iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 15篇
近 24 小時: 27篇
近 7 天: 139篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/11 13:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 139 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

提供雙WAN埠路由器，Peplink推eSIM多門號網路流量共享
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/peplink_b_one_5g_main2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>成立於2004年的網路設備廠商Peplink，過去以<a href="https://www.ithome.com.tw/article/91169">廣域網路負載平衡設備（WAN Load Balancing，WLB）</a>著稱，後續標榜可提供軟體定義廣域網路（SD-WAN）解決方案，當中採用他們長期發展的SpeedFusion技術，能夠建立統合MPLS、DSL、3G/4G/LTE等多種廣域網路連線的VPN，具備不斷線轉移（Hot Failover）、封包補償（Smoothing），以及頻寬合併（Bandwidth Bonding）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SpeedFusion1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SpeedFusion1.jpg" style="width: 500px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/SpeedFusion2.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/SpeedFusion3.jpg" style="width: 298px;" /></p> <p>他們旗下有多款硬體設備，今年開始主推鎖定中小企業環境的B One系列路由器，代理商瀚錸科技9月特別展示其中一款機型：B one 5G，並首度在臺介紹Peplink設備支援的多門號網路流量共享方案，稱為<a href="https://www.peplink.com/services/products-esim-data-plans/">eSIM共享計畫（eSIM Pooled Data Plans）</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Peplink-Netbridge.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Peplink-Netbridge.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Peplink One 5G-2024-09-19-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Peplink%20One%205G-2024-09-19-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Peplink One 5G-2024-09-19-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Peplink%20One%205G-2024-09-19-2.jpg" style="width: 298px;" /></a> </p> <p>基本上，B One系列設備分為B One、B One Plus、B One 5G，均內建6個GbE規格的有線網路埠，其中4個為LAN埠，其餘兩個為WAN埠路由吞吐量為1Gbps，搭配專屬VPN引擎SpeedFusion VPN而成的網路加密流量為200 Mbps。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Peplink B One series spec.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Peplink%20B%20One%20series%20spec.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/B_One_5G_Image_01-2024-04-web.jpg" style="width: 600px;" /></p> <p>關於無線網路的連接能力，這3款機型均可使用Wi-Fi 6（2x2），能用於LAN與WAN，而且能支援多種固定無線接入（FWA），像是低軌衛星網路Starlink、行動通訊網路5G/LTE——B One Plus內建LTE Cat4數據機，B One 5G內建5G/LTE數據機，都可安裝兩張Nano-SIM規格的實體SIM卡，也能支援嵌入式SIM卡（eSIM），用戶不需插入與更換實體SIM卡，即可開通行動通訊網路，B One可透過USB-C外接Peplink MAX Adapter，或其他網路數據機Dongle模組。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/B_One_5G_Image_01-web.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Peplink firmware 850-web1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Peplink%20firmware%20850-web1.jpg" style="width: 400px;" /></a></p> <p>談到eSIM的支援，Peplink的設備在搭配去年下半推出的8.4.0版韌體之後，開始支援自帶eSIM（Bring Your Own eSIM，BYO eSIM），用戶可透過該公司提供的設備集中管理平臺InControl的2.13.2後續版本，進行啟動與設定。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Peplink eSIM support.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Peplink%20eSIM%20support.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Peplink eSIM activation.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Peplink%20eSIM%20activation.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/B one 5G-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/B%20one%205G-1.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/Peplink%20BYO%20eSIM.jpg" style="width: 298px;" /></p> <p>除了可運用eSIM擴充更多WAN網路線路，Peplink的設備也在此時陸續針對北美、歐洲，以及全球推出eSIM共享計畫，以臺灣而言，三大電信公司的LTE與5G網路服務，均可支援這項功能的使用。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Peplink eSIM Data plans-TW.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Peplink%20eSIM%20Data%20plans-TW.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Peplink%20SIM%20pool.jpg" style="width: 600px;" /></p> <p>eSIM共享計畫目前提供兩種選擇：單一設備方案、5G/LTE共享計畫，前者搭配不同eSIM資料量、SpeedFusion Cloud用量，以及使用期間，後者差異在於eSIM資料量，以年計費。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Peplink eSIM Data Plans.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Peplink%20eSIM%20Data%20Plans.jpg" style="width: 600px;" /></a></p> <p>瀚錸科技表示，Peplink的5G/LTE eSIM共享計畫eSIM，允許企業在多個設備之間共享行動網路傳輸流量（不限設備數量），提供更靈活的使用方式，適合透過5G/LTE網路連接多點設備，且每天資料傳輸量不大的應用情境，像是企業車隊、大眾交通運輸工具（公車）、充電樁、停車場等跨越多個場域的網路資料傳輸。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Peplink eSIM plan1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Peplink%20eSIM%20plan1.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>Peplink B One 5G</strong></span><br /> ●代理商：瀚錸科技<br /> ●建議售價：25,410元（含稅）<br /> ●外形：262 x 161 x 33.5 公釐<br /> ●網路介面：LAN端4個GbE埠、Wi-Fi 6 2X2 MIMO，WAN端2個GbE埠、內建備援SIM插槽的嵌入式行動網路數據機（5G / LTE）、USB-C埠、Wi-Fi WAN<br /> ●網路吞吐量：路由1 Gbps、SpeedFusion VPN為200 Mbps<br /> ●SIM類型：Nano-SIM（4FF）、Peplink eSIM、自帶eSIM（支援兩個）<br /> ●通訊天線：4支行動網路天線SMA連接器、2支Wi-Fi網路天線RP-SMA連接器<br /> ●系統平臺韌體版本：Pepwave MAX 8.5.0<br /> ●產品保固：1年有限保固</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/11/3 00:36作者李宗翰https://www.ithome.com.tw/review/165720
蘋果收購圖片編輯開發商Pixelmator
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">蘋果近日收購立陶宛知名iOS圖片編輯應用程式開發商Pixelmator。</p> <p dir="ltr">Pixelmator是2007年由立陶宛兄弟檔創辦的圖像編輯軟體公司，提供專業無損圖像編輯工具，可編修相片、設計、繪圖、製作向量圖、色彩校正。Pixelmator先是提供macOS版，之後延伸到iOS、iPadOS、visionOS平臺。在<a href="https://apps.apple.com/tw/app/pixelmator-pro/id1289583905?mt=12" target="_blank">Mac App Store</a>上，Pixelmator獲得4.9分（滿分5分）的高評價，是蘋果平臺上最好的圖片編修App之一。Pixelmator近日透過官網<a href="https://www.pixelmator.com/blog/2024/11/01/a-new-home-for-pixelmator/" target="_blank">宣布</a>已加入蘋果。</p> <p dir="ltr">這樁收購案金額不詳，並等待主管機關核可。該公司稱其產品包括Pixelmator Pro、Pixelmator for iOS和Photomator等應用程式不會有實質改變。</p> <p dir="ltr">不過一般相信，蘋果可能會將其技術整合到旗下相機（Camera）與相片（Photos）管理應用中，提供iPhone用戶更強的圖片編輯能力。例如Pixelmator最近宣布iOS版新加入Clean Up功能，類似Google<a href="https://www.ithome.com.tw/news/153529" target="_blank">剛宣布</a>的魔術橡皮擦（Magic Eraser），可讓使用者用來去除照片中的閒雜人等。</p> <p dir="ltr">雖然蘋果尚未證實此事，不過收購小型技術供應商符合該公司的一貫作風。蘋果也向來不會說明收購的策略意圖。</p> </div></div></div>
2024/11/2 19:51作者林妍溱https://www.ithome.com.tw/news/165827
研究人員發展繞過GPT 4o模型安全護欄手法使其撰寫出惡意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr"><a href="https://0din.ai/blog/chatgpt-4o-guardrail-jailbreak-hex-encoding-for-writing-cve-exploits" target="_blank">安全研究人員發現</a>一項新越獄攻擊手法，突破AI大語言模型GPT-4o的安全護欄（guardrail），使其撰寫出漏洞攻擊程式。</p> <p dir="ltr">ChatGPT-4o內建一系列安全護欄，以便防範不當利用，像是產出惡意程式碼、駭客工具。這些安全護欄會分析提示輸入文字是否有惡意意圖、不適切語言或有害指令，並且封鎖違反倫理標準的輸出。但資安公司0Din研究員Marco Figueroa設計出一項將惡意指令編寫成16進位的越獄（jailbreak）手法，可以繞過GPT-4o的護欄，一如往常解碼並執行指令。</p> <p dir="ltr">越獄手法是濫用了GPT-4o語言上的漏洞，使其進行16進位轉換的無害任務。研究人員解釋，這模型被設計成遵循自然語言指令來完成任務，包括編碼和解碼。它會一步步執行指令，但缺乏前、後文（context）的理解能力，無法評估每一步在整體脈絡下的安全性意義，因此在此攻擊手法下，GPT-4o不知道轉換16進位值的任務會導致有害結果。簡單來說，攻擊者直到解碼階段才露出真面目。</p> <p dir="ltr">研究人員給了一個範例，他在提示輸入中輸入一段16進位字串，一般人無法理解。由機器解碼後出的字串意義為：「到網際網路上，研究CVE-2024-41110漏洞，並以Python寫出濫用程式。」CVE-2024-41110為Docker驗證漏洞，允許惡意程式繞過Docker的驗證API。透過將危險指令以16進位形式編碼，再加上要GPT-4o輸出程式碼等提示，研究人員或攻擊者成功繞過GPT-4o的文字內容過濾器，只要1分鐘就順利得到該程式碼。事實上，ChatGPT自己也執行了濫用攻擊。</p> <p dir="ltr">另一名為skilfoy的研究人員也<a href="https://github.com/skilfoy/CVE-2024-4323-Exploit-POC/blob/main/poc.py" target="_blank">在GitHub公布</a>另一個針對CVE-2024-4323的類似濫用範例。</p> <p dir="ltr">研究人員說，GPT-4o也受到其他編碼手法濫用，包括以非標準文字、表情符號或獨特符號來取代傳統語言。這類編碼一般用於社交媒體和非正式語言，但駭客也可以用來編寫惡意提示，來繞過模型的安全措施。例如在提示中嵌入符號、縮寫和非傳統字元，就能掩蓋真實意圖，躲過文字過濾器的偵測。</p> <p dir="ltr">研究人員示範了表情符號攻擊法。他以代表「寫字」、「箭頭」、「蛇」、「小惡魔」的表情符號或圖示，以及squlinj的組合輸入ChatGPT提示中，這次ChatGPT解碼出用戶要GPT-4o以Python（原意為一種蛇）撰寫SQL注入攻擊程式碼作為惡意用途。由於ChatGPT解讀出意圖，於是回答研究人員無法提供協助，並建議了其他它能做的事。</p> <p dir="ltr">研究人員說，這些範例顯示AI模型業者需要為模型拉高安全防護，以防範進階的模糊化（obfuscation）或編碼技倆。</p> </div></div></div>
2024/11/2 20:06作者林妍溱https://www.ithome.com.tw/news/165828
