iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 32篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 23:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Dropbox全球裁員20%，強化AI業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端硬碟服務業者<a href="https://blog.dropbox.com/topics/company/an-update-from-drew" target="_blank">Dropbox本周表示</a>啟動全球裁員528人，裁員比例近20%，加速公司向AI轉型。</p> <p>Dropbox執行長Drew Houston說明，近年主要的線上硬碟及同步服務FSS（File Sync and Share）已屆市場成熟，公司推出AI文件搜尋及管理服務Dash。在產品交替之際，除了遭遇大環境變遷，客戶需求不振等外在因素挑戰外，也面臨組織複雜化，管理結構疊床架屋阻礙公司運作速度，使得公司在某些業務成長低於業界水準。</p> <p>為此這波裁員重點將削減過度投資及成長不佳的業務，並打造更扁平化、更高效的組織結構，以利公司投入策略重點領域，像是Dash for Business等產品線。</p> <p>這波是Dropbox繼2023年初裁員約500人後另一波大型人事異動。Dropbox除了美國舊金山、西雅圖，並在加拿大、愛爾蘭、波蘭、新加坡及日本等地設有辦公室。受影響的員工將可獲得16周的資遣金、醫療保險、移民簽證及轉職協助等資源。</p> </div></div></div>
2024/10/31 14:44作者林妍溱https://www.ithome.com.tw/news/165782
瞄準AI代理人應用願景，永豐銀先從三大策略打基礎
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「我還記得，金控科技長和我，一個、一個單位拜訪！」永豐銀行資深副總經理張升寶回憶。2020年，永豐銀行依循金控轉型策略，在行內開始推動AI。張升寶當時擔任綜合企劃處處長，為了說服各業務單位採用AI，和金控技術最高主管走遍了全行，「讓使用者了解AI、知道AI有哪些用處。」張升寶說。</p> <p>大型企業推動AI並不是一件容易的事，光是說服業務單位接納新技術，就得花上不少心力，在永豐銀行推動AI多年的張升寶相當清楚背後的挑戰。</p> <p>生成式AI爆紅後，拉近了非技術人員和AI間的距離。如今，員工只要在對話框輸入文字，就能直接和生成式AI互動，不再需要技術單位花時間費力解釋後，才會想用。</p> <p>去年中，永豐銀行搭上生成式AI風潮，快速導入多項GAI工具和服務。不只將Copilot導入開發流程，今年更推出員工專用的GAI小幫手，能提供一般性問答與知識庫問答服務，前者用於日常文件翻譯、文案生成或文字摘要等；後者則透過對話方式協助員工檢索內部資料庫及文件，減少資料搜尋時間，增加員工生產力。而在行內員工通訊軟體中，也提供資料庫檢索、會議記錄重點摘要、翻譯或行銷內容生成等功能。</p> <p>甚至，近期，永豐銀行更進一步推出面對顧客的GAI服務，提供顧客上千篇國內外新聞資料的市場資訊摘要，是臺灣第一批將GAI運用在對外服務的金融業者。</p> <p>下一步，張升寶透露，內部正積極將生成式AI運用在風險管理、營運效率和特定的智能服務。這三類應用場景雖難以完全自動化，「但，這才是真正的GenAI未來，能發揮AI Agent（AI代理人）效益的場景。」張升寶強調：「AI Agent，是我們未來最重要的目標。」</p> <p>他這一句話，點出了永豐銀行GAI的發展，希望能打造出更多善用AI代理人技術的應用，這正是今年開始崛起的代理型AI（Agentic AI）趨勢。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>用RPA結合GAI，打造AI Agent應用</strong></span></span></p> <p>AI代理人最大的不同是，張升寶解釋，現階段的Chatbot應用，需要由使用者輸入一道道指令，才能完成任務，而AI Agent則能主動協助使用者完成任務，讓使用者只下一個指令，就能自動執行所有任務。</p> <p>當AI Agent落地到銀行營運場景，「整段流程自動執行完成，不需要人工介入，就能真正從數位化走到智能化。」張升寶說道。</p> <p>例如，永豐銀行的業務人員需要定期查看司法院公布的受監護、受輔助宣告名單，人工比對行內客戶名單。若發現有客戶處於受監護或輔助狀態，還需動手更新這些客戶資料。</p> <p>由於這項業務涉及大量人工作業，永豐銀行原本導入RPA來加速作業流程。但是，RPA的能力有限，僅能自動篩出司法院公布的名單資訊，和自動更新客戶狀態，無法取代複雜的人工查找的判讀行為，因此，即便用了不少RPA協助，業務人員仍得手動比對司法院名單資訊和行內客戶資料。</p> <p>永豐銀行最近開始運用GAI加速家事宣告中的查找任務，加速人工查找作業。「負責這項任務的同仁，只要按下執行鈕，就能完成查找作業。」張升寶說。這項人機協作案例，正是張升寶期望朝向的AI Agent應用形式。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>面對GAI挑戰，永豐銀行先從三大策略著手</strong></span></span></p> <p>為了讓GenAI應用在永豐銀行百花齊放，張升寶計畫從單一應用起步，慢慢拓展至更多場景。除了查詢家事宣告名單，未來，張升寶期望將GAI運用在處理徵信報告，協助業務人員更快整理大量資料。</p> <p>不過，張升寶坦言，要實現AI Agent目標，仍有一大段距離。例如，GAI要整合到至既有系統或流程時，「如何收集、整合、轉換銀行內大量且不同規格的數據，並有效訓練自己的模型，就是一大挑戰。」張升寶說。甚至，若要開發對外服務，還得進一步思考合規性。</p> <p>銀行打造傳統AI應用時的開發焦點是建模，張升寶指出，如今，開發人員能直接使用雲端大廠提供的模型服務，打造生成式AI應用，建模不再是重要工程。「如何將GAI應用恰當連接周邊系統，才是關鍵。」張升寶說。甚至，如何找出適合導入GAI的業務場景，也是一大挑戰。</p> <p>面對這些挑戰，永豐銀行不僅關注技術發展，更要建立適合快速發展GAI應用的環境。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1206-CXO-%E6%8A%BD%E8%A8%80.jpg" style="text-align: center; width: 600px;" /></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>開辦提示工程訓練課，培養全行員工GAI能力</strong></span></span></p> <p>首先，是培養全行員工學習生成式AI，讓業務人員能自主提出GAI應用場景。</p> <p>去年下半年，GAI爆紅沒多久，永豐銀行一連舉辦多場提示工程訓練課，實體、線上同步進行，教導員工操作GAI工具，「全行近7千人都可以參加，高階經理也要來學。」張升寶回憶當時的盛況，一開放報名後，每一場都額滿。</p> <p>今年，永豐銀行持續開設提示工程訓練課，從永豐金控董事、總經理及高階主管、業務高度相關人員，乃至全行員工，都要學習GAI基礎概念、實作提示工程，掌握生成式AI基礎概念。</p> <p>「目標是『讓永豐人成為懂GAI的人』。」張升寶說道。不僅是認識技術，永豐銀行開設訓練課程的目標，更要讓員工學會撰寫提示，「有能力隨時不斷實驗不同想法，和進行測試。」張升寶說。</p> <p>甚至，未來永豐銀行在招募人才時，也會將提示工程能力列為其中一項個人專業能力。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>成立跨部門組織「數位幕僚」，提出GAI應用場景</strong></span></span></p> <p>培養員工了解GAI基礎概念後，永豐銀行第二步是，成立行內的跨部門組織，集合所有業務單位代表，共同提案討論GAI應用場景。</p> <p>去年下半年，永豐銀行成立一個名為「數位幕僚」的跨部門組織，找來中臺部門和前臺產品部門人員，負責從業務中發想適合發展GAI的場景。</p> <p>這個組織不僅是提出單一應用，還得思考如何將GAI應用嵌入既有系統和流程，提升銀行作業效率。這個數位幕僚團隊，正是永豐銀行讓GAI應用在行內遍地開花的關鍵組織。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>成立專責開發團隊，加速全行發展GAI應用</strong></span></span></p> <p>目前，數位幕僚團隊提出的需求，仍得和一般AI需求並行處理，但這拖慢了GAI應用的發展。因此，永豐銀行的第三步策略，要成立專責GenAI開發團隊，協助全行打造GAI應用。</p> <p>過往永豐銀行發展AI應用，主要由金控輔助開發，但張升寶指出，GAI應用必須整合至IT基礎設施中，才能讓GAI在營運場景中發揮最大效益。這個轉變，意味著第一線的銀行，未來將負擔更多GAI開發工作，促使永豐銀行決定成立專責開發團隊。</p> <p>為了加速GAI應用落地普及，張升寶表示，AI應用開發團隊中，額外成立一支GAI應用開發團隊，專責開發數位幕僚的GAI需求，輔助全行發展GenAI。</p> <p><span style="color:#FFFF00;"><span style="font-size:28px;"><strong><span style="background-color:#000000;"> 永豐銀</span></strong></span></span><span style="color:#FFFF00;"><span style="font-size:28px;"><strong><span style="background-color:#000000;">組成跨部門專案團隊打造對外GAI服務 </span></strong></span></span></p> <p><strong>去年下半年，永豐銀行開始舉辦提示工程訓練課程，不僅要讓業務人員瞭解GAI概念，更要讓業務人員動手撰寫提示，培養業務人員成為GAI應用開發主角。</strong></p> <p><strong>在永豐銀行推的GAI應用中，有一項對外服務名為「投資水晶球」，能提供顧客上千篇國內外新聞資料的市場資訊摘要，正是透過行內專案團隊人員調整提示開發而成。</strong></p> <p><strong>過往，永豐銀行內部AI專案，大多由金控技術單位負責開發。不過，永豐銀行在打造這款對外應用時，嘗試運用不同開發模式。</strong></p> <p><strong>永豐銀行內部組成了跨部門的專案團隊，包括資訊處、財富金融處等單位，並和永豐金控、永豐投顧合作，共同完成開發。和一般對內GAI應用不同，這款服務並非由業務單位直接和開發團隊對接，而是由綜合企劃處負責專案執行。</strong></p> <p><strong>在這項專案中，永豐銀行專案團隊採用提示工程進行開發，而專案中使用的提示，大多由專案團隊人員負責撰寫、調整，再由開發人員提供修改建議。</strong></p> <p><strong>當專案團隊人員收到開發人員提供的初版提示，會先在員工專用GAI小幫手中，測試自己的提示詞，確認無誤後，再交由開發人員執行提示。這個過程會反覆執行，直到模型回應達到理想程度。溝通過程中，開發人員也會針對專案團隊人員的提示，提供修改建議，如增加參數限制。</strong></p> <p><strong>另一方面，專案團隊每月都會進行專案會議，針對模型回應給予建議。除了匯集跨部門意見，專案團隊也會徵求法務意見，確保對外GAI服務合規性。</strong></p> <p><strong>從產品發想到正式上線，專案團隊花了半年。永豐銀行也同步進行市場調查，收集超過8千條客戶意見，來了解市場接受度，甚至在產品上線前，還找來2千名客戶試用實測，確認滿意度後，才正式推出。</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CIO小檔案 </span></strong></span></p> <p><span style="color:#3399ff;"><strong>永豐銀行資深副總經理張升寶</strong></span></p> <p><strong>學歷：中山大學企管所碩士</strong></p> <p><strong>經歷：在永豐銀行擁有30年資歷，擁有豐富前中後臺業務經驗，起初在行內從事外匯系統規畫維運，後來轉至國內業務通路單位管理業務推展，爾後於作業處負責全行作業營運規畫。四年前，他擔任綜合企劃處處長，推動永豐銀行擁抱AI，後來升任為資訊、數位及作業督導。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1206-CIO-300(1).jpg" style="width: 300px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>永豐商業銀行</strong></p> <p>●地址：臺北市中山區南京東路3段36號</p> <p>●成立時間：2006年11月13日，永豐金控旗下的建華商業銀行與台北國際商業銀行合併，正式更名為永豐商業銀行</p> <p>●主要業務：提供金融服務。擁有國內125家分行、國際金融業務分行，國外分支機構於香港、九龍、澳門、洛杉磯、胡志明市、河內，加上大陸地區子銀行共計11個據點</p> <p>●員工數：約7,000人</p> <p>●資本額：970億元</p> <p>●資產總計：約2.5兆元</p> <p>●年營收：2023全年合併稅後淨利為160.66億元</p> <p>●董事長：曹為實</p> <p>●總經理：莊銘福</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>●部門主管職稱：資訊、數位及作業督導</p> <p>●部門主管姓名：張升寶</p> <p>●直屬主管：莊銘福</p> <p>●部門人數：資訊處、作業處、數位金融處，客服中心，合計共1,254人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 數位大事記 </span></strong></span></p> <p>●2006年11月13日：永豐金控旗下的建華商業銀行與台北國際商業銀行合併，更名為永豐商業銀行</p> <p>●2009年：啟動新核心系統轉換，於2012年完成</p> <p>●2018年：啟動核心系統升級；同年推出Partner API</p> <p>●2019年6月17日：推出數位存款帳戶「大戶DAWHO」，隔年3月推出獨立App</p> <p>●2019年7月：同時完成機房搬遷與國內銀行核心系統升級；預計2021年完成海外分行與子行第一階段核心系統升級</p> <p>●2019年底：上線API 管理平臺（APIM）</p> <p>●2020年：推動生物辨識技術導入客戶服務及健全交易授權作業、結合AI + ROBOT技術，透過精密運算提供客製化之投資組合配置及預期未來資產報酬，提供完整投資理財目標設定及退休規畫服務</p> <p>●2022年：擴大生物辨識技術導入客戶服務及健全交易授權作業範疇，持續導入多元身分認證機制，如FIDO、電信驗證（Mobile ID）、視訊驗證、行動自然人憑證及NFC感應自然人憑證/晶片金融卡等機制</p> <p>●2023年：啟動生成式AI業務運用場景研發計畫，並依循金融業運用人工智慧指引相關規範，提供內部同仁與外部客戶創新服務、導入新世代網路銀行，整合網路及行動裝置服務</p> <p>●2024年：永豐金GAI元年，開發員工專用GAI小助手「永豐雲Chat！」以提升生產力</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1206-cio-960.jpg" width="960" height="420" alt="" title="永豐銀行資深副總經理張升寶" /></div></div></div>
2024/10/31 06:00作者李昀璇https://www.ithome.com.tw/people/165779
Wasmer 5.0新增多個後端支援，完整相容於iOS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源WebAssembly執行環境<a href="https://wasmer.io/posts/introducing-wasmer-v5" target="_blank">Wasmer更新第5版本</a>，新增對V8、Wasmi和WAMR後端的實驗性支援，並且首次完整支援iOS。這次更新不僅提升了Wasmer跨平臺靈活性，也讓WebAssembly在行動和桌面裝置上的應用更為簡單便捷。</p> <p>Wasmer開發團隊在新版Wasmer中所加入的新後端支援，包括Google V8引擎、以Rust編寫的Wasmi，以及針對行動端的WAMR，皆經由Wasm-C-API整合。每一個新後端都有其優勢，V8引擎源自於Chrome的JavaScript引擎，適用於iOS和Android，開發者將可透過V8除錯器和Chrome Devtools更好地進行除錯，而且整合V8也就相當於底層支援WebAssembly例外處理和垃圾回收功能。</p> <p>Wasmi是專門替Rust最佳化的WebAssembly直譯器，特別適用於純Rust程式碼的nostd環境或是區塊鏈。WAMR設計針對行動端資源占用少，是作為iOS開發的理想選擇。這些多元後端擴展了Wasmer執行環境適用性，使其更加靈活。</p> <p>而Wasmer 5.0也透過V8、Wasmi和WAMR的整合，實現WebAssembly在iOS裝置上的完整支援，並且克服iOS 14之後版本對JIT編譯的限制，允許WebAssembly模組直接在iOS裝置執行，而且不需要對應用程式碼進行更動。</p> <p>Wasmer開發團隊由於要提升執行效能和開發效率，Wasmer 5.0將不使用的Emscripten綁定和重複相依項目移除，減少約2萬行程式碼。此精簡措施讓Wasmer更為輕量，同時反序列化效能提升50％。此外，升級Cranelift和LLVM 18編譯器進一步提高執行速度，讓Wasmer 5.0比前一版本快約8％。這些最佳化不僅減少維護成本，還提升開發效率。</p> <p>整體而言，Wasmer 5.0在多後端支援和跨平臺應用上，展現出與其他WebAssembly解決方案不同的優勢。像是Bytecode Alliance開發的Wasmtime，注重於伺服器端的高效能應用，但是目前僅支援Cranelift後端，而WasmEdge則更專注於物聯網和嵌入式裝置，對大規模雲端和行動應用的支援相對有限。</p> <p>Wasmer 5.0在更新之後成為了一個更靈活的解決方案，或將可進一步推動WebAssembly的普及並擴展應用的可能性。</p> </div></div></div>
2024/10/30 21:44作者李建興https://www.ithome.com.tw/news/165778
執法單位搗毀竊資軟體RedLine、Meta的基礎設施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.eurojust.europa.eu/news/malware-targeting-millions-people-taken-down-international-coalition">歐盟刑事司法互助機構（Eurojust）</a>、<a href="https://www.politie.nl/nieuws/2024/oktober/29/internationale-opsporingsdiensten-ontmantelen-infostealers.html">荷蘭國家警察</a>發布新聞稿指出，10月28日荷蘭國家警察在跨國執法行動Operation Magnus當中，成功破獲竊資軟體RedLine及Meta的網路基礎設施，並宣稱執法部門已經掌握了網路罪犯的資料。</p> <p>這起執法行動由荷蘭、美國、比利時、葡萄牙、英國、澳洲當局組成的聯盟共同合作，關閉3臺位於荷蘭的伺服器、查封2個網域名稱，並在比利時逮捕2人，其中1人是竊資軟體的客戶，他遭到司法單位拘留、住處遭到搜查，另一人後續已被釋放。</p> <p>此外，數個與此犯罪組織有關的Telegram帳號也被撤銷，在此之後竊資軟體的銷售行為隨之中斷。</p> <p>美國司法部<a href="https://www.justice.gov/usao-wdtx/pr/us-joins-international-action-against-redline-and-meta-infostealers">對俄羅斯人Maxim Rudometov提出指控</a>，罪名是涉嫌開發RedLine並從事營運方面的管理。若是所有罪名成立，Rudometov有可能面臨35年監禁。</p> <p>Eurojust表示，這起執法行動的進行，有賴於受害者挺身而出，以及有資安業者通報疑似與竊資軟體相關的伺服器，經過他們的調查，全球有數十個國家、超過1,200伺服器執行相關惡意軟體，在Eurojust的協調及交換情資之下，終於能成功打擊網路罪犯。</p> <p>在執法機構成功查緝這些基礎設施後，他們直接在駭客論壇嗆聲警告罪犯已被嚴密監控，表明能夠控制基礎設施並取得他們的顧客資料，並將採取法律活動。</p> <p>執法單位宣稱已完全控制所有的RedLine及Meta伺服器，並掌握用戶的使用者名稱、密碼、IP位址、註冊日期等資訊，以及授權伺服器、REST API伺服器、管理介面、竊資軟體程式、Telegram機器人相關的原始碼，將很快會找上這些竊資軟體的用戶。</p> <p>Eurojust指出，接下來他們將繼續調查使用竊得資料的網路犯罪份子。</p> <p>而對於想要確認自己電腦是否遭到竊資軟體入侵的用戶，<a href="https://www.eset.com/nl/thuis/online-scanner-redline-en/#infected">資安業者ESET也提供線上掃描工具</a>，可自行檢查。</p> </div></div></div>
2024/10/30 18:18作者周峻佑https://www.ithome.com.tw/news/165776
【資安日報】10月30日，竊資軟體RedLine遭到執法單位查封
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期歐洲及美國跨國打擊網路犯罪的情況，有不少新的斬獲，本週有參與執法行動Operation Magnus的執法機構表示，他們已成功破壞惡名昭彰的竊資軟體RedLine、Meta的基礎設施，並將循線追查買家。</p> <p>特別的是，這次執法單位特別製作影片並透過駭客論壇嗆聲，警告罪犯已被嚴密監控，表明能夠控制基礎設施並取得他們的顧客資料，並將採取法律活動。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165774"><strong style="font-size: 22px;">俄羅斯駭客Midnight Blizzard利用惡意RDP組態檔案，入侵全球超過100個組織的網路環境</strong></a></p> <p>近期代號為APT29、UNC2452、Cozy Bear的俄羅斯駭客組織Midnight Blizzard攻擊行動頻頻，上週烏克蘭電腦緊急應變團隊（CERT-UA）警告這些駭客利用遠端桌面連線（RDP）組態檔案從事攻擊行動，並指出駭客在8月就開始架設基礎設施，本週微軟表示，這可能是全球大規模攻擊的一部分。</p> <p>微軟威脅情報中心指出，他們從10月22日開始，發現Midnight Blizzard的大規模網釣攻擊行動，這些駭客向政府、學術界、國防、非政府組織等機構發送高度針對性的釣魚郵件，有超過100個組織、數千人成為目標。這些釣魚信的共通點在於，附加了以LetsEncrypt憑證簽署的RDP組態檔案。研究人員推測，這起攻擊的主要目的是情報收集。</p> <p>網路釣魚的範圍相當廣，英國、歐洲、澳洲、日本是主要目標，但還有數十個國家也出現相關攻擊。值得一提的是，駭客使用的誘餌當中，有部分會冒充微軟的員工來引誘收信人上當，但研究人員也看到假冒其他雲端服務業者，或是與零信任概念有關的誘餌。</p> <p><a href="https://www.ithome.com.tw/news/165767"><strong style="font-size: 22px;">勒索軟體Psaux鎖定伺服器管理介面CyberPanel而來，一度有近2.2萬臺設備曝險</strong></a></p> <p>根據資安新聞網站Bleeping Computer的報導，有研究員在伺服器網頁主控臺系統CyberPanel發現弱點，攻擊者有機會在未經身分驗證的情況下，使用root的權限進行存取，而且，已有勒索軟體嘗試用於攻擊行動。CyberPanel是專攻網站代管環境、內建支援WordPress網站的伺服器管理平臺，目前有DigitalOcean、Hostinger等主機代管業者採用。</p> <p>10月27日資安研究員DreyAnd指出，他們一共在CyberPanel發現3種不同的弱點，分別涉及身分驗證缺陷、命令注入，以及繞過安全過濾機制的情況。</p> <p>28日威脅情資搜尋引擎LeakIX指出，他們偵測到有21,761個CyberPanel系統曝露於網際網路，其中近半數（10,170個）位於美國。後來研究人員指出，已有攻擊者對這些能夠公開存取的CyberPanel發動攻擊，並部署勒索軟體Psaux，但究竟有多少用戶受害？他們並未進一步說明。</p> <p><a href="https://www.ithome.com.tw/news/165760"><strong style="font-size: 22px;">香港、巴基斯坦關鍵基礎設施遭遇Cobalt Whisper攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/OpCobaltWhisper-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/OpCobaltWhisper-1.png" style="width: 300px; float: right;" /></a>鎖定關鍵基礎設施（CI）而來的網路攻擊越來越頻繁，有駭客利用網路釣魚手法從事相關活動，且採取相當一致的手法引起研究人員注意。</p> <p>資安業者Seqrite揭露針對香港與巴基斯坦的攻擊行動Operation Cobalt Whisper，攻擊者重度倚賴滲透測試工具Cobalt Strike，並使用經過混淆處理的VBScript進行部署。研究人員循線調查，總共確認了20種感染流程，其中大部分針對香港，有2種是用於攻擊巴基斯坦。在這波攻擊行動裡，駭客一共使用超過30個誘餌檔案進行。</p> <p>在駭客鎖定的目標當中，大部分是關鍵基礎設施，包含國防工業、電工工程、水力發電、再生能源、民航、環境工程、學術及研究機構、醫藥科學機構。此外，也有資安研究人員遭遇相關攻擊的情況。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/threatfabric-reveals-dangerous-upgrades-in-lightspy-spyware-28-plugins-targeting-ios-devices/">間諜軟體LightSpy鎖定iOS裝置，可搭配近30種外掛發動各式攻擊</a></strong></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/researcher-details-cve-2024-38812-cvss-9-8-critical-rce-flaw-in-vmware-vcenter/">針對博通上個月修補的VMware vCenter重大漏洞，研究人員公布細節</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/whatsup-gold-users-beware-critical-authentication-bypass-flaw-exposed-cve-2024-7763-cvss-9-8/">Progress揭露WhatsUp Gold重大層級漏洞CVE-2024-7763</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2023-32197-rke2-flaw-exposes-windows-nodes-privilege-escalation/">RKE2重大漏洞恐曝露Windows節點，並讓攻擊者提升權限</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-22036-cvss-9-1-critical-rce-vulnerability-discovered-in-suse-rancher/">容器管理平臺SUSE Rancher存在重大層級漏洞，攻擊者有機會取得root權限</a></strong></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165776"><strong style="font-size: 22px;">執法單位搗毀竊資軟體RedLine、Meta的基礎設施</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/281024-cyberlimburg.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/281024-cyberlimburg.jpg" style="width: 300px; float: right;" /></a>歐盟刑事司法互助機構（Eurojust）、荷蘭國家警察發布新聞稿指出，10月28日荷蘭國家警察在跨國執法行動Operation Magnus當中，成功破獲竊資軟體RedLine及Meta的網路基礎設施，並宣稱執法部門已經掌握了網路罪犯的資料。</p> <p>這起執法行動由荷蘭、美國、比利時、葡萄牙、英國、澳洲當局組成的聯盟共同合作，關閉3臺位於荷蘭的伺服器、查封2個網域名稱，並在比利時逮捕2人，其中1人是竊資軟體的客戶，他遭到司法單位拘留、住處遭到搜查，另一人後續已被釋放。此外，數個與此犯罪組織有關的Telegram帳號也被撤銷，在此之後竊資軟體的銷售行為隨之中斷。</p> <p>美國司法部對俄羅斯人Maxim Rudometov提出指控，罪名是涉嫌開發RedLine並從事營運方面的管理。若是所有罪名成立，Rudometov有可能面臨35年監禁。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165752"><strong>【10月29日】中國駭客開發專偷雲端資料的惡意軟體工具包並用於實際攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165725"><strong>【10月28日】上周四勒索軟體RansomHub聲稱攻擊臺灣被動元件製造廠</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165697"><strong>【10月25日】Fortinet零時差漏洞4個月前就遭駭客組織UNC5820利用</strong></a></p> </div></div></div>
2024/10/30 18:24作者周峻佑https://www.ithome.com.tw/news/165777
俄羅斯駭客Midnight Blizzard利用惡意RDP組態檔案，入侵全球超過100個組織的網路環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期代號為APT29、UNC2452、Cozy Bear的俄羅斯駭客組織Midnight Blizzard攻擊行動頻頻，上週烏克蘭電腦緊急應變團隊（CERT-UA）警告<a href="https://cert.gov.ua/article/6281076">這些駭客利用遠端桌面連線（RDP）組態檔案從事攻擊行動</a>，並指出駭客在8月就開始架設基礎設施，本週微軟表示，這可能是全球大規模攻擊的一部分。</p> <p>微軟威脅情報中心指出，<a href="https://www.microsoft.com/en-us/security/blog/2024/10/29/midnight-blizzard-conducts-large-scale-spear-phishing-campaign-using-rdp-files/">他們從10月22日開始，發現Midnight Blizzard的大規模網釣攻擊行動</a>，這些駭客向政府、學術界、國防、非政府組織等機構發送高度針對性的釣魚郵件，有超過100個組織、數千人成為目標。這些釣魚信的共通點在於，駭客挾帶了帶有簽章的RDP組態檔案。研究人員推測，這起攻擊的主要目標，是進行情報的收集。</p> <p>這起攻擊行動的範圍相當廣，英國、歐洲、澳洲、日本是主要目標，但還有數十個國家也出現相關攻擊。</p> <p>值得一提的是，駭客使用的誘餌當中，有部分會冒充微軟的員工來引誘收信人上當，但研究人員也看到假冒其他雲端服務業者，或是與零信任概念有關的誘餌。</p> <p>針對釣魚信裡挾帶的附件檔案，研究人員指出是經Let's Encrypt憑證進行簽章的RDP檔，這些組態檔案內含多項敏感配置，很有可能引發資訊洩露。</p> <p>一旦目標系統遭到入侵，將會與攻擊者控制的伺服器連線，並以雙向對應方式（bidirectionally mapped）將受害電腦連接的周邊裝置與暫存資料，掛載到攻擊者控制的伺服器。這些資源包含本機硬碟、剪貼簿內容、印表機與其他連接到電腦的外部裝置，甚至連Windows身分驗證功能相關的設施（如智慧卡），也在共享的範圍裡面。研究人員提及，使用者登入電腦的帳密資料，也可能會因此曝露給駭客。</p> <p>接著，攻擊者便能在受害電腦或是共享的網路硬碟植入惡意軟體，尤其是可能部署RAT木馬程式等其他工具，以便在RDP連線中斷後持續存取受害電腦。</p> </div></div></div>
2024/10/30 16:40作者周峻佑https://www.ithome.com.tw/news/165774
勒索軟體Psaux鎖定伺服器管理介面CyberPanel而來，一度有近2.2萬臺設備曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據資安新聞網站Bleeping Computer的<a href="https://www.bleepingcomputer.com/news/security/massive-psaux-ransomware-attack-targets-22-000-cyberpanel-instances/">報導</a>，有研究員在伺服器網頁主控臺系統CyberPanel發現弱點，攻擊者有機會在未經身分驗證的情況下，使用root的權限進行存取，而且，已有勒索軟體嘗試用於攻擊行動。CyberPanel是專攻網站代管環境、內建支援WordPress網站的伺服器管理平臺，目前有DigitalOcean、Hostinger等主機代管業者採用。</p> <p>10月27日資安研究員DreyAnd指出，他們一共在CyberPanel<a href="https://dreyand.rs/code/review/2024/10/27/what-are-my-options-cyberpanel-v236-pre-auth-rce">發現3種不同的弱點</a>，分別涉及身分驗證缺陷、命令注入，以及繞過安全過濾機制的情況。</p> <p>首先，針對身分驗證的部分，起因是CyberPanel會個別檢查每個網頁的使用者身分驗證狀態，而非將身分驗證集中控管，使得特定的網頁或是路由不受保護，而有機會進行未經授權存取。</p> <p>另一個與命令注有關的弱點，則是發生在前述未受到保護的網頁，起因是使用者輸入的內容並未進行適當的清理，導致攻擊者有機會進行注入並執行任意的系統命令。</p> <p>第3個弱點能夠繞過安全過濾機制，起因是特定的安全中介軟體只對POST請求進行處理，若是攻擊者使用OPTIONS、PUT等其他方式，就有機會繞過。</p> <p>值得留意的是，研究人員取得2.3.6版CyberPanel進行調查，並於10月23日向開發團隊通報，但目前最新版本是9月19日發布的2.3.7版，因此，他們推測新版CyberPanel也可能存在相同的弱點。上述弱點其中2個已被登記為CVE-2024-51567、CVE-2024-51568。對此，開發團隊於29日表示，<a href="https://cyberpanel.net/blog/detials-and-fix-of-recent-security-issue-and-patch-of-cyberpanel">他們在獲報後半小時內已完成修補</a>，但期望用戶能有更多時間套用更新，因此決定延後公布這些弱點。</p> <p>但在這段期間，有研究人員提出警告，這種伺服器網頁主控臺已遭鎖定，駭客對其散布勒索軟體。</p> <p>28日威脅情資搜尋引擎LeakIX指出，<a href="https://x.com/leak_ix/status/1850908887668465828">他們偵測到有21,761個CyberPanel實體曝露於網際網路</a>，其中近半數（10,170個）位於美國。</p> <p>然而當天晚上曝險系統數量大幅下降，僅剩約400個，LeakIX指出，大多數受到漏洞影響的伺服器已無法存取。</p> <p>後來研究人員指出，已有攻擊者對這些能夠公開存取的CyberPanel發動攻擊，並部署勒索軟體Psaux，但究竟有多少用戶受害？他們並未進一步說明。研究人員提供了解密工具，讓遭到相關攻擊的企業組織能夠復原檔案。</p> </div></div></div>
2024/10/30 15:44作者周峻佑https://www.ithome.com.tw/news/165767
蘋果發表搭載M4與M4 Pro的Mac mini
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果周二（10/29）<a href="https://www.apple.com/newsroom/2024/10/apples-new-mac-mini-is-more-mighty-more-mini-and-built-for-apple-intelligence/" target="_blank">發表了</a>搭載M4與M4 Pro處理器的新一代Mac mini。Mac mini是蘋果所開發的桌上型電腦，新版不僅使用最新的處理器，也是自2010年以來首次重新設計了外觀，原本的尺寸為19.7x19.7x3.58公分，現在則只有12.7x12.7x5公分。</p> <p>新版Mac mini的前方有兩個USB-C埠，一個3.5 mm的麥克風插座，背後則有一個乙太網路傳輸埠、一個HDMI傳輸埠，以及3個Thunderbolt（USB-C）埠，使用者必須自行搭配螢幕、鍵盤及滑鼠來使用Mac mini。</p> <p>迄今蘋果已經將M4應用在<a href="https://www.ithome.com.tw/news/162758" target="_blank">iPad Pro</a>及<a href="https://www.ithome.com.tw/news/165746" target="_blank">iMac</a>上，而Mac mini除了有M4版之外，還有首次現身的M4 Pro版。M4 Pro具備最多14個核心，包括10個性能核心與4個節能核心，其GPU最多達20個核心，比M4版GPU強大兩倍，最多支援64GB的統一記憶體，記憶體頻寬最高每秒可達273GB。</p> <p>M4版與M4 Pro版Mac mini除了採用的晶片不同之外，M4 Pro版背後的Thunderbolt埠支援Thunderbolt 5，最高傳輸速率可達120Gb/s，M4版所支援的則是最高傳輸速率為40Gb/s的Thunderbolt 4。</p> <p>相較於蘋果在2020年推出的<a href="https://www.ithome.com.tw/news/141038" target="_blank">M1版Mac mini</a>，M4版在微軟Excel中的計算能力快了1.7倍，於MacWhisper中語音轉文字的速度快了2倍；若相較於去年1月發表的<a href="https://www.ithome.com.tw/news/155203" target="_blank">M2 Pro版Mac mini</a>，M4 Pro版在Logic Pro中可套用1.8倍的音效外掛模組，在Motion中將動態繪圖渲染到RAM的速度提高了2倍，在Blender完成3D渲染的速度提高了2.9倍。</p> <p>除了新晶片與更迷你的尺寸之外，這款Mac mini也是蘋果首款達到碳中和的Mac。它有50%來自再生材料，如機身全都來自再生鋁，所有印刷電路板皆採用再生金，所有磁石皆採用再生稀土，製造Mac mini的所有電力都來自再生電力，並優先採用低碳排的海運，其包裝材料也首度完全以纖維為基礎。</p> <p>Mac mini最便宜的機種為599美元（19,900元新臺幣），M4 Pro版則是1,399美元（46,900元新臺幣），即日起開放預購，預計於11月出貨。</p> </div></div></div>
