMM記憶體，總容量最大達2 TB。不過，R770 CSP的機箱為2U尺寸，空間較大，可擴充4張PCIe 5.0 x16規格的介面卡，兩張OCP 3.0外形的網路卡（從機箱的前沿與背部均可進行抽換），以及16臺E3.S外形的NVMe固態硬碟。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/dell-per770-16x2-5-internal.jpg" style="width: 198px;" /> <a href="https://s4.itho.me/sites/default/files/images/Dell R770 CSP-storage.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20R770%20CSP-storage.jpg" style="width: 398px;" /></a></p> <p>對比之下，我們稍早介紹的<a href="https://www.ithome.com.tw/review/164102">R670 CSP</a>，機箱為1U尺寸，空間相當局促，雖然能藉此實現超高運算密度（1U提供288顆處理器核心），但伺服器本身只能擴充2張PCIe 5.0 x16規格的介面卡，兩張OCP 3.0外形的網路卡（從機箱的前沿與背部均可進行抽換），以及8臺E3.S外形的NVMe固態硬碟。</p> <p>關於Dell早先預告的2.3倍效能增長效益，他們在7月下旬公布運算效能測試細部組態與結果。</p> <p>受測的主角R770 CSP，配備兩個144核心、熱設計功耗為330瓦的Xeon 6780E，以及DDR5-6400記憶體，代表Xeon 6 E-Core世代的處理器平臺，對上Dell同樣主打雲端服務供應商市場的既有2U、2路伺服器：HS5620，由於這款產品處理器最高可搭配32核心的第四代Scalable（代號Sapphire Rapids）或第五代Xeon Scalable（代號Emerald Rapids），因此Dell設置兩臺HS5620，一臺搭配32核心、64個執行緒、熱設計功耗為225瓦的Xeon Gold 6448Y，以及DDR5-4800記憶體，代表第四代Xeon Scalable處理器平臺，另一臺搭配32核心、64個執行緒，熱設計功耗為250瓦的Xeon Gold 6548N，以及DDR5-5600記憶體，代表第五代Xeon Scalable處理器平臺。</p> <p>而在SPEC CPU 2017測試之下，搭配Xeon 6 E-Core處理器的R770 CSP運算效能，均可達到前代平臺的2.3倍與2.2倍；</p> <p><a href="https://s4.itho.me/sites/default/files/images/R770-SPECCPU vs 4th Xeon SP.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/R770-SPECCPU%20vs%204th%20Xeon%20SP.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/R770-SPECCPU vs 5th Xeon SP.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/R770-SPECCPU%20vs%205th%20Xeon%20SP.png" style="width: 298px;" /></a></p> <p>若以每瓦效能而言，R770 CSP為1.58倍與1.68倍。</p> <p><a href="https://s4.itho.me/sites/default/files/images/R770-SPECCPU vs 4th Xeon SP Perf-per-watt.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/R770-SPECCPU%20vs%204th%20Xeon%20SP%20Perf-per-watt.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/R770-SPECCPU vs 5th Xeon SP Perf-per-watt.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/R770-SPECCPU%20vs%205th%20Xeon%20SP%20Perf-per-watt.png" style="width: 298px;" /></a></p> <p>到了9月中，Dell揭露R770 CSP與同樣搭配Xeon 6 E-Core處理器的Supermicro SYS-222H-TN，這次比較的效能測試項目是SPEC Power，<a href="https://www.spec.org/power_ssj2008/results/res2024q3/">第三季SPECpower_ssj 2008測試結果也在這個月出爐</a>，R770 CSP拿下20,516分，略勝SYS-222H-TN，</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell Specpower-R770.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20Specpower-R770.jpg" style="width: 600px;" /></a></p> <p>而在100％運作與閒置（Active Idle）狀態下，平均耗電量能夠再低1成——根據SPEC Power揭露的組態，我們猜測，耗電量差異可能在於搭配的硬碟儲存，R770 CSP設置1臺480 GB容量的M.2外形NVMe固態硬碟，這應該是Dell為其伺服器專門提供的BOSS-N1，而SYS-222H-TN設置1臺6.4TB容量的美光7450 NVMe固態硬碟，外形是2.5吋U.3。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-09-Comparing Dell Technologies and Supermicro on power efficiency-r770.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-09-Comparing%20Dell%20Technologies%20and%20Supermicro%20on%20power%20efficiency-r770.png" style="width: 400px;" /></a></p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p><strong><span style="color:#0000FF;">Dell PowerEdge R770 CSP</span></strong><br /> ●原廠：Dell<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：2U（482 x 86.8 x 814.52公釐）<br /> ●處理器：2顆，Intel Xeon 6系列（單顆最多144核心）<br /> ●記憶體：32個DDR5插槽，RDIMM可支援32支6400 MT/s（最大總共2 TB）<br /> ●儲存配置：8臺或16臺E3.S外形NVMe固態硬碟（最大總共122.4 TB、244.8 TB）、2臺M.2外形NVMe固態硬碟（BOSS-N1 DC-MHS）<br /> ●I/O介面：PCIe 5.0 x16（4個）<br /> ●電源供應器：2臺800瓦/1100瓦/1500瓦（1+1備援）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/10/25 13:01作者李宗翰https://www.ithome.com.tw/review/165642
Container快報第160期：CNCF成員來臺揭露K8s三大發展，多家臺灣金融和服務業分享第一手K8s實戰經驗，D…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color:#0000FF;"><strong>2024/9/21～10/25 精選容器新聞：</strong></span></h3> <p><strong><span style="color:#FF0000;">#K8s Summit #第一手K8s實戰 #雲原生永續</span><br /> 多家金融、高科技和服務業分享第一手K8s實戰和踩雷經驗，雲原生永續議題也在臺發酵</strong></p> <p>iThome主辦的K8s Summit，十月底一連兩天在臺北舉行，超過8百人報名，第一天主題演講由凱基證券亞太區資訊長黃榮林開場，分享凱基證券正在進行的核心轉型歷程，這項轉型計畫稱為天空計畫，要用K8s和微服務架構來重新打造證券核心，取代原本用了40年，以大型專有系統如AS400，使用COBOL、RPG等老舊程式語言開發的證券核心系統。</p> <p>參與了最新K8s碳排追蹤專案Kepler的IBM東京實驗室的科學家Marcelo Amaral也在第二天主題演講中分享最新的雲原生永續和K8s能耗追蹤技術，例如專案團隊正在強化eBPF探測技術的強化，也開始訓練VM能源模型，也持續重構和驗證專案程式品質。CNCF技術委員會成員Katie Gamanji和推廣大使太田航平則分享了K8s未來三大新進展，尤其強調WebAssembly對雲原生發展的重要性，可以提供一個獨立的環境，不受限於任何開發語言、作業系統和CPU，提供了一個安全、輕便而且可以在任何地方執行的技術。</p> <p>更有金控、銀行、證券、支付、高科技製造業、廣告服務業、人力銀行、房仲業者分享自家K8s實戰經驗，從核心架構改造、架構搬遷、雲端費用控管、大規模部署、K8s維運和故障排除、安全和金鑰控管、災難復原，甚至如何用來打資料工作流程等。</p> <p><strong><span style="color:#FF0000;">#WebAssembly #eBPF</span><br /> CNCF成員來臺揭露K8s三大重要發展，包括WebAssembly、eBPF和IT永續新工具</strong></p> <p>CNCF技術委員會成員Katie Gamanji和推廣大使太田航平在K8s Summit研討會中分享了K8s未來三大新進展。第一項是WebAssembly。為何這項技術對雲原生的發展，非常重要？太田航平解釋，WebAssembly可以提供一個獨立的環境，不受限於任何開發語言、作業系統和CPU。WebAssembly是一個二進位檔案，可以用不同的開發語言編譯成這種格式的檔案，再部署到瀏覽器或非瀏覽器的環境中執行。「WebAssembly提供了一個安全、輕便而且可以在任何地方執行的環境。」</p> <p>第二個重要新發展是eBPF，這項技術於本只是用來過濾網路封包，但現在的應用越來越多元，太田航平指出，eBPF有三大應用場景，資安監控，網路路由和過濾，以及可觀察性中的矩陣數據搜集，都各有不少知名的開源專案。這三類應用都是雲原生環境運作需要的核心能力。例如像New Relic的Pixie可觀察性工具，就是用eBPF技術來取得K8s運作的矩陣數據。<br /> 最後一項發展方向是永續性。「如何讓技術部門可以觀察，紀錄和評估他們自己的碳排放，在雲原生環境中，需要新的工具來解決這個課題。」Katie Gamanji指出。目前有兩項重要工具，Kepler專案可以用來追蹤K8s的能耗，另一個是碳察覺KEDA工具，可以依據碳排量數據變化來調度的自動擴充機制。例如可以設計系統使用「碳排密度」指標來調整規模，在配置檔中定義不同碳排密度事件的層級，當密度高時，自動降低應用系統的副本數量，來達到減少碳排的效果。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/K8s-CNCF%E5%88%86%E4%BA%AB.JPG" /></p> <p><strong><span style="color: rgb(255, 0, 0);">#雲原生省錢 #K8s省錢 #SRE</span><br /> 阿物科技SRE分享雲端省錢術，揭露20%節費的關鍵策略</strong></p> <p>來自嘉義的臺灣行銷科技業者阿物科技，主力開發團隊在南臺灣總部，卻能服務全臺，甚至是日本到全球的上萬家企業，就是善用了公雲基礎架構，來提供各種行銷自動化的服務。</p> <p>不過，如何更有效管理上雲的費用卻是一大挑戰，阿物科技SRE經理謝明宏在幾今年K8s Summit上也分享了阿物科技能夠節省20%雲端費用的關鍵，就是靠雲端節費地圖（CLoud Cosy Optimization Map）。</p> <p>他在這張節費地圖中，盤點5種雲端成本的來源，像是雲算資源、穩路資源、儲存資源、軟體授權和訂閱費用等常見項目，也納入容易忽略的人為失誤的成本。並歸納出6大節費核心策略，從資源成本優化、儲存成本優化、網路成本優化到善用價格便宜的Spot VM（現貨虛擬機器），另外還包括了成本監控和擁抱FinOps/DevOps文化等六項。<br /> 謝明宏更分別針對雲原生環境與K8s環境，各自如何落實這六項節費核心策略，一一說明更多細節。</p> <p>例如，K8s可以透過Pod資源請求與限制的設置，以及調整Cluster Autoscaler來優化資源成本，或是進行Ingress流量優化和調整叢集設計，可以優化網路成本。在開發與測試環境或針對非核心服務善用Spot虛擬機器，甚至混用現貨虛擬機器和按需提供的虛擬機器，也有利於成本控管。而在雲原生環境的節費實作上，例如透過VM規模調整、自動化開關機、CUR/RI購買都能優化資源的成本，進行資料生命週期管理或優化資料庫也能改善儲存成本等。</p> <p>謝明宏也分享了阿物科技如何在不同情境中，運用雲端節費地圖中節費策略的實作案例，像是在電商網站站內搜尋使用Spot虛擬機器的經驗，或是導入IaC、GItOps來降低SRE團隊維運成本等。</p> <p>他建議企業要善用架構和工具來降低維運成本，也利用架構設計提高服務可用性，並藉助節費地圖來降低雲端成本，同時考量三者來兼顧高可用性又能節省成本。他更大方公開了雲端節費地圖的心智圖，供大家按圖參考，來設計符合自家企業雲原生環境和K8s維運的雲端節費地圖。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%9B%B2%E7%AB%AF%E7%AF%80%E8%B2%BB%E5%9C%B0%E5%9C%96-big.png" /></p> <p><strong><span style="color:#0000FF;">#</span><span style="color:#FF0000;">AI訓練框架 #微服務 </span><br /> 瞄準AI模型訓練需求，GKE開始提供Nvidia微服務框架NIM</strong></p> <p>最近Google雲宣布，開是在GKE上提供Nvidia的AI框架NIM，這是一個可以用來訓練大型語言模型的微服務框架，以微服務架構的形式，提供了一整套的大型語言訓練元件，可以讓企業使用現成的元件，就可以自行打造出自己的訓練平臺，來簡化大型語言模型訓練的複雜度。像是臺大與產學合作打造的Porject TAME繁中LLM模型，就使用了NIM來建立訓練基礎架構。NIM框架也針對不少現有模型提供了最佳化版本，企業可以在GKE控制臺上直接使用NIM微服務來部署模型，例如幾個點擊就可以部署出LLama 3.1版700億參數的NIM最佳化版的模型。另外，也更容易用GKE來協調部署搭載Nvidia GPU的GKE叢集來執行NIM版模型。</p> <p><strong><span style="color:#FF0000;">#容器工具 #Linux容器管理</span><br /> AWS容器工具Finch終於支援Linux，可跨三大作業系統管理容器 </strong></p> <p>日前，AWS宣布自家容器工具Finch開始支援Linux。這款開源的命令列工具，可以供開發者在多個作業系統中建構並執行Linux容器，提供跨平臺一致的體驗，現在無論在macOS、Windows還是Linux上，都能使用相同的工具和工作流程，另外，這次改版還加入對Docker API的支援，方便開發者延續現有Docker容器工作流程。<br /> 新版最大重點是，可以直接在Linux上建置和執行容器映像檔，而不再需要虛擬化技術，可以原生支援的容器技術包括Docker和containerd可直接使用Linux核心功能。新版Finch與Finch Daemon整合，還提供了Docker API的部分功能，讓習慣Docker工作流程的開發者，能夠使用熟悉的命令和工具來管理容器。<br /> 不過，這個做法與Finch在macOS和Windows上的運作方式不同，在這兩個作業系統中，則是使用中繼元件Lima提供虛擬化技術，透過macOS的QEMU或Virtualization Framework模擬Linux所需要的核心功能，而Windows則使用WSL2（Windows Subsystem for Linux 2）來提供類似的虛擬化支援，讓Windows用戶也可以執行Linux容器。</p> <p><strong>#H<span style="color:#FF0000;">elm Chart #GitOps</span><br /> 快速掃描Python和Java程式碼，StackGen能生成Helm Chart封裝檔加速部署</strong></p> <p>最近StackGen（前身是appCD釋出了自動生成部署檔，來強化對 Argo CD的整合支援，利用靜態分析技術，可以自動分析Python和Java程式碼的意圖，元件相依性，來剖析API介面、服務配置、網路配置或其他必要變數的設置，用AI自動生成Terraform部署程式碼，或是Helm Charts封裝檔。根據StrackGen宣稱，可以將軟體部署過程從數天，縮短到數分鐘。</p> <p><span style="color:#FF0000;"><strong>#基礎架構程式碼化 #Terraform</strong></span><br /> <strong>基礎架構自動化工具大更新，HashiCorp多項工具改版，要簡化大規模擴張的複雜度</strong></p> <p>IaC知名自動化軟體工具廠HashiCorp最近一口氣更新多項基礎設施生命周期管理產品，從Terraform、Packer、Nomad到Waypoint，要來簡化大規模基礎設施管理流程，尤其新功能聚焦減少使用者手動操作的繁瑣，改進使用者在不同基礎設施階段的操作，讓建構、部署和持續管理基礎設施能夠更簡潔方便。</p> <p>例如，HCP Packer提供映像檔管理功能，新增的CI/CD工作管線後設資料管理能夠追蹤每個映像檔的生成過程，確保用戶使用的映像檔皆經過驗證且符合規範，這是大型企業管理開源基礎架構環境時常見的需求。HCP Packer加入了儲存桶層級的RBAC（Role-Based Access Control），進一步加強對映像檔的存取控制，確保不同角色的用戶只能存取必要的部分。<br /> 另外在Terraform基礎設施部署工具上，則增加了HCP Terraform Stacks，可將多個Terraform模組整合成單一操作，避免基礎設施部署繁瑣的手動相依管理。大規模Kubernetes部署時，HCP Terraform Stacks新增的推延變更（Deferred Change）功能，可以讓用戶應對未知的變化來避免部署中斷。</p> <p>分散式負載調度工具Nomad新增加GPU支援，能夠靈活配置高效能運算資源，而應用部署執行管理工具Waypoin新功能則提供自動化應用部署流程，讓平臺營運團隊可以利用標準化模版和附加元件，簡化內部開發流程提升基礎設施和應用開發之間的協作效率。</p> <p><strong><span style="color:#FF0000;">#部署容器化應用 #DHH</span><br /> RoR之父打造的容器化Web應用部署工具Kamal大改版，2.0新版不只支援大量主機部署，也能快速將多套AP部署到一臺主機</strong></p> <p>專案管理平臺業者37signals在2023年大舉下雲，一年可以省下2百萬美元上雲費用的關鍵，正是RoR之父打造的一套大規模的容器化Web應用部署工具Kamal，主要利用Docker來部署和管理Web應用。Kamal在2024年初時推出1.3版，不只可以在裸機上部署Web應用，也可以用來部署雲端環境中的Web應用，這是一款可以通吃本地端和雲端的通用部署工具。</p> <p>這套讓37signals下雲的關鍵工具在10月釋出了Kamal 2新版，原本1.0版主要針對跨大量主機搭配外部負載平衡器來部署同一套應用，支援數百萬人等大規模的用戶。新推出的2.0版則有另一個大升級，可以將多個Web應用，快速部署到單一臺伺服器，來提高伺服器的AP密度，並且可以用Let’s Encrypt來實作自動HTTPS，還大幅簡化了部署管理最煩人的秘密管理。</p> <p>Kamal 2.0預設部署在Rails 8.0，但不只可用於Rails應用，也可以部署到任何語言或框架開發的Web應用。DHH強調，不需要用到像Kubernetes如此複雜的工具，用Kamal 2也能快速將容器化應用部署到雲端或地端的各種基礎架構環境，從便宜VPC，雲端虛擬機器叢集到本地端的硬體都可以使用，來降低部署和後續維運的複雜度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DHH%E5%88%86%E4%BA%AB.jpeg" /></p> <p><strong><span style="color:#FF0000;">#K8s資安 #映像檔工具</span><br /> 小心K8s映像檔製作工具發現重大漏洞，恐曝露虛擬機器root權限，官方先釋出緩解工具</strong></p> <p>最近Kubernetes資安回應團隊公布了一項映像檔建置工具（Image Builder）漏洞CVE-2024-9486、CVE-2024-9594，攻擊者有可能藉此得到虛擬機器（VM）的root權限，而這些漏洞發生的原因，源於映像檔建置過程中，使用了預設的帳密資料。較為嚴重的是CVE-2024-9486漏洞，CVSS評分達到6.3分，這是當用Proxmox提供者（provider）建置而成的虛擬機器映像，無法停用當中的預設帳號，若用這些映像檔建置節點，後續有心人士可透過這些預設帳密進行存取，藉此取得root權限，CVSS風險評分達到9.8。</p> <p>這些漏洞影響0.1.37版以前的Kubernetes Image Builder，開發團隊發布0.1.38版緩解上述弱點。Kubernetes資安回應團隊呼籲用戶，應透過這些已解決上述問題的工具，重建具有潛在風險的映像檔。</p> <p><strong>更多新聞：</strong></p> <ul> <li>Docker新價格方案將於11月中上路，Hub用量限制則於明年2月生效，企業得開始準備</li> <li>資安業者Group-IB提醒，新興勒索軟體Cicada3301鎖定多平臺攻擊，包括VMware ESXi環境。</li> </ul> <p><strong>責任編輯：王宏仁</strong></p> </div></div></div>