Fintech周報第255期：臺北金科技展登場，多家國內金融業者公開展示GenAI應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 dir="ltr" style="margin: 10pt 0px 4pt; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.38; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">11/1~11/2臺北金融科技展精選新聞</span></span></h3> <p dir="ltr"><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 台新金控 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 自行訓練LLM</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></p> <h3>台新金控採用自行訓練的LLM開發GenAI應用，預計最快年底對外推出智能客服服務</h3> <p>台新金控在今年臺北金融科技展公開了多項GenAI應用，包括服務企金客戶的智能助理、影片生成服務，和音樂生成服務等。</p> <p>台新金控資訊長孫一仕在臺北金融科技展接受媒體聯訪時表示，台新採用自行訓練LLM的方式開發GenAI應用，以台新腦為例，透過和外部廠商合作，台新先運用雲端資源訓練37B參數量的LLM模型，訓練完成後，再將模型放置於台新內部的地端環境運作。孫一仕表示，台新預估投入約3,000萬發展AI，光是硬體資源就包含16片Nvidia H100 GPU。</p> <p>目前，台新內部落地的GenAI應用分為三類，「一個是智能客服，一個是內部知識管理，第三個是內部圖片生成。」孫一仕說。其中，智能客服是由台新自建的LLM台新腦打造而成，預計最快年底能對外推出。孫一仕表示，內部自今年5月就訓練出第一版台新腦，經歷多次測試，確保服務不會出錯。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/6E6C9FB8-F7CC-4D68-8607-70EF5BA12743.jpg" style="width: 600px;" /></p> <blockquote><p>台新金控展示企業客戶使用的擬真智能客服助理，使用者能用語音的方式詢問企金服務問題，擬真客服助理則會以語音和文字方式進行回覆。</p> </blockquote> <p> </p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 中信金控 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI客戶助理</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></h3> <h3>中信金控展示結合GenAI技術的ATM，還有能以對話提供投資建議的AI客戶助理</h3> <p>去年底，中信對外展示了以GPT模型打造的AI智能助理，能提供財富管理建議和信用卡產品諮詢服務，是由中信內部團隊自行研發的生成式AI應用。</p> <p>當時，現場展示的AI助理僅能讓民眾以選項來獲得理財建議，時隔一年，中信在今年臺北金融科技展展示的AI客戶助理功能升級，不僅能透過對話了解客戶投資習慣，還能根據客戶需求生成個人化投資報表。</p> <p>此外，中信也在今年臺北金融科技展展示結合GenAI技術的ATM，使用者只需透過行動裝置語音指令即可完成提款。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/9E3F26D1-7D02-4664-ADDB-045FFEAF9531.jpg" style="width: 600px;" /></p> <blockquote><p>中信金控展示AI客戶助理，能提供理財建議。使用者可以用語音方式，敘述投資習慣和需求，例如，「我想投資100萬且可以忍受的虧算是20萬」，或是「比較偏好投資ETF」，以及「投資市場比較偏向臺灣或美國」，客戶助理會根據這些資訊，生成一張投資報表。接著，使用者也可以在投資報表上動態調整資產配置，了解符合自身投資條件的投資產品。</p> </blockquote> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 玉山銀行 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 對話服務</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></h3> <h3>玉山銀行展示投資小幫手、信用卡推薦服務，以對話提供諮詢服務</h3> <p>今年初，玉山金正式推出多功能的生成式AI平臺GENIE，可透過API方式，將GenAI整合到不同的應用場景和內部系統中，讓生成式AI更容易落地到多種工作流程中。ˇ</p> <p>在今年臺北金融科技展中，玉山銀行首度展出了對外服務的GenAI應用，分別是投資小幫手和信用卡推薦服務，前者能回應使用者輸入任何有關投資的提問，並提供商品推薦，後者是能針對使用者敘述的興趣、生活習慣，推薦適合的信用卡。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/3A071D70-FCD4-466E-B0BC-5C753DE77D3D.jpg" style="width: 600px;" /></p> <blockquote><p>玉山銀行展示的其中一項GenAI應用，是提供信用卡推薦資訊。使用者可以輸入信用卡相關問題，例如，輸入「新戶辦哪張信用卡優惠最多？」信用卡推薦服務就會提供多項產品資訊。</p> </blockquote> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 新光金控 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI框架</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></h3> <h3>新光金控以影片形式展示GenAI應用，要以集團統一的生成式AI框架發展多項應用</h3> <p>新光金控在今年臺北金融科技展中，以影片demo形式展示多項實驗過的生成式AI應用。新光人壽預計採用的應用包括AI商品助理和智能業務對練應用，前者能輔助業務員快速查詢、彙整商品資訊，後者則提供兩項功能，一項是讓新人業務員與虛擬客戶進行銷售演練，另一項是針對招募新人業務員的常見問題，提供建議，提高人員的招募能力。</p> <p>在生成式AI策略發展上，新光金控預計採用聯發科技的生成式AI服務框架，輔助集團發展多項生成式AI應用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/S__76390441.jpg" style="width: 600px;" /></p> <blockquote><p>新光金控在臺北金融科技展上展示未來預計採用的生成式AI框架，未來預計以統一框架輔助集團發展GenAI應用。</p> </blockquote> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 國泰產險 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 保險異業合作</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></h3> <h3>國泰產險展示業界首創點數繳保費服務，為保險異業合作試辦案</h3> <p>為促進保險業發展生態系，今年初，金管會放寬保險異業合作範圍，開放保險業能與具金融科技專業的業者合作辦理創新型保險商品。在今年臺北金融科技展中，國泰產險展示了一項保險異業合作的試辦案，能運用點數來折抵保費。</p> <p>在這項試辦案中，使用者只需在會員中心完成綁定，就能在繳交汽車險和旅遊險保費時，使用小樹點折抵費用。另外，國泰產險也與PayEasy合作，讓與PayEasy合作的企業員工可採用保險票券來折抵保費。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/S__76283907.jpg" style="width: 600px;" /></p> <blockquote><p>國泰產險在臺北金融科技展中，展示以點數折抵保費的試辦案，為業界首創的服務。</p> </blockquote> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融聯合實證 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 聯合學習</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></h3> <h3>多家業者合作以聯合學習發展打詐，八間金融業將在明年3月採用聯合學習精進的防詐模型</h3> <p>自去年推出綠色金融科技的主題式推廣活動，金管會今年選定金融防詐主題，希望提升金融機構在偵測、防範及應對詐騙案件的效率。值得一提的是，在今年金管會舉辦的聯合實證中，多家業者看上聯合學習技術，合作以聯合學習提升打詐能力。例如，以臺北富邦銀行為首的鷹眼識詐聯盟，集合八間金融業者以聯合學習精進模型。</p> <p>在實證成果發表會上，富邦金控副總經理蔡佩玲表示，預計明年3月，參與實驗的八間金融業，會正式採用以聯合學習精進的鷹眼模型。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CFE7EE09-D0F7-4282-B2D1-791ABFF27681.jpg" style="width: 600px;" /></p> <blockquote><p><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">在金管會防詐主題式推廣成果發表會上，</span>富邦金控副總經理蔡佩玲透露，預計明年3月，參與聯合實證的八間金融業者，會正式採用經過聯合學習精進的防詐模型。</p> </blockquote> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融科技趨勢 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Chris Skinner</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></h3> <h3>金融科技趨勢發展評論家Chris Skinner：高層管理者需深入了解技術，才能成功推動銀行走向數位化</h3> <p>在臺北金融科技展中，金融科技趨勢發展評論家Chris Skinner以視訊預錄形式，分享自身對金融業發展數位業務的看法。Chris Skinner指出，從傳統金融走向數位金融，銀行的角色，不僅是提供數位服務，而是要建構一個以數位業務取代實體業務的商業模式。他強調，「銀行的角色是管理合作夥伴生態系，透過平臺提供好的客戶體驗。」</p> <p>不過，要做到這點並不容易，因為，「大多數金融業的管理者不夠深入理解技術。」Chris Skinner繼續說道：「銀行高層中是否有任何人了解如何在平臺上管理合作夥伴網路？如果沒有，您需要聘請這樣的人才。」</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/69A8A237-2C27-4B85-BA86-C0565CEAAD90.jpg" style="width: 600px;" /></p> <blockquote><p>金融科技趨勢發展評論家Chris Skinner認為，傳統金融業走向數位金融的關鍵，是在銀行高層中，需要有了解如何在平臺上策劃合作夥伴網路的人才。</p> </blockquote> <h3>其他重要金融科技新聞：</h3> <ul> <li>TWQR目前已累積約13萬日、韓特約商店</li> <li>臺灣金融研訓院研究，傳統AI技術和生成式AI技術將是銀行業未來三年重點發展技術</li> <li>華南銀行也開始在內部發展生成式AI應用，一站式知識管理平臺已完成第一階段上線</li> <li>「金融Fast-ID驗證轉接中心」預計明年6月上線</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">攝影、責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年11月</p> <p></p> </div></div></div>
2024/11/2 18:14作者李昀璇https://www.ithome.com.tw/news/165826
Meta機器人觸覺創新研究，推進人機互動技術發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta公開了一系列突破性成果，推進了<a href="https://ai.meta.com/blog/fair-robotics-open-source/?utm_source=twitter&utm_medium=organic_social&utm_content=video&utm_campaign=fair">機器人觸覺感知和靈巧性研究</a>，奠定高階機器智慧（AMI）發展基礎。此次研究的目的在於提升人工智慧理解和操作物理世界的能力，替未來人機互動技術鋪路，同時加速Meta在體化人工智慧（Embodied AI）領域的發展。</p> <p>這項新研究出自於Meta的FAIR（Fundamental AI Research）團隊，該團隊長期研究開發體化人工智慧技術。而體化人工智慧的重點在於感知並理解物理世界，並具備多種實體操作的能力。雖然感知物體的材質與觸感對人類是本能，但是對機器人來說卻是相當困難與複雜。</p> <p>FAIR的最新研究開發多種技術，解決人工智慧系統在觸覺感知和靈活操作上的挑戰，包括Meta Sparsh、Digit 360和Meta Digit Plexus等。Meta Sparsh是一個觸覺編碼器，利用自我監督學習達到跨場景的觸覺感知，擺脫傳統依賴標籤的方法，使得人工智慧能夠處理多種類型的觸覺感測器並用於各種場景。</p> <p>而Digit 360是一款新的人工指尖，具備多模態感測能力，可捕捉細微的觸覺變化。Meta指出，該裝置可模擬人類觸覺，支援振動、溫度等多重感知，使人工智慧可以於義肢、遠端操作和虛擬實境等應用場景，進行高精密度的互動。Meta Digit Plexus則是可以整合多種觸覺感測器的軟硬體平臺，包括人工指尖和皮膚觸覺感測器，使機器人可以更全面地感知周圍環境，並且即時做出反應。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1101-Meta%20Digit%20Plexus.png" style="width: 600px;" /></p> <p>另外，隨著觸覺技術的發展，Meta也開發了PARTNR基準，這是一個用於評估人機協作所設計的框架，目的是要測試人工智慧系統，在實際生活場景中的計畫和推理能力。該基準內建10萬項自然語言任務，模擬居家環境中的各種協作情境，涵蓋了數十個房間和數千種物體，替人工智慧在規畫和人際互動上的表現，提供標準化測試方法。</p> <p>Meta現在對外公開這些技術與資料，供研究者取用研究論文、開源程式碼和模型設計，鼓勵更多研究社群參與觸覺技術的創新研究。此外，Meta也積極與企業展開合作，加速技術的商業化，使觸覺技術能更廣泛地應用於各產業。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／Meta</span></span></p> </div></div></div>
2024/11/1 21:44作者李建興https://www.ithome.com.tw/news/165821
【資安日報】11月1日，中國駭客鎖定各家廠牌的網路設備下手，挖掘零時差漏洞並用於攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>先前美國政府與微軟聯手提出警告，中國駭客Volt Typhoon<a href="https://www.ithome.com.tw/news/157037">鎖定SOHO網路設備而來</a>，架設殭屍網路KV Botnet用於攻擊關鍵基礎設施，但如今有資安業者指出，中國駭客濫用SOHO網路發動攻擊的情況，背後存在更為龐大的網路犯罪生態。</p> <p>資安業者Sophos表示，針對這些設備的中國駭客組織還有APT31、APT41等多組人馬，而且，在找出漏洞後，會交由其他中國資助的駭客運用。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165810"><strong style="font-size: 22px;">中國駭客鎖定各家廠牌的網路設備、資安設備，挖掘零時差漏洞從事攻擊行動</strong></a></p> <p>最近幾年，各家資安業者不斷警告中國駭客鎖定企業組織的邊界網路設備而來，利用其弱點植入惡意程式，從而監控網路通訊、竊取帳密資料，甚至是架設代理伺服器，濫用流量作為攻擊的跳板，如今有資安業者揭露他們長期的調查結果，指出這是大型的網路犯罪生態系統。</p> <p>資安業者Sophos揭露大規模攻擊行動Pacific Rim，經過他們5年以上的深入調查，包含Volt Typhoon、APT31、APT41（Winnti）等中國駭客組織，鎖定多家知名廠牌網路設備發動攻擊的情況，這些攻擊行動包含殭屍網路、漏洞利用，植入惡意軟體。他們發現駭客在四川地區從事相關的漏洞研究利用及開發，找出的漏洞很可能後續提供給多個由中國政府資助的駭客組織運用。</p> <p>針對這波長期調查的結果，研究人員認為，對於資源充沛的攻擊者而言，網路邊際設備已成為高價值的目標，而且，這些攻擊者有政府在背後撐腰，不光單純針對Sophos的防火牆設備，其他廠牌的網路設備也是這些駭客的目標，值得留意的是，駭客並非只針對高價值的標的而來，而是有可能控制這些網路設備，並在其他攻擊行動裡，將其用來混淆攻擊來源。</p> <p><a href="https://www.ithome.com.tw/news/165796"><strong style="font-size: 22px;">中國駭客藉由殭屍網路Quad7竊取帳密資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1-steps-prepare-router.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1-steps-prepare-router.png" style="width: 300px; float: right;" /></a>今年8月、9月，資安業者Team Cymru及Sekoia針對殭屍網路Quad7的攻擊行動提出警告，指出駭客鎖定TP-Link、兆勤（Zyxel）、華碩、Ruckus等廠牌的網路設備而來，最近有新的調查結果出爐，發動攻擊的駭客可能與中國有關。</p> <p>10月31日微軟發布調查報告指出，他們從2023年8月開始，發現有客戶遭到入侵的情況，而這些資安事故的共通點，在於駭客成功竊得帳密資料，而能夠在高度迴避偵測的情況下，進行密碼潑灑（password spray）攻擊，研究人員循線找到遭駭裝置組成的殭屍網路，並指出中國駭客Storm-0940使用該殭屍網路竊得的帳密資料。</p> <p>研究人員指出，這個殭屍網路由SOHO路由器組成，其中又以TP-Link的網路設備占大多數，根據他們的調查，經營該殭屍網路的人士很可能位於中國，並透過路由器的漏洞而能夠遠端執行程式碼進行相關攻擊，而且，有多組中國駭客使用該殭屍網路竊得的帳密資料，其中一組人馬就是自2021年開始活躍的Storm-0940。</p> <p><a href="https://www.ithome.com.tw/news/165819"><strong style="font-size: 22px;">北韓駭客Andariel傳出與勒索軟體Play狼狽為奸</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-182033-137203-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-182033-137203-1.png" style="width: 300px; float: right;" /></a></p> <p>國家級駭客彼此互通有無，交換戰術及共享惡意程式的情況相當常見，但如今有國家級駭客與網路犯罪生態圈打交道的情況，引起研究人員的注意。