2024/10/30 16:54作者陳曉莉https://www.ithome.com.tw/news/165775
香港、巴基斯坦關鍵基礎設施遭遇Cobalt Whisper攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定關鍵基礎設施（CI）而來的網路攻擊越來越頻繁，有駭客利用網路釣魚手法從事相關活動，且採取相當一致的手法引起研究人員注意。</p> <p>資安業者Seqrite揭露針對香港與巴基斯坦的<a href="https://www.seqrite.com/blog/operation-cobalt-whisper-targets-industries-hong-kong-pakistan/">攻擊行動Operation Cobalt Whisper</a>，攻擊者重度倚賴滲透測試工具Cobalt Strike，並使用經過混淆處理的VBScript進行部署。研究人員循線調查，總共確認了20種感染流程，其中大部分針對香港，有2種是用於攻擊巴基斯坦。在這波攻擊行動裡，駭客一共使用超過30個誘餌檔案進行。</p> <p>在駭客鎖定的目標當中，大部分是關鍵基礎設施，包含國防工業、電工工程、水力發電、再生能源、民航、環境工程、學術及研究機構、醫樂科學機構。學機構。此外，也有資安研究人員遭遇相關攻擊的情況。</p> <p>這起攻擊行動之所以引起研究人員注意，最初源於他們在網路上發現惡意的RAR壓縮檔，此檔案是受害電腦的感染來源，內有多個PDF及LNK副檔名的誘餌檔案，以及最終酬載Cobalt Strike。</p> <p>其中一個以簡體中文命名，並偽裝成PDF文件的LNK檔案，若是使用者將其開啟，就會執行名為O365.vbs的VBScript指令碼，將Cobalt Strike的Beacon進行解密、執行，並與C2伺服器連線。</p> <p>研究人員指出，這波攻擊行動的誘餌是精心打造，刻意利用與電工學會、能源基礎設施、民用航空、環境工程有關的文件作為誘餌，企圖以此引發香港、中國、巴基斯坦工程研究員、教授等專業人士的高度興趣，他們研判駭客在針對香港與巴基斯坦之餘，很可能也打算對印度下手。根據駭客使用的戰略、手段、程序（TTP），這波攻擊很有可能是從5月開始，目標是竊取研究成果及智慧財產。</p> </div></div></div>
2024/10/30 14:13作者周峻佑https://www.ithome.com.tw/news/165760
醫院轉錄語音的OpenAI模型有逾1%出現AI幻覺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>愈來愈多醫院使用AI來轉錄（transcribe）門診紀錄，<a href="https://www.linkedin.com/posts/hilkeschellmann_researchers-say-an-ai-powered-transcription-activity-7256020996980183041-XQ73/" target="_blank">但一項研究發現</a>，有超過1%經過OpenAI的Whisper模型錄寫的文字，包含AI幻覺（hallucination），可能對診斷或治療造成影響。</p> <p>由紐約大學、康乃爾大學及華盛頓大學學者組成的<a href="https://arxiv.org/html/2402.08021v2#S2.SS5" target="_blank">研究團隊</a>為了解廣受醫院採用的OpenAI語音轉錄模型Whisper是否存在常被討論的AI幻覺，他們以TalkBank語言障礙（特別是失語症）的錄音資料集作為分析對象。這些資料來自美國不同大學醫院，涵括英文、中文、西語、希臘文等12種語言。</p> <p>研究人員比較Whisper轉錄的語音檔文字紀錄，和人類錄寫的訪談紀錄，以了解轉錄的正確性。研究團隊分別在2023年4、5月，以及同年11月各做一次研究。</p> <p>研究團隊發現，在2023年春天，他們187段錄音中有312則錄寫紀錄發生幻覺，佔了總體資料集的1.4%。幻覺類型包括加入暴力、死亡、性別或年齡刻板印象等情節（19%）、13%包括不正確的人事物關聯（捏造的地點、人名、關係、或健康狀態），8%是引述錯誤來源（引述主播、YouTuber或網站連結等）。例如一名受訪者只說男孩可能拿著雨傘，但Whisper轉錄時加入了他可能拿了一把刀，或是憑空加入某人「十分野蠻」、自行加入某人「有殘障」的描述、或是捏造名字、自己附加網址等等。研究人員指出，近40%的幻覺內容是有害或值得擔憂的，像是強化歧視，或是暴力內容可能刺激受虐被害者。</p> <p>研究人員發現，若說話者有較長時間的非語言停頓，像是失語症患者或是非裔美國人，Whisper轉錄出現幻覺的機會將提高。他們認為，這是發展轉錄語言模型的業者研發時需留意的偏差問題。</p> <p>研究團隊在同年12月又讓Whisper對同樣的語音資料集做了轉錄，錯誤減少到12則。此外，他們又在11月做了另一次研究，隨機抽取250段錄音檔讓Whisper錄寫，這次只有1則有幻覺，Whisper虛構了名字。研究團隊認為，研究結果進步可能是因為OpenAI方面提供了升級，但是他們認為這還是有改善空間，因為牽涉醫療，再小的失誤都可能對診斷造成不良影響。</p> <p><a href="https://www.theverge.com/2024/10/27/24281170/open-ai-whisper-hospitals-transcription-hallucinations-studies" target="_blank">OpenAI方面回應</a>，將持續改善模型幻覺問題。但該公司也強調政策禁止在某些重大決策情境下使用Whisper，其開源使用模型規畫也包含不建議用於高風險領域。</p> </div></div></div>
2024/10/30 15:13作者林妍溱https://www.ithome.com.tw/news/165762
GitHub將同時支援OpenAI、Google與Anthropic模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub周二（10/29）<a href="https://github.blog/news-insights/product-news/bringing-developer-choice-to-copilot/" target="_blank">宣布</a>，將於Copilot Chat中同時提供OpenAI的o1-preview與o1-mini，Anthropic的Claude 3.5 Sonnet，以及Google的Gemini 1.5 Pro供用戶選擇，同一天也發表了可完全利用自然語言建置應用程式的AI工具GitHub Spark。</p> <p>GitHub最早是在2021年與OpenAI<a href="https://www.ithome.com.tw/news/145340" target="_blank">聯手</a>，利用OpenAI開發的Codex人工智慧系統打造GitHub Copilot，目的是讓AI充當結對工程師。Codex是OpenAI GPT-3的早期版本，針對撰寫程式碼進行了微調，之後GitHub Copilot陸續採用了GPT-3.5、GPT-4、 GPT 3.5-turbo、GPT 4o與4o-mini 。</p> <p>對於從只與OpenAI合作到擴大合作夥伴，GitHub解釋，過去一年來人們經歷了許多高品質且擅長不同程式設計任務的大、小語言模型，可明顯看出下一階段的AI程式碼生成功能將不僅由多模態功能來定義，而會由多模型選擇來主導，致力於成為開放開發者平臺的GitHub，將確保每個開發人員都能夠使用最適合的模型來建置。</p> <p>因此，Copilot Chat中除了既有的OpenAI o1-preview與o1-mini模型之外，下周將出現Claude 3.5 Sonnet， Gemini 1.5 Pro則會在未來幾周登場，並可應用在Copilot Workspace、多文件編輯、程式碼審查、安全自動修復及CLI等，未來亦會將多模型選擇延伸到更多服務上。</p> <p>每個模型各有擅場，其中，OpenAI o1-preview與o1-mini模型的推論能力，能夠更深入地理解程式碼的限制條件與邊界狀況，因而能產生高效與高品質的結果；Claude 3.5 Sonnet擅長在整個軟體開發生命周期中撰寫程式碼，展現對複雜與多步驟程式碼撰寫任務的熟練程度；Gemini 1.5 Pro支援200萬個Token的脈絡長度，可同時處理文字、程式碼、圖像、聲音與影片，在程式碼建議、文件及解釋上有良好的回應速度。</p> <p>除了宣布Copilot Chat支援多模型之外，GitHub還發表了<a href="https://githubnext.com/projects/github-spark" target="_blank">GitHub Spark</a>。這是一個基於AI的開發工具，允許使用者完全利用自然語言來建置應用程式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1030-GitHub%20Spark.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／GitHub</span></span></p> <p>GitHub Spark的3大元件分別是一個基於自然語言（NL）的編輯器，一個託管的運作環境，以及一個支援PWA（Progressive Web Apps）的儀表板。GitHub說，使用者可利用GitHub Spark來創造與分享微程式，這些微程式是針對特定需求與偏好打造的，完全不需要撰寫或部署任何程式碼，就能直接在桌面與行動裝置上使用。</p> <p>例如要求它建立一個用來學西班牙文的教學卡片程式，並藉由自然語言或選擇不同的模型來要求各種功能；或是要求它建置一個程式可讓使用者評論所造訪景點；也能建立一個用來追蹤小孩零用錢的程式等。</p> <p>不過，目前GitHub Spark處於非常早期的狀態，仍在封閉測試階段，僅開放少數使用者參與測試。</p> </div></div></div>
2024/10/30 14:27作者陳曉莉https://www.ithome.com.tw/news/165761
Google有超過1/4的新程式碼是由AI生成的
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自從OpenAI在2022年底發表ChatGPT以來，AI已席捲了科技領域，各大科技業者無不加速擁抱AI，不管是建立AI模型，或是於作業中導入AI，本周Alphabet及Google執行長Sundar Pichai即趁著財報日，<a href="https://blog.google/inside-google/message-ceo/alphabet-earnings-q3-2024/#full-stack-approach" target="_blank">揭露AI於Google的進展</a>，指出Google的新程式碼中，已經有超過1/4是由AI生成的，再由工程師負責審查與接納。</p> <p>Pichai先描繪了Google在AI創新上的全棧優勢，首先是具備強大的AI基礎設施，涵蓋資料中心、晶片與全球光纖網路，其次則是擁有一流的研究團隊，最後則是藉由觸及全球數十億人的產品及平臺，來實現廣泛的全球影響力，形成良性循環。</p> <p>其中，Google投資了位於美國、泰國與烏拉圭的基礎設施，也簽署了首個向多個小型模組化反應爐購買核能的企業協定，還針對硬體與模型進行重大的改善，讓AI Overviews每個查詢的機器成本，在18個月內減少超過90%，而客製化Gemini模型的尺寸則大了一倍。Google同時使用Nvidia的GPU與自製的TPU，目前使用的是代號為Trillium的第六代TPU；至於AI研究則是有賴DeepMind團隊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0515-google%20io%2024-Trillium%20TPU.jpg" style="width: 500px;" /></p> <p>而正在開發的Project Astra則定位為未來的通用AI助理，可帶來多模態的互動功能，允許使用者透過語音、文字、圖像與影片與之溝通。Google計畫在明年開放外界試用Project Astra。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1030-google%20io%20keynote-Project%20Astra.png" style="width: 600px;" /></p> <p>Pichai指出，迄今Google已經有7種產品或平臺的用戶數超過20億，而且它們全都採用Gemini模型。相關服務涵蓋了搜尋、Android、Chrome、Google Play、YouTube及Gmail，再加上該季新入榜的Google Maps。</p> <p>此外，Google已將Gemini應用程式團隊併入Google DeepMind，以加速新模型的開發，並簡化訓練後的工作。Google內部也利用AI來改善寫程式的程序，目前已有超過1/4的新程式碼都是由AI所生成。</p> <p>結合AI能力的<a href="https://www.ithome.com.tw/news/160879" target="_blank">Circle to Search</a>則已於超過1.5億臺的Android裝置上推出，人們用它來購物、翻譯文字與了解周圍的世界，在嘗試過Circle to Search的使用者中，有1/3每周都會使用它。基於影像辨識的Google Lens每月已被用來執行逾200億次的視覺化搜尋。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1004-Google%20Lens%E6%96%B0%E5%A2%9E%E5%BD%B1%E7%89%87%E5%8F%8A%E8%AA%9E%E9%9F%B3%E6%90%9C%E5%B0%8B%E5%8A%9F%E8%83%BD.png" style="width: 432px;" /></p> <p>在今年第三季創下114億美元營收，成長35%的Google Cloud也提供各種AI服務，包括AI基礎設施與企業AI平臺Vertex等。</p> <p>看起來，未來不管是大型科技業者或企業都可能會將AI融入每個環節中而無法再切割，AI模型將無所不在。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/10/30 13:26作者陳曉莉https://www.ithome.com.tw/news/165758
Alphabet營收成長15%，Google Cloud成長35%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Alphabet周二（10/29）<a href="https://abc.xyz/assets/71/a5/78197a7540c987f13d247728a371/2024q3-alphabet-earnings-release.pdf" target="_blank">公布第三季財報</a>，顯示該季創下883億美元的營收，成長15%。其中，Google Services營收占了765億美元，成長13%，而Google Cloud則為114億美元，成長35%，每股盈餘為2.12美元，成長37%。財報公布後，Alphabet盤後上漲了5.89%，股價升至181.22美元。</p> <p>Alphabet執行長Sundar Pichai表示，該公司的發展動力非常強勁，Alphabet對創新的承諾，以及對AI的長期關注與投資，正隨著消費者與合作夥伴自這些AI工具中受益而得到回報。</p> <p>Pichai舉例，搜尋中的AI功能拓展了人們能夠搜尋的內容與搜尋方式，雲端中的AI解決方案正在推動既有客戶更深入地採用產品，以吸引新客戶並贏得更大的交易。</p> <p>此外，YouTube過去4個季度的廣告加上訂閱營收，首度超過了500億美元。</p> <p>自財報可看出，Google Services包含了搜尋、YouTube、Google Network，以及訂閱及裝置等其它營收，分別替Alphabet帶來494億美元、89億美元、75億美元及107億美元的營收。而除了Google Services與Google Cloud之外，還有一個營收類別是新創事業（Other Bets），包含Waymo、Wing、Verily及Calico等眾多新創公司，該類別在第三季創下3.88億美元的營收，高於去年同期的2.97億美元。</p> <p>在營業利潤（Operating Income）的表現上，Google Services在該季創造了309億美元的利潤；Google Cloud也賺了19.47億美元，遠高於去年同期的2.66億美元；至於新創事業則虧損了11.16億美元，略低於去年同期所虧損的11.94億美元。</p> </div></div></div>
2024/10/30 10:52作者陳曉莉https://www.ithome.com.tw/news/165757
不滿開發進度停滯，前Google Flutter成員推分叉專案Flock
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>考量Flutter開發資源不足的困境，前Google Flutter團隊成員Matt Carroll決定推出Flutter分叉專案<a href="https://flutterfoundation.dev/blog/posts/we-are-forking-flutter-this-is-why/">Flock</a>，期望打破現有局面。新專案的目標是要解決Flutter在多平臺的資源困境，並為開發者提供更靈活的貢獻環境。</p> <p>Matt Carroll在Flock專案介紹網頁提到，Flutter團隊目前僅約50名成員，卻要服務全球超過百萬的開發者需求，相當於每位成員需要支援約2萬名開發者。這樣的比例使得問題回應和錯誤修正的速度無法滿足龐大的需求。另外，他認為，因為Google近期把焦點集中在人工智慧領域，使得Flutter桌面平臺支援優先度下降，許多桌面應用的問題停留在待處理清單數年，導致部分公司與開發者放棄Flutter。</p> <p>另外，他也指出，Flutter的貢獻審核過程過於繁瑣冗長，缺乏靈活性，外部貢獻者通常無法順利推動改進，根據他自己的經驗，Flutter團隊對外部貢獻的需求僅止於口號，實際上因審核資源有限和內部文化的隔閡，導致外部開發者難以參與。Matt Carroll提出質疑，Flutter專案如果歡迎外部貢獻，近十年不可能只合併1,500名開發人員所貢獻的程式碼。</p> <p>為了解決Flutter既有且似乎近期無法從內部改善的問題，Matt Carroll推出Flock專案，並且稱其為Flutter+。Flock將保持與Flutter核心程式碼同步更新，但會加入社群所期待的修復和新功能。Matt Carroll強調，Flock專案的目的不是要分裂Flutter，而是希望可以成為一個增強版的Flutter，以更符合社群的需求。</p> <p>Flock專案的釋出在<a href="https://news.ycombinator.com/item?id=41975047">網路論壇</a>引起廣泛關注，期待與質疑的聲音皆有。不少開發者認同Matt Carroll的觀點，特別是桌面端與網頁端的Flutter開發者，普遍抱怨支援度不足。Flock的推出對Flutter社群產生一定的影響，在跨平臺開發者市場，Flock成為了一種新的選擇，若Flock成功吸引大量開發者，可能迫使Google投入更多資源，維持其對跨平臺市場的影響力。</p> </div></div></div>
2024/10/30 07:38作者李建興https://www.ithome.com.tw/news/165754
OSI發布開源AI定義，確立AI系統四大開源標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開放原始碼促進會（OSI）正式宣布全球第一個開源人工智慧定義<a href="https://opensource.org/blog/the-open-source-initiative-announces-the-release-of-the-industrys-first-open-source-ai-definition">OSAID v1.0</a>，替人工智慧系統在開源環境中確立標準。該定義是OSI與全球社群共同合作創建，目的是要確立人工智慧系統的使用、研究、分享和修改的自由，進一步推動人工智慧領域的透明性和重現性。</p> <p>OSI成立於1998年，是一個推廣開源技術教育和倡議的非營利組織，其所定義的開源授權，成為了開源軟體的標準，而這次發布的開源人工智慧定義，是開源技術領域重要的里程碑，針對人工智慧系統訂立符合開源原則的標準和框架，對於推動人工智慧應用與發展的開源價值，存在重要意義。</p> <p>根據OSAID v1.0的定義，人工智慧系統必須符合四大自由標準，才能被稱為開源人工智慧系統。這四大自由指的是使用自由、研究自由、分享自由和修改自由。定義中還特別強調透明性和重現性的重要性，像是人工智慧模型的訓練資料應該提供足夠資訊，使得具備技術的專業人士，也可以利用相似的資料重現系統。</p> <p>該要求明顯超過目前許多聲稱開源人工智慧模型所提供的資訊，因此OSAID v1.0的推動，同時將有助於推動開源資料在人工智慧生態系中的普及。 OSI執行董事Stefano Maffulli表示，在制定開源人工智慧定義的過程充滿挑戰，包括技術障礙和整合社群內部的不同意見。經過多方協調後，最終才確立OSAID v1.0，達成OSI最初設定的目標。OSI也呼籲更多組織和開發者加入推動開源人工智慧的行列，替未來人工智慧生態系，奠定開放、透明的基礎。</p> </div></div></div>
2024/10/30 07:48作者李建興https://www.ithome.com.tw/news/165755
法國大型ISP業者Free證實資料遭到外流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據資安新聞網站<a href="https://securityaffairs.com/170333/data-breach/free-suffered-a-cyber-attack.html">SecurityAffairs</a>、<a href="https://www.bleepingcomputer.com/news/security/free-frances-second-largest-isp-confirms-data-breach-after-leak/">Bleeping Computer</a>的報導，上週末有人在駭客論壇BreachForums兜售法國大型網路服務供應商（ISP）Free的內部資料，他們聲稱握有19,192,948筆客戶帳號資料，以及511萬筆國際銀行帳戶號碼（IBAN）。對此，10月26日Free向法新社透露證實資料外洩的情況，表示他們因管理工具遭到鎖定而遇害，導致部分個資遭到未經授權存取。</p> <p>而對於外洩的資料，Free強調不含密碼、無銀行卡片，也沒有電子郵件、簡訊、語音訊息等通訊內容。該公司表示，他們的服務及營運並未受到這起資料外洩事故影響。該公司已向法國國家資訊科技和公民自由委員會（CNIL）、國家資訊系統安全局（ANSSI）通報此事，並採取法律行動。</p> <p>究竟駭客掌握那些資料？資安研究員SaxX指出，<a href="https://twitter.com/_SaxX_/status/1848662776656351565">駭客聲稱竊得Free Mobile及Freebox用戶的資料</a>，資料取得的時間是今年10月17日，但就根據駭客的說法，以及發文者在21日（發文前一天）才註冊帳號，他無法確定駭客說法的真實性，不過為了保險起見，呼籲該電信業者用戶應提高警覺、更換密碼、啟動多因素驗證等方式，來因應資料外流可能會引發的網路攻擊。</p> </div></div></div>
2024/10/29 16:49作者周峻佑https://www.ithome.com.tw/news/165751
【資安日報】10月29日，中國駭客開發專偷雲端資料的惡意軟體工具包並用於實際攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客組織Evasive Panda最近動作頻頻，先是使用後門程式Macma<a href="https://www.ithome.com.tw/news/164099">攻擊臺灣及美國的macOS用戶</a>，後來<a href="https://www.ithome.com.tw/news/164300">對網際網路服務供應商（ISP）發動DNS中毒攻擊</a>，再對不安全的軟體更新機制下手，最近有研究人員指出，這些駭客最近2年開發了惡意軟體工具包，專門偷取企業組織的雲端資料。</p> <p>值得留意的是，這款工具包在駭客從事攻擊行動2年後才被發現、揭露，且有部分元件用途仍不明朗，代表相關行蹤可能相當不易察覺。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165749"><strong style="font-size: 22px;">中國駭客開發專偷雲端資料的惡意軟體工具包，前兩年臺灣有政府機關與宗教組織遇害</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/cloudscout-figure-3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/cloudscout-figure-3.png" style="width: 300px; float: right;" /></a></p> <p>駭客鎖定雲端服務來進行偵察、收集資料的情況，近期有不少研究人員對這樣的現象提出警告，如今有資安業者發現，他們看到駭客專門打造一組工具包，用來從雲端服務存取、搜尋企業組織的機敏資料。</p> <p>資安業者ESET指出，中國駭客組織Evasive Panda於2022年至2023年攻擊臺灣政府機關和宗教團體，過程中利用名為CloudScout的工具包，攔截連線階段（Session）及Cookie，而能從多種雲端服務挖掘資料。此外，該工具包還能透過外掛程式擴充功能，並與該組織慣用的另一款惡意軟體框架MgBot緊密協作。</p> <p>研究人員發現這起攻擊的緣由，在於他們偵測到該組織於臺灣某個政府機關部署3個過往未被揭露的.NET模組CGD、CGM、COL，而這些元件的主要功能，就是藉由挾持網路的連線階段內容，而能存取Google Drive、Gmail、Outlook等公有雲服務。研究人員提及，駭客主要透過瀏覽器組態竊得Cookie，然後在特定的網路連線請求當中利用，從而得到雲端服務的存取權限。</p> <p><a href="https://www.ithome.com.tw/news/165750"><strong style="font-size: 22px;">美國政府證實電信業者遭到中國駭客入侵</strong></a></p> <p>華爾街日報先後於9月底至10月初報導，中國駭客Salt Typhoon已成功入侵美國多家網際網路服務供應商（ISP），目的是滲透美國政府的竊聽系統並收集情報，駭客潛入的業者包含AT&T、Verizon、Lumen，如今美國政府也發布公告，證實中國資助的駭客非法存取他們的電信基礎設施。</p> <p>10月25日美國聯邦調查局（FBI）與網路安全暨基礎設施安全局（CISA）發布聯合聲明，表示他們正在調查中國駭客未經授權存取電信業者基礎設施的行為。</p> <p>究竟攻擊者的身分為何？這份公告並未透露，也沒具體交代資安事故發生的經過。但此公告一出，外界不禁懷疑可能與Salt Typhoon的網路間諜活動有關。值得留意的是，中國駭客的攻擊行動不光針對美國，相鄰的加拿大也是目標。</p> <p><a href="https://www.ithome.com.tw/news/165751"><strong style="font-size: 22px;">法國大型ISP業者Free證實資料遭到外流</strong></a></p> <p>根據資安新聞網站SecurityAffairs、Bleeping Computer的報導，上週末有人在駭客論壇BreachForums兜售法國大型網路服務供應商（ISP）Free的內部資料，他們聲稱握有19,192,948筆客戶帳號資料，以及511萬筆國際銀行帳戶號碼（IBAN）。對此，10月26日Free向法新社透露證實資料外洩的情況，表示他們因管理工具遭到鎖定而遇害，導致部分個資遭到未經授權存取。</p> <p>而對於外洩的資料，Free強調不含密碼、無銀行卡片，也沒有電子郵件、簡訊、語音訊息等通訊內容。該公司表示，他們的服務及營運並未受到這起資料外洩事故影響。該公司已向法國國家資訊科技和公民自由委員會（CNIL）、國家資訊系統安全局（ANSSI）通報此事，並採取法律行動。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/russia-targets-ukrainian-conscripts-with-windows-android-malware/">俄羅斯駭客UNC5812偽裝成與烏克蘭友好組織，意圖透過Telegram散布惡意程式</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/10/cert-ua-identifies-malicious-rdp-files.html">俄羅斯駭客APT29利用惡意RDP組態檔案入侵組織網路環境</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fog-ransomware-targets-sonicwall-vpns-to-breach-corporate-networks/">勒索軟體Fog鎖定SonicWall防火牆的VPN功能而來，意圖入侵企業網路環境</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/rekoobe-backdoor-and-typosquatting-domains-a-potential-threat-to-tradingview-users/">後門程式Rekoobe鎖定交易社群網站TradingView用戶而來</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/synology-fixes-critical-vulnerabilities-in-synology-photos-and-beephotos-after-pwn2own-exposure/">群暉修補Pwn2Own發現的相簿應用程式弱點</a></strong></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165692"><strong style="font-size: 22px;">美國發布首個AI國家安全備忘錄</strong></a></p> <p>10月24日美國總統拜登（Joe Biden）發布首個與人工智慧（Artificial Intelligence，AI）有關的國家安全備忘錄（National Security Memorandum，NSM），其三大重點為確保美國引領全球的AI發展，利用尖端的AI技術推動美國國家安全，以及推動AI的國際治理。</p> <p>上述三大重點支柱的細項包括：拜登簽署《晶片法案》（CHIPS Act）以投資開發AI系統所需的大量高階晶片；將競爭對手針對美國AI產業的間諜行動的情報列為最高優先等級；指定AI安全研究所（AI Safety Institute）作為美國AI產業的主要聯繫窗口；加強對National AI Research Resource的支持，以讓大學、民間與小企業的研究人員可進行有意義的AI研究，而非只仰賴大企業。</p> <p><a href="https://www.ithome.com.tw/news/165688"><strong style="font-size: 22px;">美國防部將以三年、四階段推動CMMC規則</strong></a></p> <p>為了讓美國國防工業產業（DIB）的供應鏈業者，有足夠的時間準備、理解和實施CMMC規則（CMMC Rule）的各種要求，以及解決任何CMMC評估、啟動過程中遭遇到的各種問題，並提供培訓所需的評估人員時間，美國國防部（DoD）為CMMC規則制定了三年、四階段的推動計畫。</p> <p>美國國防部會分成四個階段推動CMMC規則（CMMC Rule），第一階段也就是初步實施階段（Initial Implementation），自《48 CFR規則》（48 CFR Rule）生效日期開始；在適用的情況下，招標將要求CMMC認證等級第一級（Level 1）或第二級（Level 2）認證的自我評估（Self - Assessment）。</p> <p>第二階段在第一階段開始後的12個月啟動，在適用的情況下，美國國防部會在相關的國防採購招標案中，要求相關的業者必須取得CMMC認證等級第二級的第三方認證（C3PAO）。</p> <p> </p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165725"><strong>【10月28日】上周四勒索軟體RansomHub聲稱攻擊臺灣被動元件製造廠</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165697"><strong>【10月25日】Fortinet零時差漏洞4個月前就遭駭客組織UNC5820利用</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165683"><strong>【10月24日】FortiManager零時差漏洞已被用於實際攻擊行動</strong></a></p> </div></div></div>
2024/10/29 16:58作者周峻佑https://www.ithome.com.tw/news/165752
中國駭客開發專偷雲端資料資料的惡意軟體工具包，前兩年臺灣有政府機關與宗教組織遇害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客鎖定雲端服務來進行偵察、收集資料的情況，近期有不少研究人員對這樣的現象提出警告，如今有資安業者發現，他們看到駭客專門打造一組工具包，用來從雲端服務存取、搜尋企業組織的機敏資料。</p> <p>資安業者ESET指出，<a href="https://www.welivesecurity.com/en/eset-research/cloudscout-evasive-panda-scouting-cloud-services/">中國駭客組織Evasive Panda於2022年至2023年攻擊臺灣政府機關和宗教團體</a>，過程中利用名為CloudScout的工具包，攔截連線階段（Session）及Cookie，而能從多種雲端服務挖掘資料。此外，該工具包還能透過外掛程式擴充功能，並與該組織慣用的另一款惡意軟體框架MgBot緊密協作。</p> <p>研究人員發現這起攻擊的緣由，在於他們偵測到該組織於臺灣某個政府機關部署3個過往未被揭露的.NET模組CGD、CGM、COL，而這些元件的主要功能，就是藉由挾持網路的連線階段內容，而能存取Google Drive、Gmail、Outlook等公有雲服務。研究人員提及，駭客主要透過瀏覽器組態竊得Cookie，然後在特定的網路連線請求當中利用，從而得到雲端服務的存取權限。</p> <p>他們取得其中3個模組並進行程式碼分析，從而確認源自於開發代號為CloudScout的惡意程式開發框架，此框架以C#打造而成，但根據遙測的資料，駭客已在2起事故運用CloudScout。</p> <p>其中一起發生在2022年5月，臺灣某個宗教機構遭到惡意軟體MgBot及Nightdoor的攻擊，而MgBot被用來安裝一種外掛程式，目的是部署CloudScout的模組。</p> <p>另一起事故出現於2023年2月，研究人員疑似在臺灣政府機關發現CloudScout模組及Nightdoor。</p> <p>值得一提的是，CloudScout是.NET惡意軟體框架，並能搭配不同的模組攻擊對應的雲端服務。研究人員在看到駭客使用的3種模組之餘，發現駭客列出其餘7個該框架支援的模組，但他們發現，駭客並未將這些模組部署到受害電腦。這代表攻擊者很可能根據實際需求，僅安裝指定的模組。他們根據駭客的命名規則，研判其中的CTW及CFB模組，是用來挾持X（原推特）及臉書帳號之用。</p> <p>該工具套件主要的核心元件，被稱為CommonUtilities，能為所有模組執行的過程提供必要的低階程式庫。研究人員認為，網路上雖然有許多類似的開源工具，但駭客仍自行實作特定的程式庫，能對受害組織內部工作流程進行更多控制；隨著這款惡意程式框架的曝光，突顯這些駭客的技術能力之餘，也提醒大家應更重視資料保護，存放在雲端的資料、使用者組態檔案、電子郵件等機敏內容都是駭客覬覦的目標。</p> </div></div></div>
2024/10/29 15:20作者周峻佑https://www.ithome.com.tw/news/165749
美國政府證實電信業者遭到中國駭客入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>華爾街日報先後於9月底至10月初報導，<a href="https://www.ithome.com.tw/news/165354">中國駭客Salt Typhoon已成功入侵美國多家網際網路服務供應商（ISP）</a>，目的是滲透美國政府的竊聽系統並收集情報，駭客潛入的業者包含AT&T、Verizon、Lumen，如今美國政府也發布公告，證實中國資助的駭客非法存取他們的電信基礎設施。</p> <p>10月25日美國聯邦調查局（FBI）與網路安全暨基礎設施安全局（CISA）發布聯合聲明，<a href="https://www.cisa.gov/news-events/news/joint-statement-fbi-and-cisa-prc-activity-targeting-telecommunications">表示他們正在調查中國駭客未經授權存取電信業者基礎設施的行為</a>。</p> <p>在FBI察覺針對電信業的惡意活動後，FBI與CISA隨即通知受到影響的企業，並提供技術支援、共享情資，協助其他潛在的受害者。</p> <p>究竟攻擊者的身分為何？這份公告並未透露，也沒具體交代資安事故發生的經過。但此公告一出，外界不禁懷疑可能與Salt Typhoon的網路間諜活動有關。</p> <p>值得留意的是，中國駭客的攻擊行動不光針對美國，相鄰的加拿大也是目標。</p> <p>因為加拿大政府<a href="https://www.cyber.gc.ca/en/news-events/statement-peoples-republic-china-reconnaissance-canadian-systems">也在同日發布警訊</a>，由中國政府資助的駭客組織在最近幾個月裡，對該國眾多網域名稱進行廣泛的偵察及掃描，鎖定關鍵基礎設施、國防部門、新聞媒體、智庫、非政府組織等數十個企業組織而來，呼籲大家應遵循網路安全最佳實務，以便因應這項國家資安威脅。</p> </div></div></div>
2024/10/29 15:58作者周峻佑https://www.ithome.com.tw/news/165750
一般消費者占了OpenAI逾7成營收