2024/10/25 13:09作者王宏仁https://www.ithome.com.tw/news/165691
美國防部將以三年、四階段推動CMMC規則
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了讓美國國防工業產業（DIB）的供應鏈業者，有足夠的時間準備、理解和實施CMMC規則（CMMC Rule）的各種要求，以及解決任何CMMC評估、啟動過程中遭遇到的各種問題，並提供培訓所需的評估人員時間，美國國防部為CMMC規則制定了三年、四階段的推動計畫。</p> <p>美國德州KLC諮詢顧問公司也是被Cyber AB授權，授權可以執行美國國防部CMMC第三方認證（C3PAO）的公司。KLC諮詢顧問公司執行長暨資安長Kyle Lai（賴弘偉）表示，CMMC規則包含兩大部分，分別是專注政府採購程序和合約要求的48 CFR Part 204，以及針對相關國防供應鏈承包商與分包商所有CMMC規範的32 CFR Part 170。其中，32 CFR Part 170的最終版（final 32 CFR part 170 CMMC Program rule）已經在今年10月15日正式公布，預計60天後生效實施（今年12月16日）</p> <p>但另外針對美國國防採購相關的《48 CFR CMMC Acquisition Proposed Rule》，先是在今年8月15日公布48 CFR草案，Kyle Lai（賴弘偉）：「美國國防部預計CMMC規則的實施日期，是在最終的《48 CFR part 204 CMMC Acquisition rule》發布後的60天內實施。」至此，CMMC對業者及對政府的規範才算完備。</p> <h2><strong>推動CMMC四個階段的重點</strong></h2> <p>美國國防部會分成四個階段推動CMMC規則（CMMC Rule），第一階段也就是初步實施階段（Initial Implementation），自《48 CFR規則》（48 CFR Rule）生效日期開始；在適用的情況下，招標將要求CMMC認證等級第一級（Level 1）或第二級（Level 2）認證的自我評估（Self - Assessment）。</p> <p>企業需要針對基本的安全保護措施進行自我評估，並在相關系統中進行記錄。該階段為期一年。</p> <p>第二階段在第一階段開始後的12個月啟動，在適用的情況下，美國美國國防部國防部的招標，將要求CMMC認證等級第二級的第三方認證（C3PAO）。</p> <p>這表示，除了自我評估之外，部分企業需要聘請經過認證的第三方評估機構（C3PAO），對其進行正式的安全合規評估。</p> <p>第三階段則是在第一階段開始後的24個月啟動，在適用的情況下，美國國防部的招標，將要求CMMC第三級由國防部國防合約管理局（DCMA）網路安全評估中心（DIBCAC）主導的CMMC第三級認證。</p> <p>這個階段將逐步引入CMMC第三等級認證（Level 3）的要求，並將其應用於部分國防部的招標和合同中，第三級認證的要求，可能作為合約選擇期內的條件，而並不是初始合約授予的必要條件。</p> <p>第四階段就是全面實施（Full Implementation）階段，在第一階段開始後的36個月啟動，所有招標和合約都將包含適用的CMMC認證等級要求，作為合約簽訂的條件。也就是說，在第四階段，CMMC要求將全面實施，適用於新合約和選擇期授予的合約。</p> <p>美國國防部可根據需要，通過談判對CMMC實施前授予的合約進行修改，將CMMC的認證要求，添加到這些合約中。這項規則不需要進行任何更改，來反映現有的合約管理流程；關於具體合約事務的問題，包括合約成本和資金，不在此規則的範疇內。</p> <p>隨著 32 CFR第170部分「CMMC計畫規則」和48 CFR第204部分「CMMC採購規則」《48 CFR CMMC Acquisition Final Rule》的最終實施，潛在的國防部承包商和分包商，應積極準備好應對國防部的合約機會，當合約要求承包商或分包商處理、存儲或傳輸FCI（聯邦合約資訊）或CUI（受控未分類資訊）時，這些合約將包括CMMC各級認證的要求。</p> <h2><strong>以模擬方式，理解推動CMMC四個階段的時間點</strong></h2> <p>由於許多人很難理解CMMC規則的實施時間的計算，Kyle Lai就以一個模擬的方式，讓大家更清楚該如何計算CMMC各階段實施的時間。</p> <p>首先，他表示，對國防供應鏈業者應該如何理解CMMC規則的內涵，主要是在於要清楚，國防工業產業（DIB）的業者對於CMMC規則的規範與要求，都要參考32 CFR Part 170的最終版的內容；但國防部對於是否納入CMMC作為標案和國防採購案的相關規範，則必須參考最終版的48 CFR part 204 CMMC Acquisition rule。</p> <p>美國國防部會在48 CFR part 204 CMMC Acquisition rule最終版公布後60天正式生效實施，Kyle Lai假設該規則是2025年3月1日生效實施，這天就是國防部正式開始推動CMMC第一階段。</p> <p>在第一階段，國防供應鏈業者可以開始執行CMMC第一級和第二級認證中的自評（Self-Assessment），美國國防部也開始會把對於CMMC要求自評的規定，放在國防採購合約中。</p> <p>第二階段的推動時間點則是第一階段開始後的一年，就是2026年3月1日啟動，這時候國防業者可以開始執行CMMC由第三方評估（C3PAO）進行的第二級認證，國防部也開始會把需要C2PAO認證的要求，放在國防部的採購合約中。</p> <p>第三階段就是第二階段開始後的一年，就是2027年3月1日啟動，這時候執行由美國國防部國防合約管理局（DCMA）網路安全評估中心（DIBCAC）主導的CMMC第三級認證，就可以開始放在採購合約中執行。</p> <p>第四階段就是2028年3月1日開始啟動，也是第三階段開始後的一年，此時國防部會把對CMMC認證的要求，全數放入相關的採購合約中。</p> <p>Kyle Lai指出，這些國防業者究竟應該要取得CMMC哪一個等級的認證，主要都是看國防採購合約上的規定，這不會是任憑業者的自由意志決定，而是看當時的合約中，簽約的業者是否會傳輸、處理或儲存相關FCI（聯邦合約資訊）或CUI（受控非分類資訊）的機密性或重要性，在國防採購合約中明定業者應該取得的CMMC認證等級。</p> <p>在32 CFR第170部分CMMC計畫規則（32 CFR Part 170 CMMC Program Rule）公布在《聯邦公報》時，美國國防部也指出，將有8,350家中型和大型實體機構或單位，需要符合CMMC第二級第三方評估（C3PAO）的認證要求，這是簽訂合約的必要條件。</p> <p>CMMC第二級的要求將適用於所有處理、存儲或傳輸受控未分類信息（CUI）的承包商，並為國防部提供一種手段，來評估是否已滿足《32 CFR》第2002部分中規定的對CUI（受控未分類資訊）的保護要求。</p> <p>美國國防部估計，在第一年將完成135次由第三方評估機構（C3PAO）主導的認證評估，第二年將完成673次，第三年將完成2252次，第四年將完成4452次。</p> <p> </p> <div class="ui-widget-content ui-draggable" id="haloword-lookup" style="position: relative;"> <div id="haloword-title"> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"></div> </div> <div id="haloword-content"> </div> </div> </div></div></div>
2024/10/25 11:10作者黃彥棻https://www.ithome.com.tw/news/165688
Fintech周報第254期：知名銀行AI成熟度指標Evident AI公布今年評比結果，多數銀行積極發表AI策略和應…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 dir="ltr" style="margin: 10pt 0px 4pt; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.38; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">9/24~10/24金融科技精選新聞</span></span></h3> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 全球50大銀行</span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><strong style="color: rgb(255, 255, 255); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"><span style="background-color: rgb(51, 153, 255);">AI成熟度評比</span></strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></p> <h3>知名銀行AI成熟度指標Evident AI公布今年評比結果，多數銀行積極發表AI策略和應用，但極少能揭露投資報酬率數據</h3> <p>Evident AI近期公布今年度全球50大銀行AI成熟度排名，摩根大通連續三年拿下第一，第一資本排名第二，加拿大皇家銀行排名第三。在今年調查結果中，Evident AI表示，全球50大銀行中，有41間銀行的AI成熟度分數提高，顯示大多數領先者金融業仍積極發展AI。此外，報告顯示，今年全球50大銀行在領導力指標和透明度指標的分數顯著上升，因為，越來越多金融業者將AI發展策略列入年度報告中，並在今年公布自家的負責任AI原則。</p> <p>不過，Evident AI表示，雖然金融業者積極發表AI應用成果，但大多數沒有揭露AI投資報酬率。50間銀行中，僅有2間銀行嘗試估算AI投資回報。這兩間銀行分別是摩根大通和星展銀行。摩根大通營運長Daniel Pinto曾在今年五月表示，他們估算內部的AI應用價值，大約落在10億美元至15億美元間，這些應用涉及個人化服務、交易、營運效率、防詐和信貸決策等場景。星展銀行則在今年2月表示，2023年，AI幫助星展實現了3.7億新元的價值，是2022年的兩倍多。</p> <p><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 國泰金控</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><strong style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255); font-size: 18.6667px;"><span style="background-color: rgb(51, 153, 255);">GAIA</span></strong><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></p> <h3>國泰金控公開生成式AI技術發展框架GAIA</h3> <p>國泰金控近日在自家技術年會上，首度公開生成式AI技術發展框架GAIA，也揭露了內部AI評測機制。GAIA包含三個核心模組，分別是知識庫、Model Hub，和護欄。GAIA的知識庫類型可分為對內和對外，對內包含HR知識庫、授信知識庫、洗防知識庫等，對外則包含貸款產品知識、壽險產險產品知識、理財產品知識等。</p> <p>Model Hub是國泰GAIA架構中的另一個核心，能提供多種模型選擇，包含雲端、地端、開源或閉源模型，也提供標準化API接口，能介接各種服務。最後一個核心，是國泰自行開發的護欄，包含複合式規格護欄和多層抽換模組護欄。前者是在知識庫連接模型時進行資訊過篩，後者則是在既有模型護欄上，再加上防護措施，例如增加業務專屬的業務護欄，實現多層次過濾機制。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 集保</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><strong style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255); font-size: 18.6667px;"><span style="background-color: rgb(51, 153, 255);">數位簽章</span></strong><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></h3> <h3>超過500萬集保App用戶明年將可用數位簽章免臨櫃辦理股務事務</h3> <p>配合電子簽章法修法在今年5月開始施行，臺灣集中保管結算所（以下簡稱集保）規畫明年推出eCounter，讓股務事務結合數位簽章，投資人免臨櫃辦理資訊變更，提供股民更大的便利性。未來，當投資人通過身分驗證登入eCounter平臺，使用數位簽章遞交基本資料變更書件，平臺就會將書件資料送到各個股務單位審查、辦理變更。投資人不用臨櫃申辦相關業務，只要透過單一平臺就能完成資料變更。</p> <p>明年3月，集保預計推出PC版eCounter網站，提供使用者修改基本資料，例如戶名、ID、戶籍資料、通訊地址、連絡電話、股利配發集保帳號、銀行款項帳號等等。明年年底，eCounter功能會擴大至集保App中，超過500萬名集保e手掌握App用戶，能透過手機線上申辦資料變更。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 虛擬資產保管業務試辦</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></h3> <h3>金管會計畫開放金融機構申請虛擬資產保管業務試辦</h3> <p>近期，金管會公布虛擬資產保管業務試辦初步規畫，邀請外界提供相關建議。在金管會的初步規畫中，金融機構若要申請虛擬資產保管業務試辦，須提供保管模式、向客戶提供的服務資訊、法規遵循、組織分工及管理制度、安全性規畫、資產隔離，和財務會計制度共七大項目資訊。</p> <p>今年七月，金管會主委彭金隆發表金融科技發展規畫，其中一項措施便是要開放金融業辦理虛擬資產保管業務。當時，彭金隆表示，希望從開放虛擬資產保管業務開始，讓銀行涉入虛擬資產，「在技術到位的情況下，我們就會開放銀行開始參與這一項業務。」</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 業務試辦作業要點</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></h3> <h3>金管會公布「金融業申請業務試辦作業要點」，對擴大業務試辦範圍的作業規範更明確</h3> <p>今年七月，金管會主委彭金隆宣布五大金融科技策略，涵蓋近20項措施，其中一項措施是要大幅放寬銀證保業務試辦範圍。近日，金管會因應這項推動措施，公布「金融業申請業務試辦作業要點」，讓業務試辦範圍擴大更有明確的作業規範可循，更清楚列出開放公會和周邊單位的自律規範，以及金管會發布的行政規則、函釋作為試辦範圍，並增加可申請試辦的金融業業別。</p> <p>此外，在作業要點中，金管會也因應業務試辦範圍擴大，同步調整業者申請業務試辦時應提供的申請文件。並且，金管會也鼓勵金融業者能與其他非金融業合作申請業務試辦，發展創新應用。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> FIDO</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 聯卡中心</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></h3> <h3>聯合信用卡處理中心將在ACS平臺導入FIDO機制，聯邦銀行最先在明年第一季採用</h3> <p>聯合信用卡處理中心（以下簡稱聯卡中心）近日宣布，將在ACS平臺導入FIDO機制，讓既有的EMV 3DS網路交易安全認證服務，支援以生物識別機制進行身分驗證。意味著，未來持卡人在網站刷卡購物時，除了採用OTP方式，輸入簡訊提供的密碼進行身分驗證，也可以採用生物識別的方式驗證身分，完成刷卡購物。</p> <p>聯卡中心表示，這項機制將由聯邦銀行率先導入，預計在明年第一季上線。未來，持有聯邦銀行信用卡的消費者在網站刷卡購物時，能透過聯邦銀行網銀App進行身分驗證，例如使用指紋或臉部辨識。完成驗證後，網銀App會將固定識別值傳送給聯卡中心，讓聯卡中心根據識別值驗證持卡人身分。確認身分無誤，就能授權持卡人進行線上刷卡交易。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 新加玻</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> OTP</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></h3> <h3>新加坡銀行計畫三個月內淘汰OTP驗證機制，改用SingPass取代</h3> <p>為了預防釣魚攻擊，今年七月，新加坡金融管理局及新加坡銀行公會宣布，新加坡主要零售銀行將在未來3個月內淘汰使用OTP驗證方式。近期，新加坡金融管理局和新加坡銀行公會選定Singpass取代OTP驗證機制，未來三個月，新加坡銀行將逐步採用Singpass作為使用數位憑證的身分驗證機制。這意味著，未來，新加坡銀行客戶若要使用數位憑證登入行網銀，須要使用Singpass進行身份驗證，才能順利登入。</p> <p>新加坡政府從2003年就開始推動SingPass，這是當地民眾的數位身分證，SingPass用戶可透過人臉辨識認證身分，使用上百個政府或商用組織提供的數位服務。</p> <h3>其他重要Fintech新聞：</h3> <ul> <li>澳洲麥格理集團完成核心交易和結算系統上雲</li> <li>跨境支付平臺HIVEX和韓國電子支付Zero Pay合作，未來臺灣電子支付品牌將能在韓國店家完成支付</li> <li>金管會擬於2025年增設金融市場發展與創新處</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年10月</p> <p></p> </div></div></div>
2024/10/25 09:37作者李昀璇https://www.ithome.com.tw/news/165687
Arm將取消對高通晶片技術授權，恐影響全球手機、Copilot+ PC