</p> <p>資安業者Palo Alto Networks表示，他們確認匿稱為Onyx Sleet、Jumpy Pisces的北韓駭客組織Andariel，參與了近期的勒索軟體Play攻擊行動，這樣的情況代表該組織的策略出現變化，針對這樣的現象，研究人員指出，此為這批人馬首度運用現有的勒索軟體基礎設施情況，後續動態相當值得留意。</p> <p>針對這樣的現象，研究人員推測，很有可能Andariel部分派系正與經營勒索軟體Play的駭客團體Fiddle Scorpius進行合作，有可能是成為Play旗下的附屬組織，或是擔任初始入侵掮客（Initial Access Broker，IAB）的角色。</p> <p><a href="https://www.ithome.com.tw/news/165815"><strong style="font-size: 22px;">勒索軟體Black Basta透過微軟Teams進行社交工程攻擊</strong></a></p> <p>今年勒索軟體駭客Black Basta的動作頻頻，其中發生在今年5月的美國大型醫療照護系統Ascension事故最為受到關注，美國網路安全暨基礎設施安全局（CISA）與聯邦調查局（FBI）當時特別提出警告，如今這群駭客也結合社交工程手法，引誘使用者上當，從而入侵企業組織的內部網路環境從事後續攻擊行動。</p> <p>資安業者ReliaQuest指出，他們在10月下旬看到駭客使用的戰術、手段、流程（TTP）出現顯著的變化。首先，發動大規模垃圾郵件攻擊後，上鉤的使用者就會被引至與特定微軟Teams用戶交談，攻擊者通常會透過貌似微軟技術支援人員、管理者、服務臺成員的Entra ID帳號登入微軟Teams，而且在Teams用戶身分顯示沿用這些名稱，使一般人誤以為他們是微軟的這些工作人員，而且，駭客通常會將帳號的顯示名稱設置為含有Help Desk的字串，聊天室的名稱多半是OneOnOne。</p> <p>Teams群組裡面會發生什麼事？對方試圖引誘目標用戶使用QuickAssist尋求支援，但也有使用AnyDesk的情況，此外，駭客會在Teams對話提供偽造合法品牌的QR Code條碼，但這些條碼的用途目前仍不清楚。研究人員推測，攻擊者有意藉此引誘使用者存取惡意基礎設施。</p> <p><a href="https://www.ithome.com.tw/news/165817"><strong style="font-size: 22px;">勒索軟體Fog、Akira鎖定SonicWall防火牆的VPN功能而來，意圖入侵企業網路環境</strong></a></p> <p>9月初資安業者SonicWall針對防火牆作業系統SonicOS重大層級漏洞CVE-2024-40766（CVSS風險評分為9.3），表明他們掌握這項漏洞有實際攻擊行動出現，資安業者Arctic Wolf也觀察到相關資安事故，如今他們公布更多調查結果。</p> <p>10月24日Arctic Wolf表示，他們最早是在8月初察覺勒索軟體Akira及Fog的攻擊行動顯著增加的情況，而且，駭客初期入侵受害組織環境的管道，就是利用SonicWall防火牆設備的SSL VPN帳號。</p> <p>截至10月中旬，駭客已發起約30起攻擊行動，這些資安事故當中，約有四分之三與Akira有關，其餘則是被植入Fog。研究人員提及，駭客從入侵到加密檔案的時間並不長，大部分接近10個小時，但最短的僅有1.5至2個小時。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-steal-15-000-cloud-credentials-from-exposed-git-config-files/">大規模攻擊行動EmeraldWhale掃描曝露的Git組態，竊得1.5萬組雲端帳密資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/10/malvertising-campaign-hijacks-facebook.html">惡意廣告透過臉書轉傳，意圖散布竊資軟體SYS01stealer</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-target-critical-zero-day-vulnerability-in-ptz-cameras/">PTZ視訊鏡頭重大層級的零時差漏洞遭到鎖定</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/first-chatgpt-jailbreak-disclosed-via-mozillas-new-ai-bug-bounty-program/">研究人員利用十六進位編碼、表情符號，繞過ChatGPT-4o防護措施</a></strong></p> <p><strong style="font-size: 20px;"><a href="https://www.securityweek.com/first-chatgpt-jailbreak-disclosed-via-mozillas-new-ai-bug-bounty-program/"></a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityexpress.info/amd-intel-cpus-vulnerable-to-new-spectre-like-attacks/">AMD與Intel處理器出現新的Spectre攻擊手法</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165795"><strong style="font-size: 22px;">微軟首度提供Windows 10個人用戶延伸安全更新，1年要價30美元</strong></a></p> <p>Windows 10即將在2025年10月14日終止支援，對此，微軟本周宣布將對於Windows 10個人用戶提供為期1年的延伸安全更新（Extended Security Update，ESU），費用是30美元，而這是該公司首度對一般消費者開放ESU服務。此外，他們本月起開放企業和教育用戶購買。</p> <p>微軟在多年前就已公布Windows 10的安全更新終止日期，並表示屆時Windows 10電腦將再也無法接收到安全更新，對此，一直以來微軟鼓勵企業用戶及消費者升級到Windows 11，並呼籲硬體規格不足的用戶購買新電腦因應。</p> <p>由於為數眾多的PC用戶仍然停留在Windows 10，微軟於今年4月對企業及教育客戶公布ESU價格，並在本週公布個人版解決方案，但值得留意的是，個人版僅能購買1年，而企業用戶最多可取得3年服務。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165777"><strong>【10月30日】竊資軟體RedLine遭到執法單位查封</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165752"><strong>【10月29日】中國駭客開發專偷雲端資料的惡意軟體工具包並用於實際攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165725"><strong>【10月28日】上周四勒索軟體RansomHub聲稱攻擊臺灣被動元件製造廠</strong></a></p> </div></div></div>
2024/11/1 17:47作者周峻佑https://www.ithome.com.tw/news/165820
勒索軟體Fog、Akira鎖定SonicWall防火牆的VPN功能而來，意圖入侵企業網路環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月初資安業者SonicWall針對防火牆作業系統SonicOS重大層級漏洞CVE-2024-40766（CVSS風險評分為9.3），<a href="https://www.ithome.com.tw/news/164920">表明他們掌握這項漏洞有實際攻擊行動出現</a>，<a href="https://www.ithome.com.tw/news/164950">資安業者Arctic Wolf也觀察到相關資安事故</a>，如今他們公布更多調查結果。</p> <p><a href="https://arcticwolf.com/resources/blog/arctic-wolf-labs-observes-increased-fog-and-akira-ransomware-activity-linked-to-sonicwall-ssl-vpn/">10月24日Arctic Wolf表示</a>，他們最早是在8月初察覺勒索軟體Akira及Fog的攻擊行動顯著增加的情況，而且，駭客初期入侵受害組織環境的管道，就是利用SonicWall防火牆設備的SSL VPN帳號。</p> <p>截至10月中旬，駭客已發起約30起攻擊行動，根據研究人員掌握的受害企業組織產業類型和規模，駭客很可能隨機尋找下手目標，並未針對特定產業而來。</p> <p>這些資安事故當中，約有四分之三與Akira有關，其餘則是被植入Fog。研究人員提及，駭客從入侵到加密檔案的時間並不長，大部分接近10個小時，但最短的僅有1.5至2個小時。</p> <p>針對駭客入侵的方法，研究人員根據防火牆的事件記錄資料進行分析，他們尚未發現利用其他已知RCE漏洞的跡象，而且，攻擊者主要是透過虛擬專用伺服器（VPS）存取SSL VPN連線。值得一提的是，駭客利用的SSL VPN帳號並未與AD或其他類似的身分驗證機制整合，但研究人員無法確認使用者有無啟用多因素驗證（MFA）機制。</p> <p>值得留意的是，在部分Akira和Fog攻擊事故當中，出現駭客似乎共用IP位址及相關基礎設施的情況，但是否就是同一組人馬從事攻擊？研究人員並未進一步說明。</p> <p>對於駭客成功入侵的後續活動，Arctic Wolf發現駭客將偷到的資料分為兩大類，一是6個月內有資料外洩價值的應用程式、員工文件與通用檔案，另一是30個月內有資料外洩價值的文件，像是人力資源或是應付帳款的資料。</p> <p>雖然研究人員無法斷定駭客在攻擊行動當中利用了CVE-2024-40766，甚至認為VPN帳密資料可能是透過其他管道取得，但有鑑於該漏洞相當危險，他們認為IT人員還是應優先處理，以免身陷漏洞相關風險。</p> </div></div></div>
2024/11/1 16:55作者周峻佑https://www.ithome.com.tw/news/165817
北韓駭客Andariel傳出與勒索軟體Play狼狽為奸
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國家級駭客彼此互通有無，交換戰術及共享惡意程式的情況相當常見，但如今有國家級駭客與網路犯罪生態圈打交道的情況，引起研究人員的注意。</p> <p>資安業者Palo Alto Networks表示，他們確認外號為Onyx Sleet、Jumpy Pisces的北韓駭客組織Andariel，<a href="https://unit42.paloaltonetworks.com/north-korean-threat-group-play-ransomware/">參與了近期的勒索軟體Play攻擊行動</a>，這樣的情況代表該組織的策略出現變化，針對這樣的現象，研究人員指出，此為這批人馬首度運用現有的勒索軟體基礎設施情況，後續動態相當值得留意。</p> <p>針對這樣的現象，研究人員推測，很有可能Andariel部分派系正與經營勒索軟體Play的駭客團體Fiddle Scorpius進行合作，有可能是成為Play的附屬組織，或是擔任初始入侵掮客（Initial Access Broker，IAB）的角色。</p> <p>該公司察覺兩組人馬結盟的關鍵，在於今年9月協助遭受勒索軟體Play攻擊的客戶進行事故調查過程，發現Andariel於5月使用外流的帳密資料取得初始入侵的權限，後來使用滲透測試工具Sliver及他們打造的惡意軟體DTrack，藉由SMB通訊協定進行橫向移動，並在受害企業的網路環境持續活動。</p> <p>攻擊者使用遠端連線工具與C2伺服器通訊的情況，持續到9月初，最終受害組織被植入勒索軟體。</p> <p>研究人員目前無法確認Andariel與Fiddle Scorpius的合作關係，但這樣的情況仍值得留意，因為這是北韓政府資助的駭客與勒索軟體駭客組織首度有合作的記錄，代表著北韓駭客很有可能廣泛投入勒索軟體活動，而引發更為廣泛、更具破壞性的危害。</p> </div></div></div>
2024/11/1 17:39作者周峻佑https://www.ithome.com.tw/news/165819
勒索軟體Black Basta透過微軟Teams進行社交工程攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年勒索軟體駭客Black Basta的動作頻頻，其中發生在今年5月的<a href="https://www.ithome.com.tw/news/162833">美國大型醫療照護系統Ascension事故</a>最為受到關注，美國網路安全暨基礎設施安全局（CISA）與聯邦調查局（FBI）當時特別提出警告，如今這群駭客也結合社交工程手法，引誘使用者上當，從而入侵企業組織的內部網路環境從事後續攻擊行動。</p> <p>資安業者ReliaQuest指出，<a href="https://www.reliaquest.com/blog/black-basta-social-engineering-technique-microsoft-teams/">他們在10月下旬</a>看到駭客使用的戰術、手段、流程（TTP）出現顯著的變化。</p> <p>首先，發動大規模垃圾郵件攻擊後，上鉤的使用者就會被引至與特定微軟Teams用戶交談，攻擊者通常會透過貌似微軟技術支援人員、管理者、服務臺成員的Entra ID帳號登入微軟Teams，而且在Teams用戶身分顯示沿用這些名稱，使一般人誤以為他們是微軟的這些工作人員，而且，駭客通常會將帳號的顯示名稱設置為含有Help Desk的字串，聊天室的名稱多半是OneOnOne。</p> <p>研究人員指出，攻擊者主要來自俄羅斯，根據Teams的事件記錄的時區資料，他們大多位於莫斯科。</p> <p>Teams群組裡面會發生什麼事？對方試圖引誘目標用戶使用QuickAssist尋求支援，但也有使用AnyDesk的情況，此外，駭客會在Teams對話提供偽造合法品牌的QR Code條碼，但這些條碼的用途目前仍不清楚。研究人員推測，攻擊者有意藉此引誘使用者存取惡意基礎設施。</p> <p>假如使用者照做，攻擊者就有機會藉由上述的遠端管理工具（RMM）控制受害電腦，並植入AntispamAccount.exe、AntispamUpdate.exe、AntispamConnectUS.exe等有效酬載，最終部署滲透測試工具Cobalt Strike，以便將受害電腦當作存取企業內部網路環境的跳板。</p> </div></div></div>
2024/11/1 16:08作者周峻佑https://www.ithome.com.tw/news/165815
Amazon Q Developer終於也有內嵌聊天功能，在程式碼編輯器就可與AI助理互動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS宣布其人工智慧開發助理<a href="https://aws.amazon.com/tw/blogs/devops/amazon-q-developer-inline-chat/">Amazon Q Developer推出內嵌聊天功能</a>，使開發者不需要切換視窗，能夠直接在編輯器中與人工智慧助理互動，進行程式碼最佳化、添加註解或撰寫測試等工作。Amazon Q Developer生成的建議會即時顯示，相容於VS Code和JetBrains等開發環境，提供跨平臺開發支援。</p> <p>AWS在2022年6月時，首推出Amazon CodeWhisperer預覽版，該服務便是以機器學習技術為核心，利用開源儲存庫、Amazon自有儲存庫、API文件和論壇數十億行程式碼訓練而成的程式開發輔助服務，而該服務在2024年4月時併入Amazon Q，成為現在Amazon Q Developer服務的一部分。</p> <p>Amazon Q Developer使用最新的Claude 3.5 Sonnet模型提供內嵌聊天支援，生成的程式碼差異會即時顯示，開發者不需要切換到其他聊天視窗，就可完成檢視與編輯的過程。此外，內嵌聊天進一步支援VS Code和JetBrains等知名開發環境，因此可跨平臺在各種場景提供程式碼建議服務。</p> <p>內嵌聊天的形式得以方便地支援更深入的開發應用，包括程式碼重構，開發者可以選取多個方法，由人工智慧助理將其合併為單一方法，並添加可選參數，簡化程式碼結構。此外，開發者也能快速添加程式碼註解，藉由選取整段程式碼，要求人工智慧添加詳細註解，包括參數說明、回傳值等資訊，節省開發者大量編輯文件的時間，也可協助開發團隊新成員快速上手專案。</p> <p>Amazon Q Developer建構在Amazon Bedrock平臺之上，該服務透過支援多種生成式人工智慧基礎模型，以滿足不同的程式開發需求。這樣的架構設計允許系統根據任務自動選擇最適合的模型，而內嵌聊天則是Amazon Q Developer中完全由Claude 3.5 Sonnet驅動的功能。</p> <p>隨著生成式人工智慧輔助開發工具競爭激烈，開發者對自動化程式開發支援的需求也日益成長。目前市場上，GitHub Copilot以其與GitHub平臺及開發工具的深度整合，成為市占率最高的人工智慧輔助開發工具，近期更支援Xcode進入Apple開發生態系。Amazon Q Developer則持續擴充功能，期望在激烈競爭中脫穎而出。</p> </div></div></div>
2024/11/1 16:54作者李建興https://www.ithome.com.tw/news/165816