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI財務長Sarah Friar周一（10/28）接受Bloomberg TV專訪時<a href="https://www.bloomberg.com/news/articles/2024-10-28/openai-cfo-says-75-of-its-revenue-comes-from-paying-consumers?embedded-checkout=true" target="_blank">透露</a>，該公司約有75%的營收是來自一般消費者的訂閱，且該公司每周的活躍用戶數已達2.5億。</p> <p>OpenAI所提供的生成式聊天機器人服務ChatGPT除了免費版之外，還包括去年2月上線、供個人訂閱、每月20美元的<a href="https://www.ithome.com.tw/news/155347" target="_blank">ChatGPT Plus</a>，去年8月上線、供大型企業訂閱的<a href="https://www.ithome.com.tw/news/158474" target="_blank">ChatGPT Enterprise</a>，以及今年1月上線、鎖定中小企業團隊、每人每月30美元的<a href="https://www.ithome.com.tw/news/160799" target="_blank">ChatGPT Team</a>，再加上今年5月發表的教育版<a href="https://www.ithome.com.tw/news/163223" target="_blank">ChatGPT Edu</a>。其中，ChatGPT Enterprise與ChatGPT Edu都是依使用人數計價，並未有固定價格，且只有ChatGPT Plus用戶被視為是一般消費者，其它方案的用戶皆被視為商業用戶。</p> <p>Friar並未揭露OpenAI的營收。</p> <p>OpenAI是今年才開始推出商用服務，去年只有供個人訂閱的ChatGPT Plus。The Information今年初引述消息來源<a href="https://www.ithome.com.tw/news/160633" target="_blank">報導</a>，OpenAI在2023年創下了16億美元的營收，遠高出外界原本預期的2億美元。</p> <p>此外，Quartz於今年9月上旬<a href="https://qz.com/openai-chatgpt-enterprise-team-edu-paid-users-million-1851640780" target="_blank">報導</a>，OpenAI的商用使用者已超過100萬人，包括ChatGPT Enterprise、ChatGPT Team與ChatGPT Edu。該數字在今年4月只有60萬人，但OpenAI在之後發表了ChatGPT Edu。</p> <p>CNBC則在9月下旬<a href="https://www.cnbc.com/2024/09/27/openai-sees-5-billion-loss-this-year-on-3point7-billion-in-revenue.html" target="_blank">報導</a>，OpenAI預期今年可創造37億美元的營收，虧損5億美元。</p> <p>倘若上述報導為真，那麼一般消費者今年可望替OpenAI帶進27.75億美元的營收。OpenAI甫於本月初完成66億美元的<a href="https://www.ithome.com.tw/news/165304" target="_blank">增資</a>，增資後的身價已達1,570億美元。</p> </div></div></div>
2024/10/29 14:19作者陳曉莉https://www.ithome.com.tw/news/165748
Google本周將於全球部署AI Overviews
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周一（10/28）<a href="https://blog.google/products/search/ai-overviews-search-october-2024/" target="_blank">宣布</a>，將把搜尋引擎中的AI功能AI Overviews部署到全球逾100多個市場，讓AI Overviews的每月用戶數超過10億，而且已開始於美國市場刊登廣告。</p> <p>AI Overviews是在使用者搜尋時，由AI彙整網路上的重要資訊並提供連結，原本是Search Labs的實驗之一，它在今年5月率先現身於美國市場，<a href="https://www.ithome.com.tw/news/164523" target="_blank">8月擴增</a>到日本及印尼等其它市場，並將自本周起陸續部署至包括臺灣在內的逾100個市場。</p> <p>現階段AI Overviews支援英文、日文、西班牙文、葡萄牙文、印尼文與印地語等，也將漸次支援更多的語言。</p> <p>不過，根據Google的說明，AI Overviews與知識面板（Knowledge Panel）同為Google搜尋的核心功能之一，這些核心功能都是無法關閉的，但使用者在搜尋之後，可以選擇搜尋引擎中的Web過濾工具，之後即可展示簡單的文字連結，而不出現AI Overviews。</p> <p>而在廣告的部分，Google<a href="https://blog.google/products/ads-commerce/google-lens-ai-overviews-ads-marketers/" target="_blank">表示</a>，AI Overviews可以滿足快速追求所需資訊的使用者，調查顯示與AI Overviews互動的使用者對搜尋結果更滿意，也覺得出現在AI Overviews上方或下方的廣告很有用，因而將於AI Overviews中以Sponsored標籤來展示廣告內容。</p> <p>例如在公園晃了一天的使用者發現自己的牛仔褲沾滿了草漬，並向Google求助，Google除了以AI Overviews整合各種解決方案之外，也可呈現各種相關的廣告。</p> <p>外界預期隨著Google將AI Overviews推向全球，相關的廣告服務也將蔓延至全世界。</p> </div></div></div>
2024/10/29 12:35作者陳曉莉https://www.ithome.com.tw/news/165747
Apple Intelligence正式登場，M4進駐iMac
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果周一（10/28）<a href="https://www.apple.com/newsroom/2024/10/apple-intelligence-is-available-today-on-iphone-ipad-and-mac/" target="_blank">藉由發布</a>iOS 18.1、iPadOS 18.1與macOS Sequoia 15.1正式釋出了Apple Intelligence功能，同一天也<a href="https://www.apple.com/newsroom/2024/10/apple-introduces-new-imac-supercharged-by-m4-and-apple-intelligence/" target="_blank">發表了</a>搭載M4處理器的iMac。</p> <p>Apple Intelligence（AI）是蘋果替旗下不同裝置所打造的人工智慧功能，可同時於裝置上或私有雲運算環境中執行AI運算，本周透過更新作業系統所推出的AI功能包括Writing Tools、更聰明的Siri、更厲害的照片（Photos）程式，也被整合在郵件、備忘錄（Notes）與電話（Phone）等程式中。不過，此波的AI更新僅支援iPhone 15 Pro、iPhone 16全系列，以及採用M1或更新處理器的iPad與Mac，預計明年會擴大支援其它裝置。</p> <p>其中，書寫工具（Writing Tools）允許使用者改寫、校對與摘要文字，支援郵件、訊息、備忘錄與第三方程式。聰明版的Siri現在可以同時支援文字及語音，還可回答上千個關於蘋果產品功能與設定的問題。新版照片程式現在允許使用者以自然語言來搜尋照片或影片。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1029-Apple%20Intelligence_iMac%20with%20M4.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1029-Siri_iMac%20with%20M4.png" style="width: 600px;" /></p> <p>在郵件程式上，AI表現在可彰顯收件匣中最重要與緊急的郵件，無需打開郵件即可查看摘要，並可根據郵件內容提供智慧回覆建議。而備忘錄與電話程式的AI功能則允許使用者錄製音訊，並產生逐字稿與摘要。</p> <p>蘋果計畫陸續強化旗下裝置的AI能力，除了上述外，新一波的AI功能可望於下個月問世。</p> <p>另一方面，繼於<a href="https://www.ithome.com.tw/news/162758" target="_blank">今年5月發表</a>首個搭載M4晶片的iPad Pro之後，蘋果本周發表了第二個搭載M4的iMac。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1029-M4-iMac-960.jpg" style="width: 600px;" /></p> <p>蘋果是在2021年於iMac上搭載自製的M1晶片，<a href="https://www.ithome.com.tw/news/159571" target="_blank">去年10月再推出</a>基於M3的iMac，一年後再升級至M4。</p> <p>或許是為了說服舊用戶升級，蘋果的新聞稿中只比較基於M1與M4的iMac性能差異，例如採用M4的iMac的CPU效能大增，速度是M1版的1.7倍，升級後的GPU在編輯照片或玩遊戲的速度也是M1版的2.1倍，此外，M4版的神經網路引擎也是M1版的3倍快，大幅提升處理AI的能力。</p> <p>此外，M4版iMac在處理微軟Excel任務的速度是M1版的1.7倍，以Safari瀏覽網路的速度也是M1版的1.5倍。若是相較於市場上搭載Intel Core 7處理器的24吋一體成型PC，M4版iMac速度最快是其4.5倍。若是比較最受歡迎的Intel版iMac，M4版可能快上6倍。</p> <p>新版iMac提供7種顏色，根據不同規格的最低售價為1,299美元（臺灣最低售價為44,900元新臺幣），預計於下個月出貨。目前尚未開放臺灣市場訂購。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> </div></div></div>
2024/10/29 11:34作者陳曉莉https://www.ithome.com.tw/news/165746
蘋果贏得血氧技術官司，獲賠250美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果上周一項血氧設備官司贏得一項久違的勝利，並得以要求對方禁售產品。</p> <p>根據專業媒體<a href="https://news.bloomberglaw.com/ip-law/apple-wins-250-in-mixed-jury-verdict-over-smartwatch-patents" target="_blank">報導</a>，蘋果控告血氧設備供應商Masimo的血氧量測手錶W1和Freedom、健康模組與充電器侵犯蘋果設計專利，上周法庭認定Masimo侵權行為是「刻意為之」，判決Masimo的部份元件侵犯蘋果設計必須停售侵權產品，且支付蘋果要求的250美元賠償金，沒有少個「萬」或幾個0。</p> <p>這是有史以來金額最小的專利侵權賠償。蘋果代理律師對陪審團說，該公司的目的不是錢，而是要求對方停止抄襲其設計。</p> <p>不過Masimo也宣稱這結果是他們的勝利，因為蘋果要求的是禁售市面銷售的W1和Freedom產品，但最終法官僅允許禁售已經沒在銷售的健康模組和充電器。</p> <p>這是蘋果自2020年遭這家廠商控告後，難得的法庭勝利。Masimo<a href="https://www.ithome.com.tw/news/135303" target="_blank">控告</a>蘋果侵犯10項專利並竊取該公司的商業機密，以將血氧量測技術應用在Apple Watch 4及Apple Watch 5。去年法官核准Masimo禁制令，要求蘋果若不移除侵權技術，就需停售最新的Apple Watch 9、Ultra 2。今年初蘋果<a href="https://www.ithome.com.tw/news/160851" target="_blank">變更</a>美國版Apple Watch設計，移除血氧量測功能，才得以確保Apple Watch的銷售。</p> <p>蘋果今年6月<a href="https://support.apple.com/en-us/120359" target="_blank">公告</a>，美國版Apple Watch將不會有血氧量測功能，這對許多想買Apple Watch 10的美國消費者來說是個<a href="https://www.wired.com/review/apple-watch-series-10/" target="_blank">缺憾</a>。</p> </div></div></div>
2024/10/29 08:26作者林妍溱https://www.ithome.com.tw/news/165743
SQLite擬遷移至輕量建置系統Autosetup，提升可維護性與穩定性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SQLite開發團隊啟動了一項探索性專案，<a href="https://sqlite.org/src/timeline?r=autosetup">計畫將現有建置系統從原本的GNU Autotools，轉移至Autosetup</a>。這項變更的目的是要提高系統的可維護性和穩定性，但由於新系統與現有配置方法存在一些差異，可能對部分應用的自動化建置流程產生影響。目前團隊正在積極測試新方案，並持續收集回饋以決定最終實作。</p> <p>SQLite從創立以來就使用GNU Autotools作為主要建置工具，由於其開源和靈活等特性，能夠適應多數Unix-like平臺和作業系統，但是隨著SQLite應用逐漸擴展至各種嵌入式和企業環境，Autotools複雜的語法和外部相依需求，逐漸成為專案維護的阻礙，因此SQLite團隊希望更換成更為簡化的建置工具Autosetup，能夠嵌入至專案原始碼樹中，維持建置的獨立性和穩定性。</p> <p>Autosetup是一個使用TCL語法的建置工具，內建輕量版的TCL直譯器JimTCL，可用於不具備完整TCL安裝的環境，由於SQLite團隊長期以來測試和工具皆使用TCL，因此Autosetup也就成為理想的建置工具選擇。</p> <p>SQLite團隊現在正探索遷移至Autosetup的可能性，以解決Autotools的維護困難。因為Autosetup的輕量特性，減少了建置系統的複雜性和開發人員負擔，此外，將Autosetup直接嵌入到專案中，SQLite團隊也就不用擔心外部工具更新時所帶來潛在的不相容問題。</p> <p>而且相較於Autotools，Autosetup擁有更簡單的語法和更快的執行速度，過去Autotools架構混合了GNU m4和POSIX Shell語法，而Autosetup僅使用TCL，使得建置流程對開發者更為友善。而且SQLite專案中原本相依於TCL的所有程式碼生成步驟，現在都可以直接使用Autosetup提供的JimTCL完成，大幅減少建置過程的系統需求。</p> <p>雖然Autosetup擁有不少優勢，但是也產生一些新的問題，像是Autosetup主要針對POSIX標準開發，目前對部分非POSIX平臺的支援尚未完全確認。SQLite團隊正在評估對應方案，當新系統無法全面相容這些平臺，可能會透過提供靜態Makefile確保新系統的相容性。</p> <p>另外，因為Autosetup和Autotools在解析和執行配置旗標的方式不同，部分建置選項需要重新命名以保持相同語義，雖然這些變更僅會影響少數自動化建置流程，但開發者仍需要調整腳本跟新系統相容。</p> <p>SQLite團隊正在測試Autosetup的適用性，以確保新系統能在相容性和長期維護性間取得平衡，目前團隊尚未做出最終決定，將會根據測試結果決定是否正式遷移。</p> </div></div></div>
2024/10/29 07:55作者李建興https://www.ithome.com.tw/news/165736
Next.js 15引入非同步請求API簡化渲染與快取模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>官方正式推出<a href="https://nextjs.org/blog/next-15#turbopack-dev">Next.js 15</a>，不僅提升框架的穩定性，也帶來一系列開發功能更新。更新亮點包括加入非同步請求API，提供更靈活的渲染方式，並且新支援React 19和React編譯器，在強化效能的同時，減少開發者手動最佳化的負擔，還正式推出Turbopack開發模式帶來更高效的開發體驗。</p> <p>Next.js15引入非同步請求API，提供伺服器端渲染更多的靈活性，這對於大型應用的效能提升非常有用。傳統的伺服器端渲染需要等待請求才能開始渲染，而Next.js 15則允許提前準備與請求無關的元件渲染，在收到請求前就開始準備渲染。此變化影響了請求相關的API，諸如cookies、headers和params等API都將會轉換成為非同步模式。這項變更為破壞性更新，Next.js團隊提供了程式碼轉換工具來簡化升級流程。</p> <p>隨著React 19釋出，Next.js 15開始提供穩定支援，並添加實驗性React編譯器。新的React編譯器能夠深度理解JavaScript語義並且自動最佳化，讓開發者不需要手動進行useMemo或useCallback效能調整，整體來說使程式碼更簡潔易讀，也降低出錯的風險，對於需要處理大量互動的應用程式來說更為友善。</p> <p>Turbopack開發模式在Next.js 15中進入穩定階段，能夠明顯提升開發體驗。Turbopack的優點在於減少開發延遲，提升開發的順暢度，使得團隊在迭代程式碼過程更加高效。根據在大型Next.js應用程式的實測資料，該模式可以加快本地伺服器啟動速度76.7％，程式碼更新速度提升96.3％，在沒有快取的情況下，初始路由編譯速度可提升45.8％，因此很適合用於需要頻繁調整程式碼的大型專案。</p> <p>Next.js 15新加入的instrumentation.js工具讓開發者可以深入觀察伺服器運作狀況，以識別效能瓶頸和錯誤來源。透過整合OpenTelemetry等遙測工具，開發者可以清楚追蹤伺服器的操作步驟，並獲得即時報告，進一步提升應用的可維護性和穩定性。</p> <p>對TypeScript開發者的好消息是，Next.js 15支援使用TypeScript編寫next.config.ts檔案，並提供NextConfig類型支援。這將使得配置過程更加安全，並且TypeScript開發者可獲得自動完成功能，避免因為配置錯誤導致潛在問題。</p> <p>Next.js 15還新增了<Form>元件，讓開發者在處理表單更加方便。該元件預設具備預擷取和客戶端導航功能，這兩項功能分別讓表單在畫面顯示時，會自動提前載入表單提交後的頁面和資料，使頁面切換更加順暢，另外，在提交表單時，系統將不再需要重新載入整個網頁，直接在客戶端完成導航過程。這樣的設計讓表單在網頁上的回應更迅速，特別適合需要進行頁面跳轉的表單，並讓程式碼開發工作更容易。</p> </div></div></div>
2024/10/29 08:04作者李建興https://www.ithome.com.tw/news/165742
零售IT雙周報第44期：歐洲電商巨頭如何用生成式AI打造商品上架輔助功能，來自動填入商品資訊欄位
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000FF;"><strong>重點新聞(1013~1026)</strong></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #商品上架輔助 #商品分類管理</span></span></strong><br /> <strong>Zalando如何用生成式AI打造商品上架輔助功能，來自動填入商品資訊欄位</strong></p> <p><a href="https://engineering.zalando.com/posts/2024/09/content-creation-copilot-ai-assited-product-onboarding.html">歐洲時尚電商巨頭Zalando揭露了他們如何打造生成式AI商品上架輔助功能。</a>這個功能會根據商品圖片特徵，自動辨認並填入商品資訊欄位。這個功能整合了多個資料來源及AI服務，架構上主要可以分為內容生成工具、商品主數據、提示生成器及OpenAI-GPT服務等4部份。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/zala2.png" style="width: 600px;" /></p> <p>運作模式是，商家在內容生成工具中上傳圖片，就會傳送到提示生成器，結合Zalando商品主數據，來辨認出特徵，並生成提示給OpenAI-GPT服務，來進一步生成商品資訊描述建議。這些建議，會再會回傳至內容生成工具，自動填入商品資訊欄位。</p> <p>為了支援25國語言商家，Zalando選擇用英文來進行大部分數據處理，再於OpenAI-GPT服務設置一個翻譯層，翻譯產出建議到商家語言，並過濾掉生成內容中不需要的資訊。另外，為了讓模型能更準確給出商品屬性建議，他們也設置了一系列機制，包括進一步提示模型如何區別不同商品屬性的小細節等。</p> <p>隨著Zalando不斷強化此功能，未來他們希望還能藉由此功能來全面性豐富商品數據，並用來支援商品銷售數據分析、精準行銷等情境。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#SCM #商品數據 #精準行銷 #OMO零售</span></span></strong><br /> <strong>鞋全家福如何將商品數據應用於行銷、採購及供應商管理</strong></p> <p>鞋全家福電商部副理呂榮生近日揭露了自家導入數據科技的做法與應用方向。呂榮生說，鞋全家福應用數據的目的是，整合線上線下數據、提升顧客體驗，以優化進銷存策略。不同於許多零售業者習慣從會員數據切入的策略，他們選擇以產品數據為中心，串聯起ERP、會員、供應鏈管理（SCM）等系統的產品相關數據，並從中找出對行銷、採購及供應商管理的價值。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/LINE_ALBUM_%E9%9E%8B%E5%85%A8%E5%AE%B6%E7%A6%8F_241028_1(1).jpg" style="width: 600px;" /></p> <p>行銷方面，鞋全家福透過分析產品銷售數據，包括商品關聯性、區域和門市熱銷主題、關鍵字分析等，來發掘潛在行銷角度。他們也會以門市銷售情況，來調整個別店面的商品陳列。</p> <p>採購方面，鞋全家福透過商品銷售數據來支援廠商篩選和品項選擇等作業，庫存迴轉率得到提升，跌價損失金額更減少了50%，新品採購的週期也縮短了15天。</p> <p>供應商管理方面，鞋全家福則與廠商共享商品銷售數據洞察，協助廠商提品、報價，並針對市場需求來開發產品。他們分享這些洞察的供應商，目前提升了12%提品成功率，以及高達70%業績。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#個人化電商首頁 #精準行銷 #再行銷</span></span></strong></p> <p><strong>Amazon電商App改版，利用ML技術呈現完全個人化的首頁內容</strong></p> <p>在電商頁面呈現個人化內容已經是相當基本的事情，<a href="https://www.aboutamazon.com/news/retail/amazon-homepage-redesign-features">不過Amazon這次電商App介面改版，個人化程度又再上一層樓</a>。傳統電商首頁往往嘗試呈現站上商品的不同分類商品，或當下行銷檔期訊息。新版Amazon電商介面則只保留基本版型，內容上則會根據顧客行為而完全不同，且會聚焦於和顧客喜好高度相關的主題或類別。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/amzfpui.jpg" style="width: 600px;" /></p> <p>這與Walmart先前宣布，在每一個顧客造訪電商時，生成專屬首頁的做法有異曲同工之妙。雖然Amazon沒有提到使用生成式AI技術來打造個人化首頁，但都是要將首頁功能從通用的入口網站，改造成超級個人化的再行銷接觸點。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#生成式AI #商品上架輔助</span></span></strong><br /> <strong>eBay推出大量商品上架輔助功能，一次讀取數百張商品照片並自動生成商品資訊</strong></p> <p>eBay又推出一項以視覺辨識為基礎的生成式AI商家輔助功能。<a href="https://innovation.ebayinc.com/tech/features/magical-bulk-listing-tool-is-ebays-latest-ai-powered-time-saver-for-sellers/">這次是一個批量商品上架功能</a>，商家只需批量上傳商品圖片，系統就能在幾秒內生成包含建議類別、標題和商品詳情等資訊。確認無誤後，商家就能快速上架這些商品。</p> <p>目前，此功能只開放給美國商家使用，只支援運動類交換卡片商品。不過eBay表示未來數月將拓展此功能支援商品類別，並開放給更多地區商家使用。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#搜尋引擎電商 #生成式AI #購物輔助功能</span></span></strong><br /> <strong>Google購物介面大改版，結合生成式AI商品推薦及相關商品知識搜尋等功能來輔助購物決策</strong></p> <p><a href="https://blog.google/products/shopping/google-shopping-ai-update-october-2024/">Google改版了Google Shopping服務介面，其中最大的改動是，用生成式AI來輔助購物決策的一系列功能。</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/gaisp.jpg" style="width: 600px;" /></p> <p>顧客輸入商品需求，如搜尋「西雅圖男士冬季外套」時，系統會生成一份AI說明，概述在這種情境下，購買此商品前應了解的重點。例如，應該注意的外套分類與特性等。系統會根據這些特性和分類，來呈現出商品搜尋結果，並解釋這些商品分類符合搜尋結果的原因。同時，搜尋結果頁面還會搜尋相關商品知識的文章和影片，供顧客更深入研究。</p> <p>其他改版功能還包括各式個人化商品推薦及優惠推薦功能。這些更新目前只在美國市場推出。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電商經營 #CRM</span></span></strong><br /> <strong>Salesforce針對小型企業推出電商經營工具</strong></p> <p>Salesforce在小型企業的解決方案中新增電商經營功能，主要功能包括電商頁面建立功能、Low-code電商設計工具、集中式商品管理工具，還有營運數據儀表板。此功能和原本解決方案中的銷售、客服、行銷功能及數據原生整合，有利於小型企業主一站式管理經營電商所需的其他作業，例如電商個人化行銷、會員關係管理等。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態：</span></strong></span></p> <p>1. <a href="https://www.onead.com.tw/product/retaildmp/">OneAD推出蒐集100家線上線下通路、11個產業以及25,000個以上品牌商品數據的DMP，用來支援市調及商品行銷決策</a></p> <p>2. <a href="https://newsroom.roku.com/news/2024/10/instacart-and-roku-expand-advertising-partnership-with-new-shoppable-formats/crouq6mo-1728406294">生鮮電商平臺Instacart將電商及外送功能整合到CTV巨頭Roku系統中，並提供廣告主利用前者數據在後者投放廣告的服務</a></p> <p>3. <a href="https://www.dunnhumby.com/about-us/news/tesco-media-unveils-new-retail-media-developments-at-annual-upfront-event/?_gl=1*vkck8h*_up*MQ..*_ga*OTk1ODUxMTQzLjE3MzAwOTgyNzk.*_ga_1HYPEY1HH6*MTczMDA5ODI3OC4xLjAuMTczMDA5ODI3OC4wLjAuMA..">特易購將RMN業務範疇拓展到數位短影音廣告及主題門市行銷模式，並推出自助式行銷成效分析工具</a></p> <p>資料來源：iThome整理，2024年10月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Zalando、Amazon、Google、郭又華攝</p> <p></p> </div></div></div>
2024/10/28 19:24作者郭又華https://www.ithome.com.tw/news/165741
【資安日報】10月28日，上周四勒索軟體RansomHub聲稱攻擊臺灣被動元件製造廠
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去一週以來，有5家上市櫃公司發布資安重大訊息，證實遭遇資安事故，其中一起被動元件製造商華新科技公告的網路攻擊事件，有資安業者透露很有可能是勒索軟體攻擊。</p> <p>值得留意的是，勒索軟體駭客組織RansomHub對臺灣企業下手的情況並非首例，今年6月，這些駭客聲稱從老牌筆電廠藍天電腦竊得200 GB內部資料。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165723"><strong style="font-size: 22px;">被動元件製造商華新科技上週公布遭駭重訊，勒索軟體RansomHub聲稱是他們發動攻擊所致</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/messageImage_1729849094638.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/messageImage_1729849094638.jpg" style="width: 300px; float: right;" /></a></p> <p>10月23日下午被動元件製造商華新科技在股市公開觀測站指出，他們有部分資訊系統遭遇網路攻擊，在察覺事故的當下立即啟動相關防禦機制因應。如今有研究人員指出，攻擊者很有可能是勒索軟體駭客組織RansomHub。</p> <p>臺灣資安業者竣盟科技25日發布部落格文章，揭露勒索軟體駭客組織RansomHub聲稱成功入侵臺灣上市被動元件大廠，該公司年營收接近30億美元，駭客竊得多達150 GB資料，內容涵蓋相關技術、有關協定、簽章資料，要脅這家公司在10月31日前支付贖金，否則將會公布竊得資料。</p> <p>另一個提到這次攻擊事故的消息來源，是網路威脅情報分析公司HackManac，10月24日他們也在社群網站X貼文揭露此事，而且直接點名苦主是Walsin Technology Corporation，也就是華新科技的英文名稱。</p> <p><a href="https://www.ithome.com.tw/news/165715"><strong style="font-size: 22px;">美國醫療服務供應商UnitedHealth坦承1億用戶資料遭竊</strong></a></p> <p>今年2月美國醫療服務供應商Change Healthcare遭到勒索軟體BlackCat攻擊，母公司UnitedHealth Group因為這起資安事故，在今年第3季財報認列超過20億美元損失，根據近日美國衛生及公共服務部（HHS）的公開資料顯示，Change Healthcare通報遭到外洩的用戶資料高達1億筆，成為美國醫療領域最嚴重的資料外洩事件。</p> <p>值得留意的是，UnitedHealth今年4月公布的第1季財報時，編列8.72億美元因應網路攻擊的成本，其中有5.93億美元屬於直接回應攻擊成本，另外的2.79億美元則是業務損失，並估計總成本將超過10億美元；而在UnitedHealth今年第3季的財報中，列出了該攻擊對該公司今年前9個月的影響，相關成本累計已超過24.5億美元。</p> <p><a href="https://www.ithome.com.tw/news/165706"><strong style="font-size: 22px;">因CrowdStrike大當機停擺多日，達美航空正式提告並求償5億美元</strong></a></p> <p>7月間資安廠商CrowdStrike更新軟體元件導致全球數百萬臺電腦大當機，受累的達美航空（Delta Airlines）上周正式提告，要求至少5億美元的賠償。</p> <p>根據路透社等多家媒體報導，達美航空向喬治亞州富爾頓（Fulton）郡高等法院提告，指CrowdStrike強迫將未測試的錯誤更新部署給客戶，導致850萬臺Windows電腦當機，引發災難性後果，要求賠償5億美元損失，以及利潤、律師費、商譽，以及未來營收的損失。</p> <p>對此CrowdStrike回應，達美航空說法是基於沒有根據的錯誤資訊，顯示不理解現代化網路安全運作方式，反映其推卸未能現代化老舊系統的責任。該公司宣稱，只要刪除更新的CrowdStrike檔案並重開機，就能排除問題。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=170029&SPOKE_DATE=20241025&COMPANY_ID=2208"><strong style="font-size: 22px;">大型造船廠台船郵件系統遭受攻擊</strong></a></p> <p>上週美利達、豐祥、華新科技，以及正新代加拿大子公司等多家上市櫃公司於股市公開觀測站發布重大訊息，週五（10月25日）傍晚大型造船廠台船發布重大訊息，表示他們發現部分郵件系統的使用者帳號遭到攻擊的情況。</p> <p>針對這起事故的後續處理，該公司表示資安單位立即啟動資安防禦機制，並執行使用者帳密修改作業，他們初步評估這起事故對公司營運無重大影響。值得留意的是，這是上週第2起郵件系統帳號遭到攻擊而登上重訊版面的資安事故，算是過往相當罕見的情況。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=180929&SPOKE_DATE=20241028&COMPANY_ID=1447"><strong style="font-size: 22px;">紡織業者力鵬傳出遭遇勒索軟體攻擊</strong></a></p> <p>今日（28日）晚間紡織業者力鵬發布重大訊息，證實他們楊梅廠的部分主機於早上遭遇檔案加密攻擊，而且，本地備份資料也不幸被刪除，他們正從異地的備援資料進行還原作業。</p> <p>針對這起勒索軟體攻擊事故可能會造成的損失或是影響，該公司目前評估對於公司的營運沒有重大影響，並表示他們後續將會持繽強化網路及資訊基礎架構的安全管控。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/10/notorious-hacker-group-teamtnt-launches.html">駭客組織TeamTNT鎖定雲端環境發動攻擊，將受害主機租給他人牟利</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/10/new-qilinb-ransomware-variant-emerges.html">勒索軟體Qilin出現變種，攻擊者採用更為複雜的方法埋藏加密金鑰</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.cybereason.com/blog/threat-analysis-beast-ransomware">勒索軟體Beast鎖定Windows、NAS、VMware ESXi而來</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/black-basta-ransomware-poses-as-it-support-on-microsoft-teams-to-breach-networks/">勒索軟體Black Basta透過微軟Teams進行社交工程攻擊</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165721"><strong style="font-size: 22px;">新型態降級攻擊可讓攻擊者植入惡意核心驅動程式、Rootkit</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/TXRZwIefiJ.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/TXRZwIefiJ.png" style="width: 300px; float: right;" /></a>今年8月資安業者SafeBreach在Black Hat USA 2024、DEF CON 32兩場大型資安會議上，揭露Windows Downdate降級攻擊，攻擊者可藉由視窗作業系統的弱點，對於重要元件進行降級，從而曝露原本已經修補完成的漏洞，其中一個藉由降級攻擊引發的弱點是CVE-2024-21302（CVSS風險評為6.7），微軟獲報後也在同月發布修補程式，如今研究人員公布更多細節，並提及一種新的降級攻擊手法。</p> <p>研究人員提及，雖然微軟對CVE-2024-21302發布了修補程式，但他們發現，微軟目前只處理已跨越安全邊界的部分，而對於能夠接管自動更新機制Microsoft Update的部分，由於這項弱點涉及以管理員身分執行核心程式碼，微軟不認為此舉跨越安全邊界而未處理，但實際上，仍有可能遭人濫用。</p> <p>他們發現，攻擊者若是能利用接管Microsoft Update的弱點，就有機會繞過驅動程式強制簽章（DSE）的系統核心防護機制，進而載入尚未簽章的驅動程式，並部署rootkit惡意程式，甚至能隱藏特定處理程序、網路活動、破壞作業系統的安全管控機制。研究人員將這種攻擊手法命名為ItsNotASecurityBoundary，並在完整套用所有更新的Windows 11 23H2作業系統上，展示如何用來發動降級攻擊。</p> <p><a href="https://www.ithome.com.tw/news/165714"><strong style="font-size: 22px;">Amazon修補Cloud Development Kit帳戶接管漏洞</strong></a></p> <p>資安業者Aqua揭露基礎設施即程式碼（Infrastructure as Code，IaC）開發框架AWS Cloud Development Kit（AWS CDK）的安全漏洞，此漏洞可能允許駭客接管CDK用戶帳戶，AWS收到Aqua通知之後，已於今年10月將其修補，估計約有1%的CDK用戶受到影響。</p> <p>這項漏洞發生的原因，是開發人員使用AWS CDK之前，必須先初始化其環境，過程裡AWS CDK會建立臨時S3儲存桶來存放部署資產，該儲存桶的命名是唯一的、與使用者帳戶有關，而且是可預測的。因此，駭客只要知道目標對象的帳號ID，就有機會替CDK建立暫存的S3儲存桶，進行竄改使用者上傳的範本，並得到該帳號的完整控制權。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/over-70-zero-day-flaws-get-hackers-1-million-at-pwn2own-ireland/">漏洞挖掘競賽Pwn2Own Ireland 2024找出逾70個零時差漏洞</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165697"><strong>【10月25日】Fortinet零時差漏洞4個月前就遭駭客組織UNC5820利用</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165683"><strong>【10月24日】FortiManager零時差漏洞已被用於實際攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165652"><strong>【10月23日】中國駭客組織IcePeony對亞洲國家網頁伺服器發動SQL注入攻擊</strong></a></p> </div></div></div>
2024/10/28 17:25作者周峻佑https://www.ithome.com.tw/news/165725
被動元件製造商華新科技上週公布遭駭重訊，勒索軟體RansomHub聲稱是他們發動攻擊所致