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國晶片設計業者Arm計畫年底終止對高通（Qualcomm）技術授權。一旦成真，可能影響數以億計的手機、微軟Copilot+ PC及Arm筆電的晶片供應。</p> <p><a href="https://www.bloomberg.com/news/articles/2024-10-23/arm-to-cancel-qualcomm-chip-design-license-in-escalation-of-feud" target="_blank">彭博本周報導</a>，Arm近日通知高通，將在60天後取消晶片技術授權。Arm技術是高通賴以生產Oryon CPU的關鍵，這個CPU又是高通多款Snapdragon晶片的一部份。一旦無法取得授權，將影響眾多使用Snapdragon的裝置，包括智慧型手機、連網電視，以及微軟和高通合推的Copilot+ PC。<a href="https://www.pcworld.com/article/2497912/arm-will-cancel-qualcomms-license-to-make-the-snapdragon-x-elite.html" target="_blank">PCWorld</a>已向業者證實此事。</p> <p>雙方爭執源自高通2021年收購晶片業者Nuvia引發Arm的不滿。Nuvia原先也取得Arm授權生產晶片，並使用Arm商標，高通在收購Nuvia後仍持續這行為，但是Arm認為Nuvia並無權轉讓該授權。<a href="https://www.ithome.com.tw/news/152821" target="_blank">2022年Arm控告高通</a>違反授權協議且侵犯Arm的商標權。高通也反告Arm。雙方官司預定12月開庭。</p> <p>高通向來是手機晶片主要供應商。本周高通才公布號稱效能全球最快的<a href="https://www.ithome.com.tw/news/165604" target="_blank">Snapdragon 8 Elite</a>，即採用Oryon CPU，預定2025年內建三星Galaxy S25或OnePlus等智慧型手機。此外，今年微軟偕同高通推出的Copilot+ PC及Surface Pro，則是使用包含Oryon的Snapdragon X Elite與X Plus。也就是說，一旦Arm真的取消授權，將影響全球智慧型手機的晶片版圖。</p> <p>對於Arm在開庭前夕取消授權，高通對媒體<a href="https://www.windowscentral.com/microsoft/report-arm-is-sensationally-canceling-qualcomms-chip-license-oct-2024" target="_blank">發出聲明指出</a>，此舉是Arm的一貫技倆，是旨在搶奪長年合作夥伴、干擾其效能領先的CPU與增加權利金的「毫無勝算的威脅」。高通認為在12月開庭前Arm狗急跳牆的作法，突顯Arm企圖干擾法律程序，Arm終止授權的理由完全沒有根據。高通說有信心其權利將透過官司獲得確認，而Arm打壓競爭的行為也不會被容忍。</p> <p>Arm則認為自己佔上風。<a href="https://www.pcworld.com/article/2497912/arm-will-cancel-qualcomms-license-to-make-the-snapdragon-x-elite.html" target="_blank">這家英國晶片業者聲明</a>，取消授權一舉是高通多次違反Arm授權協議，Arm不得已採取正式行動要求高通修正其違約行為，或是終止合約。該公司也說有信心12月的判決結果對自己有利。</p> </div></div></div>
2024/10/25 09:23作者林妍溱https://www.ithome.com.tw/news/165685
OpenAI圖片生成AI新方法sCM，速度是傳統擴散模型的50倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI研發了一種稱為<a href="https://openai.com/index/simplifying-stabilizing-and-scaling-continuous-time-consistency-models/">sCM（Continuous-Time Consistency Model）</a>的生成方法，能夠大幅提升取樣速度，相比傳統的擴散模型，sCM只需要兩步驟取樣即可生成高品質樣本。研究顯示，sCM在生成效率提升約50倍，且樣本品質與最佳擴散模型相當，適合用於即時生成應用。</p> <p>擴散模型已廣泛用於生成圖片、3D模型、音訊和影片，但是傳統擴散模型取樣過程緩慢，通常需要數十到數百個逐步降噪的過程，才能生成一個高品質樣本，因此，這類模型在即時應用和大規模資料生成方面效率很低且難以擴展，雖然現在已經有一些技術能夠加快擴散模型的速度，但是通常伴隨複雜訓練過程，甚至是樣本品質下降的副作用。</p> <p>為了解決擴散模型的既有問題，OpenAI研究團隊開發了sCM。sCM這種經過改良的生成模型方法，只需要兩個取樣步驟即可生成與擴散模型品質相當的高解析度樣本，大幅縮短生成樣本的時間。由於sCM可實現約50倍的速度提升，因此特別適合用於即時應用，像是圖片、音訊和影片生成。</p> <p>sCM也具有高可擴展性和穩定性，該模型可以處理大規模資料集，並能擴展至擁有15億參數的模型，而且在該規模下，sCM仍可保持高品質生成效果。sCM訓練過程利用預訓練擴散模型蒸餾出來的知識，在縮短了取樣時間的同時，保持高品質樣本生成。</p> <p>研究人員使用ImageNet 512x512資料集訓練的sCM，能夠生成細節豐富且高品質的圖像，展現其在高解析度生成方面的能力。雖然sCM只有兩個取樣步驟，但是生成的樣本品質依然可接近最佳擴散模型，研究人員使用FID（Fréchet Inception Distance）分數進行評估，sCM樣本品質與需要數百步驟取樣的擴散模型相比，差異不到10％。</p> </div></div></div>
2024/10/25 08:27作者李建興https://www.ithome.com.tw/news/165684
【AI應用不可或缺的儲存傳輸加速架構】持續擴展中的GDS儲存應用
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1025-cover1-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Nvidia的一系列GPUDirect傳輸技術中，GPUDirect Storage（GDS）是作為儲存裝置與GPU之間的傳輸加速用途，在AI應用的資料流框架中，原本是最後端、外圍的角色，只在最初的資料饋入，與最終的寫入保存運算結果時派上用場，但隨著AI應用的資料量持續暴漲，也讓GDS的重要性跟著水漲船高。</p> <p>為此，<a href="https://www.ithome.com.tw/article/160493" target="_blank"><span style="color:#3366ff;">我們去年（2023）12月的封面故事「GPU直連I/O傳輸架構的崛起」</span></a>，曾初步介紹GDS傳輸加速架構的運作概念，與當時儲存業界的支援情況，如今GDS的相關應用又有一連串顯著進展。</p> <p>首先，過去幾個月以來，又有多家重要儲存廠商加入GDS支援行列，或是發表支援GDS的新產品，使得力挺GDS的廠商與儲存產品數量一舉超過20個，涵蓋所有一線大廠與重要新創廠商，以及不同層級的儲存產品與裝置。其次，各儲存廠商也紛紛以GDS模式下的傳輸效能數字，標榜自身產品的AI應用效能，因此，GDS儼然成為衡量AI應用中的儲存效能基準。這些新發展，也促使我們再次回到這個議題。</p> <p>在檢視GDS應用的新發展之前，我們首先簡單回顧GDS的基本概念，以及運作方式。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>克服GPU運算時代的I/O瓶頸</strong></span></span></p> <p>GDS這項技術誕生的遠因，是為了因應GPU運算時代，效能瓶頸從運算力轉移到I/O的現象。</p> <p>過去基於CPU為核心的運算環境中，資料處理的主要瓶頸在於CPU的運算能力，I/O相對不是大問題；而在今日基於GPU的運算環境中，由於GPU的運算能力提升幅度，大於I/O吞吐能力的提升，反而讓I/O成為整個資料處理過程中的效能瓶頸所在。必須同步提高I/O效能，才能有效改善整體處理能力。</p> <p>GDS這項技術誕生的近因，則是AI應用資料量持續暴漲的結果。</p> <p>儲存裝置在AI應用中的主要任務，是負責向運算單元饋入訓練資料集，以及寫入與保存運算結果。但隨著AI訓練的資料集容量持續增加，從儲存裝置將資料載入到GPU，所需時間也越來越長。</p> <p>如此一來，從本地端儲存裝置到GPU之間的資料傳輸，以及從外部儲存設備到GPU伺服器之間的資料傳輸，成為制約AI應用的效能瓶頸所在，如果儲存設備向GPU載入資料的速度過慢，將會大大拖累整體處理速度。這也促使Nvidia在2019年推出GDS架構，以提高從儲存設備到GPU伺服器之間的傳輸效率。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>AI應用環境的I/O需求</strong></span></span></p> <p>大語言模型、1080P高畫質影像訓練的資料集，動輒就能達到TB或數十TB等級，不可能完全預先載入GPU伺服器的記憶體，而需多次從內部或外部儲存裝置讀取，因而會對儲存裝置帶來龐大的讀取流量需求；為了確保訓練過程中的容錯需求，也需要定期寫入檢查點，從而為儲存裝置產生TB等級資料的龐大寫入流量。</p> <p>所以，儲存裝置也必須確保足夠的傳輸效能，才能讓AI訓練工作有效率的執行，這也正是GDS的目的。</p> <p>在Nvidia的DGX SuperPOD參考架構文件《NVIDIA DGX SuperPOD: Next Generation Scalable Infrastructure for AI Leadership Reference Architecture Featuring NVIDIA DGX H100》，就針對資料集較龐大、無法直接載入快取記憶體的AI訓練工作，建議應啟用GDS架構，提供更高的持續傳輸速度，從而發揮最佳的AI訓練效能。</p> <p>事實上，上述這份文件，推薦適用於大型AI模型訓練所需的「最佳」（Best）儲存效能指標——單一節點可提供40GB/s以上讀取效率，以及20GB/s寫入效率，理想目標是盡可能接近80GB/s的網路最佳效能，然而，目前也只有在GDS架構的幫助下，才能有效率地實現這個目標。</p> <p><span style="font-size:20px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 效能瓶頸的轉移：CPU運算 vs. GPU運算 </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1025-cover(2)-600.jpg" style="width: 600px;" /></p> <p><span style="font-size:20px;"><span style="color: rgb(51, 153, 255);"><strong>關於資料處理的過程，我們可以簡單分解為資料的讀取載入、運算，以及寫入運算結果等3個步驟。</strong></span></span></p> <p><span style="font-size:20px;"><span style="color: rgb(51, 153, 255);"><strong>在以往基於CPU的運算環境，資料處理過程的大部分時間，都耗費在運算，資料讀取與寫入占用的時間比重有限，瓶頸往往落在運算這一環節，I/O相對不是大問題。</strong></span></span></p> <p><span style="font-size:20px;"><span style="color: rgb(51, 153, 255);"><strong>而在今日基於GPU的運算環境中，依靠GPU大幅縮減運算處理時間，也使得整個資料處理過程中，I/O耗費時間的比重大幅增加，成為新的瓶頸所在。</strong></span></span><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／Nvidia</span></span></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>GDS打破傳統傳輸架構的限制</strong></span></span></p> <p>在傳統的伺服器I/O架構下，如果我們要從GPU伺服器的本地端儲存裝置，將資料傳送給GPU當中處理時，資料會先經由GPU伺服器的PCIe交換器，複製到伺服器CPU記憶體的回彈緩衝區（Bounce Buffer），後續再複製到GPU記憶體。</p> <p>若要從外部儲存設備傳送資料到GPU，則會經由GPU伺服器的網路卡與PCIe交換器，先將資料複製到伺服器主機CPU記憶體的回彈緩衝區，再複製到GPU記憶體。</p> <p>在這樣的資料傳輸路徑中，存在2個效能瓶頸：</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 延遲增加 </span></strong></span></p> <p>將資料從儲存裝置傳送到GPU的過程，需要經過至少3到4個環節的中介，內接SSD會經過PCIe交換器、主機CPU、與系統記憶體等3個環節，外部儲存設備還會多經過網路卡這個環節。而這整個過程中，還須進行至少2次記憶體資料複製——先複製到主機CPU記憶體回彈緩衝區，再複製到GPU記憶體，資料才能為GPU存取，因而增加了延遲，也會耗費許多CPU操作週期，增加CPU負荷。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 傳輸頻寬受限 </span></strong></span></p> <p>儲存裝置將資料傳送到GPU的過程中，傳輸率會受到GPU與CPU之間的PCIe傳輸通道頻寬制約。</p> <p>這個問題主要是出現在一些較舊款的GPU伺服器，如搭配A100、V100等GPU平臺的伺服器，主機CPU連接PCIe交換器的傳輸頻寬，只有GPU的PCIe傳輸頻寬一半，因而若資料傳輸路徑通過CPU，那麼傳輸率就會受限於CPU的PCIe傳輸頻寬。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#000000;"> 直接記憶體存取（DMA）技術突破效能瓶頸 </span></span></strong></p> <p>從儲存裝置向GPU傳送資料的過程中，須經由主機CPU與記憶體的中介，正是形成效能瓶頸的原因所在，解決辦法就是盡量不讓資料繞經這個環節，而是直接讓儲存設備將資料傳送到GPU，亦即應用直接記憶體存取（Direct Memory Access，DMA）技術。</p> <p>而Nvidia的GDS傳輸加速架構的基本概念，就是儲存裝置透過直接記憶體存取（DMA）技術，直接經由PCIe交換器晶片將資料寫入GPU記憶體，繞開GPU伺服器主機CPU。如此一來，既能減少延遲，又能利用到GPU的最大傳輸頻寬。</p> <p>GDS省略將資料複製到主機記憶體（即回彈緩衝區）的過程，因而能顯著減少延遲。另一方面，由於主機CPU不參與資料傳輸作業，也能減輕主機CPU的負荷。最後，儲存裝置到GPU之間的傳輸效能，也不會受到主機CPU的PCIe傳輸通道頻寬限制。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> GDS傳輸架構的價值 </span></strong></span></p> <p>Nvidia宣稱，透過GDS可獲得2倍以上的資料傳輸頻寬提升，並降低存取延遲與CPU負荷。而相關廠商的實測報告，也印證GDS的效能提升效果。</p> <p>如VAST Data所提供的測試數據顯示，他們的儲存平臺透過8個InfiniBand埠將資料載入Nvidia DGX-2，啟用GDS可讓持續傳輸率提高近3倍（從33 GB/s提高到94 GB/s），CPU負荷減輕將近85%（CPU利用率從99%降到15%），證實GDS提高傳輸率、減少主機CPU負荷的效果。</p> <p>美光的測試報告，進一步突顯GDS在高負載環境的效能改善效益。</p> <p>該公司以9400 NVMe SSD搭配Nvidia DGX A100系統進行的實測顯示，比起傳統I/O架構，GDS在4KB小區塊傳輸下，可提升33%的傳輸率，並減少25%回應時間，在1024KB大區塊傳輸測試中，則有16%的傳輸率與回應時間改善。數字雖然看來不錯，但似乎不如Nvidia宣稱那樣大幅度的提升，然而美光的報告顯示，GDS的真正價值，其實是在主機處於高負載的繁忙情境。</p> <p>前述測試數字是在主機處於閒置狀態、沒有其他工作負載的效能表現，但實際應用並不會如此，用戶往往必須在主機處於訓練工作的高負載情況下，同時讓儲存裝置向主機傳送資料，資料傳輸工作會面臨與其他工作負載爭搶主機CPU與記憶體資源的困境，導致效能大受衝擊。此時若有GDS這種繞過主機CPU與記憶體的存取架構，便能維持一定程度的傳輸能力。</p> <p>美光模擬了主機CPU處於86%的高利用率，CPU的記憶體頻寬利用率也達到50%的情境，此時利用傳統I/O架構進行傳輸作業，效能將變得極為低落，GDS則仍能維持相當程度的運作。在最消耗主機資源的4KB小區塊傳輸測試中，GDS仍能提供相當於理想狀態一半的傳輸率與回應延遲表現，相較同樣環境中的傳統I/O架構，GDS的效能與傳輸率足足高出7.3倍與6.4倍。而在相對較不消耗主機資源的1024KB大區塊傳輸測試，GDS的回應時間雖然增加2倍，但傳輸率幾乎不受影響，比起傳統I/O架構，傳輸率與回應延遲都改善1.5倍。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>迅速擴展中的GDS應用環境</strong></span></span></p> <p>Nvidia是在2019年中發表GDS技術架構，2020年底推出正式的第1版軟體，隨後便在2021年湧現了第一波儲存廠商支援熱潮，DDN、Dell、Hitachi Vantara、HPE、IBM、VAST Data、Weka、ScaleFlux等儲存廠商，都是在這個時期，將GDS納入自身產品平臺的傳輸架構支援。</p> <p>到了2022與2023年，GDS支援產品的擴展速度稍有減緩。2022年只增加NetApp、Kioxia，但NetApp是先後以2種平臺參與對GDS的支援，2023年有華為、美光、PEAK:AIO，HPE也在此時增加了第2種支援GDS的平臺。</p> <p>在我們去年底首次介紹GDS時，市場上支援GDS的廠商大致就是以上這些。不過在這個時間點之後，GDS的產品支援擴展速度又開始加快。</p> <p>首先是Pure Storage在2023年底宣布支援GDS，並獲得Nvidia認證。當時間進入2024年後，Hammerspace、WD分別在年初與年中，加入支援GDS的行列，HPE也在2024年中時、新增旗下第3種支援GDS的儲存平臺，Nutanix亦在7月預告，他們的儲存平臺也即將加入GDS的支援。</p> <p>最晚近發布的GDS相關產品消息，則是Pure Storage在9月底發布的新產品FlashBlade//S100規格，也列入GDS的支援，是目前最新一款支援GDS架構的產品。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>躋身AI應用的標準儲存傳輸架構</strong></span></span></p> <p>儘管儲存界支援GDS的聲浪浩大，然而，並非所有儲存廠商都認同GD這項技術，例如高效能物件儲存系統供應商MinIO便聲稱，他們的平臺利用標準乙太網路，就能提供足夠的傳輸效能，無需使用GDS，從而避免使用InfiniBand或RDMA架構所帶來的複雜性。</p> <p>MinIO認為自身的部署經驗顯示，GPU應用環境的I/O瓶頸在於網路通道頻寬，而不在於傳輸路徑是否使用回彈緩衝區，因而GDS並非是必要的架構。</p> <p>但MinIO只是少數派，多數主要儲存廠商都認同GDS的價值，並積極支援GDS技術，持續增加的GDS支援廠商便是證明，也讓GDS逐漸成為AI應用必備的傳輸架構。</p> <p>當前AI應用的熱潮仍持續不減，考慮到Nvidia GPU在AI應用中的關鍵地位，以及GDS所能提供的傳輸效能提升效果，我們可以很肯定地認為：任何想要在AI應用中扮演重要角色的儲存廠商，都必須支援這套傳輸架構，才能具備足夠的競爭力。</p> <p><strong style="font-size: 36px; color: rgb(255, 255, 0);"><span style="background-color:#000000;"> GPUDirect Storage的適用場合 </span></strong></p> <p><strong>藉由GPUDirect Storage（GDS）所帶來的I/O傳輸加速效益，並非所有場合都有效，必須是在I/O密集型環境，以及不涉及CPU處理的情境中，才能發揮作用。</strong></p> <p><strong>首先，GDS針對的是儲存設備到GPU之間的I/O瓶頸問題，如果I/O不是應用環境的瓶頸，GDS自然沒有幫助。例如在不涉及大量資料傳輸的運算密集型環境，運算耗費的時間遠大於資料傳輸時間，或運算工作無須等待I/O完成的非同步I/O環境，由於I/O並不是這些應用的瓶頸，GDS便無法發揮效益。</strong></p> <p><strong>其次，GDS僅有助於儲存裝置到GPU之間的傳輸，GPU必須是應用程式資料傳輸過程第1個或最後1個接觸的環節，GDS才能發揮助益。若應用程式在GPU運算之前或之後，還需使用主機CPU處理或分析資料，將會消除GDS的效益。</strong></p> <p><strong>反之，如果是涉及大量資料傳輸，且能卸載給GPU執行的應用情境，GDS便能發揮顯著的加速效果，AI模型訓練便是這種情境的典型。</strong></p> <p><strong><span style="font-size:22px;"><span style="color:#FFFFFF;"><span style="background-color:#ff0066;"> </span></span><a href="https://www.ithome.com.tw/article/165672" target="_blank"><span style="color:#FFFFFF;"><span style="background-color:#ff0066;">相關報導</span></span></a><span style="color:#FFFFFF;"><a href="https://www.ithome.com.tw/article/165672" target="_blank"><span style="background-color:#ff0066;"> </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1205-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=Y3cA8B0K" style="width: 550px;" /></a></span></span></strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/nvidia">Nvidia</a></div><div class="field-item odd"><a href="/tags/gpudirect-storage">GPUDirect Storage</a></div><div class="field-item even"><a href="/tags/gds">GDS</a></div><div class="field-item odd"><a href="/tags/ai%E5%84%B2%E5%AD%98%E7%94%9F%E6%85%8B%E5%9C%88">AI儲存生態圈</a></div></div></div>