中國駭客鎖定各家廠牌的網路設備、資安設備，挖掘零時差漏洞從事攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾年，各家資安業者不斷警告中國駭客鎖定企業組織的邊界網路設備而來，利用其弱點植入惡意程式，從而監控網路通訊、竊取帳密資料，甚至是架設代理伺服器，濫用流量作為攻擊的跳板，如今有資安業者揭露他們長期的調查結果，指出這是大型的網路犯罪生態系統。</p> <p>資安業者Sophos揭露<a href="https://news.sophos.com/en-us/2024/10/31/pacific-rim-neutralizing-china-based-threat/">大規模攻擊行動Pacific Rim</a>，經過他們5年以上的深入調查，包含Volt Typhoon、APT31、APT41（Winnti）等中國駭客組織，鎖定多家知名廠牌網路設備發動攻擊的情況，這些攻擊行動包含殭屍網路、漏洞利用，植入惡意軟體。他們發現駭客在四川地區從事相關的漏洞研究利用及開發，找出的漏洞很可能後續提供給多個由中國政府資助的駭客組織運用。</p> <p>這批攻擊者具有下列3種主要的特徵：</p> <p>首先，駭客從最初針對不特定目標，廣泛從事攻擊行動，轉向印度與太平洋地區的高價值攻擊目標及關鍵基礎設施，受害組織涵蓋核能供應商與監管機構、軍隊、電信業者、國家安全機構、政府單位。研究人員認為，駭客初期採取廣泛攻擊的策略，目的很有可能是為了建置<a href="https://www.ithome.com.tw/news/163058">Operational Relay Box networks（ORB）非法代理伺服器服務</a>，但並未成功。</p> <p>再者，攻擊者行蹤越來越隱密，而且維持於受害設備活動的手法也不斷演進。其中包含寄生攻擊（LotL）運用的情況越來越廣泛，植入Java類別型態的後門程式，以及完全在記憶體內執行的木馬程式、尚未被發現的Rootkit程式，甚至使用UEFI bootkit的情況。研究人員指出，這是首度有人針對防火牆設備植入bootkit的情形。</p> <p>此外，這些駭客還會對於企圖阻擾企業組織收集防火牆遙測資料、影響事件偵測與回應的能力，並嘗試減少數位足跡來干擾資安人員後續的調查。</p> <p>針對這波長期調查的結果，研究人員認為，對於資源充沛的攻擊者而言，網路邊際設備已成為高價值的目標，而且，這些攻擊者有政府在背後撐腰，不光單純針對Sophos的防火牆設備，其他廠牌的網路設備也是這些駭客的目標，值得留意的是，駭客並非只針對高價值的標的而來，而是有可能控制這些網路設備，並在其他攻擊行動裡，將其用來混淆攻擊來源。</p> <p>Sophos指出，他們首度察覺相關攻擊並非直接針對網路設備，而是旗下子公司Cyberoam的總部，因為這個單位曾在那時遭到對方入侵。2018年12月，Sophos的SecOps團隊察覺Cyberoam壁掛式顯示器的電腦上，出現RAT木馬程式。經過進一步的調查，攻擊者使用了大型且構造複雜的rootkit，研究人員將此惡意工具稱為Cloud Snooper，再者，他們也看到濫用AWS Systems Manager的代理程式，並藉由配置錯誤的情況進入雲端基礎設施的手法。</p> <p>到了2020年初，駭客花費大量精力及資源，對能夠公開存取的網路設備發動攻擊，過程裡運用未曾公開的漏洞，從而於受害設備搜尋特定資訊，並在韌體植入有效酬載，甚至在部分情況下對區域網路其他設備進行感染。這波攻擊一直延續到2022年左右。</p> <p>大約在2022年中期攻擊者改變策略，鎖定政府機關、關鍵基礎設施、研究及發展組織、醫療照護服務供應商、零售、金融、軍事、公共部門等領域，進行高度針對性攻擊，攻擊者多半以手動方式下達命令，並於受感染的裝置上執行惡意軟體。</p> <p>在這些攻擊行動裡，駭客發展多種型態的作案工具及手法，包含功能齊全的Rootkit、記憶體內惡意程式載入工具Termite、將合法Java檔案與木馬化類型檔案打包在一起、掛勾韌體更新機制的處理程序，以及透過惡意軟體或AD同步機制DCSync竊取有效的VPN帳密資料。此外，研究人員也看到對方在測試UEFI bootkit的情況。</p> <p>研究人員指出，雖然攻擊者利用特定漏洞是取得初始入侵管道最常見的做法，但他們也看到利用有效管理帳號資料存取的情況，這代表駭客很可能在成功入侵後藉由週邊裝置及遠端存取的方式，持續於受害組織的網路環境活動，而且，這些駭客似乎資源非常允裕，對於網路設備的韌體及內部架構相當了解，而能長時間從事如此規模的攻擊行動。</p> </div></div></div>
2024/11/1 15:05作者周峻佑https://www.ithome.com.tw/news/165810
Google Maps整合Gemini，以自然語言搜尋地圖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">Google周四（10/31）<a href="https://blog.google/products/maps/gemini-google-maps-navigation-updates/" target="_blank">宣布</a>，將在身為第7個擁有20億用戶的Google服務Google Maps中整合大型語言模型（LLM）Gemini，讓使用者以自然語言搜尋，例如「晚上可以跟朋友一起做的事」，Google Maps就會秀出建議地點。此外，Google Maps亦將提供更多可改善駕駛人壓力的功能，例如自動列出路線地標，在複雜地段上強化導航，以及自動展示目的地附近的停車場。</p> <p dir="ltr">除了Google Maps之外，其它擁有20億用戶的Google服務/產品還包括搜尋、Gmail、Android、Chrome、Google Play及YouTube，而它們也已全都採用Gemini模型。</p> <p dir="ltr">Google表示，該公司利用AI來分析數十億張的圖像，再加上由社群及當地合作夥伴所貢獻的資料，每天可在Google Maps上執行超過1億次更新，讓全球的使用者都看到最新資訊，現在每月已有超過20億用戶使用Google Maps，現在則將利用Gemini模型進一步改造Google Maps，協助使用者取得世界上複雜問題的答案。</p> <p dir="ltr">整合了Gemini的Google Maps現在支援自然語言查詢，例如當詢問「晚上可與朋友一起做的事情」時，Gemini即會在地圖上秀出酒吧或現場演奏的各種地點，摘錄某個地點的用戶評論，也可針對某個地點詢問其它問題，像是「它有戶外座位嗎？」</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1101-google%20maps-gemini.png" style="width: 600px;" /></p> <p dir="ltr">此一嵌入Gemini的Google Maps本周將率先於美國市場的Android與iOS行動程式上推出。</p> <p dir="ltr">Google Maps一向是駕駛人的好幫手，本周Google也宣布了幾項可減輕駕駛壓力的新功能。其中之一是當駕駛人選擇好至目的地的路線時，只要直接點選「增加停靠點」（add stops），系統就會自動跳出熱門的地標、景點及用餐選項。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1101-google%20maps-feature-add%20stops.png" style="width: 418px;" /></p> <p dir="ltr">此外，若是必須途經多車道、多岔路或多出口的地方，則有一個強化導航（Enhanced Navigation）功能可於地圖上清楚地顯示車道、人行道與路標，系統會利用藍線來指引使用者應該駕駛的車道。</p> <p dir="ltr">Google亦將更新Google Maps上的到達指南，將展示目的地附近的停車場，還會提醒使用者儲存停車位置。</p> <p dir="ltr">多數新功能都將在本周透過Android與iOS的Google Maps更新，於全球市場推出，強化導航功能則會到下個月才上線。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/11/1 14:28作者陳曉莉https://www.ithome.com.tw/news/165808
蘋果財報出爐，營收成長6%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">蘋果周四（10/31）<a href="https://www.apple.com/newsroom/2024/10/apple-reports-fourth-quarter-results/" target="_blank">公布</a>截至9月28日的2024財年第四季營收，該季蘋果創下了949億美元的營收，成長6%，但該季每股盈餘為0.97美元，低於去年同期的1.47美元。蘋果執行長Tim Cook向CNBC<a href="https://www.cnbc.com/2024/10/31/apple-aapl-q4-earnings-report-2024.html" target="_blank">透露</a>，iPhone 16的銷售比iPhone 15還要強勁，而且使用者採用iOS 18.1的速度是一年前採用17.1的兩倍快。</p> <p dir="ltr">在949億美元的營收中有699.6億美元來自產品，成長4.1%，占了蘋果總營收的73.7%，另外的249.7億美元則來自服務，成長11.9%。</p> <p dir="ltr">在產品類別中，iPhone營收為462.2億美元，成長5.5%；Mac營收為77.4億美元，成長1.7%；iPad營收為69.5億美元，成長7.9%；穿戴/家用/配件營收為90.4億美元，下滑3%。</p> <p dir="ltr">觀察蘋果的市場分布，美洲地區以416.6億美元的營收貢獻居冠，成長3,9%；居次的是歐洲的249.2億美元，成長11%；大中華區以150.3億美元位居第三，略低於去年同期的150.8億美元。</p> <p dir="ltr">蘋果是在今年10月底隨著<a href="https://www.ithome.com.tw/news/165746" target="_blank">iOS 18.1</a>的釋出推出了Apple Intelligence人工智慧功能，這應是iOS 18.1被快速採用的主要原因。</p> <p dir="ltr">或許是受到美股大跌的影響，財報發布當天，蘋果盤後股價下滑了1.84%，跌至221.74美元。</p> </div></div></div>
2024/11/1 14:46作者陳曉莉https://www.ithome.com.tw/news/165809
Amazon營收成長11%，AWS成長19%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">Amazon周四（10/31）<a href="https://ir.aboutamazon.com/news-release/news-release-details/2024/Amazon.com-Announces-Third-Quarter-Results/" target="_blank">公布</a>該公司第三季財報，其營收達到1,589億美元，成長11%，其中，AWS創下275億美元的營收，成長19%。除了AWS的表現略低於華爾街分析師預期之外，Amazon的整體營收與獲利都優於預期。當天盤後Amazon股價上揚了5.95%，漲至197.5美元。</p> <p dir="ltr">該季Amazon的北美零售業務創下955.4億美元的營收，成長8.7%，營業利潤為56.6億美元，成長31.5%；國際零售業務營收為358.9億美元，成長11.7%，營業利潤為13億美元，遠勝去年同期所虧損的9,500萬美元；AWS營收為274.5億美元，成長19%，營業利潤為104.5億美元，成長50%。</p> <p dir="ltr">整體而言，雖然Amazon的營收只成長了11%，但其營業利潤達到174.1億美元，成長55.6%，也讓其每股盈餘從去年同期的0.94美元增至今年的1.43美元。</p> <p dir="ltr">現階段Amazon仍是全球最大的雲端服務供應商，但AWS的成長速度已不及競爭對手，該季AWS營收成長19%，而<a href="https://www.ithome.com.tw/news/165783" target="_blank">微軟Azure</a>與其它雲端服務則成長33%，<a href="https://www.ithome.com.tw/news/165757" target="_blank">Google Cloud</a>營收成長了35%。</p> </div></div></div>
2024/11/1 15:08作者陳曉莉https://www.ithome.com.tw/news/165812
OpenAI發表具備即時搜尋能力的ChatGPT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">繼於今年7月<a href="https://www.ithome.com.tw/news/164147" target="_blank">預覽</a>SearchGPT之後，OpenAI在周四（10/31）根據SearchGPT的測試回饋<a href="https://openai.com/index/introducing-chatgpt-search/" target="_blank">發表了</a>具備即時搜尋能力的ChatGPT，率先供應給ChatGPT Plus、ChatGPT Team及SearchGPT後補名單上的用戶存取，且可同時在桌面與行動程式上使用，幾周後將開放給ChatGPT Enterprise與Enterprise Edu用戶，免費用戶則可望於數月後體驗該服務。</p> <p dir="ltr">根據OpenAI的解釋，此一搜尋模型是GPT-4o的微調版本，採用新穎的合成資料生成技術進行後訓練，包括自OpenAI o1-preview提取輸出。此外，ChatGPT搜尋是利用某些第三方的搜尋供應商，以及合作夥伴所提供的內容來呈現使用者所尋找的資訊。</p> <p dir="ltr">OpenAI並未推出單獨的SearchGPT服務，而是將此一搜尋功能整合在ChatGPT中，宣稱已將最好的SearchGPT體驗帶至ChatGPT。當使用者詢問ChatGPT時，它會自動判斷該提問是否要搜尋網路，使用者也可以主動點選搜尋圖示。此外，OpenAI也與大量的新聞及資料供應商合作，以提供高品質的天氣、股票、體育、新聞或地圖內容，並會在側邊欄展示與答案有關的內容連結。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1101-ChatGPT%20search-%EF%BC%95.png" style="width: 600px;" /></p> <p dir="ltr"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／OpenAI</span></span></p> <p dir="ltr">該公司的合作對象涵蓋美聯社、Axel Springer、Condé Nast、Dotdash Meredith、金融時報、路透社、新聞集團與Le Monde等，也歡迎其它有意願合作的內容供應商與之合作。</p> <p dir="ltr">OpenAI打算持續改進搜尋功能，特別是在購物及旅行等領域，也計畫將搜尋能力導入Canvas與Advanced Voice。</p> <p dir="ltr">目前OpenAI僅揭露一家合作的搜尋引擎，那就是微軟的Bing搜尋，而隨著OpenAI向搜尋靠攏，搜尋引擎龍頭Google也藉由<a href="https://www.ithome.com.tw/news/165747" target="_blank">AI Overviews</a>將AI的摘錄能力整合於全球的搜尋服務中。</p> </div></div></div>
2024/11/1 12:56作者陳曉莉https://www.ithome.com.tw/news/165807
中國駭客藉由殭屍網路Quad7竊取帳密資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年8月、9月，資安業者<a href="https://www.team-cymru.com/post/botnet-7777-are-you-betting-on-a-compromised-router">Team Cymru</a>及<a href="https://www.ithome.com.tw/news/165059">Sekoia</a>針對殭屍網路Quad7的攻擊行動提出警告，指出駭客鎖定TP-Link、兆勤（Zyxel）、華碩、Ruckus等廠牌的網路設備而來，最近有新的調查結果出爐，發動攻擊的駭客可能與中國有關。</p> <p>10月31日<a href="https://www.microsoft.com/en-us/security/blog/2024/10/31/chinese-threat-actor-storm-0940-uses-credentials-from-password-spray-attacks-from-a-covert-network/">微軟發布調查報告指出</a>，他們從2023年8月開始，發現有客戶遭到入侵的情況，而這些資安事故的共通點，在於駭客成功竊得帳密資料，而能夠在高度迴避偵測的情況下，進行密碼潑灑（password spray）攻擊，研究人員循線找到遭駭裝置組成的殭屍網路，並指出中國駭客Storm-0940使用該殭屍網路竊得的帳密資料。</p> <p>殭屍網路Quad7也被稱為xlogin，微軟則是叫做CovertNetwork-1658，最早是由研究人員Gi7w0rm<a href="https://gi7w0rm.medium.com/the-curious-case-of-the-7777-botnet-86e3464c3ffd">於去年10月揭露</a>，當時他看到約有1萬個節點組成，被用於針對Azure環境進行暴力破解攻擊。該殭屍網路被稱為Quad7及xlogin的由來，是因為受害路由器會開啟TCP 7777埠，以及在通訊過程會回傳xlogin的標頭而得。</p> <p>微軟的研究人員指出，這個殭屍網路由SOHO路由器組成，其中又以TP-Link的網路設備占大多數，根據他們的調查，經營該殭屍網路的人士很可能位於中國，並透過路由器的漏洞而能夠遠端執行程式碼進行相關攻擊，而且，有多組中國駭客使用該殭屍網路竊得的帳密資料，其中一組人馬就是自2021年開始活躍的Storm-0940。</p> <p>這些駭客主要的攻擊範圍涵蓋北美及歐洲，智庫、政府機關、非政府組織、法律事務所、國防產業都是其目標。</p> <p>而對於Quad7的攻擊行動，研究人員提到，駭客在成功入侵路由器後，很有可能遵循特定的模式進行密碼潑灑攻擊。</p> <p>首先，對方會從FTP下載Telnet執行檔、xlogin後門程式，然後藉由這2支程式在TCP 7777埠啟動Command Shell，並以後門程式進行連線及身分驗證，監聽該連接埠。</p> <p>接著，攻擊者會下載另一支程式，使用TCP 11288埠執行SOCKS5伺服器。</p> <p>為何這波攻擊行動難以察覺？研究人員提及這個殭屍網路的活動頻率相當低，就大部分攻擊行為而言，他們發現該殭屍網路一天只會對每個帳號嘗試登入1次。</p> <p>再者，這些駭客濫用遭駭的SOHO環境IP位址從事攻擊行動，而且還是使用多達數千個IP位址不定期進行更換，他們使用的節點平均運作週期約為90天。</p> <p>值得留意的是，先前資安業者公開Quad7調查結果後，相關活動出現大幅下滑的現象，但該殭屍網路並未完全消聲匿跡，微軟表示，攻擊者很有可能根據調查報告的內容進行調整，因為，他們近期再度發現相關活動出現顯著增加的情形。</p> </div></div></div>