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10月23日下午被動元件製造商華新科技在股市公開觀測站指出，<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=142357&SPOKE_DATE=20241023&COMPANY_ID=2492">他們有部分資訊系統遭遇網路攻擊</a>，在察覺事故的當下立即啟動相關防禦機制因應。如今有研究人員指出，攻擊者很有可能是勒索軟體駭客組織RansomHub。</p> <p>臺灣資安業者竣盟科技指出，<a href="https://blog.billows.com.tw/?p=3389">勒索軟體駭客組織RansomHub聲稱</a>，他們成功入侵臺灣上市被動元件大廠，該公司年營收接近30億美元，駭客竊得多達150 GB資料，內容涵蓋相關技術、有關協定、簽章資料，要脅這家公司在10月31日前支付贖金，否則將會公布竊得資料。</p> <p>而對於遭到攻擊的公司，駭客指出擁有超過30個生產基地，旗下有完整的產品線，提供多樣性的電子產品類型及服務，其交付平臺遍布全球。</p> <p>雖然竣盟並未提及受害公司名稱，但他們提及該公司於10月23日發布重大訊息，證實有資訊系統遭受網路攻擊的情況，而當天僅有華新科技發布這類重大訊息，因此RansomHub指的顯然就是華新科技。竣盟也公布入侵指標（IoC），供IT人員偵測相關相關威脅。</p> <p>值得留意的是，RansomHub並非首度對於臺灣企業下手，今年6月，<a href="https://www.ithome.com.tw/news/163347">老牌筆電廠藍天電腦傳出遭駭</a>，該組織聲稱竊得逾200 GB資料。</p> </div></div></div>
2024/10/28 17:11作者周峻佑https://www.ithome.com.tw/news/165723
新型態降級攻擊可讓攻擊者植入惡意核心驅動程式、Rootkit
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年8月資安業者SafeBreach在Black Hat USA 2024、DEF CON 32兩場大型資安會議上，揭露<a href="https://www.ithome.com.tw/news/164368">Windows Downdate降級攻擊</a>，攻擊者可藉由視窗作業系統的弱點，對於重要元件進行降級，從而曝露原本已經修補完成的漏洞，其中一個藉由降級攻擊引發的弱點是CVE-2024-21302（CVSS風險評為6.7），微軟獲報後也在同月發布修補程式，<a href="https://www.safebreach.com/blog/update-on-windows-downdate-downgrade-attacks/">如今研究人員公布更多細節</a>，並提及一種新的降級攻擊手法。</p> <p>研究人員提及，雖然微軟對CVE-2024-21302發布了修補程式，但他們發現，微軟目前只處理已跨越安全邊界的部分，而對於能夠接管自動更新機制Microsoft Update的部分，由於這項弱點涉及以管理員身分執行核心程式碼，微軟不認為此舉跨越安全邊界而未處理，但實際上，仍有可能遭人濫用。</p> <p>他們發現，攻擊者若是能利用接管Microsoft Update的弱點，就有機會繞過驅動程式強制簽章（DSE）的系統核心防護機制，進而載入尚未簽章的驅動程式，並部署rootkit惡意程式，甚至能隱藏特定處理程序、網路活動、破壞作業系統的安全管控機制。研究人員將這種攻擊手法命名為ItsNotASecurityBoundary，並在完整套用所有更新的Windows 11 23H2作業系統上，展示如何用來發動降級攻擊，</p> <p>針對於這項繞過DSE的攻擊手法，研究人員解釋這是涉及<a href="https://www.elastic.co/security-labs/false-file-immutability">「檔案假性不變（False File Immutability，FFI）」</a>的新型態漏洞，此類弱點源自於檔案理應不會被變更的錯誤假設。</p> <p>他們進一步舉例說明。照理來說，封鎖寫入的存取共享機制將使得檔案不會被受到變更，但若是攻擊者藉由清理系統運作環境，並在檔案於記憶體存取的過程當中，觸發記憶體分頁錯誤，就有機會導致檔案重新讀取甚至是更改。</p> <p>這種雙重讀取的狀況，本質上，也涉及從檢查時間到使用時間（ Time-of-Check to Time-of-Use，TOCTOU）的競爭，攻擊者有機會藉此置換成未經簽章的惡意版本核心驅動程式，當作業系統處理驅動程式列表的過程裡，便會將該驅動程式的驗證碼視為有效並允許載入，從而達成ItsNotASecurityBoundary攻擊。</p> </div></div></div>
2024/10/28 16:20作者周峻佑https://www.ithome.com.tw/news/165721
Waymo完成56億美元的C輪增資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自駕車業者Waymo上周五（10/25）<a href="https://waymo.com/blog/2024/10/investing-to-bring-the-waymo-driver-to-more-riders/" target="_blank">宣布</a>，已完成由母公司Alphabet領投的C輪增資，募得了56億美元的款項。</p> <p>現階段Waymo旗下約有超過700輛自駕車，搭載該公司所開發的Waymo Driver駕駛技術，在舊金山、洛杉磯、鳳凰城和奧斯汀等城市提供Waymo One無人計程車服務。<a href="https://www.ithome.com.tw/news/164599" target="_blank">今年8月</a>，Waymo One每周的付費旅程次數已超過10萬次，是去年的10倍。此外，Waymo也與Uber簽署了合作協議，包括Uber用戶可透過Uber平臺呼叫Waymo車輛，以及將Waymo Driver自動駕駛技術整合到Uber的貨物運輸服務上。</p> <p>Waymo表示，新資金將用來拓展舊金山、鳳凰城和洛杉磯的Waymo One叫車服務，以及在奧斯汀及亞特蘭大擴大與Uber的合作；另也將用來繼續開發Waymo Driver，以於未來支援各種不同的商業應用。</p> <p>此次的增資都來自Waymo的原始股東，除了Alphabet之外，還包括Andreessen Horowitz、Fidelity、Perry Creek、Silver Lake、Tiger Global及Rowe Price。</p> <p>Waymo為美國無人駕駛計程車的領頭羊，其競爭對手還包括通用汽車（GM）旗下的Cruise，Cruise目前正在舊金山與鳳凰城等地經營無人駕駛計程車服務，且擁有1,000臺車輛，以及由現代汽車（ Hyundai Motor）與Aptiv合資的Motional，Motional主要以現代的IONIQ電動車來提供無人駕駛計程車服務，目前主要據點為拉斯維加斯與波士頓。</p> </div></div></div>
2024/10/28 15:03作者陳曉莉https://www.ithome.com.tw/news/165716
1U提供320核心，HPE既有伺服器支援AMD第五代EPYC
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/hpe_proliant_dl365_gen11_main_0.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年10月10日<a href="https://www.ithome.com.tw/news/165430">AMD發表第五代EPYC伺服器處理器平臺（9005系列，代號Turin）</a>，可提供8至192核心、熱設計功耗為125瓦至500瓦的款式，多家廠商也發布消息，強調既有伺服器可搭配這系列CPU，或為此推出新款伺服器。</p> <p>以HPE為例，他們的產品策略屬於前者，現行ProLiant Gen11世代的2U2路機型DL385、1U2路機型DL365、1U單路機型DL325，均在10月10日發布技術規格更新，明確列出處理器均可採用AMD EPYC 9004系列（最高搭配128核心、熱設計功耗360瓦的EPYC 9754），或是最新推出的AMD EPYC 9005系列（最高搭配160核心、熱設計功耗390瓦的EPYC 9845）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20ProLiant%20Gen11-AMD.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/DL365 Gen11 support AMD EPYC CPU models.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/DL365%20Gen11%20support%20AMD%20EPYC%20CPU%20models.png" style="width: 318px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/DL365 Gen11-image (7).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DL365%20Gen11-image%20(7).jpg" style="width: 238px;" /></a></p> <p>若以兼具高運算密度與高儲存密度應用需求而言，DL365 Gen11憑藉1U尺寸機箱的有限空間，最多可提供320顆核心（2個插槽）、6 TB容量的DDR5記憶體（24個插槽）、20臺EDSFF E3.S外形NVMe固態硬碟，以及2個PCIe 5.0 x16介面卡插槽（2個全高全長，或2個全高半長加上1個短版）與2個x16的OCP 3.0插槽。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DLGen11-GPU%20Support.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DLGen11-PCIe%20expansion.jpg" style="width: 600px;" /></p> <p>值得注意的是，HPE ProLiant DL365 Gen11的記憶體、儲存、GPU組態提供多種搭配選擇。</p> <p>若採用2.5吋硬碟儲存槽，預設容納8臺SATA/SAS傳統硬碟或SATA/SAS/NVMe固態硬碟，選配1臺光碟燒錄機，或2臺SATA/SAS傳統硬碟或SATA/SAS/NVMe固態硬碟，伺服器的記憶體插槽24個都能使用；若採用E3.S固態硬碟儲存槽，伺服器的記憶體插槽能用到16個；若採用GPU，能在機箱前緣安裝2張單寬或雙寬尺寸的GPU加速卡，搭配4臺2.5吋或8臺E3.S外形的NVMe固態硬碟，伺服器的記憶體插槽能用到20個。</p> <p><a href="https://s4.itho.me/sites/default/files/images/DL365 Gen11-storage1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DL365%20Gen11-storage1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/DL365 Gen11-storage2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DL365%20Gen11-storage2.jpg" style="width: 600px;" /></a></p> <p>對比其他以既有產品支援AMD EPYC 9005系列的伺服器廠商，若同為1U2路配置，大多都提供類似組態，例如，提供320顆核心（2個插槽）、6 TB容量的DDR5記憶體（24個插槽）。</p> <p>像是：<a href="https://www.supermicro.com/en/products/system/hyper/1u/as -1125hs-tnr?utm=smclpp">Supermicro H13世代的AS-1125HS-TNR</a>，最多同樣提供320顆核心（2個插槽）、6 TB的4800 MT/s或9 TB的6000 MT/s DDR5記憶體（24個插槽）、12臺2.5吋SATA/SAS/NVMe硬碟或固態硬碟，以及3個PCIe 5.0 x16介面卡插槽（1個全高半長、2個全高全長）與1個x16的AIOM插槽（相容OCP 3.0）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AS_20-1125HS-TNR_main.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AS_20-1125HS-TNR_main.jpg" style="width: 600px;" /></a></p> <p>聯想ThinkSystem V3支援AMD第四代與第五代EPYC處理器的機型當中，採用1U2路配置<a href="https://lenovopress.lenovo.com/lp1607-thinksystem-sr645-v3-server">ThinkSystem SR645 V3</a>，最多同樣提供320顆核心（2個插槽）、6 TB容量的DDR5記憶體（24個插槽）、16臺EDSFF E1.S外形NVMe固態硬碟，以及3個PCIe x16介面卡插槽——後3（2個PCIe 5.0與1個PCIe 4.0，皆為短版），機箱前沿也可安裝3張PCIe 5.0介面卡（薄型、全高、OCP 3.0各1），但此時需犧牲一些空間，而只能搭配4臺2.5吋硬碟。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ThinkSystem-SR645-V3.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/SR645 V3 front view configurations.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SR645%20V3%20front%20view%20configurations.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/SR645 V3 rear view with callouts.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SR645%20V3%20rear%20view%20with%20callouts.png" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>HPE ProLiant DL365 Gen11</strong></span><br /> ●原廠：HPE<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：1U<br /> ●處理器：2顆，AMD第四代EPYC（9004系列）、第五代EPYC（9005系列），最多搭配到160顆核心的款式<br /> ●記憶體：24個DDR5-6000，插滿256 GB，可達到6 TB<br /> ●儲存配置：10臺2.5吋傳統硬碟（SAS/SATA）或固態硬碟（SAS/SATA/NVMe，預設8臺），或是20臺E3.S NVMe固態硬碟；或是搭配2張單寬或雙寬GPU，以及8臺E3.S NVMe固態硬碟或4臺2.5吋U.3 NVMe固態硬碟<br /> ●I/O擴充介面：2個PCIe 5.0 x16（2個全高全長，或2個全高半長加上1個短版）<br /> ●電源供應器：2臺800瓦、1000瓦、1600瓦或1800瓦<br /> ●GPU選擇：Nvidia A16、L4</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/10/28 15:18作者李宗翰https://www.ithome.com.tw/review/165707
UnitedHealth承認當初有1億用戶資料遭竊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國衛生及公共服務部（HHS）的民權辦公室（OCR）上周更新了<a href="https://ocrportal.hhs.gov/ocr/breach/breach_report.jsf" target="_blank">健康資訊外洩列表</a>，顯示出今年2月遭駭的Change Healthcare所外洩的用戶資料高達1億筆，成為美國醫療領域最嚴重的資料外洩事件。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1025-Change%20Healthcar%20breach.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1025-Change%20Healthcar%20breach.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片擷取自美國衛生及公共服務部（HHS）網站</span></span></p> <p>Change Healthcare是美國健康保險集團UnitedHealth Group子公司Optum所買下的醫療服務供應商，主要提供醫療業者的收入周期管理、支付管理，以及健康資訊交換解決方案，每年處理150億筆的醫療照護交易，涉及1/3的美國病患紀錄。</p> <p>該公司在今年2月遭到勒索軟體BlackCat的攻擊，駭客利用竊來的憑證入侵了Change Healthcare的Citrix遠端存取服務，盜走了6GB的資料，也加密了Change Healthcare系統。隨後Change Healthcare並未說明外洩的筆數，僅說使用者的健康資訊、健保資訊、支付資訊，或是社會安全碼與駕照號碼等資訊外洩了。</p> <p>UnitedHealth Group在今年5月<a href="https://www.ithome.com.tw/news/162639" target="_blank">坦承</a>支付贖金予駭客，惟並未證實金額是否為外傳的2,200萬美元。</p> <p>然而，根據BleepingComputer的<a href="https://www.bleepingcomputer.com/news/security/unitedhealth-says-data-of-100-million-stolen-in-change-healthcare-breach/" target="_blank">報導</a>，BlackCat在收到贖金之後，忽然關閉了，而且將贖金據為己有，並未分配給合作夥伴，但此一合作夥伴依然握有Change Healthcare的機密資料，並再度向該公司勒索，而母公司UnitedHealth很可能支付了第二次的贖金。</p> <p>UnitedHealth今年4月公布<a href="https://www.ithome.com.tw/news/162361" target="_blank">第一季財報</a>時，編列了8.72億美元的網路攻擊成本，其中有5.93億美元屬於直接回應攻擊成本，另外的2.79億美元則是因攻擊所招致的業務損失，並估計總成本將超過10億美元；而在UnitedHealth<a href="https://www.unitedhealthgroup.com/content/dam/UHG/PDF/investors/2024/UNH-Q3-2024-Release.pdf" target="_blank">今年第3季的財報</a>中，列出了該攻擊對該公司今年前9個月的影響，顯示相關成本已超過24.5億美元。</p> </div></div></div>
2024/10/28 13:53作者陳曉莉https://www.ithome.com.tw/news/165715
【資安週報】1021~1025，NHK記錄片再次引發大眾對安洵事件的關注，揭發中國對全球發動認知戰內幕
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧10月第四星期的資安新聞主要焦點，莫過於<a href="https://www.nhk.jp/p/special/ts/2NY2QQLPM3/episode/te/GNM1LMZGJ5/">日本電視臺NHK近期公開一部記錄片</a>，揭露中國資安業者安洵信息外洩文件，曝光了中國對台認知戰的內幕。<a href="https://www.ithome.com.tw/news/161454">今年2月我們已經報導此事</a>，當時安洵信息外洩資料暴露中國政府對全球各地的網路間諜攻擊手段，也顯現出中國民間的資安組織在政府從事全球性的APT攻擊中，亦發揮關鍵的作用。</p> <p>如今NHK耗時半年前往7國繼續深入調查此事，並以記錄片形式揭發此威脅手段，強調中國現在的網路攻擊不只針對系統，網路攻擊也同時針對民眾，透過大量網路輿論操弄的影響力行動來發動「認知戰」。事實上，近年許多資安業者都在持續強調這方面的威脅，需要更多國人重視這類問題。</p> <p>在資安威脅與警訊上，有兩則重要新聞，一是當心中國駭客組織IcePeony鎖定網頁伺服器注入Web Shell，以及針對IIS伺服器建立後門IceCache的狀況，資安業者發現該組織從去年就鎖定亞洲多國；另一是注意新興勒索軟體Cicada3301，有資安業者指出這是今年6月才開始出現，但最近3個月內已有30家企業組織遭受攻擊，主要鎖定企業的VMware虛擬化平臺、NAS設備。</p> <p>在資安事件方面，臺灣這一星期就有5家上市公司發布資安重訊，包括美利達、豐祥-KY、華新科、台船，以及正新代加拿大子公司發布，涵蓋產業包括自行車廠、輪胎廠、機車零配件廠、被動元件廠，以及國內最大造船廠。其中華新科的事故成主要焦點，因為後續已有媒體報導指出，勒索軟體駭客RansomHub在暗網宣稱握有該公司150 GB的機密資料；另一焦點在於，有兩家公司指出遭攻擊狀況與郵件系統帳號有關，喚起國內對這方面的警惕，因為這類情形過往很少登上重訊版面。</p> <p>●自行車廠美利達在21日發布重訊，說明偵測到部份郵件系統使用者帳號遭攻擊，已啟動防禦與修改使用者帳密。<br /> ●輪胎廠正新於21日代表旗下Cheng Shin Rubber Canada發布重訊，說明該子公司部份資訊系統遭受駭客網路攻擊。<br /> ●電機機械業豐祥-KY在22日發布重訊，說明公司資訊系統在凌晨遭受加密攻擊，已查出加密源頭並阻斷，正在恢復系統。<br /> ●被動元件廠華新科在23日發布重訊，說明部份資訊系統遭受駭客網路攻擊。<br /> ●國內最大造船廠台船在24日發布重訊，說明偵測到部分郵件系統使用者遭攻擊，已啟動防禦與修改使用者帳密。</p> <p>國際間則有2起事故受關切，包括思科坦承客戶支援網站資料外流，強調公司內部並未遭駭，以及資安業者ESET在以色列的合作夥伴傳出遭受攻擊，ESET強調公司內部並未遭到入侵，正與當地合作夥伴調查此事。此外，今年8月日本馬達大廠尼得科遭駭，如今有進一步的調查結果公布，研判駭客之所以得逞是因為取得了員工VPN帳密資料。</p> <p>在漏洞利用方面，這一星期有3個零時差漏洞利用需要重視，攻擊者鎖定Fortinet、Cisco與ScienceLogic產品，顯現出企業產品成為攻擊目標的態勢依然顯著。有一起已調查出幕後攻擊者，資安業者Mandiant指出，關於鎖定Fortinet漏洞的攻擊，已發現是名為UNC5820的駭客組織所為，並且是在6月底就出現嘗試利用跡象。</p> <p>●Fortinet修補涉及FortiManager的零時差漏洞CVE-2024-47575，Mandiant在公告後隔天揭露，有駭客組織在4個月前就將其用於實際攻擊行動。<br /> ●Cisco針對旗下多款產品修補51個漏洞，其中包含針對零時差漏洞CVE-2024-20481的修補，因為該公司PSIRT發布修補時即指出有遭利用跡象。<br /> ●ScienceLogic修補SL1平臺的零時差漏洞CVE-2024-9537，美國CISA已將此漏洞列入已知漏洞利用清單。<br /> ●微軟在7月初修補SharePoint的漏洞CVE-2024-38094，以及Roundcube在6月初修補Webmail的漏洞CVE-2024-37383，近日發現有駭客針對未修補用戶攻擊的情形。</p> <p>此外，蘋果在9月修補恐影響MDM行動裝置管理平臺的漏洞CVE-2024-44133，有業者示警疑似漏洞利用跡象。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/165602"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月21日】Internet Archive再傳遭駭</span></strong></a></h3> <p>兩週前駭客入侵網際網路檔案館（Internet Archive），並竄改其網頁，向密碼外洩資料庫Have I Been Pwned（HIBP）提供竊得的逾3千萬筆帳號資料，如今這起事故出現新的發展。</p> <p>在這波攻擊行動裡，駭客濫用該網站的IT服務臺系統Zendesk向用戶寄信「警告」，並取笑維護團隊處理資安事故的速度極為緩慢，用戶的資料外流到不知名人士手中。</p> <h3><a href="https://www.ithome.com.tw/news/165631"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月22日】資安業者ESET以色列合作夥伴驚傳遭駭，駭客冒名從事網釣攻擊</span></strong></a></h3> <p>駭客鎖定合作廠商發動攻擊的情況，很難不讓人聯想到供應鏈攻擊。最近發生在資安業者ESET合作夥伴Comsecure的資安事故，就是這樣的例子。</p> <p>值得留意的是，駭客疑似透過Comsecure經營的網域，意圖打著ESET的名號，假借提供防護工具為由，向以色列人散布資料破壞軟體（Wiper），為何攻擊者能夠利用該網域寄信？該公司並未進一步說明。</p> <p><a href="https://www.ithome.com.tw/news/165652"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月23日】中國駭客組織IcePeony對亞洲國家網頁伺服器發動SQL注入攻擊</span></strong></a></p> <p>中國駭客的攻擊行動頻傳，我們昨天報導APT41針對賭博及遊戲業者<a href="https://www.ithome.com.tw/news/165606">進行為期接近9個月的網路間諜行動</a>，另一個過往未曾被發現的駭客組織IcePeony也相當值得留意，因為，這些駭客專門針對影響中國的海洋戰略趨勢，對特定亞洲國家發動攻擊。</p> <p>值得留意的是，這些駭客也似乎比照中國IT業者的「996」上班制度長時間活動，這意味著，他們可能持續對企業組織的網路環境發動攻擊，而且每天活動的期間涵蓋一般IT人員已經下班的時間。</p> <p><a href="https://www.ithome.com.tw/news/165683"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月24日】FortiManager零時差漏洞已被用於實際攻擊行動</span></strong></a></p> <p>本週研究人員揭露多起漏洞利用攻擊的資安事故，例如：Fortinet網路設備管理系統漏洞CVE-2024-47575、三星行動裝置處理器漏洞CVE-2024-44068、macOS作業系統漏洞CVE-2024-44133。</p> <p>其中，又以CVE-2024-47575相當值得留意，原因是這項漏洞在Fortinet尚未公開之前，已有研究人員提出警告，並有企業傳出遭受攻擊的情況。</p> <p><a href="https://www.ithome.com.tw/news/165697"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月25日】Fortinet零時差漏洞4個月前就遭駭客組織UNC5820利用</span></strong></a></p> <p>本週最受到矚目的漏洞，應該就屬網路設備管理平臺FortiManager零時差漏洞CVE-2024-47575（也被稱做FortiJump），在Fortinet對外發布資安公告之後，有資安業者證實已有企業遭遇相關攻擊。</p> <p>資安業者Mandiant指出，他們看到駭客組織UNC5820在今年6月就開始利用這項漏洞，但對於攻擊者的身分，以及運用漏洞的目的，迄今仍無法掌握。</p> <p> </p> </div></div></div>
2024/10/27 22:08作者羅正漢https://www.ithome.com.tw/news/165708
蘋果可能正測試血糖管理App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>彭博引述消息人士<a href="https://www.bloomberg.com/news/articles/2024-10-25/apple-secretly-tests-blood-sugar-app-in-sign-of-health-ambitions" target="_blank">報導</a>，蘋果今年曾進行過血糖管理App的測試，不過短期間消費者應該看不到這款應用程式。</p> <p>報導指出，蘋果內部今年曾做過一項App測試，該App要求使用的員工需先證明的確是經由血液測試為糖尿病前期（pre-diabetic），然後他們再使用多種市售血糖計自我監控血糖值，同時以該App記錄飲食造成的血糖變化。</p> <p>糖尿病前期是一種代謝問題，可能即將演進成第二型糖尿病，但糖尿病前期可透過運動及飲食管理逆轉。<a href="https://idf.org/about-diabetes/diabetes-facts-figures/" target="_blank">根據統計</a>，全世界20到79歲人口有1/10人口患有糖尿病，有鑒於糖尿病的後遺症及對各國醫療支出的沈重負擔，糖尿病前期管理是公共健康管理領域一大重點。</p> <p>報導指出，蘋果蒐集血糖變化的目的是為了研究未來蘋果可能的研發方向，但是蘋果後來也暫停該App的研究，而轉向其他功能。</p> <p>蘋果研究這項功能並不令人意外。蘋果近年一直努力強化iPhone及Apple Watch的健康管理能力，迄今消費者已經可用Apple Watch偵測心電圖／心律不整、呼吸、睡眠狀態。去年Apple Watch還加入血氧飽和度偵測，直到被Masimo控告侵權，才全面移除這功能。外傳蘋果也正在研究血壓量測。</p> <p>報導指出，蘋果已花了15年投入研究非侵入式血糖值研究。為了免除採血痛苦，非侵入方法一直是科技廠商<a href="https://www.ithome.com.tw/news/134556" target="_blank">追求的目標</a>，然而迄今尚沒有夠精準的非侵入量測方法。Google姐妹公司Verily研究多年的血糖量測隱形眼鏡研發，在投入5年後，於<a href="https://www.ithome.com.tw/news/127118" target="_blank">2018年</a>宣布暫停研究。</p> </div></div></div>
2024/10/28 11:46作者林妍溱https://www.ithome.com.tw/news/165709
Meta AI首簽媒體內容授權合作，可存取路透社新聞內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了強化Meta AI的應用效益，Meta近日與媒體集團路透社（Reuters）簽定首個主要內容授權合作案，使其Meta AI聊天機器人得以搜尋及顯示後者的新聞內容。</p> <p><a href="https://www.axios.com/2024/10/25/meta-reuters-ai-news-facebook-instagram" target="_blank">《Axios》</a>首先報導，在Meta和路透社的多年合作下，Meta AI在回應用戶查詢時，將可顯示路透社新聞內容重點摘要及連結。路透社已經向媒體<a href="https://www.theverge.com/2024/10/25/24279259/meta-reuters-ai-chatbot-deal-news-licensing-media" target="_blank">證實</a>此事。</p> <p>Meta AI和路透社的內容授權，可涵括Meta眾多社群平臺應用，包括臉書（Facebook）、Instagram（IG）、WhatsApp、FB Messenger。</p> <p>這是在各家大廠掀起AI實力競賽以來，Meta簽下的首個內容授權合約。相較之下，OpenAI已經獲得多家歐美主要媒體的內容授權，可在ChatGPT上顯示新聞內容及連結，包括美國的紐約郵報、<a href="https://www.ithome.com.tw/news/163046" target="_blank">華爾街日報</a>、大西洋日報（The Atlantic）、法國的Le Monde、西班牙的<a href="https://www.ithome.com.tw/news/161783" target="_blank">Prisa Media</a>與德國的Axel Springer等。</p> <p>上周微軟及OpenAI<a href="https://www.ithome.com.tw/news/165647" target="_blank">合作</a>，則藉由AI協作及獎學金計畫（Lenfest Institute AI Collaborative and Fellowship Program），資助新聞編輯室探索AI的應用，以改善媒體關係。</p> </div></div></div>
2024/10/28 12:03作者林妍溱https://www.ithome.com.tw/news/165713
Amazon修補AWS Cloud Development Kit帳戶可被接管的安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aquasec.com/blog/aws-cdk-risk-exploiting-a-missing-s3-bucket-allowed-account-takeover/" target="_blank">資安業者Aqua上周揭露</a>了一個曾經存在於AWS Cloud Development Kit（AWS CDK）的安全漏洞，此一漏洞可能允許駭客接管CDK用戶帳戶，但在AWS收到Aqua通知之後，已於今年10月將其修補，並估計約有1%的CDK用戶受到影響。</p> <p>AWS CDK是個開源的基礎設施即程式碼（Infrastructure as Code，IaC）開發框架，它讓開發人員可透過自己熟悉的程式碼來定義雲端基礎設施，CDK可直接將這些程式碼轉換成AWS可解釋與部署的配置。</p> <p>要使用AWS CDK之前，開發人員必須先初始化其環境，以替CDK的堆疊部署作準備，在此一程序中，AWS CDK會建立一個暫時的S3儲存桶來存放部署資產，該儲存桶的命名是唯一的、與使用者帳戶有關，而且是可預測的。因此，駭客只要知道目標對象的帳號ID，就能跨所有AWS區域替CDK建立暫存的S3儲存桶。</p> <p>在駭客取得AWS CDK用戶的儲存桶之後，有兩個可能的情況，一是該儲存桶屬於新用戶，根本尚未被建立，因此此一新用戶在初始化期間要建立時就會出現錯誤，二是該儲存桶屬於舊用戶，而且已被該用戶移除（所以才能再被建立）。</p> <p>就算AWS CDK用戶手動刪除了S3儲存桶，但系統在部署時仍會存取該儲存桶，因而讓駭客有機可趁，修改使用者上傳的範本，進而獲得目標帳戶的完整控制權。</p> <p>Aqua分析了38,560個AWS帳戶，發現當中有2%安裝了CDK，並有10%帳戶及超過100個儲存桶可能受到上述攻擊，而AWS則說約有1%的CDK用戶受到影響。</p> <p>在今年6月收到Aqua的報告後，AWS即著手改善，包括在初始化時添增一個新條件，確保它只信任用戶帳戶中的S3儲存桶，以避免CDK將資料傳送到不屬於初始化程序帳戶擁有的儲存桶；另也更新文件，鼓勵使用者客製化初始化時的資源，以客製化的Qualifier取代預設的hnb659fds。值得注意的是，使用今年7月發表的CDK v2.148.1或是更早的CDK版本仍然受到上述漏洞的影響。</p> <p>Aqua建議開發人員應將自己的AWS帳戶ID視為機密，以免遭到鎖定或利用；使用IAM政策中的條件，來避免用戶或服務存取不可靠的儲存桶；以及不要使用可預測的儲存桶名稱。</p> </div></div></div>
2024/10/28 12:18作者陳曉莉https://www.ithome.com.tw/news/165714
Claude.ai推JavaScript分析工具，強化資料處理與視覺化能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Anthropic在Claude.ai加入<a href="https://www.anthropic.com/news/analysis-tool">全新資料分析工具</a>，內建JavaScript程式碼編寫和執行功能，使Claude能編寫JavaScript程式碼，並利用沙箱環境處理資料、執行計算，並生成即時分析結果，協助各種領域的使用者，有效挖掘資料中的資訊。此功能目前已經在預覽功能中開放所有用戶使用。</p> <p>Claude.ai的分析工具讓用戶可以載入、清理並分析大規模資料，例如CSV檔案中的資料集。Claude.ai藉由編寫JavaScript程式碼，企業可快速處理客戶互動資料，或是深入了解不同市場的銷售績效，甚至是分析終端用戶參與度資料。JavaScript分析工具的優勢之一，在於JavaScript這個語言的即時互動性和高相容性，讓用戶可以直接在瀏覽器中執行程式碼，快速處理和視覺化資料。</p> <p>此JavaScript資料分析工具解決傳統資料處理中，繁瑣的手動步驟與跨平臺作業限制，過去企業的資料常需要先在其他工具中經過處理後再匯入進行分析，這過程不僅耗時且容易出現錯誤，而現在Claude.ai內建功能讓用戶可在同一個平臺中，完成資料清理、探索和運算，獲得更加精確可驗證的結果，提升分析效率。</p> <p>雖然Claude一直以來都能夠編寫程式碼，但是這個JavaScript分析工具，可在Claude.ai平臺內直接執行這些程式碼，進而支援各種資料分析任務。這代表Claude不僅能提供有邏輯且經過推敲的答案，還能透過實際運算產生數學上精確且可重現的結果，讓分析更加可靠。</p> <p>用戶現在登入Claude.ai平臺，在設定中啟用分析工具預覽，即可開始使用JavaScript分析功能，進行各種資料處理和分析操作。此一工具不僅提升Claude應用深度，也拓展了企業應用人工智慧分析資料和視覺化的選擇。</p> </div></div></div>
2024/10/27 03:42作者李建興https://www.ithome.com.tw/news/165704
DeepMind公布整合2種思維模式的Talker-Reasoner AI代理人框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google DeepMind<a href="https://arxiv.org/abs/2410.08328v1" target="_blank">上周公布</a>具備2種思維模式的系統框架，可讓AI代理人（agent）能兼具快、慢思考的效益。</p> <p>現有大型語言模型能以自然語言和使用者互動，具有二種能力，包括對話和規劃／思考。DeepMind團隊設計的一種由雙系統組成的Talker-Reasoner代理人框架，能同時執行對話及多步驟推理任務，一如由以色列諾貝爾經濟學家Daniel Kahneman提倡的「快思慢想」（之後也被翻譯成多國語言版本，包括<a href="https://www.books.com.tw/products/0010962486" target="_blank">繁中版</a>）的人類一樣。</p> <p>DeepMind設計的雙系統代理人框架中，系統1 Talker LLM能執行快速、直覺及合成語言回應，負責感知觀察外界、獲得用戶回應，並且以自然對話和用戶互動。系統2 Reasoner LLM負責解決複雜的問題，這牽涉從外界取得資訊增強其知識，像是呼叫工具、從外部資料庫獲取資訊。相較Talker LLM的快速回應，Reasoner的運行更為緩慢、深刻及具邏輯性，包含多階段推理和規劃、呼叫、執行行為等動作。Talker和Reasoner之間經由共同記憶體互動。Reasoner獲得知識後，除了執行行為，也更新其（記憶體中的）知識信仰，並提供Talker產生新的說話內容。在接獲使用者互動輸入問題時，Talker可以以現有知識為基礎、提供直覺回應，也可以等待Reasoner代理人產出知識，延遲回應使用者。</p> <p>DeepMind團隊利用Gemini 1.5 Flash設計出包含雙系統AI代理人，在測試中，讓該系統扮演使用者睡眠指導顧問，在聽取使用者說明後，提供改善睡眠的建議。研究團隊發現，系統在「理解」使用者問題階段，其代理人（Talker）直覺化、流暢回應使用者，但當Reasoner未能理解其指導是哪個階段時，會提供較直覺化而無用的建議。例如使用降噪窗帘及隔音板。為解決此問題，研究團隊加入「指導」階段說明，Talker一旦讀取到指導階段時，就會等待Reasoner提供的資訊，而非直覺回應用戶。這時系統2就取得主導，而非只給系統1產出的回應，例如為房間換顏色柔和的壁紙。</p> <p>研究人員指出，本研究是首個使用雙系統的代理人，欲改善其效用，未來可以讓Talker-Reasoner框架中的Talker自動判斷是否加入System 2的資訊作為回應，或是System 2加入更多Reasoner，以多元化其輸入的記憶資訊。</p> </div></div></div>