2024/10/25 06:00作者張明德https://www.ithome.com.tw/tech/165665
GPUDirect Storage（GDS）的基本概念
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1025-cover2-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美光Micron</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>下圖是從SSD向GPU傳送資料的傳統I/O路徑，資料會經由PCIe交換器、經過主機CPU、複製，寫入主機記憶體的回彈緩衝區（bounce buffer），再經由CPU、PCIe交換器，複製寫入GPU的記憶體，供GPU存取。這整個過程需要經過6個環節，以及2次資料複製作業。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1025-cover(2)-600--1.png" style="text-align: center; width: 452px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／美光Micron</span></span></p> <p>之所以必須採用這種繁瑣的傳輸路徑，是一系列原因造成的。</p> <p>在儲存裝置與GPU之間的資料移動，是透過CPU運行的系統軟體驅動程式來管理，並可由下列3種方式來執行傳輸作業，但各有限制：</p> <p>（1）經由GPU的直接記憶體存取（DMA）引擎執行資料傳輸工作，但是，第3方周邊裝置通常不會公開其記憶體給其他裝置的DMA引擎定址，因而GPU無法以其DMA引擎直接存取第3方的周邊裝置，只有主機CPU的記憶體可供GPU DMA引擎存取。這也導致第3方周邊裝置向GPU的資料傳輸路徑，必須經過主機CPU記憶體中的回彈緩衝區，來作為中介。</p> <p>（2）經由CPU的載入與儲存指令來執行資料傳輸，但CPU無法在2個周邊裝置之間直接複製資料，而須經由CPU記憶體回彈緩衝區的中介。</p> <p>（3）經由周邊裝置的DMA引擎來執行資料傳輸，如NVMe SSD、網路卡或RAID卡的DMA引擎，而GPU的PCIe基底位址暫存器（PCIe Base Address Register，BAR）的定址，是可以提供給其他周邊裝置DMA引擎存取的，Nvidia的GPUDirect RDMA技術，就是利用這點來實現GPU與網路卡之間的直連存取。</p> <p>問題在於，若存取的目標是檔案系統層級的儲存裝置，就必須由作業系統介入存取過程，但作業系統並不支援將GPU的虛擬定址傳遞給檔案系統，因而無法執行DMA存取。</p> <p>傳統I/O路徑會帶來下列3個副作用：（1）延遲增加；（2）傳輸效率受CPU的PCIe通道頻寬限制；（3）傳輸作業需耗費CPU週期，增加CPU與主機記憶體負擔，並與其他工作負載爭搶CPU資源與主機記憶體頻寬，導致傳輸率的抖動與不穩定。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1025-cover(2)-600--2.png" style="width: 450px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／美光Micron</span></p> <p>上圖是在GDS架構，從SSD向GPU傳送資料的I/O路徑，可以繞過（Bypass）主機CPU與記憶體，讓SSD直接透過PCIe交換器，以DMA方式將資料複製寫入GPU的記憶體，整個過程只需經過2個環節，以及1次資料複製，從而帶來3項直接效益：（1）避開主機CPU的PCIe通道頻寬限制；（2）減少傳輸過程的環節，降低延遲；（3）降低主機CPU與記憶體的負擔，減少資料傳輸作業對於其他工作負載的影響。</p> <p>除此之外，GDS架構還能帶來幾項附帶的效益：</p> <p>（1）透過額外的PCIe傳輸通道提高傳輸頻寬：當資料傳輸無須繞經主機CPU與記憶體，只需在PCIe交換器與周邊裝置之間進行時，若搭配採用多層PCIe交換器，同時啟用多條傳輸通道，將能顯著提高伺服器整體傳輸頻寬。</p> <p>而在傳統I/O架構下，由於資料傳輸必須經由主機CPU與記憶體，頻寬會被主機CPU的PCIe通道給綁住，即便有多層PCIe交換器，也無法獲得頻寬提高的效果。</p> <p>（2）解放主機記憶體的占用：資料傳輸使用的回彈緩衝區，會占用到相當可觀的主機記憶體容量，有時候甚至多達1TB，GDS則能解除資料傳輸作業對寶貴主機記憶體空間的占用。</p> <p><strong><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 0, 102);"> </span></span><a href="https://www.ithome.com.tw/article/165672" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 0, 102);">相關報導</span></span></a><span style="color: rgb(255, 255, 255);"><a href="https://www.ithome.com.tw/article/165672" target="_blank"><span style="background-color: rgb(255, 0, 102);"> </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1205-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=Y3cA8B0K" style="width: 550px;" /></a></span></span></strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/nvidia">Nvidia</a></div><div class="field-item odd"><a href="/tags/gpudirect-storage">GPUDirect Storage</a></div><div class="field-item even"><a href="/tags/gds">GDS</a></div><div class="field-item odd"><a href="/tags/ai%E5%84%B2%E5%AD%98%E7%94%9F%E6%85%8B%E5%9C%88">AI儲存生態圈</a></div></div></div>
2024/10/25 06:00作者張明德https://www.ithome.com.tw/tech/165666
GPUDirect Storage的部署與啟用條件需求
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1025-cover3-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome整理製表，2024年10月</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>藉由GPUDirect Storage（GDS），可以讓GPU伺服器本機的NVMe SSD，或是外部第3方的檔案儲存系統，透過DMA或RDMA方式，繞過GPU主機CPU與系統記憶體，直接將資料傳送到GPU的記憶體，從而大幅提高儲存裝置與GPU之間的資料傳輸效率。但要啟用這套架構，必須有硬體與軟體方面的配合。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>● 硬體需求</strong></span></span></p> <p>在GPU伺服器端，只有較新款的Data Center等級GPU平臺，與Quadro等桌上型等級GPU平臺，可以支援與運行GDS（詳見Nvidia網站公布的清單），若要透過GDS連結外部儲存設備，GPU伺服器還需要搭配支援RDMA架構的網路卡，如InfiniBand或RDMA乙太網路卡。</p> <p>至於儲存裝置端則分為兩種，一為區塊類型，另一為網路附加型儲存裝置。</p> <p>區塊類型儲存裝置分兩種，一為GPU伺服器本機儲存裝置，能透過PCIe連結GPU的NVMe SSD即可。二為外部儲存設備從遠端掛載的區塊儲存區（Volume），需支援NVMe-oF形式的外部儲存設備。</p> <p>對於網路附加型儲存裝置，基本上都是外部遠端掛載的檔案系統，檔案系統必須支援RMDA網路介面才能運行GDS。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>● 軟體需求</strong></span></span></p> <p>要在GPU伺服器端啟用GDS，首先，必須安裝Nvidia的MLNX_OFED與nvidia-fs.ko這兩個軟體元件，前者用於為InfiniBand與RDMA乙太網路卡建立跨遠端的RDMA存取，後者用於為儲存裝置提供對於GPU記憶體的DMA直接存取。</p> <p>其次，是必須安裝內含GDS軟體元件的CUDA 11.4版以後軟體套件。</p> <p>在儲存裝置端，GDS對儲存裝置的存取，是在GDS的CuFile API控制下，透過nvidia-fs.ko驅動程式，經由Linux的虛擬檔案系統（Virtual Filesystem，VFS）介面的中介，在檔案系統層級上進行。</p> <p>所以對於GPU伺服器連接的區塊型儲存裝置，包括本機的NVMe SSD，或是遠端掛載的外部儲存裝置邏輯儲存區（如EBOF儲存櫃），必須格式化為EXT4或XFS檔案系統的形式，再掛載到GPU伺服器使用。</p> <p>對於檔案系統型儲存裝置，第3方檔案系統若要支援GDS，必須能支援RDMA遠端存取，通常採取2種實作方式，一為透過修改的NFS協定（例如NFS over RDMA），另一為透過OFED（OpenFabrics Enterprise Distribution）介面，藉此將檔案系統空間掛載給GPU伺服器使用，採取前者作法的平臺，例如Dell PowerScale 9.2版以後版本，後者則有DDN的EXAScaler 5.2以後版本，Weka的WekaFS 3.13以後版本等。</p> <p>這些GDS相容檔案儲存平臺，多是第3方廠商專屬儲存設備的檔案系統，因而只能跟著這些廠商的儲存產品硬體一同提供。不過，也有部分平臺例外，可以單獨提供檔案系統軟體套件，供用戶自行建置儲存系統，如BeeGFS與Weka FS，都提供這種建置模式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1025-cover(3)-600.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">資料來源：iThome整理，2024年10月</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:22px;"><strong>GDS使用的儲存裝置分為2大類型、一共3種形式：</strong></span></span></p> <p><span style="color:#3399ff;"><span style="font-size:22px;"><strong>第1大類是區塊型儲存裝置，包括GPU伺服器本機的NVMe SSD，以及外部儲存設備透過NVMe-oF掛載的Volume儲存區，這一類儲存裝置將被格式化為EXT4或XFS檔案系統形式後，經由Linux的VFS介面連結nvidia-fs.ko軟體元件，藉此讓儲存裝置能以DMA引擎存取GPU的記憶體。</strong></span></span></p> <p><span style="color:#3399ff;"><span style="font-size:22px;"><strong>第2大類是檔案型儲存裝置，相容GDS的第3方檔案系統，可透過nvidia-fs.ko軟體元件，以DMA方式存取GPU記憶體。</strong></span></span></p> <p><strong><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 0, 102);"> </span></span><a href="https://www.ithome.com.tw/article/165672" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 0, 102);">相關報導</span></span></a><span style="color: rgb(255, 255, 255);"><a href="https://www.ithome.com.tw/article/165672" target="_blank"><span style="background-color: rgb(255, 0, 102);"> </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1205-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=Y3cA8B0K" style="width: 550px;" /></a></span></span></strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/nvidia">Nvidia</a></div><div class="field-item odd"><a href="/tags/gpudirect-storage">GPUDirect Storage</a></div><div class="field-item even"><a href="/tags/gds">GDS</a></div><div class="field-item odd"><a href="/tags/ai%E5%84%B2%E5%AD%98%E7%94%9F%E6%85%8B%E5%9C%88">AI儲存生態圈</a></div></div></div>
2024/10/25 06:00作者張明德https://www.ithome.com.tw/tech/165668
【AI直連儲存加速時代來臨】GPUDirect Storage產品生態總覽
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1025-cover4-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>NetApp</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>憑藉AI應用持續興盛，以及輝達在GPU與加速運算的龐大影響力，用於改善GPU應用環境I/O傳輸效率的GPUDirect Storage（GDS），短短幾年內，就成為GPU領域標準的傳輸架構之一，也是有意在AI應用扮演重要角色的儲存廠商，必須支援的I/O技術架構。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>支援GDS的儲存裝置形式</strong></span></span></p> <p>從儲存裝置的存取層級來說，GDS支援2種類型的儲存裝置：</p> <p>（1）GPU伺服器本機掛載的區塊型（Block）儲存裝置，又分為兩種類型，一為透過NVMe介面直連的NVMe SSD，另一為外部儲存設備經由NVMe-oF架構連接的儲存區（Volume），這類裝置將格式化為EXT4或XFS檔案系統，再提供給GDS建立連結。</p> <p>（2）GPU伺服器遠端掛載的外部檔案系統，也就是支援RDMA傳輸架構，且相容於GDS技術的第3方檔案層級儲存設備。</p> <p>所以從儲存裝置的型態來說，GDS一共支援3種儲存裝置：（1）GPU伺服器內接的NVMe SSD，（2）經由NVMe-oF掛載的外部區塊型儲存裝置，（3）經由RDMA網路連結的外部檔案型儲存裝置。</p> <p>在這3類儲存裝置中，GPU伺服器內接NVMe SSD的規格限制條件最少，幾乎適用所有相容於GPU伺服器的NVMe SSD產品（包括ScaleFlux的運算型儲存裝置產品），存取延遲最低，但在容量與傳輸頻寬擴展能力方面，會受到相當大的限制，取決於GPU伺服器能支援的NVMe SSD數量，一般而言，最多搭配十多臺NVMe SSD。</p> <p>考慮到AI相關應用的規模擴展需求，更實用的GDS儲存應用架構，將是搭配外部儲存設備的型式，也就是藉由NVMe-oF掛載的外部區塊型儲存設備，以及經由RDMA網路連結的外部檔案型儲存設備。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> 典型的GDS應用架構：NetApp EF系列與BeeGFS的組合 </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1025-cover(4)-600--2.png" style="width: 600px;" /></p> <p><span style="color: rgb(51, 153, 255);"><span style="font-size: 22px;"><strong>這是後端NVMe-oF搭配前端InfiniBand/RDMA的GDS應用架構。由NetApp的EF600儲存陣列，以NVMe over InfiniBand協定經由200Gb IfiniBand網路介面，將儲存區直接掛載到運行BeeGFS檔案系統的SR655伺服器上，後者再經由InfiniBand交換器，將檔案系統空間以InfiniBand/RDMA方式連到GPU伺服器，構成GDS連接。</strong></span></span><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／NetApp</span></span></p> <p><span style="font-size:28px;"><span style="color:#B22222;"><strong>支援GDS的儲存平臺</strong></span></span></p> <p>目前支援GDS的外部儲存設備，以檔案型儲存設備占大多數，總共有十多家廠商的產品，幾乎涵蓋當前市場上多數常見的檔案儲存平臺，包括：在高效能運算領域常見的知名老牌檔案儲存平臺，例如DDN的EXAScaler，HPE Cray ClusterStor，IBM Spectrum Scale（現在已改稱Storage Scale），ThinkParQ的BeeGFS，還有兩大分散式高效能檔案平臺新秀——VAST Data的Universal Storage，Weka的WekaFS，以及知名的通用檔案儲存平臺，如Dell的PowerScale、NetApp的ONTAP，PureStorage的FlashBlade，以及華為的GFS（Global File System）等。