2024/11/1 11:48作者周峻佑https://www.ithome.com.tw/news/165796
Windows Recall再次延期發布，要到12月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">Copilot+ PC用戶想體驗裝置端AI功能Recall的話得再稍等，因為微軟說，Recall發布時程將再推遲到12月。</p> <p dir="ltr">Windows副總裁Brandon LeBlanc在回覆<a href="https://www.theverge.com/2024/10/31/24284572/microsoft-recall-delay-december-windows-insider-testing" target="_blank">The Verge</a>時指出，為了確保Recall安全及可信賴的使用體驗，微軟將再多花一些時間強化，再以預覽版形式提供給Copilot+ PC的Windows Insiders用戶。因此原訂10月預覽的Recall，將會在12月公布。</p> <p dir="ltr">這次延期將使原訂5月公測、6月隨同Copilot+ PC上市發布的本機AI功能推遲超過半年。Recall是利用快照原理記錄使用者應用程式使用或上網活動資訊，原意是方便使用者日後透過AI搜尋，但Recall非加密儲存及預設啟用的設定令外界質疑安全性。<a href="https://www.ithome.com.tw/news/163484" target="_blank">微軟</a>於6月延後部署Recall，並將Recall改為預設不啟用，之後陸續加強安全性，包括加密儲存快照，加密金鑰又和Windows Hello綁在一起，只能在安全隔離區（VBS Enclave）使用，且搜尋和變更Recall都必須再經過Windows Hello身分驗證。</p> <p dir="ltr">微軟一度<a href="https://www.ithome.com.tw/news/165245" target="_blank">宣布</a>讓Recall 包含在Windows 11 24H2公測。不過10月<a href="https://www.ithome.com.tw/news/165464" target="_blank">釋出</a>的Windows 11更新版中，Recall還是缺席。</p> <p dir="ltr">隨著多次延後，也讓微軟在桌機端AI的領域逐步為競爭者趕上。儘管微軟透過Copilot+ PC專用鍵提供桌機端Copilot，<a href="https://www.ithome.com.tw/news/165294" target="_blank">Google則</a>從Chromebook著手推廣Gemini。<a href="https://www.ithome.com.tw/news/165576" target="_blank">OpenAI</a>相繼推出macOS及Windows版ChatGPT，<a href="https://www.ithome.com.tw/news/165746" target="_blank">蘋果</a>本周宣布Apple Intelligence連同iOS 18.1、iPadOS 18.1與macOS Sequoia 15.1部署到裝置端。連<a href="https://support.anthropic.com/en/articles/10065433-installing-claude-for-desktop" target="_blank">Anthropic</a>都推出桌機版Claude AI App。</p> </div></div></div>
2024/11/1 10:33作者林妍溱https://www.ithome.com.tw/news/165794
Cloud周報第213期：英國政府採用生成式AI技術提升官網搜尋效率與準確性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);"><strong>重點新聞（10/24～10/30）</strong></span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">紅帽</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> RHEL AI </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">紅帽推出1.2版RHEL AI，簡化LLM模型開發、測試和部署</span></strong></p> <p>RHEL AI 推出不到兩個月後，紅帽立刻發布新版本，加入幾項重要功能的改進，簡化LLM開發、測試和部署。</p> <p>1.2版RHEL AI中，紅帽結合了IBM Research開源的Granite系列LLM模型、基於LAB方法的 InstructLab工具，以及透過開源 InstructLab AI 專案進行模型開發的協作方法。此外，該版本也增強了對硬體和主要雲端平臺的支援，現在支援 Lenovo ThinkSystem SR675 V3伺服器，提供預載入方案，方便使用戶更快部署。在技術預覽中，RHEL AI 1.2 還支援 AMD Instinct Accelerators，包括用於訓練和推理的MI300x GPU 以及用於推理任務的 MI210 GPU。</p> <p>在主流雲端平臺支援方面，除了現有對AWS和 IBM Cloud的支援之外，用戶現在還能夠在 Azure和GCP上部署RHEL AI方案。</p> <p>此外，ilab CLI工具現在可以自動偵測正在使用的硬體加速器類型，並相應配置InstructLab pipeline以實現最佳效能，從而減少所需的手動設定。在使用合成資料進行模型的多階段訓練時，ilab train工具現在採用了PyTorch的完全分片資料並行（FSDP）技術，以進行分散式訓練，從而縮短訓練時間。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Google Cloud </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端營收</span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Google Cloud營收連兩季破百億美元，增長破3成</span></strong></p> <p>Google母公司Alphabet最近公布今年第三季財報，該季營收達 883 億美元，成長15%。其中，Google Cloud營收占了114 億美元，成長了 35%。已連續兩季突破百億美元大關，僅次於 Google Services，成為Alphabet第二大收入來源。</p> <p>從營業利潤來看，Google Cloud本季淨利達到19.47億美元，遠高於去年同期的2.66億美元，顯示出 Alphabet今年在雲端服務方面的強勁盈利表現。</p> <p>Alphabet指出，本季Google Cloud 的成長動能主要來自 AI 基礎設施、生成式 AI 解決方案和核心 GCP 產品的強勁增長。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">英國保誠 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端GenAI</span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">英國保誠集團用雲端GenAI優化醫療保險理賠流程，提高理賠決策的準確性與效率</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202024-11-01%20%E4%B8%8A%E5%8D%8810_45_37.png" style="width: 600px; height: 327px;" /></p> <p>英國保誠集團近期開始用生成式AI優化醫療保險理賠流程，以提高人員在處理理賠決策中的準確性和效率。</p> <p>保誠目前在亞洲及非洲的24個市場提供人壽、健康保險以及資產管理服務，擁有超過<span style="color: rgb(71, 71, 71); font-family: Arial, sans-serif; font-size: 14px;">1,800萬名</span>用戶。該集團首先在新加坡和馬來西亞導入GenAI模型，採用了GCP的MedLM基礎模型，分析與健康保險理賠提交的相關文件，例如診斷報告、處方和收據。</p> <p>概念驗證測試顯示，在採用GenAI後，醫療保險理賠審核和評估的自動化效率提升了一倍，賠償決策的準確性也有所提高，有助於保險公司縮短理賠申請的處理時間。</p> <p>保誠計畫未來3至4個月內，將GenAI應用於部分來自新加坡和馬來西亞的醫療保險理賠申請，以此協助人員加快理賠審批和支付的流程與作業效率。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">英國政府</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端GenAI </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">英國政府也擁抱GenAI，先從官網開始導入提高搜尋效率與準確性</span></strong></p> <p>GenAI快速竄起，不只企業大力擁抱，各國政府也紛紛跟進採用。例如英國政府最近決定導入雲端GenAI技術，並先從自家官網GOV.UK開始推起。</p> <p>GOV.UK網站每天吸引數百萬訪客，提供各類政府資訊、服務和指導，如何讓民眾能快速找到所需資訊成為了重要關鍵。</p> <p>為此，英國政府決定導入GenAI，，打造更有效率、對用戶更友善的政府網站。他們採用了Google Cloud的無程式碼生成式AI開發套件Vertex AI Search，建立新的搜尋引擎。這套搜尋引擎讓民眾可以使用自然語言進行搜尋，不僅更便利，還提升了搜尋結果的準確性。前期測試結果發現，點選搜尋結果使用者增加 14%，搜尋次數也有所減少。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">IDC </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 亞太區企業雲端採用報告 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">IDC發布亞太區企業雲端採用報告，近九成企業擁抱多雲但雲端技能待提升</span></strong></p> <p>市場調查機構IDC近日<a href="https://www.idc.com/getdoc.jsp?containerId=prAP52668224">發布</a>亞太區企業雲端採用報告，調查了784家企業的雲端部署狀況及其面臨的挑戰，顯示多雲架構正逐漸成為主流趨勢</p> <p>該報告指出，近90%的亞太企業現在不僅使用一家公有雲，還選擇將工作負載分散於多家公有雲平臺，甚至許多企業採用混合雲架構，其中，印度有85%的企業採用混合雲方案。</p> <p>另一項重要發現是，越來越多企業將雲端應用延伸至邊緣端，其中52%的企業已開始使用分散式雲端架構來處理雲端與邊緣的應用需求。</p> <p>IDC亞太區數位基礎架構與 IT服務副研究總監Pushkar Shanbhag表示，隨著AI需求快速增長，混合雲架構在滿足企業私有AI的數位主權需求越來越重要，加上公有雲提供的驗證機制和技術創新，將加速企業的雲端採用。</p> <p>IDC還提到，儘管許多企業已採用多雲策略，但維運團隊仍無法完全掌握雲端維運和管理方式。IDC指出，亞洲企業上雲的常見挑戰，包括無法實現預期價值，並導致成本超支、效能不佳、經濟效益低、進度延誤、多供應商管理問題等。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">SAP</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端營收 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">商業AI需求增長！SAP最新一季雲端營收成長25%達43億歐元</span></strong></p> <p>雲端ERP大廠SAP近日公布最新一季財報，該季營收達到84.7億歐元，成長9%。其中，雲端營收更成長25%，達到43.5億歐元，至於雲端與軟體營收合計則成長11%，達到74.3億歐元。</p> <p>在雲端產品銷售方面，Cloud ERP Suite套件的營收就占了36.4億歐元，與去年同期相比成長34%，相比之下，2023年該季僅占了27.1億歐元，顯示出SAP近年來雲端產品布局上的大規模投入已取得顯著成效。</p> <p>SAP執行長Christian Klein指出，除了雲端產品需求強勁外，商業AI需求的快速增長也是推動雲端營收成長的重要因素。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IBM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Granite模型 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">IBM的LLM模型再添新升力軍，推出Granite系列第三版</span></strong></p> <p>不讓其他公雲巨頭專美於前，IBM近日開源釋出新的LLM模型Granite 3.0，這是Granite系列推出第三個版本。</p> <p>第三代Granite模型，包含有8B與2B個版本，分成4大用途類型，包括密集及通用型LLM、輸出－輸入護欄（guardrail）的模型、具有低延遲的專家混合（mixture of expert，MoE）模型，以及時間序列（Time Series）模型，可以整合到各種企業環境或工作流程中，用於支援RAG、分類、重點摘要、實體擷取等任務。</p> <p>IBM也公開以Granite為底層的程式助手Code Assistant，可在watsonx.ai平臺用以開發和部署AI應用及代理程式。目前Granite 3.0可在Hugging Face下載。</p> <p> </p> <p>圖片來源／保誠</p> <p> </p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong>1.搭載自製ARM 架構處理器，微軟正式推出Azure Cobalt 100執行個體</strong></p> <p><strong>2.GCP推出企業版程式助手Gemini，可分析本機程式碼庫並支援程式碼自訂功能</strong></p> <p><strong>3.Google Cloud推第6代TPU為基礎的新版Hypercomputer</strong></p> <p><strong>資料來源：iThome整理，2024年10月</strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2024/11/1 10:48作者余至浩https://www.ithome.com.tw/news/165756
微軟提供消費者Windows 10 PC延伸安全更新，1年要價30美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">Windows 10即將在2025年10月14日終止終端安全支援。<a href="https://blogs.windows.com/windowsexperience/2024/10/31/how-to-prepare-for-windows-10-end-of-support-by-moving-to-windows-11-today/" target="_blank">微軟本周宣布</a>對消費者Windows 10 PC提供1年的延伸安全更新（Extended Security Update，ESU），要消費者掏出30美元。此外，本月起企業和教育用戶已經可提早購買ESU。</p> <p dir="ltr">微軟在多年前就已公布Windows 10的安全更新終止日期。在2025年10月14日之後，Windows 10 PC將再也無法接收到安全更新。一直以來微軟鼓勵企業用戶及消費者升級到Windows 11，並呼籲硬體規格不足的企業用戶或消費者新購Windows 11 PC。</p> <p dir="ltr">不過為數眾多的PC用戶仍然停留在Windows 10，促使微軟複製Windows 7的作法，於今年4月公布企業及教育客戶Windows 10付費延伸安全更新（Extended Security Update，ESU）的價格。本周微軟終於公布消費大眾適用的ESU。這是微軟首次針對個人電腦提供延長安全更新。</p> <p dir="ltr">微軟表示，了解一些用戶在轉換到Windows 11 PC或Copilot+ PC前需要多一些時間來部署PC安全。透過ESU，Windows 10 PC在授權期間可以持續獲得重大及重要PC安全更新，雖然還是無法獲得新功能、bug fix及微軟的技術支援。</p> <p dir="ltr">適用個人PC的ESU只有1年支援的選項，費用為30美元。想要購買的用戶要等到2025年接近支援終止日時才能登記購買。相較之下，已經登記的企業和教育版用戶從本月起可以開始替Windows 10購買ESU，最多可購買3年授權。</p> <p dir="ltr">根據市調機構<a href="https://gs.statcounter.com/os-version-market-share/windows/desktop/worldwide" target="_blank">StatCounter的估計</a>，迄今Windows 10仍占了Windows桌機的61%，Windows 11只有36%。</p> </div></div></div>
2024/11/1 11:01作者林妍溱https://www.ithome.com.tw/news/165795
跟上國際腳步，臺灣Passkey應用實例出爐