2024/10/27 03:56作者林妍溱https://www.ithome.com.tw/news/165705
害停機多天，達美航空正式控告CrowdStrike求償5億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7月間安全廠商Crowdstrike更新軟體元件導致全球數百萬Windows PC當機，受累的達美航空（Delta Airlines）上周正式提告，要求至少5億美元的賠償。</p> <p><a href="https://www.reuters.com/legal/delta-sues-crowdstrike-over-software-update-that-prompted-mass-flight-2024-10-25/" target="_blank">路透社</a>等多家<a href="https://www.aol.com/delta-sues-crowdstrike-over-software-012219252.html" target="_blank">媒體</a>報導，達美航空向喬治亞州富爾頓（Fulton）郡高等法院提告，指Crowdstrike強迫將未測試的錯誤更新部署給客戶，導致850萬臺Windows電腦崩潰，引發災難性後果，要求5億美元損失以及利潤損失、律師費、商譽損失和未來營收損失。</p> <p>7月中Crowdstrike部署軟體更新到用戶電腦過程中引發Windows系統暫停運作，影響多個產業客戶。微軟估計事件影響850萬臺Windows PC。達美航空聲稱，若Crowdstrke有測試問題更新，就不會發生此事，此錯誤更新無法遠端移除，危及公司業務，造成大量班次延遲。該公司說受Windows當機影響，40,000臺Windows伺服器必須手動重啟，其中一個和追蹤機組人員相關的工具受創最鉅，因其無法處理這次變更造成的系統負荷。該公司估計，停機的5天期間達美和Delta Connection航空超過7,000個航班取消，影響超過130萬旅客。</p> <p>達美航空除了退費外，也必須賠償7月19日到28日的旅客損失。此外，達美航空因賠償爭議，8月間還<a href="https://edition.cnn.com/2024/08/07/business/delta-passengers-sue-crowdstrike-meltdown/index.html" target="_blank">引發</a>旅客集體控告。</p> <p>不過Crowdstrike上周回應，達美航空說法是基於沒有根據的錯誤資訊，顯示不理解現代化網路安全運作方式，反映其推卸未能現代化老舊系統的責任。事實上只要刪除更新的Crowdstrike檔案重開機就能排除問題。這家資安業者說，事發時表示願提供到府協助，但遭到達美航空拒絕，推論可能是因為達美部署的不是現代化的Windows系統。</p> <p>美國運輸部已於7月底<a href="https://edition.cnn.com/2024/07/24/tech/crowdstrike-outage-cost-cause/index.html?cid=external-feeds_iluminar_yahoo" target="_blank">啟動調查</a>。</p> </div></div></div>
2024/10/27 04:19作者林妍溱https://www.ithome.com.tw/news/165706
【資安日報】10月25日，Fortinet零時差漏洞4個月前就遭駭客組織UNC5820利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週最受到矚目的漏洞，應該就屬網路設備管理平臺FortiManager零時差漏洞CVE-2024-47575（也被稱做FortiJump），在Fortinet對外發布資安公告之後，有資安業者證實已有企業遭遇相關攻擊。</p> <p>資安業者Mandiant指出，他們看到駭客組織UNC5820在今年6月就開始利用這項漏洞，但對於攻擊者的身分，以及運用漏洞的目的，迄今仍無法掌握。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165689"><strong style="font-size: 22px;">針對Fortinet本週揭露的網路設備管理平臺零時差漏洞，研究人員指出6月就已遭到利用</strong></a></p> <p>資安業者Fortinet週三（10月23日）發布公告，揭露網路設備管理平臺FortiManager重大漏洞CVE-2024-47575（也被稱做FortiJump），並警告已有實際利用的情況，有資安業者Mandiant在公告後隔天揭露，他們在4個月前就掌握到駭客攻擊行動。</p> <p>他們發現名為UNC5820的駭客組織，於6月27日就開始嘗試利用上述漏洞攻擊FortiManager，從而將受到管理的FortiGate防火牆組態資料流出。這些詳細資料包含使用者名稱及經過雜湊處理的密碼，攻擊者有機會進一步對FortiManager下手，並對受到管理的其他Fortinet裝置進行橫向移動，進而對企業環境發動進一步攻擊。</p> <p>不過，根據研究人員取得的情報，他們尚未發現駭客利用漏洞進行橫向移動的跡象，而且也沒有後續活動，對於攻擊者的意圖或是地理位置，目前仍不得而知。</p> <p><a href="https://www.ithome.com.tw/news/165669"><strong style="font-size: 22px;">北韓駭客Lazarus假借DeFi遊戲為誘餌，利用Chrome零時差漏洞發動攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Lazarus_APT_for_SAS_11.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Lazarus_APT_for_SAS_11.png" style="width: 300px; float: right;" /></a>5月15日Google發布Chrome 125更新（125.0.6422.60、61），修補零時差漏洞CVE-2024-4947，通報此弱點的資安業者卡巴斯基表示，當時他們看到北韓駭客組織Lazarus假借提供電玩遊戲的名義，並利用這項漏洞企圖控制受害者的電腦。</p> <p>這起攻擊行動之所以曝光，起初是在5月13日，該廠牌防毒軟體在俄羅斯個人用戶的電腦，偵測到後門程式Manuscrypt感染的情況，由於使用該惡意程式的Lazarus鮮少針對個人用戶下手，這樣的情況引起研究人員的注意，進一步調查發現，detankzone[.]com網站利用瀏覽器弱點發動攻擊。</p> <p>研究人員進一步指出，攻擊者架設的網站以TypeScript及React打造而成，他們將漏洞利用程式碼埋在名為index.tsx的檔案，但值得留意的是，這些程式碼不光利用CVE-2024-4947，還運用另一個近期才揭露的V8沙箱弱點。</p> <p><a href="https://www.ithome.com.tw/news/165679"><strong style="font-size: 22px;">北韓IT人員到歐美企業遠距任職引發危機，可能導致商業機密遭竊、勒索</strong></a></p> <p>最近2到3年美國政府多次提出警告，要企業防範北韓駭客假借謀取遠距辦公職務的名義，取得企業內部網路環境的存取權限，從事間諜活動並偷取機密資料的情況，今年美國更是二度查緝協助這些「IT人員」犯案的筆電農場（Laptop Farm），自資安意識教育訓練業者KnowBe4公布他們不慎雇用北韓駭客差點資料外流的事故，有資安業者針對這種威脅態勢進行調查，並指出近期相關攻擊已出現顯著變化。</p> <p>資安業者Secureworks指出，他們針對專門從事這類攻擊的駭客組織Nickel Tapestry（也被稱做Famous Chollima、UNC5267）進行追蹤，結果發現這些駭客在得手企業內部資料後，開始會向雇主進行勒索，要求付錢換取不將資料外流。研究人員指出，這樣的手法過往未曾出現。</p> <p>在其中一起事故裡，受害企業因該員工表現不佳終止僱傭關係，不久就收到一系列電子郵件，其中一封挾帶聲稱竊得內部機密資料的ZIP檔案，另一封則是要求受害企業支付數十萬美元的加密貨幣贖金，後來駭客從另一個電子郵件信箱寄信，以Google Drive共享檔案來表明，他們握有更多內部資料，藉此施壓。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/new-rust-based-embargo-ransomware-threatens-us-companies-with-advanced-attack-techniques/">以Rust打造的Embargo勒索軟體鎖定美國企業而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/misconfigured-un-database-gender-violence-victims-data/">聯合國資料庫配置不當，曝露228 GB性暴力受害者資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/10/cisa-warns-of-active-exploitation-of.html">美國警告SharePoint漏洞CVE-2024-38094出現實際攻擊行動</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165693"><strong style="font-size: 22px;">思科針對網路防火牆產品線的多個軟體平臺發布更新，總共修補51個弱點</strong></a></p> <p>10月23日思科針對旗下防火牆系統Adaptive Security Appliance（ASA）、Firepower Threat Defense（FTD），以及集中控管軟體Firewall Management Center（FMC）發布一系列資安公告，揭露51項漏洞，並發布更新軟體修補。</p> <p>根據CVSS風險評分，這次有3項被列為重大層級的漏洞CVE-2024-20329、CVE-2024-20412、CVE-2024-20424最為危險，資安風險評為9.9至9.3分。</p> <p>除了上述的重大層級漏洞，另一個中度風險的漏洞CVE-2024-20481也值得留意，因為，該公司產品安全事件回應團隊（PSIRT）已經發現有人利用的跡象。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/nvidia-patches-high-severity-flaws-in-windows-linux-graphics-drivers/">針對顯示晶片驅動程式，Nvidia修補8項高風險漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/chrome-patches-multi-vulnerabilities-in-latest-stable-release/">Google發布Chrome 130更新，修補高風險漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165690"><strong style="font-size: 22px;">為強化Apple Intelligence雲端運算安全，蘋果祭出抓漏獎勵</strong></a></p> <p>蘋果於本周四（10月24日）公開邀請所有安全及隱私研究人員，或者是任何有興趣的人存取Private Cloud Compute（PCC），並提供抓漏獎勵，最高可獲得100萬美元的獎金。為了實現此一宣布，蘋果提供了PCC的安全指南，PCC的虛擬研究環境（Virtual Research Environment，VRE），以及PCC的某些關鍵原始碼。</p> <p>什麼是PCC？這是蘋果AI服務Apple Intelligence的一環，使用者可於Mac、iPhone及iPad上直接執行AI任務，更複雜的任務將會移至PCC執行。值得一提的是，這是蘋果第一次將裝置的安全及隱私能力擴展至雲端，以確保發送到PCC的個人資料無法被使用者之外的任何人存取，包括蘋果在內。蘋果號程PCC是雲端大規模AI運算史上最先進的安全架構。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165683"><strong>【10月24日】FortiManager零時差漏洞已被用於實際攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165652"><strong>【10月23日】中國駭客組織IcePeony對亞洲國家網頁伺服器發動SQL注入攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165631"><strong>【10月22日】資安業者ESET以色列合作夥伴驚傳遭駭，駭客冒名從事網釣攻擊</strong></a></p> </div></div></div>
2024/10/25 16:38作者周峻佑https://www.ithome.com.tw/news/165697
針對Fortinet本週揭露的網路設備管理平臺零時差漏洞，研究人員指出6月就已遭到利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Fortinet週三（10月23日）發布公告，揭露<a href="https://www.ithome.com.tw/news/165661">網路設備管理平臺FortiManager重大漏洞CVE-2024-47575（也被稱做FortiJump</a>），並警告已有實際利用的情況，有資安業者著手進行調查，表示在4個月前就有駭客掌握並用於攻擊行動。</p> <p>資安業者Mandiant表示，<a href="https://cloud.google.com/blog/topics/threat-intelligence/fortimanager-zero-day-exploitation-cve-2024-47575">他們發現名為UNC5820的駭客組織，於6月27日就開始嘗試利用上述漏洞攻擊FortiManager</a>，從而將受到管理的FortiGate防火牆組態資料流出。這些詳細資料包含使用者名稱及經過雜湊處理的密碼，攻擊者有機會進一步對FortiManager下手，並對受到管理的其他Fortinet裝置進行橫向移動，進而對企業環境發動進一步攻擊。</p> <p>不過，根據研究人員取得的情報，他們尚未發現駭客利用漏洞進行橫向移動的跡象，而且也沒有後續活動，對於攻擊者的意圖或是地理位置，目前仍不得而知。</p> <p>他們先後看到兩次漏洞利用的情況，第一次發生在6月27日，多臺FortiManager裝置收到來自特定IP位址及541埠通訊協定的流量，幾乎在同一時間，攻擊者將多種Fortinet設備的組態配置檔案，打包成Gzip壓縮檔/tmp/.tm。</p> <p>到了9月23日，研究人員再度於相同組織看到漏洞利用的跡象，而且，這兩次事故有個奇怪的模式，納就是駭客在壓縮檔打包完成不久，就產生對外流量。</p> <p>其中，在第2次利用漏洞的時候，攻擊者將自己的裝置向FortiManager進行註冊。研究人員提及，一旦攻擊者利用這項漏洞對FortiManager下手，該設備的管理主控臺就有可能出現未經授權的「裝置」。</p> <p>雖然攻擊者的動機仍不明朗，但Mandiant與Fortinet仍持續合作，針對各行各業超過50個可能會出現大規模攻擊的FortiManager裝置著手調查，並呼籲將FortiManager曝露在網際網路的企業，應著手調查是否有遭到入侵的跡象。</p> </div></div></div>
2024/10/25 12:08作者周峻佑https://www.ithome.com.tw/news/165689
美國發布首個AI國家安全備忘錄
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國總統拜登（Joe Biden）周四（10/24）<a href="https://www.whitehouse.gov/briefing-room/statements-releases/2024/10/24/fact-sheet-biden-harris-administration-outlines-coordinated-approach-to-harness-power-of-ai-for-u-s-national-security/" target="_blank">發布了</a>首個與人工智慧（Artificial Intelligence，AI）有關的<a href="https://www.whitehouse.gov/briefing-room/presidential-actions/2024/10/24/memorandum-on-advancing-the-united-states-leadership-in-artificial-intelligence-harnessing-artificial-intelligence-to-fulfill-national-security-objectives-and-fostering-the-safety-security/" target="_blank">國家安全備忘錄</a>（National Security Memorandum，NSM），其三大重點為確保美國引領全球的AI發展，利用尖端的AI技術推動美國國家安全，以及推動AI的國際治理。</p> <p>備忘錄在美國政府中並不具備法律約束力，但擁有指導性地位，提供明確的政策方向與原則。此一AI備忘錄將確保採用AI的同時反映民主價值，而且保護人權、公民權利、公民自由及隱私，亦尋求國際上的AI使用規範，也將採取行動追蹤並防禦對手在AI上的發展與應用。</p> <p>簡而言之，美國希望自己成為全球的AI領導者，在利用AI技術來促進國家安全的同時，也將觀察並防禦對手的AI發展，希望擁有同樣價值觀的國家共同建立AI規範。</p> <p>上述三大重點支柱的細項包括：拜登簽署《晶片法案》（CHIPS Act）以投資開發AI系統所需的大量高階晶片；將競爭對手針對美國AI產業的間諜行動的情報列為最高優先等級；指定AI安全研究所（AI Safety Institute）作為美國AI產業的主要聯繫窗口；加強對National AI Research Resource的支持，以讓大學、民間與小企業的研究人員可進行有意義的AI研究，而非只仰賴大企業。</p> <p>其它細項則包括有效地將AI應用於國家安全任務，同時遵循民主價值觀；在國家安全領域建立一個AI治理及風險管理的框架；已有56個國家簽署《軍事使用AI與自主武器的政治宣言》（Political Declaration on the Military Use of AI and Autonomy）建立軍事AI能力的原則；以及指示美國與盟國合作建立一個負責任且尊重人權的AI治理框架等。</p> </div></div></div>
2024/10/25 14:28作者陳曉莉https://www.ithome.com.tw/news/165692
思科針對網路防火牆產品線的多個軟體平臺發布更新，總共修補51個弱點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10月23日思科針對旗下防火牆系統Adaptive Security Appliance（ASA）、Firepower Threat Defense（FTD），以及集中控管軟體Firewall Management Center（FMC）<a href="https://sec.cloudapps.cisco.com/security/center/viewErp.x?alertId=ERP-75300">發布一系列資安公告</a>，揭露51項漏洞，並發布更新軟體修補。</p> <p>根據CVSS風險評分，這次有3項被列為重大層級的漏洞<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asa-ssh-rce-gRAuPEUF">CVE-2024-20329</a>、<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ftd-statcred-dFC8tXT5">CVE-2024-20412</a>、<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-fmc-cmd-inj-v3AWDqN7">CVE-2024-20424</a>最為危險，資安風險評為9.9至9.3分。</p> <p>其中最嚴重的是CVE-2024-20329與CVE-2024-20424。CVE-2024-20329存在於ASA系統，為SSH遠端命令注入漏洞，攻擊者可在未經授權的情況下，遠端以root的權限執行作業系統層級的命令。</p> <p>這項漏洞發生的原因，在於未充分驗證使用者輸入內容，導致攻擊者有機會在透過SSH遠端執行命令的過程中，藉由提出偽造的輸入利用漏洞。一旦成功觸發，攻擊者就能以root等級的權限在作業系統底層執行命令，CVSS風險值為9.9。</p> <p>另一個同樣被評為9.9分的漏洞是CVE-2024-20424，這項漏洞發生在管理平臺FMC，屬於命令注入類型的弱點，同樣也能讓未通過身分驗證的攻擊者，遠端在作業系統底層以root執行任意命令。</p> <p>造成這項漏洞的原因在於，FMC的特定HTTP請求的輸入驗證不夠充分，攻擊者可藉由發送偽造的HTTP請求，在網頁管理介面進行身分驗證來觸發漏洞。一旦漏洞觸發，攻擊者就能掌握root權限，對FMC或納入此系統進行管理的FTD防火牆執行命令。不過，利用這項漏洞必須搭配特定條件，那就是攻擊者必須先取得被授與資安分析師角色的有效使用者帳密。</p> <p>第3個被列為重大層級的漏洞是CVE-2024-20412，這項漏洞影響執行FTD系統的Firepower 1000、2100、3100、4200系列防火牆，未經身分驗證的攻擊者可利用靜態的帳密資料，存取受到影響的系統。</p> <p>此漏洞涉及多個固定帳號密碼被寫死（hard-coded passwords）在系統的狀況，攻擊者可利用該漏洞於命令列介面（CLI）登入系統，成功利用漏洞有機會截取敏感資訊、執行有限的除錯作業、竄改部分組態，或是導致設備無法正常開機啟動作業系統，CVSS風險評為9.3分。</p> <p>除了上述的重大層級漏洞，另一個中度風險的漏洞<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-bf-dos-vDZhLqrW">CVE-2024-20481</a>也值得留意，因為，該公司產品安全事件回應團隊（PSIRT）已經發現有人利用的跡象。</p> <p>這項漏洞是在今年4月威脅情報團隊Talos調查<a href="https://www.ithome.com.tw/news/162367">大規模鎖定SSL VPN、SSH系統暴力破解攻擊</a>的過程發現，影響啟用Remote Access VPN（RAVPN）服務的ASA、FTD防火牆系統，未經身分驗證的攻擊者可遠端發動阻斷服務（DoS）攻擊，CVSS風險評為5.8。</p> <p>值得留意的是，思科坦承，想要緩解CVE-2024-20481漏洞，目前只能套用軟體更新，用戶應儘速處理。</p> </div></div></div>
2024/10/25 15:40作者周峻佑https://www.ithome.com.tw/news/165693
Meta釋出Llama 3.2 1B/3B模型的量化版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼於今年9月<a href="https://www.ithome.com.tw/news/165241" target="_blank">開源</a>Llama 3.2的1B與3B模型之後，Meta周四（10/24）釋出了<a href="https://ai.meta.com/blog/meta-llama-quantized-lightweight-models/" target="_blank">1B與3B模型的量化版</a>，讓模型大小平均減少了56%，記憶體使用量平均減少了41%，模型速度提高了2~4倍，還能降低功耗，以讓這些模型能夠部署到更多的行動裝置上。</p> <p>Meta說明，他們使用量化感知訓練（Quantization-Aware Training，QAT）與後訓練量化（SpinQuant）兩種方法來量化這兩個模型。前者使用LoRA調節器，於訓練過程中即考慮量化的影響，著重的是模型的準確性，後者則是在模型完成訓練後再進行量化，強調模型的可移植性。</p> <p>不管是Llama 3.2的1B或3B模型都各自有兩個量化版本，因此總計有4個量化模型，分別是Llama 3.2 1B QLoRA、Llama 3.2 1B SpinQuant，以及Llama 3.2 3B QLoRA與Llama 3.2 3B SpinQuant。</p> <p>Meta指出，這些量化的模型比非量化（Llama BF16）模型快得多，佔用更少的記憶體，使用更低的功耗，同時還保持與Llama BF16版本幾乎相同的精度。</p> <p>量化後的Llama 3.2 1B/3B模型儘管只支援8,000個Token的脈絡（原本支援12.8萬個Token），但Meta的評測卻發現，不管是Llama QLoRA或Llama SpinQuant等量化版本的各項基準測試，都與原來的Llama BF16版本相去不遠。</p> <p>Meta是與合作夥伴共同開發了量化模型，並將這些模型提供給搭載Arm CPU的高通與聯發科的系統單晶片。除了CPU之外，Meta亦計畫透過神經處理單元（NPU）來提升這些量化模型的性能，其合作夥伴已經於開源的行動裝置推論解決方案ExecuTorch上整合了可利用NPU的基礎元件，也正努力於NPU執行這些量化模型。</p> <p>迄今Meta已於Android OnePlus 12、三星S24+/S22及iOS裝置上測試過這些量化模型，確定它們都可達到相當的準確性。</p> </div></div></div>
2024/10/25 16:13作者陳曉莉https://www.ithome.com.tw/news/165694
蘋果開放研究人員存取Apple Intelligence的Private Cloud Compute，祭出抓漏獎勵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果於本周四（10/24）<a href="https://security.apple.com/blog/pcc-security-research" target="_blank">公開邀請</a>所有安全及隱私研究人員，或者是任何有興趣的人存取Private Cloud Compute（PCC），並將抓漏獎勵延伸到PCC，最高可獲得100萬美元的獎金。為了實現此一宣布，蘋果提供了PCC的<a href="https://security.apple.com/documentation/private-cloud-compute/navigation" target="_blank">安全指南</a>，PCC的<a href="https://security.apple.com/documentation/private-cloud-compute/vresetup" target="_blank">虛擬研究環境</a>（Virtual Research Environment，VRE），以及PCC的<a href="https://github.com/apple/security-pcc" target="_blank">某些關鍵原始碼</a>。</p> <p>Private Cloud Compute是蘋果AI服務Apple Intelligence的一環，使用者可於Mac、iPhone及iPad上直接執行AI任務，更複雜的任務便移至PCC執行。這也是蘋果第一次將裝置的安全及隱私能力擴展至雲端，以確保發送到PCC的個人資料無法被使用者之外的任何人存取，包括蘋果在內。蘋果還將PCC稱作是雲端大規模AI運算史上最先進的安全架構。</p> <p>先前蘋果已開放第三方稽核人員及安全研究人員存取包括VRE在內的PCC資源，以驗證PCC的安全及隱私承諾，現在則開放所有人存取，包括PCC安全指南、VRE及PCC原始碼。</p> <p>其中，PCC安全指南含有各種元件的技術資訊，以及這些元件如何協作以維護隱私與安全，例如PCC的認證機制是建立在硬體層級的安全性上，不容易被竄改；PCC如何驗證使用者請求，以及如何分發它們以避免使用者遭到鎖定；或是PCC的隱私及安全功能在不同攻擊場景中的表現。</p> <p>蘋果首次替一個蘋果平臺建立的虛擬研究環境就是PCC VRE。該VRE是一套工具，讓研究人員得以在自己的Mac電腦上針對PCC進行安全分析。</p> <p>此一VRE是在虛擬機器中執行PCC節點軟體；用戶空間的軟體執行方式與PCC節點完全相同，僅為了適應虛擬化而變更啟動過程與核心；它包含一個虛擬的安全隔離處理器，以供研究人員探查此一元件；還可利用macOS內建的半虛擬化繪圖支援來實現推論功能。</p> <p>研究人員可利用VRE來列出及檢查PCC的軟體版本，驗證透明度日誌的一致性，下載每個版本對應的二進位檔，於虛擬化環境中啟動一個版本，針對示範模型執行推論，修改或調試PCC軟體以展開更深入的調查。</p> <p>執行VRE的系統需求為蘋果晶片、16GB或以上的記憶體，以及macOS Sequoia 15.1 開發者預覽版。</p> <p>至於透過GitHub釋出的PCC原始碼則有負責建構與驗證PCC節點的CloudAttestation專案；於用戶裝置上執行守護程序，以確保所有雲端AI運算安全性的Thimble專案；防止資料意外洩露的splunkloggingd守護程式；以及可在虛擬環境中研究與分析PCC系統的srd_tools專案。</p> <p>在透過VRE開放了PCC之後，蘋果也將PCC納入Apple Security Bounty抓漏專案中，獎金從5萬美元至100萬美元不等，找到因部署或配置不當而造成的資料外洩漏洞即可獲得5萬美元的獎金，若是找到能夠執行任意程式碼並完全控制系統的遠端攻擊漏洞，便能得到100萬美元的抓漏獎金。</p> </div></div></div>
2024/10/25 12:21作者陳曉莉https://www.ithome.com.tw/news/165690
可搭16臺E3.S SSD與4張GPU卡，Dell推2U2路Xeon 6伺服器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/dell_poweredge_r770_csp_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾<a href="https://www.ithome.com.tw/news/163298">今年6月發表Xeon 6伺服器處理器平臺</a>，先提供配備E-core的款式（代號Sierra Forest），多家廠商也響應推出伺服器產品，我們先前曾介紹的<a href="https://www.ithome.com.tw/review/163763">雲達QuantaGrid D55X-1U</a>，就是一例。</p> <p>對於另一家伺服器廠商Dell而言，他們在5月舉行的自家全球用戶大會，就已提前預告將推出兩款採用Xeon 6處理器的伺服器機型，分別是<a href="https://www.ithome.com.tw/review/164102">PowerEdge R670 CSP Edition</a>、PowerEdge R770 CSP Edition，強調效能可提升至前代產品的2.3倍，並且配備架構在OpenBMC而成的Dell伺服器管理平臺Open Server Manager，可用於大型異質資料中心環境，提供兼顧簡化管理與開放生態系的特色。</p> <p>而在6月舉行的2024台北國際電腦展期間，我們在英特爾展示的眾多Xeon 6伺服器，看到Dell提供的PowerEdge R670 CSP，採用1U、2路配置；</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Xeon%206-2024-06-04-1(1).jpg" style="width: 398px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20R670%20CSP-2024-06.jpg" style="width: 198px;" /></p> <p>到了7月底，Dell終於公開這兩款機型的細部規格與主要特色，我們也趁機介紹先在臺灣亮相的PowerEdge R670 CSP。</p> <p>現在讓我們看看Dell另一款Xeon 6伺服器：PowerEdge R770 CSP，採用2U、2路配置。</p> <p>單就處理器、記憶體的規格而言，R770 CSP與R670 CSP如出一轍，皆搭配兩個Xeon 6處理器，單個處理器最多內建144顆核心，並且可安裝32支32GB或64GB的DDR5-6400 RDIMM記憶體，總容量最大達2 TB。不過，R770 CSP的機箱為2U尺寸，空間較大，可擴充4張PCIe 5.0 x16規格的介面卡，兩張OCP 3.0外形的網路卡（從機箱的前沿與背部均可進行抽換），以及16臺E3.S外形的NVMe固態硬碟。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/dell-per770-16x2-5-internal.jpg" style="width: 198px;" /> <a href="https://s4.itho.me/sites/default/files/images/Dell R770 CSP-storage.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20R770%20CSP-storage.jpg" style="width: 398px;" /></a></p> <p>對比之下，我們稍早介紹的<a href="https://www.ithome.com.tw/review/164102">R670 CSP</a>，機箱為1U尺寸，空間相當局促，雖然能藉此實現超高運算密度（1U提供288顆處理器核心），但伺服器本身只能擴充2張PCIe 5.0 x16規格的介面卡，兩張OCP 3.0外形的網路卡（從機箱的前沿與背部均可進行抽換），以及8臺E3.S外形的NVMe固態硬碟。</p> <p>關於Dell早先預告的2.3倍效能增長效益，他們在7月下旬公布運算效能測試細部組態與結果。</p> <p>受測的主角R770 CSP，配備兩個144核心、熱設計功耗為330瓦的Xeon 6780E，以及DDR5-6400記憶體，代表Xeon 6 E-Core世代的處理器平臺，對上Dell同樣主打雲端服務供應商市場的既有2U、2路伺服器：HS5620，由於這款產品處理器最高可搭配32核心的第四代Scalable（代號Sapphire Rapids）或第五代Xeon Scalable（代號Emerald Rapids），因此Dell設置兩臺HS5620，一臺搭配32核心、64個執行緒、熱設計功耗為225瓦的Xeon Gold 6448Y，以及DDR5-4800記憶體，代表第四代Xeon Scalable處理器平臺，另一臺搭配32核心、64個執行緒，熱設計功耗為250瓦的Xeon Gold 6548N，以及DDR5-5600記憶體，代表第五代Xeon Scalable處理器平臺。</p> <p>而在SPEC CPU 2017測試之下，搭配Xeon 6 E-Core處理器的R770 CSP運算效能，均可達到前代平臺的2.3倍與2.2倍；</p> <p><a href="https://s4.itho.me/sites/default/files/images/R770-SPECCPU vs 4th Xeon SP.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/R770-SPECCPU%20vs%204th%20Xeon%20SP.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/R770-SPECCPU vs 5th Xeon SP.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/R770-SPECCPU%20vs%205th%20Xeon%20SP.png" style="width: 298px;" /></a></p> <p>若以每瓦效能而言，R770 CSP為1.58倍與1.68倍。</p> <p><a href="https://s4.itho.me/sites/default/files/images/R770-SPECCPU vs 4th Xeon SP Perf-per-watt.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/R770-SPECCPU%20vs%204th%20Xeon%20SP%20Perf-per-watt.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/R770-SPECCPU vs 5th Xeon SP Perf-per-watt.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/R770-SPECCPU%20vs%205th%20Xeon%20SP%20Perf-per-watt.png" style="width: 298px;" /></a></p> <p>到了9月中，Dell揭露R770 CSP與同樣搭配Xeon 6 E-Core處理器的Supermicro SYS-222H-TN，這次比較的效能測試項目是SPEC Power，<a href="https://www.spec.org/power_ssj2008/results/res2024q3/">第三季SPECpower_ssj 2008測試結果也在這個月出爐</a>，R770 CSP拿下20,516分，略勝SYS-222H-TN，</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell Specpower-R770.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20Specpower-R770.jpg" style="width: 600px;" /></a></p> <p>而在100％運作與閒置（Active Idle）狀態下，平均耗電量能夠再低1成——根據SPEC Power揭露的組態，我們猜測，耗電量差異可能在於搭配的硬碟儲存，R770 CSP設置1臺480 GB容量的M.2外形NVMe固態硬碟，這應該是Dell為其伺服器專門提供的BOSS-N1，而SYS-222H-TN設置1臺6.4TB容量的美光7450 NVMe固態硬碟，外形是2.5吋U.3。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-09-Comparing Dell Technologies and Supermicro on power efficiency-r770.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-09-Comparing%20Dell%20Technologies%20and%20Supermicro%20on%20power%20efficiency-r770.png" style="width: 400px;" /></a></p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p><strong><span style="color:#0000FF;">Dell PowerEdge R770 CSP</span></strong><br /> ●原廠：Dell<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：2U（482 x 86.8 x 814.52公釐）<br /> ●處理器：2顆，Intel Xeon 6系列（單顆最多144核心）<br /> ●記憶體：32個DDR5插槽，RDIMM可支援32支6400 MT/s（最大總共2 TB）<br /> ●儲存配置：8臺或16臺E3.S外形NVMe固態硬碟（最大總共122.4 TB、244.8 TB）、2臺M.2外形NVMe固態硬碟（BOSS-N1 DC-MHS）<br /> ●I/O介面：PCIe 5.0 x16（4個）<br /> ●電源供應器：2臺800瓦/1100瓦/1500瓦（1+1備援）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/10/25 13:01作者李宗翰https://www.ithome.com.tw/review/165642