</p> <p>前述這些平臺，又可依照支援GDS的傳輸架構型式，分為直接透過RDMA網路連接（InfiniBand或RoCE乙太網路），以及透過NFS over RDMA協定（NFSoRDMA）等2大類。前者有EXAScaler、Spectrum Scale、BeeGFS、WekaFS等平行檔案系統，後者則有PowerScale、ONTAP等通用型平臺。</p> <p>至於區塊型儲存設備，原則上任何支援NVMe-oF架構的產品都適用GDS，但實際確實標示支援GDS的產品，我們目前已知的，有Excelero的NVMesh，以及WD的OpenFlex Data24這2款外接NVMe儲存櫃，其中Excelero已於2022年併入Nvidia。</p> <p>接下來，我們檢視其中較具代表性的平臺。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> Dell </span></strong></span></p> <p>Dell算是最早支援GDS的廠商之一，9.2版以後的PowerScale OneFS檔案系統，能透過基於NFS v3的NFS over RDMA協定，搭配Mellanox的CX系列RDMA乙太網路卡支援GDS傳輸架構。稍後推出的OneFS 9.5版，又進一步改善了GDS傳輸效率，Dell實測顯示提升幅度可達36%。</p> <p>Dell宣稱最小規模的3節點組態PowerScale F600儲存叢集，透過GDS可提供24 GB/s的傳輸率，若擴展到最大252節點規模時，將能擁有高達2 TB/s的龐大傳輸能力。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> DDN </span></strong></span></p> <p>長年致力於高效能運算儲存服務的DDN，當然也沒有在GDS支援上缺席，是首批支援廠商之一。DDN基於Lustre平行檔案系統發展的EXAScaler檔案系統，包括基於Lustre 2.12的EXAScaler 5.2以後版本，以及基於Lustre 2.4的EXAScaler 6以後版本，都能透過InfiniBand支援GDS，適用的DDN硬體產品，包括DDN AI200X、AI400X與AI7990X。</p> <p>DDN以4節點AI400X的實測為例宣稱，啟用GDS可獲得多達57%的傳輸率提升，提供高達162 GB/s讀取與143 GB/s的寫入速率。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> IBM </span></strong></span></p> <p>源自GPFS平行檔案系統、在高效能運算儲存領域耕耘已久的IBM Spectrum Scale平臺，也就是今日的IBM Storage Scale平臺，同樣是第一批支援GDS的儲存平臺，自5.1.2以後的版本，都支援經由InfiniBand或RMDA乙太網路介面，建立GDS傳輸架構（5.1.2版只支援InfiniBand，5.1.3版以後額外支援RoCE乙太網路）。</p> <p>IBM以兩臺ESS 3200儲存陣列（運行Spectrum Scale 5.1.2版）搭配兩臺Nvidia DGX A100，進行實測的結果顯示，藉由GDS可獲得196 GB/s的總傳輸頻寬，相當於兩臺ESS 3200網路介面線速的95%以上。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> NetApp </span></strong></span></p> <p>NetApp目前有兩個平臺支援GDS，一是由NetApp EF600儲存陣列搭配ThinkParQ BeeGFS檔案系統的組合，一是NetApp自身的ONTAP儲存平臺。</p> <p>在NetApp EF600與BeeGFS的組合中，NetApp其實是配角，EF600僅扮演單純提供儲存空間的角色，將自身的儲存區經由InfiniBand HCA網路卡，以NVMe over InfiniBand協定，掛載到負責執行BeeGFS檔案系統的Lenovo SR655伺服器，再由後者以InfiniBand HCA網路卡經由InfiniBand交換器，以RDMA/InfiniBand協定掛載給GPU伺服器使用，並由SR655伺服器運行的BeeGFS檔案系統，負責建立GDS連接。</p> <p>而在NetApp所提出的參考架構中，是使用在RHEL 7.8作業系統上運行的7.2或7.3版BeeGFS檔案系統。而在實測中，這個組合架構搭配Nvidia DGX A100後，可獲得74 GB/s的傳輸率（基於8U的組態）。</p> <p>NetApp的ONTAP儲存平臺，9.10.1版以後也提供透過NFS over RDMA協定，支援GDS傳輸架構的能力，適用於AFF A400、A700與A800等儲存陣列產品，可搭配Nvidia / Mellanox CX-5或CX-6等支援RDMA架構的乙太網路卡，使用經修改的NFS v4.0協定來運作。</p> <p>後來在9.14.1以後版本的ONTAP平臺上，NetApp將搭配的NFS版本擴展到NFS v3與NFS v4.1，支援的儲存陣列機型也增加AFF C系列與AFF A900。</p> <p>在GDS實測上，NetApp以4臺AFF A800儲存陣列搭配2臺DGX A100與2臺DGX-1，在使用2組、4組、8組A800控制器的情況下，分別可得到45.6 GB/s、86.5 GB/s與171 GB/s的傳輸率，總傳輸頻寬高於EF600與BeeGFS的組合，不過，若換成每節點或每U空間的平均頻寬，則略遜於後者。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> HPE </span></strong></span></p> <p>HPE算是一線大廠最積極支援GDS架構的一家，旗下共有3個儲存平臺可支援GDS，包括Ezmeral Data Fabric（5.5版以後）、Cray ClusterStor（4.2版以後）、GreenLake File Storage（3.0版以後）。</p> <p>它們其實都不是HPE原生開發的產品。例如：Ezmeral Data Fabric來自2019年HPE併購MapR取得的MapR Data Platform，一開始改稱HPE Data Fabric，2021年後名稱才換成現在的Ezmeral Data Fabric，應該是透過修改的NFS協定來支援GDS。</p> <p>ClusterStor是HPE於2019年併購Cray取得的產品線，核心其實就是Cray修改版的Lustre平行檔案系統，應該是以InfiniBand支援GDS；GreenLake File Storage是由Alletra MP硬體執行的VAST Data分散式檔案系統，透過NFS over RDMA支援GDS。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> Hitachi Vantara </span></strong></span></p> <p>身為老牌大廠之一的Hitachi Vantara，目前是透過源自Weka的分散式檔案系統產品——Hitachi Content Software for File（HCSF），提供對於GDS的支援。</p> <p>回顧過去，Hitachi Vantara是在2021年中，以OEM形式引進Weka的WekaFS平行檔案系統，搭配自身的伺服器硬體，組成新的HCSF產品線，因而也跟Weka本家一樣，具備支援GDS的能力。</p> <p>除了以獨立產品線銷售，Hitachi Vantara在7月正式推出的BasePOD整合套件Hitachi iQ 中，也搭配HCSF作為套件中的儲存單元。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> Pure Storage </span></strong></span></p> <p>Pure Storage是從2023年10月開始支援GDS，適用於FlashBlade家族中的效能取向款式FlashBlade//S，需搭配4.3.4版以後的Purity//FB作業系統（目前最新版本是4.5.x版），採用的連接架構是基於乙太網路的NFS over RDMA。</p> <p>至於FlashBlade家族中成本取向的FlashBlade//E系列，目前則不提供GDS的支援。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> Weka </span></strong></span></p> <p>就時間點來看，Weka的WekaFS是最早支援GDS架構的第3方儲存平臺，2020年便與Nvidia進行驗證測試，自3.13版以後的WekaFS（現在稱作WEKA Data Platform），便能透過InfiniBand來建立GDS連接。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> VAST Data </span></strong></span></p> <p>VAST Data也是第一波支援GDS的儲存廠商，其Universal Storage平臺在4.1版以後，支援以NFS over RDMA建立GDS連接。</p> <p>Universal Storage平臺採用特別的「解構與共享一切」（Disaggregated Shared Everything，DASE）架構，由負責儲存服務的運算節點，與提供儲存空間的儲存節點組成叢集，搭配Nvidia GPU環境時，VAST Data所建議的參考架構，是採用新的高效能LightSpeed儲存機箱，透過100GbE乙太網路將空間掛載到VAST Data的檔案服務節點，再由VAST Data的檔案伺服器節點，以InfiniBand將儲存空間掛載給GPU伺服器。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 尚未通過Nvidia認證的GDS支援產品 </span></strong></span></p> <p>除了前述名列Nvidia認證的GDS支援廠商與平臺，還有幾家廠商雖然尚未列入Nvidia的認證名單，但也已發表支援GDS的解決方案，包括Hammerspace、PEAK:AIO、華為。</p> <p>以平行NFS儲存系統打出名號的Hammerspace，是在今年初加入支援GDS行列。Hammerspace的口號是讓用戶現有的儲存設備，透過他們Hyperscale NAS介接，從而支援GDS架構。基本概念是將用戶原有的NVMe-oF儲存陣列、或是沒有RDMA連網能力的NAS，掛載到Hammerspace的Data Services（DSX）節點上，然後由後者藉由NFS over RDMA與GPU伺服器建立GDS連接。</p> <p>英國新創公司PEAK:AIO的AI Data Server軟體平臺，同時具備NFS檔案存取與NVMe/TCP區塊存取支援能力，也能透過NFS與NVMe/TCP這兩種方式支援GDS架構，在2023年底與HPE合作的測試中，驗證了這項能力。</p> <p>至於華為，是在2023年8月發布OceanStor A310儲存陣列的GDS測試結果，當中顯示他們的GFS（Global File System）平行檔案系統具備支援GDS的能力，但華為並未說明GFS是以何種底層傳輸架構支援GDS。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>不同傳輸架構帶來的效能差異</strong></span></span></p> <p>迄今已有超過15種第3方檔案儲存平臺支援GDS，我們在10月檢視各廠商發布的GDS實測報告，以及儲存新聞網站「Block & Files」收集的GDS測試結果，發現各種平臺達到的GDS傳輸效率，有著很大的差距，而且其中還存在一些共同的傾向。</p> <p>依照當前各種不同平臺支援GDS時，所採用的傳輸架構，我們可以大致分為3個群組——基於NVMe-oF，基於InfiniBand RDMA，以及基於NFS over RDMA架構。</p> <p>參照Block & Files將各廠商測試結果標準化以後的平均單位節點輸出效能，我們發現IBM、DDN、Weka這些廠商，利用InfiniBand建立GDS傳輸架構的平行檔案系統，還有WD基於NVMe-oF連接架構的平臺，效能要比Dell、NetApp這些採用NFS over RDMA的平臺，高出一個層次。不過也有例外，例如Pure Storage與PEAK:AIO，都透過NFS over RDMA獲得不錯的讀取效能，但寫入效能仍不能與前述平臺相比。</p> <p>這顯示NVMe-oF與InfiniBand RDMA具備一定的效能優勢，但從另一方面來看，NFS over RDMA雖然效能上受到較大限制，也有著運用簡便，與低成本的優點。</p> <p>由於傳輸架構只是影響傳輸效能的眾多因素之一，加上各廠商的測試環境設定差異，前述比較並不精確，不過仍能作為我們衡量在GDS應用中使用不同傳輸架構時，一個粗略的參考依據。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1025-cover(4)-600-PNG.png" style="width: 600px;" /></p> <p><strong><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 0, 102);"> </span></span><a href="https://www.ithome.com.tw/article/165672" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 0, 102);">相關報導</span></span></a><span style="color: rgb(255, 255, 255);"><a href="https://www.ithome.com.tw/article/165672" target="_blank"><span style="background-color: rgb(255, 0, 102);"> </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1205-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=Y3cA8B0K" style="width: 550px;" /></a></span></span></strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/nvidia">Nvidia</a></div><div class="field-item odd"><a href="/tags/gpudirect-storage">GPUDirect Storage</a></div><div class="field-item even"><a href="/tags/gds">GDS</a></div><div class="field-item odd"><a href="/tags/ai%E5%84%B2%E5%AD%98%E7%94%9F%E6%85%8B%E5%9C%88">AI儲存生態圈</a></div></div></div>
2024/10/25 06:00作者張明德https://www.ithome.com.tw/tech/165670
企業儲存市場新動能：GPU直連儲存系統
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1205-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=Y3cA8B0K" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>構成AI運算能力來源的GPU，已成為IT基礎架構升級新動能，而在儲存系統領域當中，Nvidia打造的GPUDirect Storage（GDS）直連傳輸架構，也成為影響AI應用效能的關鍵，獲得眾多儲存廠商的積極支援，從而形成一個基於GDS架構的AI儲存生態圈</p> </div></div></div>
2024/10/25 06:00作者張明德https://www.ithome.com.tw/article/165672
一家廠商主導的AI硬體生態系統
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這幾年來，Nvidia堪稱最活躍、最受各界矚目的企業級加速運算平臺廠商，隨著伺服器虛擬化、大數據分析、生成式AI技術浪潮一波波襲來，Nvidia都在其中扮演重要角色，他們不斷打破既有市場規則，開創許多新的典範。</p> <p>以及今年發表的Blackwell架構資料中心GPU為例，截至目前為止，Nvidia在尚未推出基於這個GPU晶片而成的運算模組或加速卡之際，居然就已開始主推新一代融合晶片GB200 Grace Blackwell Superchip（結合自研Arm處理器Grace與Blackwell架構GPU），基於36個GB200的整櫃式系統GB200 NVL72，以及預載8個Blackwell架構GPU的加速運算基板：HGX B200、HGX B100，而非按部就班地推廣各種GPU解決方案。</p> <p>先前Nvidia在Ampere架構與Hopper架構的作法，是先解說與強調單個A100或H100 GPU的性能與效益，同時帶入匯集4或8個GPU的加速運算基板／GPU伺服器，展示整個伺服器廠商生態的支持與響應，後續再擴及搭配更大量GPU的單櫃或多櫃型系統。不過，隨著Nvidia去年完成融合晶片GH200 Grace Hopper Superchip的設計，以及多家廠商這兩年陸續推出基於GH200的伺服器，像是：雲達、Supermicro、技嘉、華碩、永擎、和碩、Nvidia、Amax、立端、HPE，或許是因為這些廠商的熱烈響應，使Nvidia對這類採用「超級晶片」的伺服器更有信心，因此，今年3月GTC大會與6月台北國際電腦展，他們更是開門見山、直接主推基於GB200而成的伺服器與整櫃型系統。至於Blackwell架構GPU的主要技術特色介紹，並不像前幾代資料中心GPU架構發表時那樣詳盡，目前只能仰賴Nvidia網站的介紹，而且，上面公布的技術架構簡介文件，聚焦Blackwell架構的部分，嚴格來說只有5頁篇幅，相較之下，現行Hopper架構技術白皮書，在架構設計、規格、效能的總覽與深度解析有近50頁之多。</p> <p>在Blackwell架構GPU的效能展現上，今年8月底公布的AI推論測試結果MLPerf Inference v4.1，首度以第三方機構的角度，揭露基於此架構而成的產品B200能耐（單臺伺服器、單個GPU），從中可看出同樣使用Llama 2 70B的模型時，B200均大幅領先AMD Instinct MI300X、Nvidia GH200、Nvidia H200。</p> <p>若就網路與儲存的產品技術搭配與合作廠商來看，Nvidia更是遙遙領先其他競爭對手。就網路技術而言，英特爾、AMD、Nvidia都能同時提供超高速網路介面卡，以及資料處理器（DPU）、基礎架構處理器（IPU），幫忙分攤伺服器的加解密處理，以及具備可程式化能力的調度指揮機制。然而，截至目前為止，只有Nvidia很果決地將這樣的解決方案，與他們的AI加速運算系統進行搭配，而且不僅提供乙太網路與InfiniBand這兩種技術的支援，也將旗下的資料處理器、網路交換器、網路線、軟體定義網路系統，統合為新的網路平臺，名為Spectrum-X與Quantum-X，再加上Nvidia的網路解決方案先前就已陸續支援GPUDirect系列技術，並且將原本他們想要發展的網內運算（In-Network Computing），更聚焦在如何加速AI工作負載，藉此提供更有效率、更少損耗、更低延遲的資料中心網路環境。</p> <p>相較之下，其他兩家廠商的網路卸載／加速解決方案，並未與他們的資料中心GPU或AI加速器連成一氣、形成互相支援的技術堆疊架構，仍是各行其是。不過，AMD本月發表新的資料處理器Pensando Pollara 400，或許後續能帶來更多技術整合層面的突破，因為在這當中，AMD提供同樣稱為GPUDirect的GPU橫跨乙太網路的直連通訊功能。</p> <p>在儲存方面，Nvidia已拉攏不少廠商加入支援與合作陣營。近年來，越來越多企業級儲存系統廠商支援Nvidia發展的GPUDirect Storage（GDS），根據Nvidia在他們網站文件區公布的GPUDirect Storage Release Notes，8月份的分散式檔案系統產品支援矩陣，有多達9個廠牌、15個儲存系統平臺，被認可的時間最早是2021年6月（WekaIO），最近的是2023年12月（Pure Storage），除此之外，還有其他廠商陸續宣布支援，<a href="https://www.ithome.com.tw/article/165672" target="_blank"><span style="color:#3366ff;">在1205期週刊的封面故事當中</span></a>，我們的技術主筆張明德會有更完整的報導。</p> <p><strong><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 0, 102);"> </span></span><a href="https://www.ithome.com.tw/article/165672" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 0, 102);">相關報導</span></span></a><span style="color: rgb(255, 255, 255);"><a href="https://www.ithome.com.tw/article/165672" target="_blank"><span style="background-color: rgb(255, 0, 102);"> </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1205-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=Y3cA8B0K" style="width: 550px;" /></a></span></span></strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/nvidia">Nvidia</a></div><div class="field-item odd"><a href="/tags/ai%E7%94%9F%E6%85%8B%E7%B3%BB">AI生態系</a></div><div class="field-item even"><a href="/tags/%E5%84%B2%E5%AD%98%E7%B3%BB%E7%B5%B1">儲存系統</a></div><div class="field-item odd"><a href="/tags/gpudirect-storage">GPUDirect Storage</a></div><div class="field-item even"><a href="/tags/gds">GDS</a></div></div></div>