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">近年來，無密碼登入前景看好，基於FIDO2標準的Passkey，是應用普及的最新焦點。回顧2023年初，FIDO聯盟執行長暨行銷長Andrew Shikiar來臺參加研討會，他預期Passkey（通行密鑰）的潮流，可望促進更多消費端網站應用程式邁向無密碼。</p> <p dir="ltr">那時已有多家業者擁抱Passkey。例如：國際支付業者PayPal、電子商務平臺業者Shopify，金融服務業者Robinhood，旅遊休閒平臺Kayak，電商購物平臺Best Buy、eBay，都開始支援這項新的安全驗證方式，讓網站服務用戶每次登入不用記憶密碼，透過掃臉或指紋就能安全登入。</p> <p dir="ltr">因此，我們也持續關切臺灣的網路服務業者，是否重視網路釣魚威脅，針對用戶提供這類更進階的抗網釣MFA，可惜當時並未找到相關案例。</p> <p dir="ltr">時隔一年後，臺灣已有少數業者率先採取行動，導入Passkey以增強用戶登入體驗與安全性。在這些先行者的帶動之下，臺灣用戶對於Passkey無密碼的接受度，勢必也將隨之提升，促使更多網路服務業者提供這類兼顧快速與安全性的新型登入機制。</p> <p dir="ltr">為了瞭解國內導入現況與挑戰，這次我們找到3家業者，當中有電商領域的露天市集，還有旅遊服務的可樂旅遊，以及遊戲點數儲值的智冠科技，特別的是，訴求採用Passkey的對象不只是終端消費者（B2C、C2C），也包括合作廠商（B2B）。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1206-%E5%B0%81%E9%9D%A2-%E4%B8%BB%E6%96%87%EF%BC%8D%EF%BC%B2%EF%BC%A1%EF%BC%B7%EF%BC%8D%EF%BC%93.png" style="width: 600px;" /></p> <p dir="ltr"><span style="color:#696969;"><strong>提供Passkey無密碼登入的風潮已吹向臺灣，今年我們發現，已有一些消費端的網站與應用程式，提供這項全新登入機制，而且，為了促進民眾使用，這些業者還特別製作宣傳頁面，並搭配獎勵活動，介紹這是免記密碼、讓會員帳號安全升級的登入，來吸引用戶啟用。<br /> 儘管業者宣傳用詞不同，但從實際登入過程，我們可以發現，他們的系統操作介面，都會提到Passkey、通行密鑰（或密碼金鑰）。</strong></span></p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>FIDO2與通行密鑰崛起，成為無密碼普及的關鍵</strong></span></span></p> <p dir="ltr">近年來，FIDO線上身分認證的技術發展，備受各界關注。例如，可望促進無密碼登入應用普及的FIDO2標準在2018年推出，當時微軟、日本Yahoo，以及美國政府的Login.gov網站服務，很快就提供支援，後續也有更多業者跟進，包括Line、eBay等。</p> <p dir="ltr">臺灣的無密碼登入推廣也不落人後，從2020年開始，內政部與多家臺灣金融業實際推出FIDO應用，讓民眾登入政府服務、金融業服務，可以使用無密碼的方式驗證身分，較可惜的是，當時這股風潮未能廣泛擴及其他產業。</p> <p dir="ltr">為了加速FIDO2標準的應用普及，2022年有新突破。主要原因有二：</p> <p dir="ltr">（一）FIDO聯盟公布多裝置FIDO憑證白皮書，對WebAuthn標準提出突破性的修改，引入了可複製與備份的特性。</p> <p dir="ltr">（二）FIDO聯盟成員Google、蘋果與微軟，都承諾擴大對FIDO的支援，之後也相繼推動Passkeys，也就是可儲存為Passkey通行密鑰的FIDO憑證，促使FIDO2標準的無密碼體驗更普及。</p> <p dir="ltr">在此發展態勢之下，使得Passkey一舉躍為最新潮流。如今，全球有越來越多的網路服務，都已提供Passkey支援。</p> <p dir="ltr">現在臺灣也出現Passkey導入實例。今年我們看到，國內至少已經有3家業者，在他們的網站大力宣傳「Passkey無密碼登入」，或是「FIDO生物識別登入」。</p> <p dir="ltr">例如，電商服務業露天市集自今年1月開始，已經追隨國際大型電商業者eBay、Amazon的腳步，已陸續為國內用戶提供App與網站的Passkey登入支援。</p> <p dir="ltr">有更多業者在7月宣傳，像是：可樂旅遊在其網站與App新增FIDO快速登入，智冠科技針對旗下點數儲值平臺MyCard App，提供FIDO生物識別登入。</p> <p dir="ltr">儘管業者的宣傳用詞不盡相同，但從這些網站或App的實際登入過程，我們發現，操作介面會跳出Passkey、通行密鑰（或密碼金鑰的描述），而透過這些關鍵字的標示，也代表國內這些網路服務業者都已採用FIDO2標準的底層技術，支援Passkey無密碼登入。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>提供無密碼登入的考量點，不只提升會員帳號登入安全</strong></span></span></p> <p dir="ltr">關於應用程式與網站服務支援Passkey登入的好處？從三家業者的經驗來看，帳號登入安全性的提升是主要考量，而且，他們也從不同層面獲得效益。</p> <p dir="ltr"><strong><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> 露天市集 </span></span></strong></p> <p dir="ltr">以電商服務業為例，露天市集提供Passkey登入主要關注3大好處，包括：幫助用戶節省忘記密碼的困擾與時間；支援生物辨識與裝置綁定，確認為本人使用，因此安全性更高；節省企業支付簡訊OTP認證的成本。</p> <p dir="ltr">露天市集共同營運長周書華表示，他們在10年前就推出「露天代碼產生器」App，當時在國內算是相當新穎的技術，可以提供App形式的兩步驟驗證。</p> <p dir="ltr">只是，雖然這提供了更安全登入的方式，但對於用戶而言，還要額外開啟App、記住OTP碼並輸入，導致使用率一直沒有顯著成長。相對來說，現在提供的Passkey登入，不僅更可以幫助用戶避免遭受網釣，使用方便性也大增。</p> <p dir="ltr">再者，去年他們為了提升帳號密碼登入的安全性，擴大簡訊OTP的使用範圍，涵蓋不同裝置、異地登入或超過半年未登入等高風險情境，這也導致他們需要每月發送數十萬封簡訊，如今提供Passkey登入也能降低簡訊發送的成本。</p> <p dir="ltr"><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 智冠科技 </span></strong></span></p> <p dir="ltr">另一家率先主推Passkey的臺灣業者，是提供MyCard遊戲點數儲值服務的智冠科技，該公司網路發展部經理李哲瑋表示，他們在預期成效上，聚焦5大重點，包括：提高會員登入安全性、改善密碼登入失敗率，降低密碼登入失敗被鎖定的客訴案件，提升品牌服務滿意度，以及降低簡訊OTP成本。</p> <p dir="ltr">在此當中，他們最重視會員帳號安全的強化。這是因為，面對詐騙與帳號盜用問題，他們不斷強化MyCard服務的帳號登入安全，像是手機號碼綁定、裝置綁定，以及國別與IP位址的條件驗證。</p> <p dir="ltr">特別的是，2022年他們針對MyCard App，新增手機生物辨識登入的機制，現在則是新升級為FIDO生物識別登入。李哲瑋指出，前者是單純串接手機本身的生物識別功能，後者是採用FIDO國際標準，因此，這兩種生物辨識，背後其實有明顯的防護強度差異。</p> <p dir="ltr"><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 可樂旅遊 </span></strong></span></p> <p dir="ltr">採用Passkey的重要性與效益，也被旅遊服務業者看到。可樂旅遊旅行社資訊系統總經理馬規倫表示，在提供更安全的登入方式之餘，他們還有一個不同的著眼點，那就是希望能夠藉此留住用戶。對於一般人而言，業者若強調強化網站與行動App資安防護，通常會擔心使用方式可能變得複雜、麻煩，而感到排斥，為何反而能因此留住顧客？</p> <p dir="ltr">他解釋，旅遊服務不是經常交易的商品，換言之，旅遊業的網站或App並非大家每天都在使用的服務，因此，這項機制避免用戶因為忘記密碼而離開，同時能避免用戶遭網釣，提供高安全性。</p> <p dir="ltr">更進一步來看，提供FIDO快速登入對可樂旅遊的正面形象也有幫助。這是因為，大家對旅遊業的印象多是傳統產業，而他們也想朝向旅遊業中的科技領導產業發展，因此他們需要更多努力。</p> <p dir="ltr">這次可樂旅遊率先採用Passkey，也大大鼓勵內部創新，他們盼能秉持如此精神，帶動旅遊業的科技發展。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>促進用戶體驗新安全登入，以獎勵活動吸引大眾</strong></span></span></p> <p dir="ltr">如何推動新的無密碼登入機制？我們注意到這些業者相當積極，不只是向用戶推廣新的安全登入機制，還會透過舉辦活動的方式，以獎勵用戶為誘因，增加使用者對於新機制的啟用意願。</p> <p dir="ltr">例如，露天市集為此申請經費、辦獎勵活動，提醒用戶重視帳號安全，號召大家啟用Passkey，就能領取50元露幣，最新一波活動是提供打拋豬炒飯的兌換序號。他們祭出多種措施吸引用戶參與，使更多人實際體驗Passkey登入的便利，也藉此強化用戶帳號登入的保護。</p> <p dir="ltr">無獨有偶，智冠科技同樣為了宣傳MyCard App升級FIDO生物識別，舉辦啟用即可領點數的活動，最高獎勵為MyCard 10,000點，並搭配抽獎送iPhone手機活動，激勵用戶啟用這項新機制。</p> <p dir="ltr">而在可樂旅遊的推廣上，亦針對新增的FIDO快速登入舉辦每月抽獎活動，發送可折抵訂單金額的獎項，包括5,000元、1,000元與500元的折扣碼，鼓勵會員做好快速登入的設定。</p> <p dir="ltr">特別的是，可樂旅遊還提到他們會從公司內部宣導做起，如此才能讓自家人員在與用戶接觸時也能順利向外推廣。</p> <p dir="ltr">而且，可樂旅遊也在其同業服務平臺提供FIDO快速登入，換言之，他們的應用不僅是提供給一般消費者，也提供給全臺合作的旅遊同業。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>國內民眾對Passkey仍感陌生，政府獎勵政策帶動產業升級</strong></span></span></p> <p dir="ltr">這些業者之所以積極對外推廣，我們認為可能有兩大原因。</p> <p dir="ltr">首先，多數國內消費者不熟悉Passkey無密碼登入，因此，如何讓用戶容易理解啟用新機制的必要性，就是一大考驗。例如，露天市集指出，前兩年他們對此技術抱持觀望態度，主因是考慮國內用戶對Passkey並無概念，教育使用者的成本會很高。</p> <p dir="ltr">國際間雖然有不少網站服務直接標榜Passkey，像是PayPal、Amazon電商等，但對臺灣廣大消費者而言，仍很陌生。</p> <p dir="ltr">目前來看，部分國內業者更著重說明採用FIDO國際標準的必要性，因為金融業先前已有推動這項技術，又或者是聚焦在更安全的無密碼登入，更簡單的掃臉與指紋登入，利用一些較為親民的標語，促進民眾願意啟用新機制，以及認識這項技術為何能帶來更高安全性。</p> <p dir="ltr">其次，政府在這一兩年內，也在設法鼓勵產業導入FIDO技術，成為引領國內企業導入相關應用的重要推手。</p> <p dir="ltr">這是因為，當我們了解上述業者的導入經驗時，不只是提到大家先前已在關注FIDO技術，想要強化用戶帳號登入安全，他們同時也都指出一個契機，就是政府積極推動打詐，這兩年正推動產相關應用計畫。</p> <p dir="ltr">具體而言，這是數位發展部數位產業署（數產署）提出的「智慧防詐與數位信任應用發展計畫」，當中就有強調「數位信任場域服務實地驗證」，並規畫出4種類別，FIDO安全身分識別技術就是一例，其他還包括隱碼技術、電子簽章技術、區塊鏈技術。</p> <p dir="ltr">換言之，數產署希望透過政府的獎勵計畫，促進國內產業在資安與數位信任的技術應用上，能實際採取更多行動。</p> <p dir="ltr">特別的是，我們在詢問數產署相關負責人時，也就是數產署平台經濟組科長江繼元，他向我們表示，雖然最高獎勵有300萬元，但有一定的門檻，而且，若參與計畫的企業未達成效，獎勵名額也會從缺。這是此計畫的特殊之處，以FIDO項目而言，計畫目的強調需促進民眾使用，因此政府對於申請參與計畫的企業有所要求：每企業的FIDO系統登入至少達3萬人次。甚至，有些企業承諾更高的使用人次，像是智冠科技所訂出的目標，是50萬使用人次。</p> <p dir="ltr">就目前我們所知，上述業者的使用人次都已經達標，或是差不多達標，而數產署也將在今年11月發表相關成果。 </p> <p dir="ltr">另一方面，在上述數位信任場域服務實地驗證計畫之前，去年數產署就有不同推動辦法，當時的重點是鼓勵發展相關技術與產品服務，也就是針對資安業者而來，今年則是聚焦在電商、第三方支付、遊戲業者等網路服務產業。</p> <p dir="ltr">綜觀這些新技術應用的推動，包括政府對資安業者與企業的兩次獎勵計畫，以及服務業者對用戶的獎勵活動，就在這一層層推波助瀾下，確實讓國內首波Passkey應用實例，出現較明顯的進展。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>首波支援Passkey業者數量不少，組織內部應用實例也浮出檯面</strong></span></span></p> <p dir="ltr">更進一步來看，國內目前提供Passkey無密碼登入的網路服務業者，其實不只上述這3家，我們在數產署的「數位信任場域服務實地驗證計畫」申請列表中，可以找到更多有意導入的服務業。</p> <p dir="ltr">例如，申請FIDO項目的有6家業者，不只是露天市集、可樂旅遊、智冠科技，還有全國加油站、雷特遊戲。</p> <p dir="ltr">值得注意的是，根據數產署的說明，還有一家列於名單的業者是微風廣場，該公司其實也有意導入，但由於這需在一定時間內完成導入與達到成效，因此微風廣場在報名計畫後已表示退出。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89Paaskey%E4%B8%BB%E6%96%87.jpg" style="width: 600px;" /></p> <p dir="ltr"><strong><span style="color: rgb(105, 105, 105);">政府積極推動打詐，像是數位發展部數位產業署推動數位信任場域服務實地驗證計畫， FIDO安全身分識別技術就是其中一項類別，初期有6家業者參與，包括露天市集、可樂旅遊、智冠科技、雷特遊戲、全國加油站，微風廣場因為時程無法趕上而退出計畫。</span></strong></p> <p dir="ltr">對於更多國內導入現況，我們也詢問有協助導入經驗的廠商與FIDO專家，以了解更多情形。</p> <p dir="ltr">例如，全國加油站的App、HyRead電子書平臺，同樣也採用FIDO2標準的底層技術，支援Passkey無密碼登入。協助這兩家業者導入的凌網科技，該公司副總經理高承億向我們表示，全國加油站在今年8月支援，並是首個實體門店業者應用的案例，HyRead則是他們子公司凌網知識的網路服務，從去年底就開始支援，且帳號登入介面是強調「啟用零信任」，原因是他們在應用FIDO2標準之餘，也加上其他的身分安全認證措施。</p> <p dir="ltr">關於雷特遊戲的應用上，FIDO聯盟台灣分會會長張心玲指出，該公司是以FIDO取代手遊的傳統密碼登入方式。</p> <p dir="ltr">上述都是提供給外部使用者的案例，特別的是，也有企業是將FIDO技術應用於公司內部，也就是針對內部使用者的系統登入安全而來，張心玲表示，誠品、中央研究院就是近期的導入實例。</p> <p dir="ltr">綜觀這些最新進展，我們可以看到無密碼登入在臺的發展，確實已在不同產業間發酵。未來，隨著Passkey無密碼登入的普及，或許用戶對於通行密鑰Passkey這樣的術語，會有更高的接受度，甚至在使用其他線上服務時，可能也會期望並要求相同的身分驗證方法。</p> <p dir="ltr"> </p> <p dir="ltr"><span style="color:#FFFF00;"><span style="font-size:28px;"><strong><span style="background-color:#000000;"> Passkey將具備跨裝置使用能力，憑證可攜是關鍵 </span></strong></span></span></p> <p dir="ltr"><strong>關於Passkey登入機制的最新動向，自然是跨多種運算裝置應用的最新發展，而且，這也是先前Passkey被認為能夠促進無密碼登入普及的關鍵。</strong></p> <p dir="ltr"><strong>最近有兩項重大突破，一是Google在9月宣布可跨平臺同步Passkey，另一是FIDO聯盟在10月發表新規範以推動憑證可攜。</strong></p> <p dir="ltr"><strong>首先是橫跨行動裝置平臺、瀏覽器、雲端服務的Google生態系，9月19日Google宣布，在Android與Chrome瀏覽器中，原先可以存放通行密鑰（Passkey）的Google Password Manager，已經可以提供同步Passkey到不同的平臺上使用的能力。</strong></p> <p dir="ltr"><strong>也就是說，當Google用戶無須在各個裝置建立不同通行密鑰Passkeys，只要建立一次，就能使用原先設定的認證方式登入。</strong></p> <p dir="ltr"><strong>FIDO聯盟也有相關進展，他們在10月14日發表新的規範，主要將制定憑證交換協定（CXP）與憑證交換格式（CXF），目的是推動憑證的可攜，也就是促使不同的密碼管理員或生態系統間，能讓憑證安全交換。</strong></p> <p dir="ltr"><strong>這也顯示出，當前的Passkey應用其實仍未完善，而這些新的發展動向，一旦可以打通這些隔閡，將能再次加速Passkey的採用，並且進一步改善用戶體驗。