Container快報第160期：CNCF成員來臺揭露K8s三大發展，多家臺灣金融和服務業分享第一手K8s實戰經驗，D…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color:#0000FF;"><strong>2024/9/21～10/25 精選容器新聞：</strong></span></h3> <p><strong><span style="color:#FF0000;">#K8s Summit #第一手K8s實戰 #雲原生永續</span><br /> 多家金融、高科技和服務業分享第一手K8s實戰和踩雷經驗，雲原生永續議題也在臺發酵</strong></p> <p>iThome主辦的K8s Summit，十月底一連兩天在臺北舉行，超過8百人報名，第一天主題演講由凱基證券亞太區資訊長黃榮林開場，分享凱基證券正在進行的核心轉型歷程，這項轉型計畫稱為天空計畫，要用K8s和微服務架構來重新打造證券核心，取代原本用了40年，以大型專有系統如AS400，使用COBOL、RPG等老舊程式語言開發的證券核心系統。</p> <p>參與了最新K8s碳排追蹤專案Kepler的IBM東京實驗室的科學家Marcelo Amaral也在第二天主題演講中分享最新的雲原生永續和K8s能耗追蹤技術，例如專案團隊正在強化eBPF探測技術的強化，也開始訓練VM能源模型，也持續重構和驗證專案程式品質。CNCF技術委員會成員Katie Gamanji和推廣大使太田航平則分享了K8s未來三大新進展，尤其強調WebAssembly對雲原生發展的重要性，可以提供一個獨立的環境，不受限於任何開發語言、作業系統和CPU，提供了一個安全、輕便而且可以在任何地方執行的技術。</p> <p>更有金控、銀行、證券、支付、高科技製造業、廣告服務業、人力銀行、房仲業者分享自家K8s實戰經驗，從核心架構改造、架構搬遷、雲端費用控管、大規模部署、K8s維運和故障排除、安全和金鑰控管、災難復原，甚至如何用來打資料工作流程等。</p> <p><strong><span style="color:#FF0000;">#WebAssembly #eBPF</span><br /> CNCF成員來臺揭露K8s三大重要發展，包括WebAssembly、eBPF和IT永續新工具</strong></p> <p>CNCF技術委員會成員Katie Gamanji和推廣大使太田航平在K8s Summit研討會中分享了K8s未來三大新進展。第一項是WebAssembly。為何這項技術對雲原生的發展，非常重要？太田航平解釋，WebAssembly可以提供一個獨立的環境，不受限於任何開發語言、作業系統和CPU。WebAssembly是一個二進位檔案，可以用不同的開發語言編譯成這種格式的檔案，再部署到瀏覽器或非瀏覽器的環境中執行。「WebAssembly提供了一個安全、輕便而且可以在任何地方執行的環境。」</p> <p>第二個重要新發展是eBPF，這項技術於本只是用來過濾網路封包，但現在的應用越來越多元，太田航平指出，eBPF有三大應用場景，資安監控，網路路由和過濾，以及可觀察性中的矩陣數據搜集，都各有不少知名的開源專案。這三類應用都是雲原生環境運作需要的核心能力。例如像New Relic的Pixie可觀察性工具，就是用eBPF技術來取得K8s運作的矩陣數據。<br /> 最後一項發展方向是永續性。「如何讓技術部門可以觀察，紀錄和評估他們自己的碳排放，在雲原生環境中，需要新的工具來解決這個課題。」Katie Gamanji指出。目前有兩項重要工具，Kepler專案可以用來追蹤K8s的能耗，另一個是碳察覺KEDA工具，可以依據碳排量數據變化來調度的自動擴充機制。例如可以設計系統使用「碳排密度」指標來調整規模，在配置檔中定義不同碳排密度事件的層級，當密度高時，自動降低應用系統的副本數量，來達到減少碳排的效果。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/K8s-CNCF%E5%88%86%E4%BA%AB.JPG" /></p> <p><strong><span style="color: rgb(255, 0, 0);">#雲原生省錢 #K8s省錢 #SRE</span><br /> 阿物科技SRE分享雲端省錢術，揭露20%節費的關鍵策略</strong></p> <p>來自嘉義的臺灣行銷科技業者阿物科技，主力開發團隊在南臺灣總部，卻能服務全臺，甚至是日本到全球的上萬家企業，就是善用了公雲基礎架構，來提供各種行銷自動化的服務。</p> <p>不過，如何更有效管理上雲的費用卻是一大挑戰，阿物科技SRE經理謝明宏在幾今年K8s Summit上也分享了阿物科技能夠節省20%雲端費用的關鍵，就是靠雲端節費地圖（CLoud Cosy Optimization Map）。</p> <p>他在這張節費地圖中，盤點5種雲端成本的來源，像是雲算資源、穩路資源、儲存資源、軟體授權和訂閱費用等常見項目，也納入容易忽略的人為失誤的成本。並歸納出6大節費核心策略，從資源成本優化、儲存成本優化、網路成本優化到善用價格便宜的Spot VM（現貨虛擬機器），另外還包括了成本監控和擁抱FinOps/DevOps文化等六項。<br /> 謝明宏更分別針對雲原生環境與K8s環境，各自如何落實這六項節費核心策略，一一說明更多細節。</p> <p>例如，K8s可以透過Pod資源請求與限制的設置，以及調整Cluster Autoscaler來優化資源成本，或是進行Ingress流量優化和調整叢集設計，可以優化網路成本。在開發與測試環境或針對非核心服務善用Spot虛擬機器，甚至混用現貨虛擬機器和按需提供的虛擬機器，也有利於成本控管。而在雲原生環境的節費實作上，例如透過VM規模調整、自動化開關機、CUR/RI購買都能優化資源的成本，進行資料生命週期管理或優化資料庫也能改善儲存成本等。</p> <p>謝明宏也分享了阿物科技如何在不同情境中，運用雲端節費地圖中節費策略的實作案例，像是在電商網站站內搜尋使用Spot虛擬機器的經驗，或是導入IaC、GItOps來降低SRE團隊維運成本等。</p> <p>他建議企業要善用架構和工具來降低維運成本，也利用架構設計提高服務可用性，並藉助節費地圖來降低雲端成本，同時考量三者來兼顧高可用性又能節省成本。他更大方公開了雲端節費地圖的心智圖，供大家按圖參考，來設計符合自家企業雲原生環境和K8s維運的雲端節費地圖。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%9B%B2%E7%AB%AF%E7%AF%80%E8%B2%BB%E5%9C%B0%E5%9C%96-big.png" /></p> <p><strong><span style="color:#0000FF;">#</span><span style="color:#FF0000;">AI訓練框架 #微服務 </span><br /> 瞄準AI模型訓練需求，GKE開始提供Nvidia微服務框架NIM</strong></p> <p>最近Google雲宣布，開是在GKE上提供Nvidia的AI框架NIM，這是一個可以用來訓練大型語言模型的微服務框架，以微服務架構的形式，提供了一整套的大型語言訓練元件，可以讓企業使用現成的元件，就可以自行打造出自己的訓練平臺，來簡化大型語言模型訓練的複雜度。像是臺大與產學合作打造的Porject TAME繁中LLM模型，就使用了NIM來建立訓練基礎架構。NIM框架也針對不少現有模型提供了最佳化版本，企業可以在GKE控制臺上直接使用NIM微服務來部署模型，例如幾個點擊就可以部署出LLama 3.1版700億參數的NIM最佳化版的模型。另外，也更容易用GKE來協調部署搭載Nvidia GPU的GKE叢集來執行NIM版模型。</p> <p><strong><span style="color:#FF0000;">#容器工具 #Linux容器管理</span><br /> AWS容器工具Finch終於支援Linux，可跨三大作業系統管理容器 </strong></p> <p>日前，AWS宣布自家容器工具Finch開始支援Linux。這款開源的命令列工具，可以供開發者在多個作業系統中建構並執行Linux容器，提供跨平臺一致的體驗，現在無論在macOS、Windows還是Linux上，都能使用相同的工具和工作流程，另外，這次改版還加入對Docker API的支援，方便開發者延續現有Docker容器工作流程。<br /> 新版最大重點是，可以直接在Linux上建置和執行容器映像檔，而不再需要虛擬化技術，可以原生支援的容器技術包括Docker和containerd可直接使用Linux核心功能。新版Finch與Finch Daemon整合，還提供了Docker API的部分功能，讓習慣Docker工作流程的開發者，能夠使用熟悉的命令和工具來管理容器。<br /> 不過，這個做法與Finch在macOS和Windows上的運作方式不同，在這兩個作業系統中，則是使用中繼元件Lima提供虛擬化技術，透過macOS的QEMU或Virtualization Framework模擬Linux所需要的核心功能，而Windows則使用WSL2（Windows Subsystem for Linux 2）來提供類似的虛擬化支援，讓Windows用戶也可以執行Linux容器。</p> <p><strong>#H<span style="color:#FF0000;">elm Chart #GitOps</span><br /> 快速掃描Python和Java程式碼，StackGen能生成Helm Chart封裝檔加速部署</strong></p> <p>最近StackGen（前身是appCD釋出了自動生成部署檔，來強化對 Argo CD的整合支援，利用靜態分析技術，可以自動分析Python和Java程式碼的意圖，元件相依性，來剖析API介面、服務配置、網路配置或其他必要變數的設置，用AI自動生成Terraform部署程式碼，或是Helm Charts封裝檔。根據StrackGen宣稱，可以將軟體部署過程從數天，縮短到數分鐘。</p> <p><span style="color:#FF0000;"><strong>#基礎架構程式碼化 #Terraform</strong></span><br /> <strong>基礎架構自動化工具大更新，HashiCorp多項工具改版，要簡化大規模擴張的複雜度</strong></p> <p>IaC知名自動化軟體工具廠HashiCorp最近一口氣更新多項基礎設施生命周期管理產品，從Terraform、Packer、Nomad到Waypoint，要來簡化大規模基礎設施管理流程，尤其新功能聚焦減少使用者手動操作的繁瑣，改進使用者在不同基礎設施階段的操作，讓建構、部署和持續管理基礎設施能夠更簡潔方便。</p> <p>例如，HCP Packer提供映像檔管理功能，新增的CI/CD工作管線後設資料管理能夠追蹤每個映像檔的生成過程，確保用戶使用的映像檔皆經過驗證且符合規範，這是大型企業管理開源基礎架構環境時常見的需求。HCP Packer加入了儲存桶層級的RBAC（Role-Based Access Control），進一步加強對映像檔的存取控制，確保不同角色的用戶只能存取必要的部分。<br /> 另外在Terraform基礎設施部署工具上，則增加了HCP Terraform Stacks，可將多個Terraform模組整合成單一操作，避免基礎設施部署繁瑣的手動相依管理。大規模Kubernetes部署時，HCP Terraform Stacks新增的推延變更（Deferred Change）功能，可以讓用戶應對未知的變化來避免部署中斷。</p> <p>分散式負載調度工具Nomad新增加GPU支援，能夠靈活配置高效能運算資源，而應用部署執行管理工具Waypoin新功能則提供自動化應用部署流程，讓平臺營運團隊可以利用標準化模版和附加元件，簡化內部開發流程提升基礎設施和應用開發之間的協作效率。</p> <p><strong><span style="color:#FF0000;">#部署容器化應用 #DHH</span><br /> RoR之父打造的容器化Web應用部署工具Kamal大改版，2.0新版不只支援大量主機部署，也能快速將多套AP部署到一臺主機</strong></p> <p>專案管理平臺業者37signals在2023年大舉下雲，一年可以省下2百萬美元上雲費用的關鍵，正是RoR之父打造的一套大規模的容器化Web應用部署工具Kamal，主要利用Docker來部署和管理Web應用。Kamal在2024年初時推出1.3版，不只可以在裸機上部署Web應用，也可以用來部署雲端環境中的Web應用，這是一款可以通吃本地端和雲端的通用部署工具。</p> <p>這套讓37signals下雲的關鍵工具在10月釋出了Kamal 2新版，原本1.0版主要針對跨大量主機搭配外部負載平衡器來部署同一套應用，支援數百萬人等大規模的用戶。新推出的2.0版則有另一個大升級，可以將多個Web應用，快速部署到單一臺伺服器，來提高伺服器的AP密度，並且可以用Let’s Encrypt來實作自動HTTPS，還大幅簡化了部署管理最煩人的秘密管理。</p> <p>Kamal 2.0預設部署在Rails 8.0，但不只可用於Rails應用，也可以部署到任何語言或框架開發的Web應用。DHH強調，不需要用到像Kubernetes如此複雜的工具，用Kamal 2也能快速將容器化應用部署到雲端或地端的各種基礎架構環境，從便宜VPC，雲端虛擬機器叢集到本地端的硬體都可以使用，來降低部署和後續維運的複雜度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DHH%E5%88%86%E4%BA%AB.jpeg" /></p> <p><strong><span style="color:#FF0000;">#K8s資安 #映像檔工具</span><br /> 小心K8s映像檔製作工具發現重大漏洞，恐曝露虛擬機器root權限，官方先釋出緩解工具</strong></p> <p>最近Kubernetes資安回應團隊公布了一項映像檔建置工具（Image Builder）漏洞CVE-2024-9486、CVE-2024-9594，攻擊者有可能藉此得到虛擬機器（VM）的root權限，而這些漏洞發生的原因，源於映像檔建置過程中，使用了預設的帳密資料。較為嚴重的是CVE-2024-9486漏洞，CVSS評分達到6.3分，這是當用Proxmox提供者（provider）建置而成的虛擬機器映像，無法停用當中的預設帳號，若用這些映像檔建置節點，後續有心人士可透過這些預設帳密進行存取，藉此取得root權限，CVSS風險評分達到9.8。</p> <p>這些漏洞影響0.1.37版以前的Kubernetes Image Builder，開發團隊發布0.1.38版緩解上述弱點。Kubernetes資安回應團隊呼籲用戶，應透過這些已解決上述問題的工具，重建具有潛在風險的映像檔。</p> <p><strong>更多新聞：</strong></p> <ul> <li>Docker新價格方案將於11月中上路，Hub用量限制則於明年2月生效，企業得開始準備</li> <li>資安業者Group-IB提醒，新興勒索軟體Cicada3301鎖定多平臺攻擊，包括VMware ESXi環境。</li> </ul> <p><strong>責任編輯：王宏仁</strong></p> </div></div></div>
2024/10/25 13:09作者王宏仁https://www.ithome.com.tw/news/165691
美國防部將以三年、四階段推動CMMC規則
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了讓美國國防工業產業（DIB）的供應鏈業者，有足夠的時間準備、理解和實施CMMC規則（CMMC Rule）的各種要求，以及解決任何CMMC評估、啟動過程中遭遇到的各種問題，並提供培訓所需的評估人員時間，美國國防部為CMMC規則制定了三年、四階段的推動計畫。</p> <p>美國德州KLC諮詢顧問公司也是被Cyber AB授權，授權可以執行美國國防部CMMC第三方認證（C3PAO）的公司。KLC諮詢顧問公司執行長暨資安長Kyle Lai（賴弘偉）表示，CMMC規則包含兩大部分，分別是專注政府採購程序和合約要求的48 CFR Part 204，以及針對相關國防供應鏈承包商與分包商所有CMMC規範的32 CFR Part 170。其中，32 CFR Part 170的最終版（final 32 CFR part 170 CMMC Program rule）已經在今年10月15日正式公布，預計60天後生效實施（今年12月16日）</p> <p>但另外針對美國國防採購相關的《48 CFR CMMC Acquisition Proposed Rule》，先是在今年8月15日公布48 CFR草案，Kyle Lai（賴弘偉）：「美國國防部預計CMMC規則的實施日期，是在最終的《48 CFR part 204 CMMC Acquisition rule》發布後的60天內實施。」至此，CMMC對業者及對政府的規範才算完備。</p> <h2><strong>推動CMMC四個階段的重點</strong></h2> <p>美國國防部會分成四個階段推動CMMC規則（CMMC Rule），第一階段也就是初步實施階段（Initial Implementation），自《48 CFR規則》（48 CFR Rule）生效日期開始；在適用的情況下，招標將要求CMMC認證等級第一級（Level 1）或第二級（Level 2）認證的自我評估（Self - Assessment）。</p> <p>企業需要針對基本的安全保護措施進行自我評估，並在相關系統中進行記錄。該階段為期一年。</p> <p>第二階段在第一階段開始後的12個月啟動，在適用的情況下，美國美國國防部國防部的招標，將要求CMMC認證等級第二級的第三方認證（C3PAO）。</p> <p>這表示，除了自我評估之外，部分企業需要聘請經過認證的第三方評估機構（C3PAO），對其進行正式的安全合規評估。</p> <p>第三階段則是在第一階段開始後的24個月啟動，在適用的情況下，美國國防部的招標，將要求CMMC第三級由國防部國防合約管理局（DCMA）網路安全評估中心（DIBCAC）主導的CMMC第三級認證。</p> <p>這個階段將逐步引入CMMC第三等級認證（Level 3）的要求，並將其應用於部分國防部的招標和合同中，第三級認證的要求，可能作為合約選擇期內的條件，而並不是初始合約授予的必要條件。</p> <p>第四階段就是全面實施（Full Implementation）階段，在第一階段開始後的36個月啟動，所有招標和合約都將包含適用的CMMC認證等級要求，作為合約簽訂的條件。也就是說，在第四階段，CMMC要求將全面實施，適用於新合約和選擇期授予的合約。</p> <p>美國國防部可根據需要，通過談判對CMMC實施前授予的合約進行修改，將CMMC的認證要求，添加到這些合約中。這項規則不需要進行任何更改，來反映現有的合約管理流程；關於具體合約事務的問題，包括合約成本和資金，不在此規則的範疇內。</p> <p>隨著 32 CFR第170部分「CMMC計畫規則」和48 CFR第204部分「CMMC採購規則」《48 CFR CMMC Acquisition Final Rule》的最終實施，潛在的國防部承包商和分包商，應積極準備好應對國防部的合約機會，當合約要求承包商或分包商處理、存儲或傳輸FCI（聯邦合約資訊）或CUI（受控未分類資訊）時，這些合約將包括CMMC各級認證的要求。</p> <h2><strong>以模擬方式，理解推動CMMC四個階段的時間點</strong></h2> <p>由於許多人很難理解CMMC規則的實施時間的計算，Kyle Lai就以一個模擬的方式，讓大家更清楚該如何計算CMMC各階段實施的時間。</p> <p>首先，他表示，對國防供應鏈業者應該如何理解CMMC規則的內涵，主要是在於要清楚，國防工業產業（DIB）的業者對於CMMC規則的規範與要求，都要參考32 CFR Part 170的最終版的內容；但國防部對於是否納入CMMC作為標案和國防採購案的相關規範，則必須參考最終版的48 CFR part 204 CMMC Acquisition rule。</p> <p>美國國防部會在48 CFR part 204 CMMC Acquisition rule最終版公布後60天正式生效實施，Kyle Lai假設該規則是2025年3月1日生效實施，這天就是國防部正式開始推動CMMC第一階段。</p> <p>在第一階段，國防供應鏈業者可以開始執行CMMC第一級和第二級認證中的自評（Self-Assessment），美國國防部也開始會把對於CMMC要求自評的規定，放在國防採購合約中。</p> <p>第二階段的推動時間點則是第一階段開始後的一年，就是2026年3月1日啟動，這時候國防業者可以開始執行CMMC由第三方評估（C3PAO）進行的第二級認證，國防部也開始會把需要C2PAO認證的要求，放在國防部的採購合約中。</p> <p>第三階段就是第二階段開始後的一年，就是2027年3月1日啟動，這時候執行由美國國防部國防合約管理局（DCMA）網路安全評估中心（DIBCAC）主導的CMMC第三級認證，就可以開始放在採購合約中執行。</p> <p>第四階段就是2028年3月1日開始啟動，也是第三階段開始後的一年，此時國防部會把對CMMC認證的要求，全數放入相關的採購合約中。</p> <p>Kyle Lai指出，這些國防業者究竟應該要取得CMMC哪一個等級的認證，主要都是看國防採購合約上的規定，這不會是任憑業者的自由意志決定，而是看當時的合約中，簽約的業者是否會傳輸、處理或儲存相關FCI（聯邦合約資訊）或CUI（受控非分類資訊）的機密性或重要性，在國防採購合約中明定業者應該取得的CMMC認證等級。</p> <p>在32 CFR第170部分CMMC計畫規則（32 CFR Part 170 CMMC Program Rule）公布在《聯邦公報》時，美國國防部也指出，將有8,350家中型和大型實體機構或單位，需要符合CMMC第二級第三方評估（C3PAO）的認證要求，這是簽訂合約的必要條件。</p> <p>CMMC第二級的要求將適用於所有處理、存儲或傳輸受控未分類信息（CUI）的承包商，並為國防部提供一種手段，來評估是否已滿足《32 CFR》第2002部分中規定的對CUI（受控未分類資訊）的保護要求。</p> <p>美國國防部估計，在第一年將完成135次由第三方評估機構（C3PAO）主導的認證評估，第二年將完成673次，第三年將完成2252次，第四年將完成4452次。</p> <p> </p> <div class="ui-widget-content ui-draggable" id="haloword-lookup" style="position: relative;"> <div id="haloword-title"> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"></div> </div> <div id="haloword-content"> </div> </div> </div></div></div>
2024/10/25 11:10作者黃彥棻https://www.ithome.com.tw/news/165688
Fintech周報第254期：知名銀行AI成熟度指標Evident AI公布今年評比結果，多數銀行積極發表AI策略和應…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 dir="ltr" style="margin: 10pt 0px 4pt; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.38; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">9/24~10/24金融科技精選新聞</span></span></h3> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 全球50大銀行</span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><strong style="color: rgb(255, 255, 255); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"><span style="background-color: rgb(51, 153, 255);">AI成熟度評比</span></strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></p> <h3>知名銀行AI成熟度指標Evident AI公布今年評比結果，多數銀行積極發表AI策略和應用，但極少能揭露投資報酬率數據</h3> <p>Evident AI近期公布今年度全球50大銀行AI成熟度排名，摩根大通連續三年拿下第一，第一資本排名第二，加拿大皇家銀行排名第三。在今年調查結果中，Evident AI表示，全球50大銀行中，有41間銀行的AI成熟度分數提高，顯示大多數領先者金融業仍積極發展AI。此外，報告顯示，今年全球50大銀行在領導力指標和透明度指標的分數顯著上升，因為，越來越多金融業者將AI發展策略列入年度報告中，並在今年公布自家的負責任AI原則。</p> <p>不過，Evident AI表示，雖然金融業者積極發表AI應用成果，但大多數沒有揭露AI投資報酬率。50間銀行中，僅有2間銀行嘗試估算AI投資回報。這兩間銀行分別是摩根大通和星展銀行。摩根大通營運長Daniel Pinto曾在今年五月表示，他們估算內部的AI應用價值，大約落在10億美元至15億美元間，這些應用涉及個人化服務、交易、營運效率、防詐和信貸決策等場景。星展銀行則在今年2月表示，2023年，AI幫助星展實現了3.7億新元的價值，是2022年的兩倍多。</p> <p><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 國泰金控</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><strong style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255); font-size: 18.6667px;"><span style="background-color: rgb(51, 153, 255);">GAIA</span></strong><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></p> <h3>國泰金控公開生成式AI技術發展框架GAIA</h3> <p>國泰金控近日在自家技術年會上，首度公開生成式AI技術發展框架GAIA，也揭露了內部AI評測機制。GAIA包含三個核心模組，分別是知識庫、Model Hub，和護欄。GAIA的知識庫類型可分為對內和對外，對內包含HR知識庫、授信知識庫、洗防知識庫等，對外則包含貸款產品知識、壽險產險產品知識、理財產品知識等。</p> <p>Model Hub是國泰GAIA架構中的另一個核心，能提供多種模型選擇，包含雲端、地端、開源或閉源模型，也提供標準化API接口，能介接各種服務。最後一個核心，是國泰自行開發的護欄，包含複合式規格護欄和多層抽換模組護欄。前者是在知識庫連接模型時進行資訊過篩，後者則是在既有模型護欄上，再加上防護措施，例如增加業務專屬的業務護欄，實現多層次過濾機制。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 集保</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><strong style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255); font-size: 18.6667px;"><span style="background-color: rgb(51, 153, 255);">數位簽章</span></strong><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></h3> <h3>超過500萬集保App用戶明年將可用數位簽章免臨櫃辦理股務事務</h3> <p>配合電子簽章法修法在今年5月開始施行，臺灣集中保管結算所（以下簡稱集保）規畫明年推出eCounter，讓股務事務結合數位簽章，投資人免臨櫃辦理資訊變更，提供股民更大的便利性。未來，當投資人通過身分驗證登入eCounter平臺，使用數位簽章遞交基本資料變更書件，平臺就會將書件資料送到各個股務單位審查、辦理變更。投資人不用臨櫃申辦相關業務，只要透過單一平臺就能完成資料變更。</p> <p>明年3月，集保預計推出PC版eCounter網站，提供使用者修改基本資料，例如戶名、ID、戶籍資料、通訊地址、連絡電話、股利配發集保帳號、銀行款項帳號等等。明年年底，eCounter功能會擴大至集保App中，超過500萬名集保e手掌握App用戶，能透過手機線上申辦資料變更。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 虛擬資產保管業務試辦</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></h3> <h3>金管會計畫開放金融機構申請虛擬資產保管業務試辦</h3> <p>近期，金管會公布虛擬資產保管業務試辦初步規畫，邀請外界提供相關建議。在金管會的初步規畫中，金融機構若要申請虛擬資產保管業務試辦，須提供保管模式、向客戶提供的服務資訊、法規遵循、組織分工及管理制度、安全性規畫、資產隔離，和財務會計制度共七大項目資訊。</p> <p>今年七月，金管會主委彭金隆發表金融科技發展規畫，其中一項措施便是要開放金融業辦理虛擬資產保管業務。當時，彭金隆表示，希望從開放虛擬資產保管業務開始，讓銀行涉入虛擬資產，「在技術到位的情況下，我們就會開放銀行開始參與這一項業務。」</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 業務試辦作業要點</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></h3> <h3>金管會公布「金融業申請業務試辦作業要點」，對擴大業務試辦範圍的作業規範更明確</h3> <p>今年七月，金管會主委彭金隆宣布五大金融科技策略，涵蓋近20項措施，其中一項措施是要大幅放寬銀證保業務試辦範圍。近日，金管會因應這項推動措施，公布「金融業申請業務試辦作業要點」，讓業務試辦範圍擴大更有明確的作業規範可循，更清楚列出開放公會和周邊單位的自律規範，以及金管會發布的行政規則、函釋作為試辦範圍，並增加可申請試辦的金融業業別。</p> <p>此外，在作業要點中，金管會也因應業務試辦範圍擴大，同步調整業者申請業務試辦時應提供的申請文件。並且，金管會也鼓勵金融業者能與其他非金融業合作申請業務試辦，發展創新應用。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> FIDO</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 聯卡中心</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></h3> <h3>聯合信用卡處理中心將在ACS平臺導入FIDO機制，聯邦銀行最先在明年第一季採用</h3> <p>聯合信用卡處理中心（以下簡稱聯卡中心）近日宣布，將在ACS平臺導入FIDO機制，讓既有的EMV 3DS網路交易安全認證服務，支援以生物識別機制進行身分驗證。意味著，未來持卡人在網站刷卡購物時，除了採用OTP方式，輸入簡訊提供的密碼進行身分驗證，也可以採用生物識別的方式驗證身分，完成刷卡購物。</p> <p>聯卡中心表示，這項機制將由聯邦銀行率先導入，預計在明年第一季上線。未來，持有聯邦銀行信用卡的消費者在網站刷卡購物時，能透過聯邦銀行網銀App進行身分驗證，例如使用指紋或臉部辨識。完成驗證後，網銀App會將固定識別值傳送給聯卡中心，讓聯卡中心根據識別值驗證持卡人身分。確認身分無誤，就能授權持卡人進行線上刷卡交易。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 新加玻</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> OTP</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></h3> <h3>新加坡銀行計畫三個月內淘汰OTP驗證機制，改用SingPass取代</h3> <p>為了預防釣魚攻擊，今年七月，新加坡金融管理局及新加坡銀行公會宣布，新加坡主要零售銀行將在未來3個月內淘汰使用OTP驗證方式。近期，新加坡金融管理局和新加坡銀行公會選定Singpass取代OTP驗證機制，未來三個月，新加坡銀行將逐步採用Singpass作為使用數位憑證的身分驗證機制。這意味著，未來，新加坡銀行客戶若要使用數位憑證登入行網銀，須要使用Singpass進行身份驗證，才能順利登入。</p> <p>新加坡政府從2003年就開始推動SingPass，這是當地民眾的數位身分證，SingPass用戶可透過人臉辨識認證身分，使用上百個政府或商用組織提供的數位服務。</p> <h3>其他重要Fintech新聞：</h3> <ul> <li>澳洲麥格理集團完成核心交易和結算系統上雲</li> <li>跨境支付平臺HIVEX和韓國電子支付Zero Pay合作，未來臺灣電子支付品牌將能在韓國店家完成支付</li> <li>金管會擬於2025年增設金融市場發展與創新處</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年10月</p> <p></p> </div></div></div>
2024/10/25 09:37作者李昀璇https://www.ithome.com.tw/news/165687
Arm將取消對高通晶片技術授權，恐影響全球手機、Copilot+ PC
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國晶片設計業者Arm計畫年底終止對高通（Qualcomm）技術授權。一旦成真，可能影響數以億計的手機、微軟Copilot+ PC及Arm筆電的晶片供應。</p> <p><a href="https://www.bloomberg.com/news/articles/2024-10-23/arm-to-cancel-qualcomm-chip-design-license-in-escalation-of-feud" target="_blank">彭博本周報導</a>，Arm近日通知高通，將在60天後取消晶片技術授權。Arm技術是高通賴以生產Oryon CPU的關鍵，這個CPU又是高通多款Snapdragon晶片的一部份。一旦無法取得授權，將影響眾多使用Snapdragon的裝置，包括智慧型手機、連網電視，以及微軟和高通合推的Copilot+ PC。<a href="https://www.pcworld.com/article/2497912/arm-will-cancel-qualcomms-license-to-make-the-snapdragon-x-elite.html" target="_blank">PCWorld</a>已向業者證實此事。</p> <p>雙方爭執源自高通2021年收購晶片業者Nuvia引發Arm的不滿。Nuvia原先也取得Arm授權生產晶片，並使用Arm商標，高通在收購Nuvia後仍持續這行為，但是Arm認為Nuvia並無權轉讓該授權。<a href="https://www.ithome.com.tw/news/152821" target="_blank">2022年Arm控告高通</a>違反授權協議且侵犯Arm的商標權。高通也反告Arm。雙方官司預定12月開庭。</p> <p>高通向來是手機晶片主要供應商。本周高通才公布號稱效能全球最快的<a href="https://www.ithome.com.tw/news/165604" target="_blank">Snapdragon 8 Elite</a>，即採用Oryon CPU，預定2025年內建三星Galaxy S25或OnePlus等智慧型手機。此外，今年微軟偕同高通推出的Copilot+ PC及Surface Pro，則是使用包含Oryon的Snapdragon X Elite與X Plus。也就是說，一旦Arm真的取消授權，將影響全球智慧型手機的晶片版圖。</p> <p>對於Arm在開庭前夕取消授權，高通對媒體<a href="https://www.windowscentral.com/microsoft/report-arm-is-sensationally-canceling-qualcomms-chip-license-oct-2024" target="_blank">發出聲明指出</a>，此舉是Arm的一貫技倆，是旨在搶奪長年合作夥伴、干擾其效能領先的CPU與增加權利金的「毫無勝算的威脅」。高通認為在12月開庭前Arm狗急跳牆的作法，突顯Arm企圖干擾法律程序，Arm終止授權的理由完全沒有根據。高通說有信心其權利將透過官司獲得確認，而Arm打壓競爭的行為也不會被容忍。</p> <p>Arm則認為自己佔上風。<a href="https://www.pcworld.com/article/2497912/arm-will-cancel-qualcomms-license-to-make-the-snapdragon-x-elite.html" target="_blank">這家英國晶片業者聲明</a>，取消授權一舉是高通多次違反Arm授權協議，Arm不得已採取正式行動要求高通修正其違約行為，或是終止合約。該公司也說有信心12月的判決結果對自己有利。</p> </div></div></div>
2024/10/25 09:23作者林妍溱https://www.ithome.com.tw/news/165685
OpenAI圖片生成AI新方法sCM，速度是傳統擴散模型的50倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI研發了一種稱為<a href="https://openai.com/index/simplifying-stabilizing-and-scaling-continuous-time-consistency-models/">sCM（Continuous-Time Consistency Model）</a>的生成方法，能夠大幅提升取樣速度，相比傳統的擴散模型，sCM只需要兩步驟取樣即可生成高品質樣本。研究顯示，sCM在生成效率提升約50倍，且樣本品質與最佳擴散模型相當，適合用於即時生成應用。</p> <p>擴散模型已廣泛用於生成圖片、3D模型、音訊和影片，但是傳統擴散模型取樣過程緩慢，通常需要數十到數百個逐步降噪的過程，才能生成一個高品質樣本，因此，這類模型在即時應用和大規模資料生成方面效率很低且難以擴展，雖然現在已經有一些技術能夠加快擴散模型的速度，但是通常伴隨複雜訓練過程，甚至是樣本品質下降的副作用。</p> <p>為了解決擴散模型的既有問題，OpenAI研究團隊開發了sCM。sCM這種經過改良的生成模型方法，只需要兩個取樣步驟即可生成與擴散模型品質相當的高解析度樣本，大幅縮短生成樣本的時間。由於sCM可實現約50倍的速度提升，因此特別適合用於即時應用，像是圖片、音訊和影片生成。</p> <p>sCM也具有高可擴展性和穩定性，該模型可以處理大規模資料集，並能擴展至擁有15億參數的模型，而且在該規模下，sCM仍可保持高品質生成效果。sCM訓練過程利用預訓練擴散模型蒸餾出來的知識，在縮短了取樣時間的同時，保持高品質樣本生成。</p> <p>研究人員使用ImageNet 512x512資料集訓練的sCM，能夠生成細節豐富且高品質的圖像，展現其在高解析度生成方面的能力。雖然sCM只有兩個取樣步驟，但是生成的樣本品質依然可接近最佳擴散模型，研究人員使用FID（Fréchet Inception Distance）分數進行評估，sCM樣本品質與需要數百步驟取樣的擴散模型相比，差異不到10％。</p> </div></div></div>
2024/10/25 08:27作者李建興https://www.ithome.com.tw/news/165684
【AI應用不可或缺的儲存傳輸加速架構】持續擴展中的GDS儲存應用