2024/10/25 06:00作者李宗翰https://www.ithome.com.tw/voice/165674
【資安日報】10月24日，FortiManager零時差漏洞已被用於實際攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週研究人員揭露多起漏洞利用攻擊的資安事故，例如：Fortinet網路設備管理系統漏洞CVE-2024-47575、三星行動裝置處理器漏洞CVE-2024-44068、macOS作業系統漏洞CVE-2024-44133。</p> <p>其中，又以CVE-2024-47575相當值得留意，原因是這項漏洞在Fortinet尚未公開之前，已有研究人員提出警告，並有企業傳出遭受攻擊的情況。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165625"><strong style="font-size: 22px;">勒索軟體Cicada3301鎖定VMware虛擬化平臺、NAS設備而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cicada3301-profile-min-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cicada3301-profile-min-1.png" style="width: 300px; float: right;" /></a>一般而言，勒索軟體的攻擊目標多半是Windows電腦，到了前幾年，陸續有駭客組織針對VMware虛擬化平臺ESXi開發Linux版勒索軟體，然而最近出現的新勒索軟體，更進一步做到可橫跨多個平臺運作，而引起研究人員的注意。</p> <p>資安業者Group-IB揭露從今年6月開始出沒的新興勒索軟體Cicada3301，3個月內已有30家企業組織遭受攻擊。特別的是，駭客以Rust打造勒索軟體，不只能在Windows、Linux電腦，以及VMware ESXi運作，罕見的是，網路儲存設備（NAS）、PowerPC架構的電腦，也無法倖免於難。</p> <p>此外，該勒索軟體還能終止虛擬化平臺的運作，不僅能用於前述的VMware ESXi，還能對微軟Hyper-V出手，將虛擬機器（VM）關機。</p> <p><a href="https://www.ithome.com.tw/news/165656"><strong style="font-size: 22px;">多款熱門行動程式直接將AWS與Azure帳密資料寫入程式碼</strong></a></p> <p>資安業者賽門鐵克警告，有多個熱門的Android及iOS行動程式直接在程式中寫入未加密的AWS或Azure憑證，將允許駭客破壞應用程式的後端基礎設施、竊取用戶資料，或是中斷服務。</p> <p>根據調查，有6款程式直接於程式碼庫中嵌入了未加密的AWS憑證，包括Google Play上的拼貼程式The Pic Stitch: Collage Maker，下載次數超過500萬；其他3款則是位於App Store上，包括連鎖甜點店的官方程式Crumbl，下載次數超過390萬；填寫問卷賺現金的調查應用程式Eureka: Earn money for surveys，有超過40萬次的下載；超過35萬下載量的影片編輯程式Videoshop - Video Editor Videoshop；超過24萬次下載的紙牌遊戲Solitaire Clash: Win Real Cash；以及超過23.5萬次下載量的填問卷賺現金的調查程式Zap Surveys - Earn Easy Money。</p> <p>另有6款程式嵌入的是微軟Azure憑證，包括Google Play上的叫車程式Meru Cabs，下載超過500萬次；一個針對印度市場的黃頁程式Sulekha Business，下載超過50萬次；以及可以用來緩解耳鳴的ReSound Tinnitus Relief；下載超過50萬次；超過10萬次下載的看病程式Saludsa；下載超過10萬次的車輛檢查程式Chola Ms Break In，以及另一個用來緩解耳鳴的Beltone Tinnitus Calmer，亦有逾10萬次下載。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/notlockbit-ransomware-can-target-macos-devices/">勒索軟體NotLockBit鎖定macOS電腦而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/10/ransomware-gangs-use-lockbits-fame-to.html">有人冒用LockBit名號發動勒索軟體攻擊，將竊得資料外傳AWS S3儲存桶</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/10/new-grandoreiro-banking-malware.html">金融木馬Grandoreiro變種鎖定墨西哥而來</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165661"><strong style="font-size: 22px;">Fortinet網路設備管理平臺API漏洞出現零時差攻擊</strong></a></p> <p>10月23日資安業者Fortinet發布資安公告，指出旗下的網路設備管理平臺FortiManager存在重大漏洞CVE-2024-47575，本地建置及雲端版本皆受到影響，而且，他們已掌握用於實際攻擊行動的情況，呼籲用戶儘速套用相關更新。</p> <p>這項漏洞存在於名為fgfmd的系統元件，起因是重要功能缺乏身分驗證，導致攻擊者有機會在未經身分驗證的情況下，藉由發送偽造請求，遠端執行任意程式碼或命令，CVSS風險評分達到9.8。該漏洞影響本地建置6.2.0至7.6.0版、雲端版6.4至7.4.4版的FortiManager，該公司推出新版程式修補。</p> <p>附帶一提的是，他們也提及，部分網路分析設備FortiAnalyzer提供的相關功能模組（FortiManager on FortiAnalyzer），也同樣存在這項弱點而曝險。</p> <p><a href="https://www.ithome.com.tw/news/165660"><strong style="font-size: 22px;">三星修補已遭濫用的Exynos行動裝置處理器漏洞</strong></a></p> <p>10月7日三星發布韌體更新，修補出現在三星手機與穿戴裝置搭配的Exynos處理器的高風險漏洞CVE-2024-44068，此漏洞涉及記憶體釋放後再行利用（Use After Free），攻擊者有機會藉此提升權限，搭載Exynos 9820、9825、980、990、850、W920等處理器的裝置受到影響，CVSS風險評為8.1分。</p> <p>本漏洞是由Google威脅分析小組Clement Lecigene，以及裝置與服務安全研究小組研究人員Xingyu Jin於7月發現，並向三星通報已遭到利用的情況。他們發現攻擊者將其用來進行提升權限，並確認相關攻擊鏈能在Galaxy S10手機發動。</p> <p><a href="https://www.ithome.com.tw/news/165640"><strong style="font-size: 22px;">蘋果修補macOS的HM Surf漏洞，目前已有嘗試利用的跡象</strong></a></p> <p>今年9月蘋果發布電腦作業系統大改版macOS Sequoia 15，當中修補中度風險漏洞CVE-2024-44133，這項漏洞影響由行動裝置管理平臺（MDM）控管的裝置，應用程式有可能藉由漏洞繞過特定的隱私權組態，CVSS風險評為5.5分，通報此事的微軟近日公布相關細節，並指出他們偵測到疑似漏洞利用的情況。</p> <p>微軟威脅情報中心指出，這項漏洞有機會讓攻擊者繞過macOS的Transparency, Consent, and Control（TCC）保護機制，進行在未經授權的情況下，存取受到保護的使用者資料。研究人員將這項漏洞稱為HM Surf，並指出該漏洞涉及移除Safari瀏覽器程式資料夾的TCC防護，以及更動特定資料夾的組態檔案，使得攻擊者有機會存取使用者資料，包含瀏覽過的網頁、裝置的視訊鏡頭、麥克風、地理位置。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/microsoft-windows-flaw-cve-2024-30090-poc-exploit-published-posing-system-privilege-threat/">針對微軟6月修補的一系列核心層級漏洞，資安業者Devcore警告可被用來提升權限</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/exploit-released-for-new-windows-server-winreg-ntlm-relay-attack/">微軟7月修補的遠端登錄檔漏洞WinReg，若不處理攻擊者可發動NTLM中繼攻擊</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165636"><strong style="font-size: 22px;">Sophos宣布以8.59億美元買下資安廠商Secureworks</strong></a></p> <p>英國防毒廠商Sophos於10月21日宣布，以8.59億美元現金收購美國資安業者Secureworks。Secureworks為網路安全服務供應商，提供安全監控、威脅偵測及SoC服務，該公司於2011年被Dell併購，2016年Dell將之分拆上市，並成為這家資安公司的最大股東。今年8月媒體報導，Dell有意出售Secureworks，直到本週才確定由Sophos接手。</p> <p>Sophos表示，Secureworks的Taegis平臺和Sophos代管服務與安全產品可相輔相成，提供進階延伸偵測回應（XDR）及代管偵測回應（MDR）解決方案。他們計畫整合二家公司產品，使Sophos新增身分威脅偵測與回應（identity threat detection and response，ITDR）、次世代安全資訊與事件管理（SIEM）、操作科技（OT）及進階弱點風險排序等，提供滿足大、中、小型企業的產品。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165652"><strong>【10月23日】中國駭客組織IcePeony對亞洲國家網頁伺服器發動SQL注入攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165631"><strong>【10月22日】資安業者ESET以色列合作夥伴驚傳遭駭，駭客冒名從事網釣攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165602"><strong>【10月21日】Internet Archive再傳遭駭</strong></a></p> </div></div></div>
2024/10/24 18:42作者周峻佑https://www.ithome.com.tw/news/165683
CNCF技術委員會成員來臺揭露K8s未來三大進展，包括WebAssembly、eBPF和IT永續新工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>兩位蘋果工程師Katie Gamanji和太田航平(Kohei Ota)，在今年Kubernetes Summit研討會第二天的主題演講中，回顧了K8s十年發展，並揭露了接下來三大發展方向。Katie Gamanji是CNCF技術監督委員會成員，她主導設立了雲原生證照KCNA認證制度和相關課程，而太田航平則是CNCF推廣大使，去年參與創立了日本雲原生社群，是日本開源社群的活躍者。</p> <p>Katie Gamanji指出，K8s是傑出的容器調度框架，關鍵是透過宣告式配置和各種自動化機制，提供了很好的移植性和適應力，今年是K8s誕生十周年，超過8萬8千人參與貢獻，橫跨8千家氣頁，超過4,200萬次上傳。十年來發展出了很完整的雲原生技術版圖（Cloud Native LandScape）。</p> <p>目前CNCF擁有190個開源專案，分布在三個不同成熟度的等級，127個處於創意解方嘗試階段的沙盒專案，37個開始有企業貢獻和採用的孵化專案，以及27個達到穩定和成熟，甚至成為業界標準的畢業專案。另外，還有些專案發展不如預期，會落入歸檔的專案，目前有9個。</p> <p>太田航平指出，因為跨不同作業系統和雲端供應商，推動了CRI（容器Runtime介面）和CNI（容器網路介面）這兩類專案的蓬勃發展，可以針對特定雲端業者量身克制，提供更多彈性，也支援更多樣化的容器執行環境。隨著大規模應用和有態工作流程的需求，帶動了CSI（容器儲存介面）和服務網格技術的興起，可用於管理超級複雜的網路流量。</p> <p>為了滿足多租戶架構，讓每個用戶可以有自己專屬的叢集，太田航平表示，K8s的叢集API成了關鍵標準化機制，可以將叢集的身分驗證功能，和底層的基礎設施脫離。透過叢集API，不論是本地端、公有雲或邊緣環境，都可以提供一致的K8s叢集建立和管理方式，也能建立一套涵蓋叢集生命周期的標準化管理方式。</p> <h3><span style="color:#FF0000;"><strong>未來K8s三大發展：WebAssembly、eBPF和永續性</strong></span></h3> <p>K8s的下一波發展，太田航平指出有三大重要機制，第一項就是WebAssembly。為何這項技術對雲原生的發展，非常重要？太田航平解釋，WebAssembly可以提供一個獨立的環境，不受限於任何開發語言、作業系統和CPU。換句話說，WebAssembly等於是提供了一個可以通吃任何開發環境、作業系統，甚至是CPU架構的執行程式。WebAssembly也是一個二進位檔案，可以用不同的開發語言編譯成這種格式的檔案，再部署到瀏覽器或非瀏覽器的環境中執行。「WebAssembly提供了一個安全、輕便而且可以在任何地方執行的環境。</p> <p>太田航平舉例說明如何用K8s開發者熟悉的GO語言、行動開發者慣用的Swift，甚至網頁開發者會用的Ruby語言，來編譯成WebAssembly的wasm格式檔，都可以很容易完成。也很容易用Docker來打包出一個可以執行WebAssembly二進位檔的容器映像檔。</p> <h3><strong><span style="color:#FF0000;">eBPF應用越來越廣，從網路處理，擴大到資安監控和可觀察性</span></strong></h3> <p>除了WebAssembly之外，第二個重要新發展是eBPF，這項技術原本只是一項用來過濾網路封包的技術，但現在的應用越來越多元，不只是網路處理，也擴大應用到資安監控和可觀察性工具上。</p> <p>太田航平指出，eBPF的威力是，在同一套一致的安全模式下，提供了低負載的過濾機制以及核心等級的程式化能力，主要透過JIT即時編譯技術和執行前驗證機制來實現。由於eBPF的程式碼具有Linux核心等級的執行能力，因此採取許多預先驗證機制，也採取了一些預防runtime時期出現意外行為的機制，例如限制可用的系統呼叫。另外，還會隨時監控資料型別和存取模式，來避免程式碼非法存取記憶體。</p> <p>目前，eBPF主要有三大應用場景，資安監控，網路路由和過濾，以及可觀察性中的矩陣數據搜集，都各有不少知名的開源專案。這三類應用都是雲原生環境運作需要的核心能力。例如像New Relic的Pixie可觀察性工具，就是用eBPF技術來取得K8s運作的矩陣數據。</p> <p>為了確保安全，eBPF二進位檔會先載入到用戶空間，經過各種執行前驗證檢查後，才會把檔案放入到核心空間，再用JIT編譯器完成編譯後，才允許連結到系統呼叫。<br /> 最後一項K8s的新發展方向是永續性。</p> <h3><span style="color:#FF0000;"><strong>技術部門若不行動，未來技術碳排不減反而會大增</strong></span></h3> <p>Katie Gamanji指出，根據調查，全球碳排放量有1.4%來自技術部門，如果將資料中心和資訊基礎架構改用再生能源來運作，可以減少80%的碳排，但是，目前技術部門的行動力不夠，導致技術部門未來十年產生碳排量，不但不會減少，反而預估還會增加了10%。</p> <p>「如何讓技術部門可以觀察，紀錄和評估他們自己的碳排放，在雲原生環境中，需要新的工具來解決這個課題。」Katie Gamanji指出。這正是K8s接下來在永續性的發展方向。目前K8s有兩項重要的永續工具，第一個Kepler專案，可以用來追蹤K8s的能耗，另一個工具則是碳察覺KEDA工具，可以依據碳排量數據變化來調度的自動擴充機制。</p> <p>Kepler利用了eBPF技術來探測K8s叢集在系統層級的能耗數據，再匯出到Prometheus中彙整，可以用Gafana來視覺化，這項專案是由IBM和紅帽在2022年發起，2023年捐給CNCF基金會，目前處於沙盒階段，意味著還是一項新興的創意嘗試解決專案，還沒有足夠多的企業案例，也很需要嘗試者來貢獻意見。Kepler可以追蹤到不同命名空間，甚至是每一個容器，每一天的碳排數據變化。若用命名空間來區分不同的應用，就可以找出碳排量特別高的應用系統。</p> <h3><strong><span style="color:#FF0000;">不只追蹤碳排數據，還可依碳排密度自動調度K8s叢集</span></strong></h3> <p>有了追蹤碳排數據的工具後，如何運用到K8s叢集的調度上，另一個關鍵工具就是具備碳察覺自動擴充操作器Carbon Aware KEDA Operator。KEDA（Kubernetes Event-driven Autoscaling）專案是一項K8s的自動擴充、縮小叢集規模工具，可以用事件驅動來觸發。碳察覺KEDA操作器則是可以讓KEDA工具，可以依據叢集外部的事件，來調整應用程式的規模，達到碳排放量調整的效果。</p> <p>例如可以設計系統使用「碳排密度」指標來調整規模，碳排放量密度是一個新興的綠色IT指標，以每千瓦小時排放多少二氧化碳量來計算。可以在配置檔中，透過KEDA Scaler CRD或自定義資源設定，來定義不同碳排密度事件的層級，當密度高時，自動降低應用系統的副本數量，來達到減少碳排的效果。</p> <p>Katie Gamanji表示，參與CNCF專案有很多種形式，不一定要貢獻程式碼，也可以參與白皮書制定，或加入工作小組。例如有不少中小企業參與了形形色色各種議題的技術諮詢小組，雲原生生態圈是一個隨著更多參與和互動，而不斷改變的環境，需要一個健康的社群來支持，社群也需要永續的發展。</p> </div></div></div>
2024/10/24 18:28作者王宏仁https://www.ithome.com.tw/news/165682
北韓IT人到歐美企業遠距任職引發危機，可能導致商業機密遭竊、勒索