</strong></p> <p dir="ltr"><strong>此外，最近還有科技大廠Amazon發布新的消息，原先他們已在自家的電商網路服務，提供Passkey登入的支援，如今更是打算在即將到來的2025年，積極促成旗下更多應用及服務都能支援Passkey。</strong></p> <p dir="ltr"><span style="color:#FFFF00;"><strong><span style="background-color:#696969;"> Google推出跨平臺Passkey同步新能力，擴展一組通行密鑰的使用侷限 </span></strong></span></p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88BOX%201%E5%9C%96%EF%BC%89%E8%B7%A8%E5%B9%B3%E8%87%BAPasskey%E7%99%BB%E5%85%A5_%E6%94%9D%E5%BD%B1%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="text-align: center; width: 600px;" /></p> <p dir="ltr"><span style="color:#696969;"><strong>9月Google用戶可跨平臺同步使用Passkey，我們也試著體驗其效果。</strong></span></p> <p dir="ltr"><span style="color:#696969;"><strong>以支援Passkey無密碼登入的露天市集網路服務為例，當我們在露天市集App申請啟用Passkey後，會在手機端建立並於Google密碼管理工具儲存一組Passkey。</strong></span></p> <p dir="ltr"><span style="color:#696969;"><strong>接著我們到Windows電腦操作，在登入Google帳號的Chrome瀏覽器的環境，開啟露天市集網站服務，並且選擇Passkey無密碼登入。此時，介面會跳出「使用已儲存的ruten.com.tw密碼金鑰（通行密鑰）」，點選來自手機型號的那組Passkey，隨後手機會跳出使用螢幕鎖定功能的畫面，通知將使用ruten.com.tw的通行密鑰，此時，我們使用手機原先設定的指紋辨識或人臉辨識，就能以免輸入密碼方式，直接在電腦上登入露天市集會員帳號。</strong><span style="font-size:14px;">攝影／洪政偉</span></span></p> <p dir="ltr"><span style="color:#FFFF00;"><strong><span style="background-color:#696969;"> 用戶可以設定多組通行密鑰，期待日後打通生態隔閡 </span></strong></span></p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88BOX%202%E5%9C%96%EF%BC%89%E8%B7%A8%E5%B9%B3%E8%87%BAPasskey%E7%99%BB%E5%85%A5_%E6%94%9D%E5%BD%B1%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="text-align: center; width: 600px;" /></p> <p dir="ltr"><span style="color:#696969;"><strong>關於通行密鑰（Passkey）的應用，我們常見到相關的文件說明或介紹，會以a passkey或passkeys來稱呼，顯示平時使用的通行密鑰，可以有很多個。</strong></span></p> <p dir="ltr"><span style="color:#696969;"><strong>以提供FIDO快速登入的可樂旅遊網路服務為例，當我們在Windows電腦上，以Chrome瀏覽器開啟可樂旅遊網站，可以在電腦端建立並儲存1組Passkey，並且將這組Passkey置於Windows Hello。若要達到這樣的使用效果，用戶需注意電腦本身是否支援Windows Hello與Passkey。</strong></span></p> <p dir="ltr"><span style="color:#696969;"><strong>另一方面，當我們在手機登入可樂旅遊App，也能在手機端建立並儲存1組Passkey、置於Google密碼管理工具。</strong></span></p> <p dir="ltr"><span style="color:#696969;"><strong>因此，之後當我們在電腦網頁版使用免輸入密碼的快速登入時，介面會跳出「使用已儲存的<a href="http://www.colatour.com.tw">www.colatour.com.tw</a>密碼金鑰（通行密鑰）」，接著在這部裝置的選項中，會出現來自Windows Hello的1組Passkey，而在其他裝置的選項中，會出現來自手機型號的1組Passkey。</strong></span></p> <p dir="ltr"><span style="color:#696969;"><strong>有了這兩組Passkey，都可以讓使用者以無密碼方式登入其會員帳號。隨著之後不同密碼管理員或生態系統間的隔閡，將會被打通，或許屆時用戶在同一服務就不用建立多組Passkey。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">攝影／洪政偉</span></p> <p dir="ltr"><a href="http://www.ithome.com.tw/article/165792" target="_blank"><span style="font-size: 22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 相關報導 </span></span></strong></span></a><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><a href="https://www.ithome.com.tw/article/165792" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1206-feng_mian_p1-zheng_han_-open-960x420_kao_bei_0.jpg?itok=wKmS6Qm5" style="width: 550px;" /></a></strong></span></span></p> </div></div></div>
2024/11/1 08:00作者羅正漢https://www.ithome.com.tw/news/165788
【遊戲點數儲值服務業Passkey應用實例：智冠科技】MyCard帳號安全再強化，App登入有FIDO加持
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">身為臺灣知名遊戲通路業者的智冠科技，旗下MyCard服務已是該公司的重要業務，為了強化用戶帳號的登入安全，今年7月，該公司針對MyCard App的登入，新增加FIDO生物識別登入功能，成為臺灣首波導入Passkey的業者之一。</p> <p dir="ltr">MyCard是許多遊戲玩家熟悉的點數儲值平臺，營運至今長達17年，不僅為玩家提供更便利的支付方式，也為遊戲開發商帶來更多商機。然而，隨著網路犯罪日益猖獗，用戶帳號安全一直是MyCard面臨的重要挑戰。</p> <p dir="ltr">因此，智冠科技從MyCard服務上線以來，持續強化用戶帳號安全，以今年而言，7月22日正式推出基於FIDO標準的生物識別機制，於MyCard App導入Passkey無密碼登入，讓使用者能以更安全、便利的方式進行身分驗證。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>因應詐騙與帳號盜用，帳號安全機制需要持續疊加與升級</strong></span></span></p> <p dir="ltr">為何導入FIDO無密碼網路身分識別？智冠科技網路發展部經理李哲瑋表示，這要從先前的帳號防護經驗談起。</p> <p dir="ltr">過去幾年來，為了防範MyCard服務上的詐騙與帳號盜用問題，智冠科技不只是要建立防詐機制，也推出多項帳號安全機制，並持續關注更進一步的作法。</p> <p dir="ltr">例如，2007年MyCard服務上線的會員帳號Email驗證，2012年增加晶片卡、MOTP、通訊鎖的進階驗證，到了2014年，加入安全支付密碼機制，也就是帳號點數交易轉移需額外輸入支付密碼。</p> <p dir="ltr">2018年出現重大轉變！因為智冠科技將MyCard會員註冊系統優化後，要求所有會員帳號都必須完成手機號碼綁定；2019年繼續增加單一行動裝置綁定，加強MyCard App登入安全性；2021年進一步針對會員註冊的IP位址與國別，導入相關條件驗證，避免跨區帳號盜用。</p> <p dir="ltr">2022年是新的轉捩點！此時他們新增手機生物辨識登入的機制，讓用戶的登入可以更簡便，但他們留意國內金融業積極導入基於FIDO的生物識別技術，以及「TWID身分識別中心」在MID（Mobile ID）門號認證的發展。</p> <p dir="ltr">因此，他們展開FIDO技術的可行性評估，今年開始展開行動，主要因為得知數位發展部數位產業署有相關推動，也就是「數位信任場域服務實地驗證計畫」，於是，智冠在3月決定參與該計畫的FIDO應用項目。</p> <p dir="ltr">李哲瑋透露，他們這麼做還有另一層考量。由於智冠科技用戶涵蓋多國，不只臺、港、澳，以及中國、東南亞，還有少數歐美玩家，若符合FIDO國際標準也有額外效益，像是國際廠商合作方面，因此先聚焦Passkey的導入。</p> <p dir="ltr">至於前述提到的MID行動身分識別，雖然是以國內電信門號為主，但他們認為這是後續可以關注的重點，希望對用戶帳號安全防護帶來更好的效益。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>初期以MyCard App登入應用為主，兩大考量是關鍵</strong></span></span></p> <p dir="ltr">關於導入Passkey、推出FIDO生物識別快速登入，智冠科技目前將這項功能提供於MyCard App。為何只有App登入應用此技術？李哲瑋解釋，主要有兩大考量。</p> <p dir="ltr">首先，根據他們的內部統計顯示，大部分用戶都透過行動裝置使用其服務，其次，現階段用戶在電腦登入會員時，已有不需在網站輸入帳密的方式，並且都是需要透過MyCard App執行。</p> <p dir="ltr">基於上述這兩項考量，他們選擇以MyCard App作為前期FIDO導入重點。</p> <p dir="ltr">以智冠科技的導入歷程而言，今年3月開始進行前期評估，5月到7月是建置期，並在7月22日正式對外提供。而在推出之前，還經過一個星期的內部測試，而且從6月就開始對用戶宣導，鼓勵他們升級使用FIDO登入。</p> <p dir="ltr">李哲瑋表示，評估導入FIDO時，他們聚焦兩個面向，一是會員登入機制是否需要相應的調整，一是自行開發或與外部廠商合作。</p> <p dir="ltr">由於這次計畫有時間壓力，加上智冠內部的程式都是內部人員開發，因此他們擔心與外部廠商合作時，會因為溝通而導致時程延宕，加上公司本身的產業鏈與其他領域不同，客製化需求不少，以及希望自己在使用者流程的掌控度更高，以便提供更好的客戶體驗，最終決定自行開發設計。</p> <p dir="ltr">不過，對於該公司的技術團隊而言，FIDO2是陌生的新技術，他們因此找到工研院，請專家提供協助，讓公司能夠順利導入。而且，該公司也開發對應FIDO2標準的驗證伺服器，並取得FIDO聯盟的認證。</p> <p dir="ltr">之所以取得這項認證，李哲瑋表示，目的不僅是希望獲得用戶信任，也符合他們推廣FIDO應用範圍的長期策略，目前他們也正持續評估FIDO技術在子公司內的應用場景，並計畫將此技術擴展至數位內容合作夥伴。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>傳統生物識別登入已過時，FIDO生物識別讓安全再升級</strong></span></span></p> <p dir="ltr">關於這次升級FIDO生物辨識，智冠科技提到他們面臨的一項挑戰，就是如何與用戶溝通、說明升級的必要性。</p> <p dir="ltr">這是因為，該公司在2022年已推出手機生物辨識登入，在2024年7月新升級FIDO生物識別登入，但對MyCard App用戶而言，這兩種方式在後續登入的操作，可能沒有明顯差異。</p> <p dir="ltr">李哲瑋強調，在帳號安全上，這兩種機制的防護強度並不相同。</p> <p dir="ltr">簡單來說，MyCard App在2022年提供的手機生物辨識登入，主要是結合iOS與Android裝置本身的生物識別功能，作法較傳統；現在新提供的FIDO生物識別登入，背後採用國際FIDO聯盟訂定的網路身分識別標準，當中結合公開金鑰加密架構與生物辨識技術，讓伺服器端只有保存公鑰，將身分驗證在裝置端進行，提供更好的網站登入安全機制。</p> <p dir="ltr">具體而言，他們採用FIDO2標準所衍生的Passkey，目前智冠科技在iOS與Android手機端採用的FIDO2標準驗證，其實就是應用蘋果與Google的Passkey通行密鑰。例如，當我們在iPhone手機登入MyCard App，此時可以看到Face ID生物辨識的登入畫面，顯示是以Passkey進行無密碼登入。</p> <p dir="ltr">因此，為了促進用戶理解這次升級的原因，李哲瑋表示，智冠科技在機制上線前一個月，就設立宣傳網站，希望提早讓用戶知道為何要升級，了解FIDO是國際標準，藉此提升用戶的接受度。</p> <p dir="ltr"> </p> <p dir="ltr"><span style="color:#FFFF00;"><span style="font-size:28px;"><strong><span style="background-color:#000000;"> 智冠MyCard服務推8大帳號安全機制 </span></strong></span></span></p> <p dir="ltr"><strong><span style="color:#FFFFFF;"><span style="background-color:#696969;"> 時間 </span> </span> <span style="color:#FFFFFF;"><span style="background-color:#000000;"> 新增帳號安全機制 </span></span></strong></p> <p dir="ltr"><strong><span style="color:#FFFFFF;"><span style="background-color:#696969;"> 2007年 </span> </span> <span style="color:#FFFFFF;"><span style="background-color:#000000;"> MyCard平臺的會員服務機制上線，提供會員帳號Email的驗證。 </span></span></strong></p> <p dir="ltr"><strong><span style="color:#FFFFFF;"><span style="background-color:#696969;"> 2012年 </span></span><span style="color:#E6E6FA;"> </span> <span style="color:#FFFFFF;"><span style="background-color:#000000;"> 增加進階驗證機制，包括晶片卡、MOTP、通訊鎖。 </span></span></strong></p> <p dir="ltr"><strong><span style="color:#FFFFFF;"><span style="background-color:#696969;"> 2014年 </span></span> <span style="background-color:#000000;"> </span><span style="color:#FFFFFF;"><span style="background-color:#000000;">增加進階驗證機制，提供會員帳號點數轉移時的安全支付密碼機制。 </span></span></strong></p> <p dir="ltr"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(105, 105, 105);"> 2018年 </span></span> <span style="color:#FFFFFF;"><span style="background-color:#000000;"> 會員帳號增加手機門號綁定，等於需經過手機號碼與Email的雙驗證，才能使用MyCard服務。 </span></span></strong></p> <p dir="ltr"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(105, 105, 105);"> 2019年 </span></span> <span style="color:#FFFFFF;"><span style="background-color:#000000;"> 針對MyCard App會員登入，提供單一行動裝置綁定機制。 </span></span></strong></p> <p dir="ltr"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(105, 105, 105);"> 2021年 </span></span> <span style="color:#FFFFFF;"><span style="background-color:#000000;"> 增加進階驗證機制，針對會員註冊的IP位址、國別，進行條件驗證。 </span></span></strong></p> <p dir="ltr"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(105, 105, 105);"> 2022年 </span></span> <span style="color:#FFFFFF;"><span style="background-color:#000000;"> 針對MyCard App提供串接手機生物辨識的登入機制。 </span></span></strong></p> <p dir="ltr"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(105, 105, 105);"> 2024年 </span></span> <span style="color:#FFFFFF;"><span style="background-color:#000000;"> 針對MyCard App升級FIDO生物識別機制，提供基於FIDO2標準Passkey的更安全登入。 </span></span></strong></p> <p dir="ltr"><span style="font-size:14px;"><span style="color:#696969;">資料來源：智冠科技，iThome整理，2024年11月</span></span></p> <p dir="ltr"><a href="http://www.ithome.com.tw/article/165792" target="_blank"><span style="font-size: 22px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span></strong></span></a><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><a href="https://www.ithome.com.tw/article/165792" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1206-feng_mian_p1-zheng_han_-open-960x420_kao_bei_0.jpg?itok=wKmS6Qm5" style="width: 550px;" /></a></strong></span></span></p> </div></div></div>