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1025-cover1-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Nvidia的一系列GPUDirect傳輸技術中，GPUDirect Storage（GDS）是作為儲存裝置與GPU之間的傳輸加速用途，在AI應用的資料流框架中，原本是最後端、外圍的角色，只在最初的資料饋入，與最終的寫入保存運算結果時派上用場，但隨著AI應用的資料量持續暴漲，也讓GDS的重要性跟著水漲船高。</p> <p>為此，<a href="https://www.ithome.com.tw/article/160493" target="_blank"><span style="color:#3366ff;">我們去年（2023）12月的封面故事「GPU直連I/O傳輸架構的崛起」</span></a>，曾初步介紹GDS傳輸加速架構的運作概念，與當時儲存業界的支援情況，如今GDS的相關應用又有一連串顯著進展。</p> <p>首先，過去幾個月以來，又有多家重要儲存廠商加入GDS支援行列，或是發表支援GDS的新產品，使得力挺GDS的廠商與儲存產品數量一舉超過20個，涵蓋所有一線大廠與重要新創廠商，以及不同層級的儲存產品與裝置。其次，各儲存廠商也紛紛以GDS模式下的傳輸效能數字，標榜自身產品的AI應用效能，因此，GDS儼然成為衡量AI應用中的儲存效能基準。這些新發展，也促使我們再次回到這個議題。</p> <p>在檢視GDS應用的新發展之前，我們首先簡單回顧GDS的基本概念，以及運作方式。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>克服GPU運算時代的I/O瓶頸</strong></span></span></p> <p>GDS這項技術誕生的遠因，是為了因應GPU運算時代，效能瓶頸從運算力轉移到I/O的現象。</p> <p>過去基於CPU為核心的運算環境中，資料處理的主要瓶頸在於CPU的運算能力，I/O相對不是大問題；而在今日基於GPU的運算環境中，由於GPU的運算能力提升幅度，大於I/O吞吐能力的提升，反而讓I/O成為整個資料處理過程中的效能瓶頸所在。必須同步提高I/O效能，才能有效改善整體處理能力。</p> <p>GDS這項技術誕生的近因，則是AI應用資料量持續暴漲的結果。</p> <p>儲存裝置在AI應用中的主要任務，是負責向運算單元饋入訓練資料集，以及寫入與保存運算結果。但隨著AI訓練的資料集容量持續增加，從儲存裝置將資料載入到GPU，所需時間也越來越長。</p> <p>如此一來，從本地端儲存裝置到GPU之間的資料傳輸，以及從外部儲存設備到GPU伺服器之間的資料傳輸，成為制約AI應用的效能瓶頸所在，如果儲存設備向GPU載入資料的速度過慢，將會大大拖累整體處理速度。這也促使Nvidia在2019年推出GDS架構，以提高從儲存設備到GPU伺服器之間的傳輸效率。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>AI應用環境的I/O需求</strong></span></span></p> <p>大語言模型、1080P高畫質影像訓練的資料集，動輒就能達到TB或數十TB等級，不可能完全預先載入GPU伺服器的記憶體，而需多次從內部或外部儲存裝置讀取，因而會對儲存裝置帶來龐大的讀取流量需求；為了確保訓練過程中的容錯需求，也需要定期寫入檢查點，從而為儲存裝置產生TB等級資料的龐大寫入流量。</p> <p>所以，儲存裝置也必須確保足夠的傳輸效能，才能讓AI訓練工作有效率的執行，這也正是GDS的目的。</p> <p>在Nvidia的DGX SuperPOD參考架構文件《NVIDIA DGX SuperPOD: Next Generation Scalable Infrastructure for AI Leadership Reference Architecture Featuring NVIDIA DGX H100》，就針對資料集較龐大、無法直接載入快取記憶體的AI訓練工作，建議應啟用GDS架構，提供更高的持續傳輸速度，從而發揮最佳的AI訓練效能。</p> <p>事實上，上述這份文件，推薦適用於大型AI模型訓練所需的「最佳」（Best）儲存效能指標——單一節點可提供40GB/s以上讀取效率，以及20GB/s寫入效率，理想目標是盡可能接近80GB/s的網路最佳效能，然而，目前也只有在GDS架構的幫助下，才能有效率地實現這個目標。</p> <p><span style="font-size:20px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 效能瓶頸的轉移：CPU運算 vs. GPU運算 </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1025-cover(2)-600.jpg" style="width: 600px;" /></p> <p><span style="font-size:20px;"><span style="color: rgb(51, 153, 255);"><strong>關於資料處理的過程，我們可以簡單分解為資料的讀取載入、運算，以及寫入運算結果等3個步驟。</strong></span></span></p> <p><span style="font-size:20px;"><span style="color: rgb(51, 153, 255);"><strong>在以往基於CPU的運算環境，資料處理過程的大部分時間，都耗費在運算，資料讀取與寫入占用的時間比重有限，瓶頸往往落在運算這一環節，I/O相對不是大問題。</strong></span></span></p> <p><span style="font-size:20px;"><span style="color: rgb(51, 153, 255);"><strong>而在今日基於GPU的運算環境中，依靠GPU大幅縮減運算處理時間，也使得整個資料處理過程中，I/O耗費時間的比重大幅增加，成為新的瓶頸所在。</strong></span></span><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／Nvidia</span></span></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>GDS打破傳統傳輸架構的限制</strong></span></span></p> <p>在傳統的伺服器I/O架構下，如果我們要從GPU伺服器的本地端儲存裝置，將資料傳送給GPU當中處理時，資料會先經由GPU伺服器的PCIe交換器，複製到伺服器CPU記憶體的回彈緩衝區（Bounce Buffer），後續再複製到GPU記憶體。</p> <p>若要從外部儲存設備傳送資料到GPU，則會經由GPU伺服器的網路卡與PCIe交換器，先將資料複製到伺服器主機CPU記憶體的回彈緩衝區，再複製到GPU記憶體。</p> <p>在這樣的資料傳輸路徑中，存在2個效能瓶頸：</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 延遲增加 </span></strong></span></p> <p>將資料從儲存裝置傳送到GPU的過程，需要經過至少3到4個環節的中介，內接SSD會經過PCIe交換器、主機CPU、與系統記憶體等3個環節，外部儲存設備還會多經過網路卡這個環節。而這整個過程中，還須進行至少2次記憶體資料複製——先複製到主機CPU記憶體回彈緩衝區，再複製到GPU記憶體，資料才能為GPU存取，因而增加了延遲，也會耗費許多CPU操作週期，增加CPU負荷。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 傳輸頻寬受限 </span></strong></span></p> <p>儲存裝置將資料傳送到GPU的過程中，傳輸率會受到GPU與CPU之間的PCIe傳輸通道頻寬制約。</p> <p>這個問題主要是出現在一些較舊款的GPU伺服器，如搭配A100、V100等GPU平臺的伺服器，主機CPU連接PCIe交換器的傳輸頻寬，只有GPU的PCIe傳輸頻寬一半，因而若資料傳輸路徑通過CPU，那麼傳輸率就會受限於CPU的PCIe傳輸頻寬。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#000000;"> 直接記憶體存取（DMA）技術突破效能瓶頸 </span></span></strong></p> <p>從儲存裝置向GPU傳送資料的過程中，須經由主機CPU與記憶體的中介，正是形成效能瓶頸的原因所在，解決辦法就是盡量不讓資料繞經這個環節，而是直接讓儲存設備將資料傳送到GPU，亦即應用直接記憶體存取（Direct Memory Access，DMA）技術。</p> <p>而Nvidia的GDS傳輸加速架構的基本概念，就是儲存裝置透過直接記憶體存取（DMA）技術，直接經由PCIe交換器晶片將資料寫入GPU記憶體，繞開GPU伺服器主機CPU。如此一來，既能減少延遲，又能利用到GPU的最大傳輸頻寬。</p> <p>GDS省略將資料複製到主機記憶體（即回彈緩衝區）的過程，因而能顯著減少延遲。另一方面，由於主機CPU不參與資料傳輸作業，也能減輕主機CPU的負荷。最後，儲存裝置到GPU之間的傳輸效能，也不會受到主機CPU的PCIe傳輸通道頻寬限制。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> GDS傳輸架構的價值 </span></strong></span></p> <p>Nvidia宣稱，透過GDS可獲得2倍以上的資料傳輸頻寬提升，並降低存取延遲與CPU負荷。而相關廠商的實測報告，也印證GDS的效能提升效果。</p> <p>如VAST Data所提供的測試數據顯示，他們的儲存平臺透過8個InfiniBand埠將資料載入Nvidia DGX-2，啟用GDS可讓持續傳輸率提高近3倍（從33 GB/s提高到94 GB/s），CPU負荷減輕將近85%（CPU利用率從99%降到15%），證實GDS提高傳輸率、減少主機CPU負荷的效果。</p> <p>美光的測試報告，進一步突顯GDS在高負載環境的效能改善效益。</p> <p>該公司以9400 NVMe SSD搭配Nvidia DGX A100系統進行的實測顯示，比起傳統I/O架構，GDS在4KB小區塊傳輸下，可提升33%的傳輸率，並減少25%回應時間，在1024KB大區塊傳輸測試中，則有16%的傳輸率與回應時間改善。數字雖然看來不錯，但似乎不如Nvidia宣稱那樣大幅度的提升，然而美光的報告顯示，GDS的真正價值，其實是在主機處於高負載的繁忙情境。</p> <p>前述測試數字是在主機處於閒置狀態、沒有其他工作負載的效能表現，但實際應用並不會如此，用戶往往必須在主機處於訓練工作的高負載情況下，同時讓儲存裝置向主機傳送資料，資料傳輸工作會面臨與其他工作負載爭搶主機CPU與記憶體資源的困境，導致效能大受衝擊。此時若有GDS這種繞過主機CPU與記憶體的存取架構，便能維持一定程度的傳輸能力。</p> <p>美光模擬了主機CPU處於86%的高利用率，CPU的記憶體頻寬利用率也達到50%的情境，此時利用傳統I/O架構進行傳輸作業，效能將變得極為低落，GDS則仍能維持相當程度的運作。在最消耗主機資源的4KB小區塊傳輸測試中，GDS仍能提供相當於理想狀態一半的傳輸率與回應延遲表現，相較同樣環境中的傳統I/O架構，GDS的效能與傳輸率足足高出7.3倍與6.4倍。而在相對較不消耗主機資源的1024KB大區塊傳輸測試，GDS的回應時間雖然增加2倍，但傳輸率幾乎不受影響，比起傳統I/O架構，傳輸率與回應延遲都改善1.5倍。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>迅速擴展中的GDS應用環境</strong></span></span></p> <p>Nvidia是在2019年中發表GDS技術架構，2020年底推出正式的第1版軟體，隨後便在2021年湧現了第一波儲存廠商支援熱潮，DDN、Dell、Hitachi Vantara、HPE、IBM、VAST Data、Weka、ScaleFlux等儲存廠商，都是在這個時期，將GDS納入自身產品平臺的傳輸架構支援。</p> <p>到了2022與2023年，GDS支援產品的擴展速度稍有減緩。2022年只增加NetApp、Kioxia，但NetApp是先後以2種平臺參與對GDS的支援，2023年有華為、美光、PEAK:AIO，HPE也在此時增加了第2種支援GDS的平臺。</p> <p>在我們去年底首次介紹GDS時，市場上支援GDS的廠商大致就是以上這些。不過在這個時間點之後，GDS的產品支援擴展速度又開始加快。</p> <p>首先是Pure Storage在2023年底宣布支援GDS，並獲得Nvidia認證。當時間進入2024年後，Hammerspace、WD分別在年初與年中，加入支援GDS的行列，HPE也在2024年中時、新增旗下第3種支援GDS的儲存平臺，Nutanix亦在7月預告，他們的儲存平臺也即將加入GDS的支援。</p> <p>最晚近發布的GDS相關產品消息，則是Pure Storage在9月底發布的新產品FlashBlade//S100規格，也列入GDS的支援，是目前最新一款支援GDS架構的產品。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>躋身AI應用的標準儲存傳輸架構</strong></span></span></p> <p>儘管儲存界支援GDS的聲浪浩大，然而，並非所有儲存廠商都認同GD這項技術，例如高效能物件儲存系統供應商MinIO便聲稱，他們的平臺利用標準乙太網路，就能提供足夠的傳輸效能，無需使用GDS，從而避免使用InfiniBand或RDMA架構所帶來的複雜性。</p> <p>MinIO認為自身的部署經驗顯示，GPU應用環境的I/O瓶頸在於網路通道頻寬，而不在於傳輸路徑是否使用回彈緩衝區，因而GDS並非是必要的架構。</p> <p>但MinIO只是少數派，多數主要儲存廠商都認同GDS的價值，並積極支援GDS技術，持續增加的GDS支援廠商便是證明，也讓GDS逐漸成為AI應用必備的傳輸架構。</p> <p>當前AI應用的熱潮仍持續不減，考慮到Nvidia GPU在AI應用中的關鍵地位，以及GDS所能提供的傳輸效能提升效果，我們可以很肯定地認為：任何想要在AI應用中扮演重要角色的儲存廠商，都必須支援這套傳輸架構，才能具備足夠的競爭力。</p> <p><strong style="font-size: 36px; color: rgb(255, 255, 0);"><span style="background-color:#000000;"> GPUDirect Storage的適用場合 </span></strong></p> <p><strong>藉由GPUDirect Storage（GDS）所帶來的I/O傳輸加速效益，並非所有場合都有效，必須是在I/O密集型環境，以及不涉及CPU處理的情境中，才能發揮作用。</strong></p> <p><strong>首先，GDS針對的是儲存設備到GPU之間的I/O瓶頸問題，如果I/O不是應用環境的瓶頸，GDS自然沒有幫助。例如在不涉及大量資料傳輸的運算密集型環境，運算耗費的時間遠大於資料傳輸時間，或運算工作無須等待I/O完成的非同步I/O環境，由於I/O並不是這些應用的瓶頸，GDS便無法發揮效益。</strong></p> <p><strong>其次，GDS僅有助於儲存裝置到GPU之間的傳輸，GPU必須是應用程式資料傳輸過程第1個或最後1個接觸的環節，GDS才能發揮助益。若應用程式在GPU運算之前或之後，還需使用主機CPU處理或分析資料，將會消除GDS的效益。</strong></p> <p><strong>反之，如果是涉及大量資料傳輸，且能卸載給GPU執行的應用情境，GDS便能發揮顯著的加速效果，AI模型訓練便是這種情境的典型。</strong></p> <p><strong><span style="font-size:22px;"><span style="color:#FFFFFF;"><span style="background-color:#ff0066;"> </span></span><a href="https://www.ithome.com.tw/article/165672" target="_blank"><span style="color:#FFFFFF;"><span style="background-color:#ff0066;">相關報導</span></span></a><span style="color:#FFFFFF;"><a href="https://www.ithome.com.tw/article/165672" target="_blank"><span style="background-color:#ff0066;"> </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1205-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=Y3cA8B0K" style="width: 550px;" /></a></span></span></strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/nvidia">Nvidia</a></div><div class="field-item odd"><a href="/tags/gpudirect-storage">GPUDirect Storage</a></div><div class="field-item even"><a href="/tags/gds">GDS</a></div><div class="field-item odd"><a href="/tags/ai%E5%84%B2%E5%AD%98%E7%94%9F%E6%85%8B%E5%9C%88">AI儲存生態圈</a></div></div></div>
2024/10/25 06:00作者張明德https://www.ithome.com.tw/tech/165665
GPUDirect Storage（GDS）的基本概念
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1025-cover2-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美光Micron</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>下圖是從SSD向GPU傳送資料的傳統I/O路徑，資料會經由PCIe交換器、經過主機CPU、複製，寫入主機記憶體的回彈緩衝區（bounce buffer），再經由CPU、PCIe交換器，複製寫入GPU的記憶體，供GPU存取。這整個過程需要經過6個環節，以及2次資料複製作業。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1025-cover(2)-600--1.png" style="text-align: center; width: 452px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／美光Micron</span></span></p> <p>之所以必須採用這種繁瑣的傳輸路徑，是一系列原因造成的。</p> <p>在儲存裝置與GPU之間的資料移動，是透過CPU運行的系統軟體驅動程式來管理，並可由下列3種方式來執行傳輸作業，但各有限制：</p> <p>（1）經由GPU的直接記憶體存取（DMA）引擎執行資料傳輸工作，但是，第3方周邊裝置通常不會公開其記憶體給其他裝置的DMA引擎定址，因而GPU無法以其DMA引擎直接存取第3方的周邊裝置，只有主機CPU的記憶體可供GPU DMA引擎存取。這也導致第3方周邊裝置向GPU的資料傳輸路徑，必須經過主機CPU記憶體中的回彈緩衝區，來作為中介。</p> <p>（2）經由CPU的載入與儲存指令來執行資料傳輸，但CPU無法在2個周邊裝置之間直接複製資料，而須經由CPU記憶體回彈緩衝區的中介。</p> <p>（3）經由周邊裝置的DMA引擎來執行資料傳輸，如NVMe SSD、網路卡或RAID卡的DMA引擎，而GPU的PCIe基底位址暫存器（PCIe Base Address Register，BAR）的定址，是可以提供給其他周邊裝置DMA引擎存取的，Nvidia的GPUDirect RDMA技術，就是利用這點來實現GPU與網路卡之間的直連存取。</p> <p>問題在於，若存取的目標是檔案系統層級的儲存裝置，就必須由作業系統介入存取過程，但作業系統並不支援將GPU的虛擬定址傳遞給檔案系統，因而無法執行DMA存取。</p> <p>傳統I/O路徑會帶來下列3個副作用：（1）延遲增加；（2）傳輸效率受CPU的PCIe通道頻寬限制；（3）傳輸作業需耗費CPU週期，增加CPU與主機記憶體負擔，並與其他工作負載爭搶CPU資源與主機記憶體頻寬，導致傳輸率的抖動與不穩定。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1025-cover(2)-600--2.png" style="width: 450px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／美光Micron</span></p> <p>上圖是在GDS架構，從SSD向GPU傳送資料的I/O路徑，可以繞過（Bypass）主機CPU與記憶體，讓SSD直接透過PCIe交換器，以DMA方式將資料複製寫入GPU的記憶體，整個過程只需經過2個環節，以及1次資料複製，從而帶來3項直接效益：（1）避開主機CPU的PCIe通道頻寬限制；（2）減少傳輸過程的環節，降低延遲；（3）降低主機CPU與記憶體的負擔，減少資料傳輸作業對於其他工作負載的影響。</p> <p>除此之外，GDS架構還能帶來幾項附帶的效益：</p> <p>（1）透過額外的PCIe傳輸通道提高傳輸頻寬：當資料傳輸無須繞經主機CPU與記憶體，只需在PCIe交換器與周邊裝置之間進行時，若搭配採用多層PCIe交換器，同時啟用多條傳輸通道，將能顯著提高伺服器整體傳輸頻寬。</p> <p>而在傳統I/O架構下，由於資料傳輸必須經由主機CPU與記憶體，頻寬會被主機CPU的PCIe通道給綁住，即便有多層PCIe交換器，也無法獲得頻寬提高的效果。</p> <p>（2）解放主機記憶體的占用：資料傳輸使用的回彈緩衝區，會占用到相當可觀的主機記憶體容量，有時候甚至多達1TB，GDS則能解除資料傳輸作業對寶貴主機記憶體空間的占用。</p> <p><strong><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 0, 102);"> </span></span><a href="https://www.ithome.com.tw/article/165672" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 0, 102);">相關報導</span></span></a><span style="color: rgb(255, 255, 255);"><a href="https://www.ithome.com.tw/article/165672" target="_blank"><span style="background-color: rgb(255, 0, 102);"> </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1205-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=Y3cA8B0K" style="width: 550px;" /></a></span></span></strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/nvidia">Nvidia</a></div><div class="field-item odd"><a href="/tags/gpudirect-storage">GPUDirect Storage</a></div><div class="field-item even"><a href="/tags/gds">GDS</a></div><div class="field-item odd"><a href="/tags/ai%E5%84%B2%E5%AD%98%E7%94%9F%E6%85%8B%E5%9C%88">AI儲存生態圈</a></div></div></div>
2024/10/25 06:00作者張明德https://www.ithome.com.tw/tech/165666
GPUDirect Storage的部署與啟用條件需求
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1025-cover3-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome整理製表，2024年10月</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>藉由GPUDirect Storage（GDS），可以讓GPU伺服器本機的NVMe SSD，或是外部第3方的檔案儲存系統，透過DMA或RDMA方式，繞過GPU主機CPU與系統記憶體，直接將資料傳送到GPU的記憶體，從而大幅提高儲存裝置與GPU之間的資料傳輸效率。但要啟用這套架構，必須有硬體與軟體方面的配合。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>● 硬體需求</strong></span></span></p> <p>在GPU伺服器端，只有較新款的Data Center等級GPU平臺，與Quadro等桌上型等級GPU平臺，可以支援與運行GDS（詳見Nvidia網站公布的清單），若要透過GDS連結外部儲存設備，GPU伺服器還需要搭配支援RDMA架構的網路卡，如InfiniBand或RDMA乙太網路卡。</p> <p>至於儲存裝置端則分為兩種，一為區塊類型，另一為網路附加型儲存裝置。</p> <p>區塊類型儲存裝置分兩種，一為GPU伺服器本機儲存裝置，能透過PCIe連結GPU的NVMe SSD即可。二為外部儲存設備從遠端掛載的區塊儲存區（Volume），需支援NVMe-oF形式的外部儲存設備。</p> <p>對於網路附加型儲存裝置，基本上都是外部遠端掛載的檔案系統，檔案系統必須支援RMDA網路介面才能運行GDS。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>● 軟體需求</strong></span></span></p> <p>要在GPU伺服器端啟用GDS，首先，必須安裝Nvidia的MLNX_OFED與nvidia-fs.ko這兩個軟體元件，前者用於為InfiniBand與RDMA乙太網路卡建立跨遠端的RDMA存取，後者用於為儲存裝置提供對於GPU記憶體的DMA直接存取。</p> <p>其次，是必須安裝內含GDS軟體元件的CUDA 11.4版以後軟體套件。</p> <p>在儲存裝置端，GDS對儲存裝置的存取，是在GDS的CuFile API控制下，透過nvidia-fs.ko驅動程式，經由Linux的虛擬檔案系統（Virtual Filesystem，VFS）介面的中介，在檔案系統層級上進行。</p> <p>所以對於GPU伺服器連接的區塊型儲存裝置，包括本機的NVMe SSD，或是遠端掛載的外部儲存裝置邏輯儲存區（如EBOF儲存櫃），必須格式化為EXT4或XFS檔案系統的形式，再掛載到GPU伺服器使用。</p> <p>對於檔案系統型儲存裝置，第3方檔案系統若要支援GDS，必須能支援RDMA遠端存取，通常採取2種實作方式，一為透過修改的NFS協定（例如NFS over RDMA），另一為透過OFED（OpenFabrics Enterprise Distribution）介面，藉此將檔案系統空間掛載給GPU伺服器使用，採取前者作法的平臺，例如Dell PowerScale 9.2版以後版本，後者則有DDN的EXAScaler 5.2以後版本，Weka的WekaFS 3.13以後版本等。</p> <p>這些GDS相容檔案儲存平臺，多是第3方廠商專屬儲存設備的檔案系統，因而只能跟著這些廠商的儲存產品硬體一同提供。不過，也有部分平臺例外，可以單獨提供檔案系統軟體套件，供用戶自行建置儲存系統，如BeeGFS與Weka FS，都提供這種建置模式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1025-cover(3)-600.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">資料來源：iThome整理，2024年10月</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:22px;"><strong>GDS使用的儲存裝置分為2大類型、一共3種形式：</strong></span></span></p> <p><span style="color:#3399ff;"><span style="font-size:22px;"><strong>第1大類是區塊型儲存裝置，包括GPU伺服器本機的NVMe SSD，以及外部儲存設備透過NVMe-oF掛載的Volume儲存區，這一類儲存裝置將被格式化為EXT4或XFS檔案系統形式後，經由Linux的VFS介面連結nvidia-fs.ko軟體元件，藉此讓儲存裝置能以DMA引擎存取GPU的記憶體。</strong></span></span></p> <p><span style="color:#3399ff;"><span style="font-size:22px;"><strong>第2大類是檔案型儲存裝置，相容GDS的第3方檔案系統，可透過nvidia-fs.ko軟體元件，以DMA方式存取GPU記憶體。</strong></span></span></p> <p><strong><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 0, 102);"> </span></span><a href="https://www.ithome.com.tw/article/165672" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 0, 102);">相關報導</span></span></a><span style="color: rgb(255, 255, 255);"><a href="https://www.ithome.com.tw/article/165672" target="_blank"><span style="background-color: rgb(255, 0, 102);"> </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1205-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=Y3cA8B0K" style="width: 550px;" /></a></span></span></strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/nvidia">Nvidia</a></div><div class="field-item odd"><a href="/tags/gpudirect-storage">GPUDirect Storage</a></div><div class="field-item even"><a href="/tags/gds">GDS</a></div><div class="field-item odd"><a href="/tags/ai%E5%84%B2%E5%AD%98%E7%94%9F%E6%85%8B%E5%9C%88">AI儲存生態圈</a></div></div></div>
2024/10/25 06:00作者張明德https://www.ithome.com.tw/tech/165668
【AI直連儲存加速時代來臨】GPUDirect Storage產品生態總覽
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1025-cover4-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>NetApp</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>憑藉AI應用持續興盛，以及輝達在GPU與加速運算的龐大影響力，用於改善GPU應用環境I/O傳輸效率的GPUDirect Storage（GDS），短短幾年內，就成為GPU領域標準的傳輸架構之一，也是有意在AI應用扮演重要角色的儲存廠商，必須支援的I/O技術架構。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>支援GDS的儲存裝置形式</strong></span></span></p> <p>從儲存裝置的存取層級來說，GDS支援2種類型的儲存裝置：</p> <p>（1）GPU伺服器本機掛載的區塊型（Block）儲存裝置，又分為兩種類型，一為透過NVMe介面直連的NVMe SSD，另一為外部儲存設備經由NVMe-oF架構連接的儲存區（Volume），這類裝置將格式化為EXT4或XFS檔案系統，再提供給GDS建立連結。</p> <p>（2）GPU伺服器遠端掛載的外部檔案系統，也就是支援RDMA傳輸架構，且相容於GDS技術的第3方檔案層級儲存設備。</p> <p>所以從儲存裝置的型態來說，GDS一共支援3種儲存裝置：（1）GPU伺服器內接的NVMe SSD，（2）經由NVMe-oF掛載的外部區塊型儲存裝置，（3）經由RDMA網路連結的外部檔案型儲存裝置。</p> <p>在這3類儲存裝置中，GPU伺服器內接NVMe SSD的規格限制條件最少，幾乎適用所有相容於GPU伺服器的NVMe SSD產品（包括ScaleFlux的運算型儲存裝置產品），存取延遲最低，但在容量與傳輸頻寬擴展能力方面，會受到相當大的限制，取決於GPU伺服器能支援的NVMe SSD數量，一般而言，最多搭配十多臺NVMe SSD。</p> <p>考慮到AI相關應用的規模擴展需求，更實用的GDS儲存應用架構，將是搭配外部儲存設備的型式，也就是藉由NVMe-oF掛載的外部區塊型儲存設備，以及經由RDMA網路連結的外部檔案型儲存設備。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> 典型的GDS應用架構：NetApp EF系列與BeeGFS的組合 </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1025-cover(4)-600--2.png" style="width: 600px;" /></p> <p><span style="color: rgb(51, 153, 255);"><span style="font-size: 22px;"><strong>這是後端NVMe-oF搭配前端InfiniBand/RDMA的GDS應用架構。由NetApp的EF600儲存陣列，以NVMe over InfiniBand協定經由200Gb IfiniBand網路介面，將儲存區直接掛載到運行BeeGFS檔案系統的SR655伺服器上，後者再經由InfiniBand交換器，將檔案系統空間以InfiniBand/RDMA方式連到GPU伺服器，構成GDS連接。</strong></span></span><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／NetApp</span></span></p> <p><span style="font-size:28px;"><span style="color:#B22222;"><strong>支援GDS的儲存平臺</strong></span></span></p> <p>目前支援GDS的外部儲存設備，以檔案型儲存設備占大多數，總共有十多家廠商的產品，幾乎涵蓋當前市場上多數常見的檔案儲存平臺，包括：在高效能運算領域常見的知名老牌檔案儲存平臺，例如DDN的EXAScaler，HPE Cray ClusterStor，IBM Spectrum Scale（現在已改稱Storage Scale），ThinkParQ的BeeGFS，還有兩大分散式高效能檔案平臺新秀——VAST Data的Universal Storage，Weka的WekaFS，以及知名的通用檔案儲存平臺，如Dell的PowerScale、NetApp的ONTAP，PureStorage的FlashBlade，以及華為的GFS（Global File System）等。</p> <p>前述這些平臺，又可依照支援GDS的傳輸架構型式，分為直接透過RDMA網路連接（InfiniBand或RoCE乙太網路），以及透過NFS over RDMA協定（NFSoRDMA）等2大類。前者有EXAScaler、Spectrum Scale、BeeGFS、WekaFS等平行檔案系統，後者則有PowerScale、ONTAP等通用型平臺。</p> <p>至於區塊型儲存設備，原則上任何支援NVMe-oF架構的產品都適用GDS，但實際確實標示支援GDS的產品，我們目前已知的，有Excelero的NVMesh，以及WD的OpenFlex Data24這2款外接NVMe儲存櫃，其中Excelero已於2022年併入Nvidia。</p> <p>接下來，我們檢視其中較具代表性的平臺。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> Dell </span></strong></span></p> <p>Dell算是最早支援GDS的廠商之一，9.2版以後的PowerScale OneFS檔案系統，能透過基於NFS v3的NFS over RDMA協定，搭配Mellanox的CX系列RDMA乙太網路卡支援GDS傳輸架構。稍後推出的OneFS 9.5版，又進一步改善了GDS傳輸效率，Dell實測顯示提升幅度可達36%。</p> <p>Dell宣稱最小規模的3節點組態PowerScale F600儲存叢集，透過GDS可提供24 GB/s的傳輸率，若擴展到最大252節點規模時，將能擁有高達2 TB/s的龐大傳輸能力。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> DDN </span></strong></span></p> <p>長年致力於高效能運算儲存服務的DDN，當然也沒有在GDS支援上缺席，是首批支援廠商之一。DDN基於Lustre平行檔案系統發展的EXAScaler檔案系統，包括基於Lustre 2.12的EXAScaler 5.2以後版本，以及基於Lustre 2.4的EXAScaler 6以後版本，都能透過InfiniBand支援GDS，適用的DDN硬體產品，包括DDN AI200X、AI400X與AI7990X。</p> <p>DDN以4節點AI400X的實測為例宣稱，啟用GDS可獲得多達57%的傳輸率提升，提供高達162 GB/s讀取與143 GB/s的寫入速率。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> IBM </span></strong></span></p> <p>源自GPFS平行檔案系統、在高效能運算儲存領域耕耘已久的IBM Spectrum Scale平臺，也就是今日的IBM Storage Scale平臺，同樣是第一批支援GDS的儲存平臺，自5.1.2以後的版本，都支援經由InfiniBand或RMDA乙太網路介面，建立GDS傳輸架構（5.1.2版只支援InfiniBand，5.1.3版以後額外支援RoCE乙太網路）。</p> <p>IBM以兩臺ESS 3200儲存陣列（運行Spectrum Scale 5.1.2版）搭配兩臺Nvidia DGX A100，進行實測的結果顯示，藉由GDS可獲得196 GB/s的總傳輸頻寬，相當於兩臺ESS 3200網路介面線速的95%以上。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> NetApp </span></strong></span></p> <p>NetApp目前有兩個平臺支援GDS，一是由NetApp EF600儲存陣列搭配ThinkParQ BeeGFS檔案系統的組合，一是NetApp自身的ONTAP儲存平臺。</p> <p>在NetApp EF600與BeeGFS的組合中，NetApp其實是配角，EF600僅扮演單純提供儲存空間的角色，將自身的儲存區經由InfiniBand HCA網路卡，以NVMe over InfiniBand協定，掛載到負責執行BeeGFS檔案系統的Lenovo SR655伺服器，再由後者以InfiniBand HCA網路卡經由InfiniBand交換器，以RDMA/InfiniBand協定掛載給GPU伺服器使用，並由SR655伺服器運行的BeeGFS檔案系統，負責建立GDS連接。</p> <p>而在NetApp所提出的參考架構中，是使用在RHEL 7.8作業系統上運行的7.2或7.3版BeeGFS檔案系統。而在實測中，這個組合架構搭配Nvidia DGX A100後，可獲得74 GB/s的傳輸率（基於8U的組態）。