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近2到3年美國政府多次提出警告，要企業防範北韓駭客假借謀取遠距辦公職務的名義，取得企業內部網路環境的存取權限，從事間諜活動並偷取機密資料的情況，今年美國更是二度查緝協助這些「IT工作者」犯案的<a href="https://www.ithome.com.tw/news/164451">筆電農場（Laptop Farm）</a>，自資安意識教育訓練業者KnowBe4公布<a href="https://www.ithome.com.tw/news/164108">他們不慎雇用北韓駭客差點資料外流的事故</a>，有資安業者針對這種威脅態勢進行調查，並指出近期相關攻擊已出現顯著變化。</p> <p>資安業者Secureworks指出，<a href="https://www.secureworks.com/blog/fraudulent-north-korean-it-worker-schemes">他們針對專門從事這類攻擊的駭客組織Nickel Tapestry（也被稱做Famous Chollima、UNC5267）進行追蹤</a>，結果發現這些駭客在得手企業內部資料後，開始會向雇主進行勒索，要求付錢換取不將資料外流。研究人員指出，這樣的手法過往未曾出現。</p> <p>在其中一起事故裡，受害企業因該員工表現不佳終止僱傭關係，不久就收到一系列電子郵件，其中一封挾帶聲稱竊得內部機密資料的ZIP檔案，另一封則是要求受害企業支付數十萬美元的加密貨幣贖金，後來駭客從另一個電子郵件信箱寄信，以Google Drive共享檔案來表明，他們握有更多內部資料，藉此施壓。</p> <p>此外，他們也發現這些駭客往往還會更改公司寄送工作用筆電的地址，要求送到筆電農場，這意味著駭客通常不會在求職提供的個人所在地區資訊直接填寫筆電農場的地址，而有可能通過人資部門初期審查。</p> <p>在部分事故裡，IT工人會企圖要求受害企業同意使用自己的電腦辦公，並表達對虛擬桌面環境（VDI）組態的偏好。研究人員指出，駭客這麼做的目的，很可能是避免在公務電腦留下相關證據。</p> <p>再者，這些駭客還會使用Astrill VPN提供的IP位址及代理伺服器服務，來隱匿行蹤。研究人員在其中1起事故當中，看到駭客存取公司的VDI系統將內部資料傳送到私人Google Drive儲存空間。</p> <p>研究人員看到駭客存取企業內部環境的方式，包含了Chrome遠端桌面功能、AnyDesk，這對於IT工人謀得的職務而言並不尋常。</p> <p>基本上，北韓駭客為避免穿幫，通常會儘可能會在通話及視訊會議的過程當中，聲稱筆電的視訊鏡頭異常等理由，將鏡頭關閉。但在近期的資安事故中，這樣的態勢也出變化，研究人員根據鑑識取得的證據發現，對方疑似使用名為SplitCam的自媒體協作工具，在避免身分及地點被曝光的情況下開會，使得受害企業比較不會察覺有異。</p> <p>此外，他們還發現受到相同公司聘僱的IT工人會彼此互通有無，包含互相推薦、擔任類似的職務、使用類似的履歷與電子郵件格式。此外，這些工人也往往具備相同的寄送物品及領取工資的方式。研究人員發現，這些駭客還可能一人分飾多個角色──他們在駭客的往來信件當中，看到完全不同的寫作風格，研判這些駭客很可能經常聚集在相同地點，並且共同分擔工作。</p> <p>針對上述的發現，研究人員指出，向受害企業索討贖金的作法，顯然偏離這些駭客初期犯案的規畫，而且，駭客不再以維持就業賺取薪水為主要目的，並將其攻擊目標轉向剽竊智慧財產，使得企業不慎僱用到這些工人的資安風險變得更加嚴重。</p> </div></div></div>
2024/10/24 18:06作者周峻佑https://www.ithome.com.tw/news/165679
北韓駭客Lazarus假借DeFi遊戲為誘餌，利用Chrome零時差漏洞發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月15日Google發布Chrome 125更新（125.0.6422.60、61），<a href="https://www.ithome.com.tw/news/162904">修補零時差漏洞CVE-2024-4947</a>，通報此弱點的資安業者卡巴斯基表示，當時他們看到北韓駭客組織Lazarus假借提供電玩遊戲的名義，並利用這項漏洞企圖控制受害者的電腦。</p> <p>這起攻擊行動之所以曝光，起初是在5月13日，該廠牌防毒軟體在俄羅斯個人用戶的電腦，偵測到後門程式Manuscrypt感染的情況，由於使用該惡意程式的Lazarus鮮少針對個人用戶下手，這樣的情況引起研究人員的注意，進一步調查發現，detankzone[.]com網站利用瀏覽器弱點發動攻擊。</p> <p>基本上，這個網站看起來像是介紹多人線上競技（MOBA）的坦克電玩遊戲DeTankZone，該遊戲號稱以去中心化金融（De-Fi）及非同質化代幣（NFT）為基礎開發而成，該網站亦提供試用版下載。但研究人員指出，這其實是障眼法，駭客在網站後臺埋藏指令碼，一旦使用者透過Chrome存取就會觸發漏洞，攻擊者可藉此完全控制連入此網站的電腦。</p> <p>研究人員進一步指出，攻擊者架設的網站以TypeScript及React打造而成，他們將漏洞利用程式碼埋在名為index.tsx的檔案，但值得留意的是，這些程式碼不光利用CVE-2024-4947，還運用另一個近期才揭露的V8沙箱弱點。</p> <p>形成CVE-2024-4947漏洞的原因，在於Google去年底推出的Chrome 117，納入即時（JIT）編譯器Maglev，該元件能根據解譯器（Interpreter）回饋的內容進行最佳化，快速產生品質較好的程式碼，但Maglev由於具有這項弱點而釀禍。</p> <p>簡而言之，攻擊者的指令碼濫用Maglev、破壞Chrome使用的記憶體位址，並覆蓋該處理程序占用的區域，從而存取Cookie、Token、儲存的密碼，以及上網記錄。</p> <p>他們也發現這些駭客藉由人工智慧技術，產生幾可亂真的資料在社群網站X進行宣傳，並聯繫加密貨幣領域的有力人士，請他們協助宣傳。此外，這些駭客也透過專業設計網站、LinkedIn付費帳號，以及釣魚郵件從事相關活動。</p> <p>值得留意的是，這款遊戲確實能實際正常安裝，並具有實際登入畫面，但無法註冊帳號或是登入。研究人員發現，駭客很可能是竄改名為DeFiTankLand（DFTL）的遊戲製作而成。因為攻擊者於2月20日開始宣傳，3月2日DFTL傳出有開發者從其中1個冷錢包偷走2萬美元DFTL2加密貨幣，所以，研究人員根據這些跡象推測：Lazarus先是偷走了原始碼，再洗劫冷錢包。</p> <p>研究人員指出，雖然他們向Google通報後遵循漏洞揭露政策，當時並未公開具體細節，讓用戶能有更多時間套用修補程式，然而，這起事故其實在5月底就已露出端倪，因為當時微軟<a href="https://www.ithome.com.tw/news/163179">公布北韓駭客組織Moonstone Sleet的勒索軟體攻擊行動</a>，當中恰巧提及此事部分攻擊過程。</p> <p>根據微軟那時的描述，也可印證漏洞攻擊事件的經過。他們表示，駭客從2月開始，利用假的遊戲開發公司為幌子，以尋求投資者及開發人員支持為由發動網釣攻擊，導致電腦被植入惡意程式；攻擊者在4月對其中一家遭駭的公司植入勒索軟體FakePenny，並索討660萬美元比特幣。</p> </div></div></div>
2024/10/24 16:26作者周峻佑https://www.ithome.com.tw/news/165669
強化我國通訊數位韌性，數位部展示高空氣球建立緊急通訊網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>當災害或因為緊急狀態，導致地面的光纖、行動網路出現異常時，當地用戶或救援團隊如何獲得通訊服務？數位部今天(10/24)與國內研究單位共同在臺東展示國產的高空通訊平臺技術，透過繫留的高空氣球建立緊急通訊網路，在災害地區可提供民眾、救援團隊使用。</p> <p>高空通訊平臺(High Altitude Platform Station)技術，主要利用近地的空中載具，從高空建立通訊服務，以提供地面使用，例如Meta曾以太陽能無人機，在高空中長時間滯留飛行，提供地面通訊服務，Google的母公司Alphabet的Loon專案，以高空氣球提供通訊服務，曾以此在肯亞提供商用連網服務。</p> <p>數位部展示國產高空通訊平臺技術，今天在臺東經常舉辦熱氣球活動的鹿野高臺，利用熱氣球升空飛行至800公尺高度，建立高空通訊平臺，可提供周遭11公里距離內通訊服務，以作為災害發生後，迅速建立緊急通訊網路，恢復當地基本通訊服務的應變措施。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/414642-1.jpg" style="width: 600px; height: 401px;" /></p> <p>數位部指出，高空氣球升空後，可上升至800公尺高度穩定滯留，在半徑11公里的範圍內提供緊急通訊服務，該高空氣球具備獨立的電源供應裝置，並使用氫燃料電池作為主要能源來源，確保氣球上的通訊設備能夠長時間運作，最長可以滯空超過14天的時間。</p> <p>高空氣球可載重50公斤，因應不同的情境需要，搭載不同的設備。數位部表示，高空氣球長時間滯空，可長時間穩定提供緊急通訊服務，可用於災區建立緊急通訊，或是用於提升偏遠地區的通訊服務，縮減數位落差，有助於提升面對天災或重大事件的應變能力。</p> <p>今天的展示也模擬災害發生時，通訊服務中斷下，利用高空氣球緊急恢復基本通訊服務，搭配無人機的空中搜救，提高災害的救援應變。</p> <p>事實上，在災害發生或因為緊急狀態導致當地通訊服務中斷，電信業者可調派行動通訊車前往災區建立緊急通訊網路，或是調度中、低軌衛星通訊設備或行動車前進災區，為當地建立緊急應變網路，例如今年403花蓮強震，業者就曾調派行動通訊車，數位部也緊急調派中低軌衛星通訊設備前往災區，建立衛星通訊鏈路，供災區民眾、救護救援團隊使用。</p> </div></div></div>
2024/10/24 17:11作者蘇文彬https://www.ithome.com.tw/news/165673
華為發表切割Android的HarmonyOS NEXT正式版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>華為於本周三（10/23）<a href="https://www.huawei.com/cn/news/2024/10/harmonyos5" target="_blank">發表了</a>HarmonyOS NEXT正式版，同時宣布已開放HUAWEI Pura 70系列、HUAWEI Pocket 2系列，以及11吋的HUAWEI MatePad Pro平板電腦測試HarmonyOS NEXT。</p> <p>HarmonyOS NEXT是華為自製的原生作業系統，跟HarmonyOS最大的差異是它不再兼容Android，將完全與Android切割。</p> <p>華為表示，HarmonyOS NEXT採用全新的分散式軟總線，裝置之間只要靠近即可感知並連接；亦整合了AI，提供Harmony Intelligence服務；新版作業系統禁止9種不合理的權限，包括讀取應用程式列表及簡訊等，也針對包括相機、圖庫或通訊錄等7種使用場景推出安全存取機制；由於採用了自家的方舟引擎（MapleEngine），深度整合軟、硬體讓HarmonyOS NEXT的流暢度提升了30%，續航力增加56分鐘，執行時節省1.5GB的記憶體。</p> <p>Huawei Central<a href="https://www.huaweicentral.com/harmonyos-next-is-a-closed-operating-system-just-like-ios-developer/" target="_blank">指出</a>，如同蘋果的iOS，HarmonyOS NEXT是個封閉的作業系統，只適用於華為的裝置，無法支援其它品牌，此外，HarmonyOS NEXT已經不含任何來自美國的元件，不管是Linux、其它作業系統核心或程式語言。</p> <p>在HarmonyOS NEXT之前，華為裝置都是搭載仍相容於Android的HarmonyOS，華為常務董事余承東表示，目前的HarmonyOS含有1.1億行的程式碼，已有超過1.5萬款的HarmonyOS原生應用程式上架，採用HarmonyOS的裝置亦已突破10億個。</p> </div></div></div>
2024/10/24 14:38作者陳曉莉https://www.ithome.com.tw/news/165664
Google開源SynthID Text
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google DeepMind周三（10/23）<a href="https://x.com/GoogleDeepMind/status/1849110263871529114" target="_blank">宣布</a>，已透過Responsible Generative AI Toolkit的更新開源了SynthID Text浮水印工具，以用來辨識由AI生成的文字內容，可供開發人員及企業免費使用。</p> <p>SynthID同時具備建立浮水印，以及辨識AI生成內容的能力。它可在不危及原本內容的前提下，將數位浮水印直接嵌入由AI生成的圖像、聲音、文字及影片中，同時它也能掃描這些內容的數位浮水印，以辨識它們是否由AI生成。此次Google僅開源針對文字生成的SynthID Text。</p> <p>Google說明，大型語言模型（LLM）在生成文字時一次會生成一個Token，這個Token可能是一個字元、一個單字，或者是段落的一部分，為了建立連貫的文字，模型會預測下一個最可能生成的Token，相關的預測是基於先前的文字以及每個潛在Token的機率。</p> <p>例如當LLM要生成「我最喜歡的水果是...」時，可能會填入「芒果」、「荔枝」、「木瓜」或「榴槤」等Token，每個Token都會獲得一個機率分數，只要有許多不同的Token可供選擇，SynthID即會在不影響輸出品質及準確性的情況下，調整每個Token的機率分數（調整非常少）。</p> <p>在不斷重複上述程序之後，單一句子可能含有10個或更多經過SynthID調整的機率分數，一個頁面就可能含有數百個。模型最終選擇的Token機率分數，再結合該Token被SynthID所調整的機率分數，就形成了浮水印。這就像是一個隱形的數位簽名，它並不影響所生成的文字內容，人眼也看不出來，卻能夠利用特定工具來檢測與驗證。</p> <p>此一SynthID Text浮水印技術論文已於<a href="https://www.nature.com/articles/s41586-024-08025-4" target="_blank">《Nature》上出版</a>，並透過Google Responsible Generative AI Toolkit開源。此外，Google也已經在Gemini的應用程式及網頁版中整合了SynthID Text技術。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1024-SynthID%20for%20AI-generated%20text-google%20deepmind.png" style="width: 500px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／Google</span></span></p> </div></div></div>
2024/10/24 13:46作者陳曉莉https://www.ithome.com.tw/news/165662
Amazon子公司eero發表戶外Wi-Fi路由器Outdoor 7
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon麾下的網狀網路Wi-Fi裝置製造商eero，在周三（10/23）<a href="https://www.aboutamazon.com/news/devices/eero-wifi-outdoor" target="_blank">發表了</a>全新的戶外Wi-Fi路由器Outdoor 7，它具備IP66防護等級，絕對地防塵，也能承受高壓強力水柱，可在攝氏負40度至54.4度的環境中運作，覆蓋範圍達1,5萬平方呎（約1,393平方公尺），售價為349.99美元。</p> <p>Amazon是在<a href="https://www.ithome.com.tw/news/128702" target="_blank">2019年</a>以9,700萬美元買下eero，eero專門開發網狀網路系統，這是個去中心化的網路架構，讓所有節點彼此連結以形成一個多點互通的網狀結構，而非傳統般地依賴單一的集中式路由器。</p> <p>Outdoor 7支援Wi-Fi 7並提供高達2.1 Gbps的無線網路速度，整合TrueMesh網路專利技術，可動態採用最快路徑來路由資料並限制干擾，再藉由TrueChannel與TrueRoam技術來提供無縫的連線能力，還能用來連結超過100個裝置。</p> <p>eero曾在亞利桑那州的高溫下、商用冰箱裡、海灘，以及風速每小時達160公里的隧道中測試過Outdoor 7，驗證它可在惡劣的環境中持續運作，不管是想在戶外提供Wi-Fi網路的咖啡廳，或是想在偏僻別墅安裝監視器，Outdoor 7都是個好選擇。</p> <p>使用者還可利用兩個Outdoor 7來拓展網路，兩個Outdoor 7之間的間距可達300公尺。Outdoor 7預計於11月13日開賣，將率先於美國及加拿大上市。</p> </div></div></div>
2024/10/24 14:12作者陳曉莉https://www.ithome.com.tw/news/165663
Fortinet網路設備管理平臺API漏洞出現零時差攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10月23日資安業者Fortinet發布資安公告，<a href="https://www.fortiguard.com/psirt/FG-IR-24-423">指出旗下的網路設備管理平臺FortiManager存在重大漏洞CVE-2024-47575</a>，本地建置及雲端版本皆受到影響，而且，他們已掌握用於實際攻擊行動的情況，呼籲用戶儘速套用相關更新。</p> <p>這項漏洞存在於名為fgfmd的系統元件，起因是重要功能缺乏身分驗證，導致攻擊者有機會在未經身分驗證的情況下，藉由發送偽造請求，遠端執行任意程式碼或命令，CVSS風險評分達到9.8。該漏洞影響本地建置6.2.0至7.6.0版、雲端版6.4至7.4.4版的FortiManager，該公司推出新版程式修補。</p> <p>附帶一提的是，他們也提及，部分網路分析設備FortiAnalyzer提供的相關功能模組（FortiManager on FortiAnalyzer），也同樣存在這項弱點而曝險。</p> <p>若是IT人員無法即時套用更新，Foritnet也提出臨時緩解措施，IT人員可透過防止未知設備嘗試註冊，或是將防火牆設備FortiGate的IP位址列入白名單的方式因應。</p> <p>值得留意的是，<a href="https://www.bleepingcomputer.com/news/security/fortinet-warns-of-new-critical-fortimanager-flaw-used-in-zero-day-attacks/">根據資安新聞網站Bleeping Computer的報導</a>，Fortinet在10天前（10月13日）就透過電子郵件通知用戶此事，後續也有用戶反映，這項漏洞似乎已被利用一段時間，有企業收到Fortinet通知的前一週就遭到攻擊，當時IT人員推測這是零時差漏洞。</p> <p>資安專家Kevin Beaumont也於<a href="https://cyberplace.social/@GossiTheDog/113299762582288860">10月13日提出警告</a>，要IT人員留意Fortinet支援網站，以便在第一時間取得與該漏洞有關更新；若是FortiManager可透過網際網路存取，他認為最好先暫時中斷連線因應。</p> <p>後來Beaumont透過部落格文章<a href="https://doublepulsar.com/burning-zero-days-fortijump-fortimanager-vulnerability-used-by-nation-state-in-espionage-via-msps-c79abec59773">再度警告此事</a>，並將這項漏洞命名為FortiJump。</p> <p>根據調查，他認為該漏洞存在於防火牆與FortiManager之間的通訊協定FortiGate to FortiManager（FGFM），並指出透過該通訊協定使用的541埠，在物聯網搜尋引擎Shodan可以找到59,720臺能經由網際網路存取的FortiManager。而根據<a href="https://www.virustotal.com/gui/collection/23cb5f786e67f14aa7dd49e88e5b6e0301447919ea601c98bc760dfd4a6af2dc/iocs">惡意軟體分析平臺VirusTotal收到的通報</a>，已有3個IP位址嘗試利用漏洞，這些IP位址分別位於美國、韓國、日本。</p> <p>不過，想要利用這項漏洞還是有先決條件，Beaumont表示攻擊者必須事先取得有效的帳密資料，但難度不高，因為只要能透過防火牆設備就有機會取得並重覆利用。</p> <p>而對於這項漏洞的危害，他認為由於FGFM的運作方式能夠穿越NAT，若是攻擊者成功入侵受到控管的FortiGate，有機會穿越到FortiManager，並存取其他防火牆及網路環境。</p> </div></div></div>