</p> <p>NetApp的ONTAP儲存平臺，9.10.1版以後也提供透過NFS over RDMA協定，支援GDS傳輸架構的能力，適用於AFF A400、A700與A800等儲存陣列產品，可搭配Nvidia / Mellanox CX-5或CX-6等支援RDMA架構的乙太網路卡，使用經修改的NFS v4.0協定來運作。</p> <p>後來在9.14.1以後版本的ONTAP平臺上，NetApp將搭配的NFS版本擴展到NFS v3與NFS v4.1，支援的儲存陣列機型也增加AFF C系列與AFF A900。</p> <p>在GDS實測上，NetApp以4臺AFF A800儲存陣列搭配2臺DGX A100與2臺DGX-1，在使用2組、4組、8組A800控制器的情況下，分別可得到45.6 GB/s、86.5 GB/s與171 GB/s的傳輸率，總傳輸頻寬高於EF600與BeeGFS的組合，不過，若換成每節點或每U空間的平均頻寬，則略遜於後者。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> HPE </span></strong></span></p> <p>HPE算是一線大廠最積極支援GDS架構的一家，旗下共有3個儲存平臺可支援GDS，包括Ezmeral Data Fabric（5.5版以後）、Cray ClusterStor（4.2版以後）、GreenLake File Storage（3.0版以後）。</p> <p>它們其實都不是HPE原生開發的產品。例如：Ezmeral Data Fabric來自2019年HPE併購MapR取得的MapR Data Platform，一開始改稱HPE Data Fabric，2021年後名稱才換成現在的Ezmeral Data Fabric，應該是透過修改的NFS協定來支援GDS。</p> <p>ClusterStor是HPE於2019年併購Cray取得的產品線，核心其實就是Cray修改版的Lustre平行檔案系統，應該是以InfiniBand支援GDS；GreenLake File Storage是由Alletra MP硬體執行的VAST Data分散式檔案系統，透過NFS over RDMA支援GDS。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> Hitachi Vantara </span></strong></span></p> <p>身為老牌大廠之一的Hitachi Vantara，目前是透過源自Weka的分散式檔案系統產品——Hitachi Content Software for File（HCSF），提供對於GDS的支援。</p> <p>回顧過去，Hitachi Vantara是在2021年中，以OEM形式引進Weka的WekaFS平行檔案系統，搭配自身的伺服器硬體，組成新的HCSF產品線，因而也跟Weka本家一樣，具備支援GDS的能力。</p> <p>除了以獨立產品線銷售，Hitachi Vantara在7月正式推出的BasePOD整合套件Hitachi iQ 中，也搭配HCSF作為套件中的儲存單元。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> Pure Storage </span></strong></span></p> <p>Pure Storage是從2023年10月開始支援GDS，適用於FlashBlade家族中的效能取向款式FlashBlade//S，需搭配4.3.4版以後的Purity//FB作業系統（目前最新版本是4.5.x版），採用的連接架構是基於乙太網路的NFS over RDMA。</p> <p>至於FlashBlade家族中成本取向的FlashBlade//E系列，目前則不提供GDS的支援。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> Weka </span></strong></span></p> <p>就時間點來看，Weka的WekaFS是最早支援GDS架構的第3方儲存平臺，2020年便與Nvidia進行驗證測試，自3.13版以後的WekaFS（現在稱作WEKA Data Platform），便能透過InfiniBand來建立GDS連接。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> VAST Data </span></strong></span></p> <p>VAST Data也是第一波支援GDS的儲存廠商，其Universal Storage平臺在4.1版以後，支援以NFS over RDMA建立GDS連接。</p> <p>Universal Storage平臺採用特別的「解構與共享一切」（Disaggregated Shared Everything，DASE）架構，由負責儲存服務的運算節點，與提供儲存空間的儲存節點組成叢集，搭配Nvidia GPU環境時，VAST Data所建議的參考架構，是採用新的高效能LightSpeed儲存機箱，透過100GbE乙太網路將空間掛載到VAST Data的檔案服務節點，再由VAST Data的檔案伺服器節點，以InfiniBand將儲存空間掛載給GPU伺服器。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 尚未通過Nvidia認證的GDS支援產品 </span></strong></span></p> <p>除了前述名列Nvidia認證的GDS支援廠商與平臺，還有幾家廠商雖然尚未列入Nvidia的認證名單，但也已發表支援GDS的解決方案，包括Hammerspace、PEAK:AIO、華為。</p> <p>以平行NFS儲存系統打出名號的Hammerspace，是在今年初加入支援GDS行列。Hammerspace的口號是讓用戶現有的儲存設備，透過他們Hyperscale NAS介接，從而支援GDS架構。基本概念是將用戶原有的NVMe-oF儲存陣列、或是沒有RDMA連網能力的NAS，掛載到Hammerspace的Data Services（DSX）節點上，然後由後者藉由NFS over RDMA與GPU伺服器建立GDS連接。</p> <p>英國新創公司PEAK:AIO的AI Data Server軟體平臺，同時具備NFS檔案存取與NVMe/TCP區塊存取支援能力，也能透過NFS與NVMe/TCP這兩種方式支援GDS架構，在2023年底與HPE合作的測試中，驗證了這項能力。</p> <p>至於華為，是在2023年8月發布OceanStor A310儲存陣列的GDS測試結果，當中顯示他們的GFS（Global File System）平行檔案系統具備支援GDS的能力，但華為並未說明GFS是以何種底層傳輸架構支援GDS。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>不同傳輸架構帶來的效能差異</strong></span></span></p> <p>迄今已有超過15種第3方檔案儲存平臺支援GDS，我們在10月檢視各廠商發布的GDS實測報告，以及儲存新聞網站「Block & Files」收集的GDS測試結果，發現各種平臺達到的GDS傳輸效率，有著很大的差距，而且其中還存在一些共同的傾向。</p> <p>依照當前各種不同平臺支援GDS時，所採用的傳輸架構，我們可以大致分為3個群組——基於NVMe-oF，基於InfiniBand RDMA，以及基於NFS over RDMA架構。</p> <p>參照Block & Files將各廠商測試結果標準化以後的平均單位節點輸出效能，我們發現IBM、DDN、Weka這些廠商，利用InfiniBand建立GDS傳輸架構的平行檔案系統，還有WD基於NVMe-oF連接架構的平臺，效能要比Dell、NetApp這些採用NFS over RDMA的平臺，高出一個層次。不過也有例外，例如Pure Storage與PEAK:AIO，都透過NFS over RDMA獲得不錯的讀取效能，但寫入效能仍不能與前述平臺相比。</p> <p>這顯示NVMe-oF與InfiniBand RDMA具備一定的效能優勢，但從另一方面來看，NFS over RDMA雖然效能上受到較大限制，也有著運用簡便，與低成本的優點。</p> <p>由於傳輸架構只是影響傳輸效能的眾多因素之一，加上各廠商的測試環境設定差異，前述比較並不精確，不過仍能作為我們衡量在GDS應用中使用不同傳輸架構時，一個粗略的參考依據。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1025-cover(4)-600-PNG.png" style="width: 600px;" /></p> <p><strong><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 0, 102);"> </span></span><a href="https://www.ithome.com.tw/article/165672" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 0, 102);">相關報導</span></span></a><span style="color: rgb(255, 255, 255);"><a href="https://www.ithome.com.tw/article/165672" target="_blank"><span style="background-color: rgb(255, 0, 102);"> </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1205-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=Y3cA8B0K" style="width: 550px;" /></a></span></span></strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/nvidia">Nvidia</a></div><div class="field-item odd"><a href="/tags/gpudirect-storage">GPUDirect Storage</a></div><div class="field-item even"><a href="/tags/gds">GDS</a></div><div class="field-item odd"><a href="/tags/ai%E5%84%B2%E5%AD%98%E7%94%9F%E6%85%8B%E5%9C%88">AI儲存生態圈</a></div></div></div>
2024/10/25 06:00作者張明德https://www.ithome.com.tw/tech/165670
企業儲存市場新動能：GPU直連儲存系統
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1205-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=Y3cA8B0K" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>構成AI運算能力來源的GPU，已成為IT基礎架構升級新動能，而在儲存系統領域當中，Nvidia打造的GPUDirect Storage（GDS）直連傳輸架構，也成為影響AI應用效能的關鍵，獲得眾多儲存廠商的積極支援，從而形成一個基於GDS架構的AI儲存生態圈</p> </div></div></div>
2024/10/25 06:00作者張明德https://www.ithome.com.tw/article/165672
一家廠商主導的AI硬體生態系統
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這幾年來，Nvidia堪稱最活躍、最受各界矚目的企業級加速運算平臺廠商，隨著伺服器虛擬化、大數據分析、生成式AI技術浪潮一波波襲來，Nvidia都在其中扮演重要角色，他們不斷打破既有市場規則，開創許多新的典範。</p> <p>以及今年發表的Blackwell架構資料中心GPU為例，截至目前為止，Nvidia在尚未推出基於這個GPU晶片而成的運算模組或加速卡之際，居然就已開始主推新一代融合晶片GB200 Grace Blackwell Superchip（結合自研Arm處理器Grace與Blackwell架構GPU），基於36個GB200的整櫃式系統GB200 NVL72，以及預載8個Blackwell架構GPU的加速運算基板：HGX B200、HGX B100，而非按部就班地推廣各種GPU解決方案。</p> <p>先前Nvidia在Ampere架構與Hopper架構的作法，是先解說與強調單個A100或H100 GPU的性能與效益，同時帶入匯集4或8個GPU的加速運算基板／GPU伺服器，展示整個伺服器廠商生態的支持與響應，後續再擴及搭配更大量GPU的單櫃或多櫃型系統。不過，隨著Nvidia去年完成融合晶片GH200 Grace Hopper Superchip的設計，以及多家廠商這兩年陸續推出基於GH200的伺服器，像是：雲達、Supermicro、技嘉、華碩、永擎、和碩、Nvidia、Amax、立端、HPE，或許是因為這些廠商的熱烈響應，使Nvidia對這類採用「超級晶片」的伺服器更有信心，因此，今年3月GTC大會與6月台北國際電腦展，他們更是開門見山、直接主推基於GB200而成的伺服器與整櫃型系統。至於Blackwell架構GPU的主要技術特色介紹，並不像前幾代資料中心GPU架構發表時那樣詳盡，目前只能仰賴Nvidia網站的介紹，而且，上面公布的技術架構簡介文件，聚焦Blackwell架構的部分，嚴格來說只有5頁篇幅，相較之下，現行Hopper架構技術白皮書，在架構設計、規格、效能的總覽與深度解析有近50頁之多。</p> <p>在Blackwell架構GPU的效能展現上，今年8月底公布的AI推論測試結果MLPerf Inference v4.1，首度以第三方機構的角度，揭露基於此架構而成的產品B200能耐（單臺伺服器、單個GPU），從中可看出同樣使用Llama 2 70B的模型時，B200均大幅領先AMD Instinct MI300X、Nvidia GH200、Nvidia H200。</p> <p>若就網路與儲存的產品技術搭配與合作廠商來看，Nvidia更是遙遙領先其他競爭對手。就網路技術而言，英特爾、AMD、Nvidia都能同時提供超高速網路介面卡，以及資料處理器（DPU）、基礎架構處理器（IPU），幫忙分攤伺服器的加解密處理，以及具備可程式化能力的調度指揮機制。然而，截至目前為止，只有Nvidia很果決地將這樣的解決方案，與他們的AI加速運算系統進行搭配，而且不僅提供乙太網路與InfiniBand這兩種技術的支援，也將旗下的資料處理器、網路交換器、網路線、軟體定義網路系統，統合為新的網路平臺，名為Spectrum-X與Quantum-X，再加上Nvidia的網路解決方案先前就已陸續支援GPUDirect系列技術，並且將原本他們想要發展的網內運算（In-Network Computing），更聚焦在如何加速AI工作負載，藉此提供更有效率、更少損耗、更低延遲的資料中心網路環境。</p> <p>相較之下，其他兩家廠商的網路卸載／加速解決方案，並未與他們的資料中心GPU或AI加速器連成一氣、形成互相支援的技術堆疊架構，仍是各行其是。不過，AMD本月發表新的資料處理器Pensando Pollara 400，或許後續能帶來更多技術整合層面的突破，因為在這當中，AMD提供同樣稱為GPUDirect的GPU橫跨乙太網路的直連通訊功能。</p> <p>在儲存方面，Nvidia已拉攏不少廠商加入支援與合作陣營。近年來，越來越多企業級儲存系統廠商支援Nvidia發展的GPUDirect Storage（GDS），根據Nvidia在他們網站文件區公布的GPUDirect Storage Release Notes，8月份的分散式檔案系統產品支援矩陣，有多達9個廠牌、15個儲存系統平臺，被認可的時間最早是2021年6月（WekaIO），最近的是2023年12月（Pure Storage），除此之外，還有其他廠商陸續宣布支援，<a href="https://www.ithome.com.tw/article/165672" target="_blank"><span style="color:#3366ff;">在1205期週刊的封面故事當中</span></a>，我們的技術主筆張明德會有更完整的報導。</p> <p><strong><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 0, 102);"> </span></span><a href="https://www.ithome.com.tw/article/165672" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 0, 102);">相關報導</span></span></a><span style="color: rgb(255, 255, 255);"><a href="https://www.ithome.com.tw/article/165672" target="_blank"><span style="background-color: rgb(255, 0, 102);"> </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1205-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=Y3cA8B0K" style="width: 550px;" /></a></span></span></strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/nvidia">Nvidia</a></div><div class="field-item odd"><a href="/tags/ai%E7%94%9F%E6%85%8B%E7%B3%BB">AI生態系</a></div><div class="field-item even"><a href="/tags/%E5%84%B2%E5%AD%98%E7%B3%BB%E7%B5%B1">儲存系統</a></div><div class="field-item odd"><a href="/tags/gpudirect-storage">GPUDirect Storage</a></div><div class="field-item even"><a href="/tags/gds">GDS</a></div></div></div>
2024/10/25 06:00作者李宗翰https://www.ithome.com.tw/voice/165674
【資安日報】10月24日，FortiManager零時差漏洞已被用於實際攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週研究人員揭露多起漏洞利用攻擊的資安事故，例如：Fortinet網路設備管理系統漏洞CVE-2024-47575、三星行動裝置處理器漏洞CVE-2024-44068、macOS作業系統漏洞CVE-2024-44133。</p> <p>其中，又以CVE-2024-47575相當值得留意，原因是這項漏洞在Fortinet尚未公開之前，已有研究人員提出警告，並有企業傳出遭受攻擊的情況。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165625"><strong style="font-size: 22px;">勒索軟體Cicada3301鎖定VMware虛擬化平臺、NAS設備而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cicada3301-profile-min-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cicada3301-profile-min-1.png" style="width: 300px; float: right;" /></a>一般而言，勒索軟體的攻擊目標多半是Windows電腦，到了前幾年，陸續有駭客組織針對VMware虛擬化平臺ESXi開發Linux版勒索軟體，然而最近出現的新勒索軟體，更進一步做到可橫跨多個平臺運作，而引起研究人員的注意。</p> <p>資安業者Group-IB揭露從今年6月開始出沒的新興勒索軟體Cicada3301，3個月內已有30家企業組織遭受攻擊。特別的是，駭客以Rust打造勒索軟體，不只能在Windows、Linux電腦，以及VMware ESXi運作，罕見的是，網路儲存設備（NAS）、PowerPC架構的電腦，也無法倖免於難。</p> <p>此外，該勒索軟體還能終止虛擬化平臺的運作，不僅能用於前述的VMware ESXi，還能對微軟Hyper-V出手，將虛擬機器（VM）關機。</p> <p><a href="https://www.ithome.com.tw/news/165656"><strong style="font-size: 22px;">多款熱門行動程式直接將AWS與Azure帳密資料寫入程式碼</strong></a></p> <p>資安業者賽門鐵克警告，有多個熱門的Android及iOS行動程式直接在程式中寫入未加密的AWS或Azure憑證，將允許駭客破壞應用程式的後端基礎設施、竊取用戶資料，或是中斷服務。</p> <p>根據調查，有6款程式直接於程式碼庫中嵌入了未加密的AWS憑證，包括Google Play上的拼貼程式The Pic Stitch: Collage Maker，下載次數超過500萬；其他3款則是位於App Store上，包括連鎖甜點店的官方程式Crumbl，下載次數超過390萬；填寫問卷賺現金的調查應用程式Eureka: Earn money for surveys，有超過40萬次的下載；超過35萬下載量的影片編輯程式Videoshop - Video Editor Videoshop；超過24萬次下載的紙牌遊戲Solitaire Clash: Win Real Cash；以及超過23.5萬次下載量的填問卷賺現金的調查程式Zap Surveys - Earn Easy Money。</p> <p>另有6款程式嵌入的是微軟Azure憑證，包括Google Play上的叫車程式Meru Cabs，下載超過500萬次；一個針對印度市場的黃頁程式Sulekha Business，下載超過50萬次；以及可以用來緩解耳鳴的ReSound Tinnitus Relief；下載超過50萬次；超過10萬次下載的看病程式Saludsa；下載超過10萬次的車輛檢查程式Chola Ms Break In，以及另一個用來緩解耳鳴的Beltone Tinnitus Calmer，亦有逾10萬次下載。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/notlockbit-ransomware-can-target-macos-devices/">勒索軟體NotLockBit鎖定macOS電腦而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/10/ransomware-gangs-use-lockbits-fame-to.html">有人冒用LockBit名號發動勒索軟體攻擊，將竊得資料外傳AWS S3儲存桶</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/10/new-grandoreiro-banking-malware.html">金融木馬Grandoreiro變種鎖定墨西哥而來</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165661"><strong style="font-size: 22px;">Fortinet網路設備管理平臺API漏洞出現零時差攻擊</strong></a></p> <p>10月23日資安業者Fortinet發布資安公告，指出旗下的網路設備管理平臺FortiManager存在重大漏洞CVE-2024-47575，本地建置及雲端版本皆受到影響，而且，他們已掌握用於實際攻擊行動的情況，呼籲用戶儘速套用相關更新。</p> <p>這項漏洞存在於名為fgfmd的系統元件，起因是重要功能缺乏身分驗證，導致攻擊者有機會在未經身分驗證的情況下，藉由發送偽造請求，遠端執行任意程式碼或命令，CVSS風險評分達到9.8。該漏洞影響本地建置6.2.0至7.6.0版、雲端版6.4至7.4.4版的FortiManager，該公司推出新版程式修補。</p> <p>附帶一提的是，他們也提及，部分網路分析設備FortiAnalyzer提供的相關功能模組（FortiManager on FortiAnalyzer），也同樣存在這項弱點而曝險。</p> <p><a href="https://www.ithome.com.tw/news/165660"><strong style="font-size: 22px;">三星修補已遭濫用的Exynos行動裝置處理器漏洞</strong></a></p> <p>10月7日三星發布韌體更新，修補出現在三星手機與穿戴裝置搭配的Exynos處理器的高風險漏洞CVE-2024-44068，此漏洞涉及記憶體釋放後再行利用（Use After Free），攻擊者有機會藉此提升權限，搭載Exynos 9820、9825、980、990、850、W920等處理器的裝置受到影響，CVSS風險評為8.1分。</p> <p>本漏洞是由Google威脅分析小組Clement Lecigene，以及裝置與服務安全研究小組研究人員Xingyu Jin於7月發現，並向三星通報已遭到利用的情況。他們發現攻擊者將其用來進行提升權限，並確認相關攻擊鏈能在Galaxy S10手機發動。</p> <p><a href="https://www.ithome.com.tw/news/165640"><strong style="font-size: 22px;">蘋果修補macOS的HM Surf漏洞，目前已有嘗試利用的跡象</strong></a></p> <p>今年9月蘋果發布電腦作業系統大改版macOS Sequoia 15，當中修補中度風險漏洞CVE-2024-44133，這項漏洞影響由行動裝置管理平臺（MDM）控管的裝置，應用程式有可能藉由漏洞繞過特定的隱私權組態，CVSS風險評為5.5分，通報此事的微軟近日公布相關細節，並指出他們偵測到疑似漏洞利用的情況。</p> <p>微軟威脅情報中心指出，這項漏洞有機會讓攻擊者繞過macOS的Transparency, Consent, and Control（TCC）保護機制，進行在未經授權的情況下，存取受到保護的使用者資料。研究人員將這項漏洞稱為HM Surf，並指出該漏洞涉及移除Safari瀏覽器程式資料夾的TCC防護，以及更動特定資料夾的組態檔案，使得攻擊者有機會存取使用者資料，包含瀏覽過的網頁、裝置的視訊鏡頭、麥克風、地理位置。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/microsoft-windows-flaw-cve-2024-30090-poc-exploit-published-posing-system-privilege-threat/">針對微軟6月修補的一系列核心層級漏洞，資安業者Devcore警告可被用來提升權限</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/exploit-released-for-new-windows-server-winreg-ntlm-relay-attack/">微軟7月修補的遠端登錄檔漏洞WinReg，若不處理攻擊者可發動NTLM中繼攻擊</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165636"><strong style="font-size: 22px;">Sophos宣布以8.59億美元買下資安廠商Secureworks</strong></a></p> <p>英國防毒廠商Sophos於10月21日宣布，以8.59億美元現金收購美國資安業者Secureworks。Secureworks為網路安全服務供應商，提供安全監控、威脅偵測及SoC服務，該公司於2011年被Dell併購，2016年Dell將之分拆上市，並成為這家資安公司的最大股東。今年8月媒體報導，Dell有意出售Secureworks，直到本週才確定由Sophos接手。</p> <p>Sophos表示，Secureworks的Taegis平臺和Sophos代管服務與安全產品可相輔相成，提供進階延伸偵測回應（XDR）及代管偵測回應（MDR）解決方案。他們計畫整合二家公司產品，使Sophos新增身分威脅偵測與回應（identity threat detection and response，ITDR）、次世代安全資訊與事件管理（SIEM）、操作科技（OT）及進階弱點風險排序等，提供滿足大、中、小型企業的產品。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165652"><strong>【10月23日】中國駭客組織IcePeony對亞洲國家網頁伺服器發動SQL注入攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165631"><strong>【10月22日】資安業者ESET以色列合作夥伴驚傳遭駭，駭客冒名從事網釣攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165602"><strong>【10月21日】Internet Archive再傳遭駭</strong></a></p> </div></div></div>
2024/10/24 18:42作者周峻佑https://www.ithome.com.tw/news/165683
CNCF技術委員會成員來臺揭露K8s未來三大進展，包括WebAssembly、eBPF和IT永續新工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>兩位蘋果工程師Katie Gamanji和太田航平(Kohei Ota)，在今年Kubernetes Summit研討會第二天的主題演講中，回顧了K8s十年發展，並揭露了接下來三大發展方向。Katie Gamanji是CNCF技術監督委員會成員，她主導設立了雲原生證照KCNA認證制度和相關課程，而太田航平則是CNCF推廣大使，去年參與創立了日本雲原生社群，是日本開源社群的活躍者。</p> <p>Katie Gamanji指出，K8s是傑出的容器調度框架，關鍵是透過宣告式配置和各種自動化機制，提供了很好的移植性和適應力，今年是K8s誕生十周年，超過8萬8千人參與貢獻，橫跨8千家氣頁，超過4,200萬次上傳。十年來發展出了很完整的雲原生技術版圖（Cloud Native LandScape）。</p> <p>目前CNCF擁有190個開源專案，分布在三個不同成熟度的等級，127個處於創意解方嘗試階段的沙盒專案，37個開始有企業貢獻和採用的孵化專案，以及27個達到穩定和成熟，甚至成為業界標準的畢業專案。另外，還有些專案發展不如預期，會落入歸檔的專案，目前有9個。</p> <p>太田航平指出，因為跨不同作業系統和雲端供應商，推動了CRI（容器Runtime介面）和CNI（容器網路介面）這兩類專案的蓬勃發展，可以針對特定雲端業者量身克制，提供更多彈性，也支援更多樣化的容器執行環境。隨著大規模應用和有態工作流程的需求，帶動了CSI（容器儲存介面）和服務網格技術的興起，可用於管理超級複雜的網路流量。</p> <p>為了滿足多租戶架構，讓每個用戶可以有自己專屬的叢集，太田航平表示，K8s的叢集API成了關鍵標準化機制，可以將叢集的身分驗證功能，和底層的基礎設施脫離。透過叢集API，不論是本地端、公有雲或邊緣環境，都可以提供一致的K8s叢集建立和管理方式，也能建立一套涵蓋叢集生命周期的標準化管理方式。</p> <h3><span style="color:#FF0000;"><strong>未來K8s三大發展：WebAssembly、eBPF和永續性</strong></span></h3> <p>K8s的下一波發展，太田航平指出有三大重要機制，第一項就是WebAssembly。為何這項技術對雲原生的發展，非常重要？太田航平解釋，WebAssembly可以提供一個獨立的環境，不受限於任何開發語言、作業系統和CPU。換句話說，WebAssembly等於是提供了一個可以通吃任何開發環境、作業系統，甚至是CPU架構的執行程式。WebAssembly也是一個二進位檔案，可以用不同的開發語言編譯成這種格式的檔案，再部署到瀏覽器或非瀏覽器的環境中執行。「WebAssembly提供了一個安全、輕便而且可以在任何地方執行的環境。</p> <p>太田航平舉例說明如何用K8s開發者熟悉的GO語言、行動開發者慣用的Swift，甚至網頁開發者會用的Ruby語言，來編譯成WebAssembly的wasm格式檔，都可以很容易完成。也很容易用Docker來打包出一個可以執行WebAssembly二進位檔的容器映像檔。</p> <h3><strong><span style="color:#FF0000;">eBPF應用越來越廣，從網路處理，擴大到資安監控和可觀察性</span></strong></h3> <p>除了WebAssembly之外，第二個重要新發展是eBPF，這項技術原本只是一項用來過濾網路封包的技術，但現在的應用越來越多元，不只是網路處理，也擴大應用到資安監控和可觀察性工具上。</p> <p>太田航平指出，eBPF的威力是，在同一套一致的安全模式下，提供了低負載的過濾機制以及核心等級的程式化能力，主要透過JIT即時編譯技術和執行前驗證機制來實現。由於eBPF的程式碼具有Linux核心等級的執行能力，因此採取許多預先驗證機制，也採取了一些預防runtime時期出現意外行為的機制，例如限制可用的系統呼叫。另外，還會隨時監控資料型別和存取模式，來避免程式碼非法存取記憶體。</p> <p>目前，eBPF主要有三大應用場景，資安監控，網路路由和過濾，以及可觀察性中的矩陣數據搜集，都各有不少知名的開源專案。這三類應用都是雲原生環境運作需要的核心能力。例如像New Relic的Pixie可觀察性工具，就是用eBPF技術來取得K8s運作的矩陣數據。</p> <p>為了確保安全，eBPF二進位檔會先載入到用戶空間，經過各種執行前驗證檢查後，才會把檔案放入到核心空間，再用JIT編譯器完成編譯後，才允許連結到系統呼叫。<br /> 最後一項K8s的新發展方向是永續性。</p> <h3><span style="color:#FF0000;"><strong>技術部門若不行動，未來技術碳排不減反而會大增</strong></span></h3> <p>Katie Gamanji指出，根據調查，全球碳排放量有1.4%來自技術部門，如果將資料中心和資訊基礎架構改用再生能源來運作，可以減少80%的碳排，但是，目前技術部門的行動力不夠，導致技術部門未來十年產生碳排量，不但不會減少，反而預估還會增加了10%。</p> <p>「如何讓技術部門可以觀察，紀錄和評估他們自己的碳排放，在雲原生環境中，需要新的工具來解決這個課題。」Katie Gamanji指出。這正是K8s接下來在永續性的發展方向。目前K8s有兩項重要的永續工具，第一個Kepler專案，可以用來追蹤K8s的能耗，另一個工具則是碳察覺KEDA工具，可以依據碳排量數據變化來調度的自動擴充機制。</p> <p>Kepler利用了eBPF技術來探測K8s叢集在系統層級的能耗數據，再匯出到Prometheus中彙整，可以用Gafana來視覺化，這項專案是由IBM和紅帽在2022年發起，2023年捐給CNCF基金會，目前處於沙盒階段，意味著還是一項新興的創意嘗試解決專案，還沒有足夠多的企業案例，也很需要嘗試者來貢獻意見。Kepler可以追蹤到不同命名空間，甚至是每一個容器，每一天的碳排數據變化。若用命名空間來區分不同的應用，就可以找出碳排量特別高的應用系統。</p> <h3><strong><span style="color:#FF0000;">不只追蹤碳排數據，還可依碳排密度自動調度K8s叢集</span></strong></h3> <p>有了追蹤碳排數據的工具後，如何運用到K8s叢集的調度上，另一個關鍵工具就是具備碳察覺自動擴充操作器Carbon Aware KEDA Operator。KEDA（Kubernetes Event-driven Autoscaling）專案是一項K8s的自動擴充、縮小叢集規模工具，可以用事件驅動來觸發。碳察覺KEDA操作器則是可以讓KEDA工具，可以依據叢集外部的事件，來調整應用程式的規模，達到碳排放量調整的效果。</p> <p>例如可以設計系統使用「碳排密度」指標來調整規模，碳排放量密度是一個新興的綠色IT指標，以每千瓦小時排放多少二氧化碳量來計算。可以在配置檔中，透過KEDA Scaler CRD或自定義資源設定，來定義不同碳排密度事件的層級，當密度高時，自動降低應用系統的副本數量，來達到減少碳排的效果。</p> <p>Katie Gamanji表示，參與CNCF專案有很多種形式，不一定要貢獻程式碼，也可以參與白皮書制定，或加入工作小組。例如有不少中小企業參與了形形色色各種議題的技術諮詢小組，雲原生生態圈是一個隨著更多參與和互動，而不斷改變的環境，需要一個健康的社群來支持，社群也需要永續的發展。</p> </div></div></div>
2024/10/24 18:28作者王宏仁https://www.ithome.com.tw/news/165682
北韓IT人到歐美企業遠距任職引發危機，可能導致商業機密遭竊、勒索
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近2到3年美國政府多次提出警告，要企業防範北韓駭客假借謀取遠距辦公職務的名義，取得企業內部網路環境的存取權限，從事間諜活動並偷取機密資料的情況，今年美國更是二度查緝協助這些「IT工作者」犯案的<a href="https://www.ithome.com.tw/news/164451">筆電農場（Laptop Farm）</a>，自資安意識教育訓練業者KnowBe4公布<a href="https://www.ithome.com.tw/news/164108">他們不慎雇用北韓駭客差點資料外流的事故</a>，有資安業者針對這種威脅態勢進行調查，並指出近期相關攻擊已出現顯著變化。</p> <p>資安業者Secureworks指出，<a href="https://www.secureworks.com/blog/fraudulent-north-korean-it-worker-schemes">他們針對專門從事這類攻擊的駭客組織Nickel Tapestry（也被稱做Famous Chollima、UNC5267）進行追蹤</a>，結果發現這些駭客在得手企業內部資料後，開始會向雇主進行勒索，要求付錢換取不將資料外流。研究人員指出，這樣的手法過往未曾出現。</p> <p>在其中一起事故裡，受害企業因該員工表現不佳終止僱傭關係，不久就收到一系列電子郵件，其中一封挾帶聲稱竊得內部機密資料的ZIP檔案，另一封則是要求受害企業支付數十萬美元的加密貨幣贖金，後來駭客從另一個電子郵件信箱寄信，以Google Drive共享檔案來表明，他們握有更多內部資料，藉此施壓。</p> <p>此外，他們也發現這些駭客往往還會更改公司寄送工作用筆電的地址，要求送到筆電農場，這意味著駭客通常不會在求職提供的個人所在地區資訊直接填寫筆電農場的地址，而有可能通過人資部門初期審查。</p> <p>在部分事故裡，IT工人會企圖要求受害企業同意使用自己的電腦辦公，並表達對虛擬桌面環境（VDI）組態的偏好。研究人員指出，駭客這麼做的目的，很可能是避免在公務電腦留下相關證據。</p> <p>再者，這些駭客還會使用Astrill VPN提供的IP位址及代理伺服器服務，來隱匿行蹤。研究人員在其中1起事故當中，看到駭客存取公司的VDI系統將內部資料傳送到私人Google Drive儲存空間。</p> <p>研究人員看到駭客存取企業內部環境的方式，包含了Chrome遠端桌面功能、AnyDesk，這對於IT工人謀得的職務而言並不尋常。</p> <p>基本上，北韓駭客為避免穿幫，通常會儘可能會在通話及視訊會議的過程當中，聲稱筆電的視訊鏡頭異常等理由，將鏡頭關閉。但在近期的資安事故中，這樣的態勢也出變化，研究人員根據鑑識取得的證據發現，對方疑似使用名為SplitCam的自媒體協作工具，在避免身分及地點被曝光的情況下開會，使得受害企業比較不會察覺有異。</p> <p>此外，他們還發現受到相同公司聘僱的IT工人會彼此互通有無，包含互相推薦、擔任類似的職務、使用類似的履歷與電子郵件格式。此外，這些工人也往往具備相同的寄送物品及領取工資的方式。研究人員發現，這些駭客還可能一人分飾多個角色──他們在駭客的往來信件當中，看到完全不同的寫作風格，研判這些駭客很可能經常聚集在相同地點，並且共同分擔工作。</p> <p>針對上述的發現，研究人員指出，向受害企業索討贖金的作法，顯然偏離這些駭客初期犯案的規畫，而且，駭客不再以維持就業賺取薪水為主要目的，並將其攻擊目標轉向剽竊智慧財產，使得企業不慎僱用到這些工人的資安風險變得更加嚴重。</p> </div></div></div>
2024/10/24 18:06作者周峻佑https://www.ithome.com.tw/news/165679