2024/10/24 13:08作者周峻佑https://www.ithome.com.tw/news/165661
三星修補已遭濫用的行動處理器Exynos漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一個出現在三星手機與穿戴裝置Exynos處理器的重大漏洞，已出現濫用情形。三星已在本月初完成修補。</p> <p>編號CVE-2024-44068的漏洞發生在三星行動處理器中的使用已釋放記憶體（Use-After-Free）漏洞，可能導致提權（privilege escalation）攻擊。受到本漏洞影響的產品包括Exynos 9820、9825、980、990、850和W920。三星在10月7日發布了韌體更新。</p> <p>本漏洞是由Google威脅分析小組Clement Lecigene，以及裝置與服務安全研究小組研究人員Xingyu Jin於7月發現並<a href="https://googleprojectzero.github.io/0days-in-the-wild/0day-RCAs/2024/CVE-2024-44068.html" target="_blank">通報</a>存在零時差漏洞。</p> <p>在漏洞細節方面，這漏洞位於處理器驅動程式IOCTL M2M1SHOT_IOC_PROCESS，它主要功能是提供JPEG解碼和圖形縮放等功能的硬體加速。在執行過程中會將使用者空間頁面（userspace page）對應到I/O頁，以執行韌體指令。</p> <p>在虛擬記憶體系統中，當應用程式訪問I/O設備時，I/O虛擬記憶體頁（virtual page）會被對應到物理記憶體頁（physical pages）。PFNMAP（Page Frame Number Map）作用是管理這些對應，確保虛擬頁面正確對應到物理頁。Google發現的攻擊手法，則是利用漏洞擾亂對應過程，而釋放出實體記憶體，最後透過IOCTL呼叫進行核心空間映射攻擊（Kernel Space Mirroring Attack），執行韌體指令。</p> <p>研究人員發現到零時差攻擊是提權攻擊鏈的一部份，攻擊者可在具有特權的cameraserver行程中執行任意程式碼，而且還將行程改名，可能是為了防止調查。研究人員發現的攻擊可在Galaxy S10手機上成功作用。</p> <p>三星透過官網<a href="https://semiconductor.samsung.com/support/quality-support/product-security-updates/cve-2024-44068/" target="_blank">發出了公告</a>。三星僅列出公告及顯示為高度嚴重性，並未列出風險值，不過多家媒體<a href="https://www.theregister.com/2024/10/24/samsung_phone_eop_attacks/" target="_blank">報導</a>風險值為CVSS 8.1。</p> <p> </p> </div></div></div>
2024/10/24 11:46作者林妍溱https://www.ithome.com.tw/news/165660
中鋼用AI驅動數位轉型，以4大對策克服少子化缺工、經驗傳承難題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國內生育率低落，產業面臨少子化缺工問題如何解決？老牌鋼鐵業者在新興AI浪潮下如何推動數位轉型，中鋼近期分享如何運用AI加速數位轉型，並提出4大對策，包括研發人機協作技術，運用數位雙生及生成式AI等技術，來克服缺工、經驗難以傳承的挑戰。</p> <p>中鋼綠能與系統整合研發處研究員許朝詠表示，中鋼約從2014年開始導入AI，主要應用在產線、銷售端，然而儘管中鋼投入大量資源研發AI應用，並且實際落地使用，但卻發現這些AI技術很難為企業帶來明顯效益，因為企業發展AI多是以單一技術或單一產線為目標，以中鋼研發無人天車為例，目標是讓無人天車技術得以實現，但並不容易可以量化，難以呈現為公司帶來的效益。</p> <p>因此，2023年他們轉換方向，推動數位轉型不僅要讓AI技術能夠落地，而且不論是報表或是整體的營運績效上，最終要帶來實際效益。中鋼成立的數位轉型推動小組，前身為智能產銷委員會，目的是在生產及銷售兩個部門推動AI技術，研發部門則提供生產及銷售部門必要的技術支援。</p> <p>去年成立的中鋼數位轉型推動小組，他們將資訊及行政部門納入，其中資訊部門負責資訊流的串接整合，行政部門則負責數位轉型的教育訓練及管理，AI核心技術訓練、數位賦能等等。</p> <p>中鋼委託資策會以全球7大鋼廠為對象，歸納鋼鐵業者數位轉型的4大目標方向，提升生產效率、低碳化製造、智慧化營運、投資新產品，這些目標與中鋼推動數位轉型的目標不謀而合。</p> <p>如同其他產業在營運上所面臨的困境，鋼鐵業也受到少子化勞力短缺衝擊，並且面臨台積電等科技業者競爭人才，「對於中鋼而言，過去在南部招募人力並不是問題，現在招募人才除了要和同業競爭，還要和科技業競爭，過去聽到的是台積電要來了，現在最常聽到的是同仁要去台積電了」，許朝詠說。</p> <p>勞力短缺不只影響生產力，對員工高齡化的中鋼而言，人才招募不易，新血來不及補充，年輕的員工愈來愈少，衍生出經驗傳承難題，老員工的經驗難以交給新員工。</p> <p><span style="color:#B22222;"><strong>4大對策克服缺工難題</strong></span></p> <p>「中鋼導入數位技術的整體目標就是，達到2大目標，提升工作效率、加速經驗傳承」，許朝詠說。中鋼提出4大對策，包括提升人機協作程度、提升AI導入效率、建立高效訓練模式、提升經驗擴散速度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96-600(2).jpg" style="width: 600px; height: 333px;" /></p> <p>中鋼導入不同的數位技術來實現2大目標，例如提升人機協作程度，結合AI電腦視覺、遠端控制、低延遲通訊技術，讓人員可以在安全的環境下操控設備；基礎建設方面，導入混合雲架構，讓AI應用能在雲地協作式開發、維運，加速推動AI普及；導入數位雙生技術，以數位模擬真實的生產環境，以瞭解虛擬環境的變數對真實世界產生影響；運用生成式AI開發行政、操作、維護各方面的數位助理。</p> <p><span style="color:#B22222;"><strong>開發天車人機協作技術、遠端協作技術</strong></span></p> <p>在鋼鐵的生產環境中，不論原料或半成品，重量多達數噸，一般機械手臂難以搬運，因此中鋼多仰賴天車吊運物料，約有一千多部不同的天車，用於搬運不同的物料及設備，每天天車吊運作業成為鋼鐵產線的重要工作。</p> <p>為了提高人機協作方面，過去仰賴人工上下天車，在駕駛艙操控天車吊運物料，天車位於廠房的高架上，駕駛操控的天車手因吃飯、上廁所，經常需要上下天車，現場作業環境也有工安疑慮，為了推動自動化，幾年前中鋼研發AI無人天車，不需人工駕駛，讓天車透過電腦視覺及雷射測距，判定需要吊運的鋼捲位置，自動化吊運鋼捲作業。</p> <p>但是，由於AI難以完成細緻化的吊運作業，因此天車雖為三軸同動，中鋼僅在限制環境下讓AI操作天車，例如AI無人天車只能兩軸同動，無法執行三軸同動作更細緻化的操作，即使無人天車能夠24小時作業，難以完全取代人力。</p> <p>因此在無人天車之後，中鋼也開發天車的人機協作技術，他們在天車作業環境部署5G及Wi-Fi，並建立 5G及Wi-Fi網路備援，滿足天車遠端控制的低時延通訊需求，搭配大頻寬傳輸天車作業的即時影像，開發智能輔助夾取技術，包括改造天車防撞系統、人員安全辨識系統、天車半自動駕駛技術。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96-600(3).jpg" style="width: 600px; height: 352px;" /></p> <p>以小鋼胚的天車吊運作業為例，傳統上，天車手和地面人員協作，天車手操作電磁吸盤吊運多個鋼胚，從A儲位吊運到B儲位，每次吊運的鋼胚數量由地面人員計算後，輸入到倉儲管理系統（WMS）。</p> <p>為克服缺工問題，中鋼在天車吊臂上架設攝影機，利用AI電腦視覺辨識天車所吊運的小鋼胚數量，然而，他們很快發現儲位大量的鋼胚，導致AI辨識吊運鋼胚數量容量誤判，因此他們在攝影機旁邊再加裝雷射線，每次天車吊起多個鋼胚，將雷射線打在被吊起的鋼胚上，由AI偵測雷射線區分被吊起的鋼胚和儲位的其他鋼胚，自動計算吊起的小鋼胚數量，利用這個方式，在天車多次吊運測試下，AI計算鋼胚數量的正確率提高到99%。</p> <p>許朝詠表示，AI落地經常發生的問題大多和環境有關，他認為AI專案應用有3個層次，第一個層次是單純使用AI技術，因為條件不可控，使得AI技術難以符合現場環境；第二個層次是限定環境使用AI，以天車吊運鋼胚為例，使用雷射線即是限定環境使用AI技術，但是容易因為環境變異造成AI辨識失準；第三個是精確設計環境後使用AI技術，控制雷射線只打在吊起的鋼胚上，在設計的環境中就能很好地使用AI技術。</p> <p>另外，中鋼也開發天車遠端協作技術，在第二熱軋鋼帶工廠，利用5G專網涵蓋鋼捲儲區，透過5G網路及Wi-Fi網路備援，建立低延遲網路來傳送控制命令，同時改造天車系統，將控制訊號拉到控制室，使其可以遠端控制，天車手不需登上高處的天車，只要在地面上安全的操作臺，透過多個螢幕呈現不同視角的天車操作即時影像，從遠端操控天車吊運鋼捲。</p> <p>天車手在地面的控制臺遠端操控天車，中鋼也盤點天車吊運鋼捲作業程序，評估哪些程序適合由人工操作，例如吊取鋼捲、放置鋼捲比較適合人工遠端操控，其他程序如電子圍籬、防撞系統、鋼捲號碼辨識、點到點移動控制則可由AI代勞，如此一來，每個天車的人工操作負擔大幅降低。</p> <p>如圖所示，天車手只需在地面控制臺，透過多個螢幕來遠端操控天車吊運鋼材：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20240927_075021516-600.jpg" style="width: 600px; height: 338px;" /></p> <p>許朝詠表示，原本的人工操控天車程序，在導入人機協作後，人工操控只剩下夾取、放置鋼捲，其他則由AI自動化控制，天車手的工作負擔降到原本的20%，天車手剩餘時間可以切換操控其他天車，未來一個人可以遠端操控多臺天車，提高工作效率。</p> <p><span style="color:#B22222;"><strong>運用數位雙生技術模擬天車操控、高爐內佈料情形</strong></span></p> <p>為了訓練新手操控天車，中鋼打造模擬訓練系統，利用數位雙生技術打造鋼捲倉庫的數位分身，天車新手可以先在鋼捲倉庫的模擬環境中，練習操控天車吊運鋼捲，這套訓練系統支援駕駛艙操控及遠端遙控操作，讓天車手考照的同時，先熟悉未來的工作環境。</p> <p>在鋼鐵的生產過程中，高爐用於高溫熔煉原料產生鐵水，但是高爐內上千度高溫，高爐內操控在鋼鐵業的產線過程中如同盲盒，高爐內布料的情形不易被瞭解，中鋼運用數位雙生技術打造高爐的數位分身，</p> <p>許朝詠指出，中鋼透過Nvidia Omniverse建立高爐佈料的模擬，模擬高爐爐頂佈料到料面的情況，瞭解和真實高爐的佈料情況是否一致，從模擬系統的佈料變動，預測判斷真實高爐佈料的結果。</p> <p><strong><span style="color: rgb(178, 34, 34);">以生成式AI打造數位助理，加速經驗傳承、職能訓練</span></strong></p> <p>為了加速新舊員工的經驗傳承，以及新手員工的訓練，中鋼也運用生成式AI，以多年累積的既有知識庫結合ChatGPT，開發個人的數位助理。以生成式AI數位賦能員工，將他們不具備的技能、知識，讓他們具備或是能夠從系統中提取。</p> <p>許朝詠認為讓員工大量使用生成式AI，最終他們會從工作場域中找出合適的生成式AI應用，並且提出他們的需求。</p> <p>目前中鋼內部已有生成式AI應用，例如將設備、線路資料格式化後存於資料庫，傳統上，不會SQL語法的員工需要仰賴熟悉SQL語法的其他人協助，從資料庫中取得需要的資料，現在利用生成式AI，不會SQL語法的員工得以自然語言提出問題，由AI生成SQL語法從資料庫中取得資料，再以自然語言回答。</p> <p>中鋼運用生成式AI開發工程小管家，工程人員遇到問題，可以自然語言像系統提問，由小管家搜尋資料後回覆：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96-600(1).jpg" style="width: 600px; height: 367px;" /></p> <p>另一個生成式AI的應用實例是在維修指引方面，資深員工多年從事維修工作所留下的文件，中鋼根據這些文件開發維護指引系統，結合生成式AI，維護人員遇到不熟悉的維護難題，可以自然語言向指引系統提問，由指引系統找尋資料答覆，讓新手員工學習如何維護設備。</p> <p>許朝詠指出，數位轉型過程中最重要的是，如何導入數位技術協助員工完成工作，中鋼在推動數位轉型中導入各種數位技術，例如導入AI來開發遠端操作人機協作，利用人工和AI各自的優點打造人機共同作業，以提升工作效率，其次是導入數位雙生技術，在建立數位分身的過程，藉此機會盤點內部的資訊流是否足以呈現實境情況，以及虛境模型能不能解釋實境的現象，「能夠做到這兩件事，數位雙生才能帶來效益」。另外，中鋼導入混合雲，結合低程式碼工具，讓員工可以快速建立AI應用，最後運用生成式AI建立專家詢問系統，活用過去員工的經驗資料，讓新進員工汲取知識，獲得經驗傳承，達到訓練效果。</p> </div></div></div>
2024/10/24 10:27作者蘇文彬https://www.ithome.com.tw/news/165653
高通、Google合推AI車上資訊系統開發平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>晶片大廠高通（Qualcomm）和Google本周<a href="https://www.qualcomm.com/news/releases/2024/10/qualcomm-announces-multi-year-strategic-collaboration-withgoogle" target="_blank">宣布簽定</a>多年技術合作，將共同打造數位駕駛艙開發框架，以提供車商開發結合AI與雲端技術的車聯網與車上資訊系統。</p> <p>雙方將結合高通的車用平臺Snapdragon Digital Chassis和Google技術，包括Android Automotive OS、Google Cloud與生成式AI打造汽車數位化系統，以及車聯網的標準化參考框架。高通Snapdragon Digital Chassis是高通今年初CES 2024宣布的數位化汽車平臺，由3種單系統晶片（SoC），包含自動駕駛（Ride）、座艙（Cockpit）、車聯網（Auto Connectivity）及Snapdragon車到雲服務（Car-to-Cloud Services）軟體組成。</p> <p>這項合作目標則以高通的數位汽車平臺為基礎，打造二款參考框架，加速汽車廠商開發。一是生成式AI驅動的數位座艙開發框架，內建Google Android Automotive OS（AAOS），提供使用者可客製化的Google AI語音使用者介面與即時驅動程式更新，簡而言之，可讓汽車業者能開發自有版本Gemini助理。二是整合式軟體定義車輛（Software-Defined Vehicle，SDV）車到雲（car-to-cloud）框架。Snapdragon Connected Services Platform是高通針對物聯網（IoT）推出的平臺，旨在提供安全連網服務。在此則是提供統一框架，允許汽車產業透過Google Cloud快速開發可彈性部署於車上AAOS或其他平臺的應用服務，並且可隨時更新。</p> <p>高通同時<a href="https://www.qualcomm.com/news/releases/2024/10/qualcomm-races-ahead-in-the-evolution-of-software-defined-vehicl" target="_blank">發表</a>Snapdragon Cockpit Elite及Snapdragon Ride Elite二款晶片。高通對媒體<a href="https://www.reuters.com/technology/artificial-intelligence/qualcomm-alphabet-team-up-automotive-ai-mercedes-inks-chip-deal-2024-10-22/" target="_blank">表示</a>，賓士汽車將在未來車款使用Snapdragon Cockpit Elite。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1024-Snapdragon%20Cockpit%20Elite-Snapdragon%20Ride%20Elite.png" style="width: 450px;" /></p> <p>這並非兩公司第一次合作。2021年雷諾汽車集團已曾在Mégane E-TECH Electric車款中<a href="https://www.qualcomm.com/news/releases/2021/09/qualcomm-works-google-bring-premium-and-intelligent-vehicle-experiences" target="_blank">使用</a>其Snapdragon Cockpit晶片，以執行Google車上服務，包括Google Maps、Google Assistant和Google Play。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／高通</span></span></p> </div></div></div>
2024/10/24 09:38作者林妍溱https://www.ithome.com.tw/news/165658
資安業者警告，多個熱門行動程式直接將AWS與Azure憑證寫入程式中
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者賽門鐵克（Symantec）本周<a href="https://www.security.com/threat-intelligence/exposing-danger-within-hardcoded-cloud-credentials-popular-mobile-apps" target="_blank">警告</a>，有多個熱門的Android及iOS行動程式直接在程式中寫入未加密的AWS或Azure憑證，將允許駭客破壞應用程式的後端基礎設施、竊取用戶資料，或是中斷服務。</p> <p>根據調查，有6款程式直接於程式碼庫中嵌入了未加密的AWS憑證，包括Google Play上的拼貼程式The Pic Stitch: Collage Maker，下載次數超過500萬；其它3款則是位於App Store上，包括連鎖甜點店的官方程式Crumbl，下載次數超過390萬；填寫問卷賺現金的調查應用程式Eureka: Earn money for surveys，有超過40萬次的下載；超過35萬下載量的影片編輯程式Videoshop - Video Editor Videoshop；超過24萬次下載的紙牌遊戲Solitaire Clash: Win Real Cash；以及超過23.5萬次下載量的填問卷賺現金的調查程式Zap Surveys - Earn Easy Money。</p> <p>另有6款程式嵌入的是微軟Azure憑證，包括Google Play上的叫車程式Meru Cabs，下載超過500萬次；一個針對印度市場的黃頁程式Sulekha Business，下載超過50萬次；以及可以用來緩解耳鳴的ReSound Tinnitus Relief；下載超過50萬次；超過10萬次下載的看病程式Saludsa；下載超過10萬次的車輛檢查程式Chola Ms Break In，以及另一個用來緩解耳鳴的Beltone Tinnitus Calmer，亦有逾10萬次下載。</p> <p>還有一款摩托車追蹤暨社交程式EatSleepRIDE Motorcycle GPS是在程式碼中寫下了Twilio憑證，該程式亦有超過10萬次的下載。</p> <p>賽門鐵克表示，此一趨勢令人感到不安，這代表任何有權存取應用程式二進位檔或原始程式碼的使用者都能取得這些憑證，並濫用它們以擺布或竊取資料，帶來嚴重的安全威脅。</p> <p>該公司建議開發人員在建置程式時應該將敏感憑證儲存於環境變數中，而不是直接嵌入至程式碼；並應採用秘密管理工具以安全地儲存及存取憑證；如果憑證必須儲存於程式中，那麼至少要將其加密；應該定期檢查及審核程式碼以預防類似或其它漏洞；在CI/CD 管道中整合自動安全掃描工具，以及早檢測各種漏洞。</p> </div></div></div>
2024/10/24 08:36作者陳曉莉https://www.ithome.com.tw/news/165656