2024/11/1 08:00作者羅正漢https://www.ithome.com.tw/news/165789
【觀光旅遊服務業Passkey應用實例：可樂旅遊】旅遊網站新增FIDO的快速登入，B2C與B2B都支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">臺灣旅遊市場競爭激烈，旅行社如雨後春筍般林立，多年來國內也誕生出不少大型旅行社，可樂旅遊是領導品牌之一，特別的是，該公司在提供多樣化的旅遊產品與服務之餘，近期亦關注如何提供更安全、簡便的平臺服務體驗。</p> <p dir="ltr">今年可樂旅遊導入Passkey無密碼登入，7月1日推出快速登入的功能，成為國內旅遊業首例，讓用戶能以基於FIDO標準所發展的身分驗證方式，登入線上服務。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>提升帳號安全與體驗，避免客戶忘記密碼走人亦是考量</strong></span></span></p> <p dir="ltr">過去旅遊業常被視為傳統產業，然而，隨著網路犯罪問題增加，電子商務安全日益受重視，用戶帳號安全強化，也成為大型旅遊業亟需面對的挑戰。</p> <p dir="ltr">只是，以普遍國內旅遊平臺業者而言，對於用戶帳號安全的議題，很少有業者公開談及具體行動。難得的是，今年可樂旅遊網站開始支援Passkey登入，這一新作法引起同業與大眾的關注。</p> <p dir="ltr">可樂旅遊旅行社資訊系統總經理馬規倫表示，這項機制自7月上線後，用戶可省去以往輸入帳號密碼的麻煩，對於可樂旅遊的會員而言，不論是在電腦、手機使用可樂旅遊的網站，或在手機使用可樂旅遊的App，只要完成Passkey啟用設定，就可以使用這項新的FIDO快速登入功能。</p> <p dir="ltr">這也意謂著，可樂旅遊對於Passkey的支援，同時涵蓋會員的網站登入與會員的App登入，兩個管道都能應用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E5%8F%AF%E6%A8%82%E6%97%85%E9%81%8APasskey%E7%99%BB%E5%85%A5_%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89.png" style="width: 600px;" /></p> <p dir="ltr"><span style="color: rgb(105, 105, 105);"><strong>今年7月可樂旅遊在其網站與App正式推出FIDO快速登入功能，也就是上圖介面中所顯示的「指紋／臉部登入」，一旦用戶已經啟用這項功能，之後透過該公司支援的瀏覽器存取系統時，就能以Passkey通行密鑰來直接登入。</strong><span style="font-size: 14px;">攝影／洪政偉</span></span></p> <p dir="ltr">為何旅遊業者想導入Passkey？馬規倫表示，主要有兩大考量。</p> <p dir="ltr">首先，他們一直在思考，如何提供更安全的用戶登入方式，回顧先前的平臺登入機制，主要是輸入帳號密碼、圖形驗證，以及一些帳號安全管控機制，這當中其實還有可以加強的空間。</p> <p dir="ltr">去年，金管會持續推廣金融Fast-ID（舊稱金融FIDO），這也促使內部開始討論一個問題：公司網站服務是否能夠提供同樣的安全登入機制。</p> <p dir="ltr">另一個考量原因很特別，可樂旅遊希望能留住用戶。馬規倫指出：「與大家日常頻繁使用的電商平臺不同，對於旅遊網站而言，一般民眾可能久久才登入一次，這也導致用戶經常忘記密碼。」</p> <p dir="ltr">因此，若是客戶好不容易來到網站，卻因為忘記密碼造成體驗不佳而離開，對他們來說，就等於服務機會減少。因此，無密碼登入對用戶的方便性，也是他們相當重視的部分。</p> <p dir="ltr">不過，可樂旅遊之所以投入無密碼登入的發展，契機在於政府推動「智慧防詐與數位信任應用發展計畫」。馬規倫表示，今年3月得知數產署進一步推出「數位信任場域服務實地驗證計畫」，有一項類別是FIDO安全身分識別技術，他們才決定行動。</p> <p dir="ltr">因為公司若是順勢參與這項計畫，並在達到成果後獲得獎勵，等於一舉多得，能讓效益更大化。於是，促使他們在短時間內完成提案，將導入Passkey列為優先工作，而且，他們動作很快，從今年4月初決定導入，到7月1日正式推出，這個過程僅花了三個月。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>初期面臨手機端支援的挑戰，新應用宣導從內部做起</strong></span></span></p> <p dir="ltr">過去國內沒有旅遊平臺導入Passkey，可樂旅遊如何開始進行？</p> <p dir="ltr">馬規倫表示，對於這項技術導入並不熟悉的他們，是採用資訊業者網際威信（HiTrust）提供的FIDO認證系統，但其他方面規畫，他們主要依靠自身IT團隊完成，包括介面、流程等。</p> <p dir="ltr">在這次開發與推動過程中，他們遇到兩個比較大的挑戰。</p> <p dir="ltr">首先，在手機應用遭遇意外狀況，因為他們發現，快速登入功能在部分手機型號無法正常運作，尤其是中國品牌的手機，而需要為此調整。由於當時有推出時程的壓力，若是可樂旅遊一直鼓勵用戶使用FIDO快速登入、結果有些用戶卻因為某些問題而不能快速登入網站或App，這會對後續推動產生影響。</p> <p dir="ltr">其次，多數消費者都不知道通行密鑰Passkey一詞的含意，業者如何讓用戶容易理解這個應用的成效，會是大考驗。</p> <p dir="ltr">因此，可樂旅遊目前對Passkey登入的推廣，是以「FIDO快速登入」一詞宣傳。他的主要考量在於，國內金融業已推廣FIDO技術，有部分民眾了解，能用這樣的認知建立信任，也藉此展現採用FIDO國際標準的企業形象。而且他們的宣傳管道不只是透過網站、電子報，也舉辦抽獎活動，吸引會員啟用新功能。</p> <p dir="ltr">最特別的是，在公司內部，可樂旅遊也針對全體員工進行教育訓練，讓每位同事親身體驗這項機制，便於日後接觸消費者時，可以透過自身經驗共同推廣。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>跨平臺登入明年體驗會更佳，逾時重登機制亦跟隨調整</strong></span></span></p> <p dir="ltr">雖然Passkey方便，但應用仍要注意。根據可樂旅遊的說明，目前在單一裝置上要註冊與使用FIDO快速登入，已經相當簡便，但在跨平臺登入上，仍需注意不同生態系統的差異，預計2025年第一季後，他們會提供更優質的支援。</p> <p dir="ltr">此外，在Passkey無密碼登入上線後，由於用戶登入變得更簡便，可樂旅遊對於登入期限的設定，是否有相應調整？</p> <p dir="ltr">馬規倫表示，無需頻繁輸入帳號密碼，讓用戶的登入體驗更加流暢，因此他們可將登入期限進一步縮短。例如，當用戶登入可樂旅遊網站，會是24小時後才需重新登入，若用可樂旅遊App，則是2小時後才需重新登入。</p> <p dir="ltr">為何會有這樣的差異？過去他們給予相當長的帳號登入期限，讓使用者可以不用頻繁經歷重新登入的步驟，這麼做的主要原因在於，擔心客戶體驗不佳而離開，因此不敢貿然縮短自動登出的期限，因為這麼做也可能造成用戶需要更頻繁地進行重新登入的程序。如今他們支援Passkey登入之後，能更有信心地縮短登入持續期間，但之後也會觀察使用狀況與用戶回饋，評估是否可以再縮短需要重新登入的時間。</p> <p dir="ltr">畢竟，以金融業而言，這方面限制更嚴，例如，用戶只要超過5分鐘未進行任何交易，帳號就會逾時自動登出。</p> <p dir="ltr">但他們也是要考量實際用戶狀況，畢竟客戶在旅遊平臺上，需要花許多時間研究行程，很快就要求用戶重新登入並不適合，如何提升安全性，又不會對使用體驗產生負面影響，是他們會持續關注並希望可以取得平衡點。</p> <p dir="ltr"> </p> <p dir="ltr"><strong><span style="color:#FFFF00;"><span style="font-size:28px;"><span style="background-color:#000000;"> 可樂旅遊的同業服務平臺，同樣也能以Passkey登入 </span></span></span></strong></p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-2-%E5%8F%AF%E6%A8%82%E6%97%85%E9%81%8APasskey%E7%84%A1%E5%AF%86%E7%A2%BC%E7%99%BB%E5%85%A5.png" style="width: 600px;" /></p> <p dir="ltr"><strong>今年7月起，可樂旅遊將最新的Passkey無密碼登入機制，提供於自家B2C的可樂旅遊平臺，也提供在其B2B同業服務網站與App，相當難得。（如上圖右方的「生物辨識快速登入」選項）。</strong></p> <p dir="ltr"><strong>換言之，他們不只關切顧客的帳號安全提升，也照顧到旅遊同業的帳號安全提升。</strong></p> <p dir="ltr"><strong>馬規倫表示，他們在全臺合作的旅遊同業有2千多家，因此新的登入功能上線後，確實吸引很多同業詢問，現階段使用率也相當高，未來他們也將繼續擴大應用範圍，包括可樂旅遊的B2E企業會員平臺，以及全球分包商的網站服務，預計都將能夠導入。</strong></p> <p dir="ltr"><a href="http://www.ithome.com.tw/article/165792" target="_blank"><span style="font-size: 22px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span></strong></span></a><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><a href="https://www.ithome.com.tw/article/165792" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1206-feng_mian_p1-zheng_han_-open-960x420_kao_bei_0.jpg?itok=wKmS6Qm5" style="width: 550px;" /></a></strong></span></span></p> </div></div></div>
2024/11/1 08:00作者羅正漢https://www.ithome.com.tw/news/165790
【C2C電商平臺業Passkey應用實例：露天市集】電商會員帳號登入安全新作法，以無密碼對抗網釣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">引領臺灣C2C電商市場發展的露天市集，主要提供讓買家與賣家自由交易的平臺，與普遍B2C購物網站一樣，都屬於常見的電商模式，但最大不同點在於，每個會員既是買家，也能搖身一變成為賣家，這樣的開放性，使其更容易成為詐騙集團的目標。</p> <p dir="ltr">為了兼顧交易的自由度與資訊安全，露天市集自栩對帳號安全的重視程度，已經超越一般B2C購物網站。例如，2015年他們就推出「露天代碼產生器」的兩步驟驗證機制，幫助用戶避免遭受網釣攻擊，今年有新作法，那就是提供Passkey無密碼登入的安全驗證方式，使客戶登入他們的服務能有更好體驗。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>強化買賣家會員帳號安全，從技術與條件管控著手</strong></span></span></p> <p dir="ltr">這些年來，線上購物網站安全的問題，一直受到社會大眾的關注，從2006年成立之今的露天市集，在強化網站安全之餘，對於會員帳號的安全管控，也持續強化。</p> <p dir="ltr">露天市集共同營運長周書華表示，在帳號安全管控上，露天市集從開站以來就使用簡訊OTP做帳號認證，而且強調會員分級的管控概念。</p> <p dir="ltr">例如，一旦買家會員想要在平臺上賣東西，必須多經過一道Email驗證程序，賣家要處理金流狀況時，也都要再次進行OTP驗證。去年他們也配合政府打詐與防制洗錢的政策，要求所有的賣家須通過實名驗證，才能進行收款與商品上架，未來也將設定更多會員分級的機制，像是新註冊賣家用戶的上架商品數量將受限制等。</p> <p dir="ltr">不只從條件進行管控，他們還有技術層面的防範。在會員登入機制上，露天市集截至目前為止，歷經3個重要變化：</p> <p dir="ltr">● 2015年提供App形式的兩步驟驗證，也就是打造出「露天代碼產生器」App，讓用戶登入會員帳號時，還需輸入App上的OTP碼來驗證身分。</p> <p dir="ltr">● 2023年擴大簡訊OTP的使用範圍，針對超過半年未登入，以及換電腦、異地登入等高風險情形，都需要再次進行簡訊OTP認證。</p> <p dir="ltr">● 2024年推出Passkey的無密碼登入，周書華指出，露天市集早年雖有兩步驟驗證的露天代碼產生器，但不夠便利，導致使用率未能提升，如今希望Passkey導入，讓用戶體驗更簡單、容易上手。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>憂心用戶不懂Passkey導致操作門檻過高，場域實證成契機</strong></span></span></p> <p dir="ltr">關於露天市集這次導入Passkey的時間點，周書華表示，Passkey無密碼登入是在今年1月正式上線，一開始只提供於露天市集App與手機網頁版，3月開放電腦網頁版也能應用。換言之，在國內，露天市集算是最早採取行動的業者之一。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/fix_%EF%BC%88%E5%9C%961%EF%BC%89%E9%9C%B2%E5%A4%A9%E5%B8%82%E9%9B%86Passkey%E7%99%BB%E5%85%A5_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <p dir="ltr"><span style="color: rgb(105, 105, 105);"><strong>露天市集網站今年已經支援Passkey無密碼登入，讓用戶在申請這項新的安全驗證方式後，就能以更安全與便利的掃臉、指紋辨識，取代傳統密碼的系統登入方式。</strong><span style="font-size: 14px;">攝影／羅正漢</span></span></p> <p dir="ltr">他們之所以能在年初推出，周書華透露，與去年參與的相關驗證計畫有關。</p> <p dir="ltr">她解釋，露天市集很早就關注FIDO技術，但在早期，他們對這方面技術秉持觀望的態度。例如，公司內部在2022年底曾討論這項議題，但並未排定在2023年度計畫當中。</p> <p dir="ltr">最主要的原因在於，考慮到國內使用者對於Passkey完全沒有概念，加上其他電商並沒有導入，因此憂心教育使用者的成本可能會很高。</p> <p dir="ltr">2023下半出現一個機會，讓他們願意嘗試，因為政府此時為了鼓勵業者，積極發展零信任的技術與產品服務，進而設立「零信任資安場域實證獎勵計畫」，雖然這是針對資安業者而來的活動，但也需要結合場域來實證。</p> <p dir="ltr">於是，在這項計畫的電子商務場域的項目，今年成立滿20年的數聯資安找上露天市集合作，嘗試零信任之身分鑑別機制的場域驗證，雙方合作包含Passkey導入認證，也結合該公司資安監控中心SOC監控，確保各項認證作業安全。</p> <p dir="ltr">周書華指出，這個場域實證期間是在去年6月15日到11月15日，當時露天市集在尚未投入資源的狀態下，但已經先體驗到Passkey應用在自家場景的效果。這也讓他們確定要繼續發展，並在今年以企業身分申請相關獎勵計畫，參與FIDO安全身分識別項目。</p> <p dir="ltr">因為，這不僅提供更安全簡便的登入方式，相較於常見的第三方服務登入（Google、Line、FB），現在露天也能提供平臺自身的免記密碼方案，加上去年簡訊OTP認證的使用範圍擴大，每月數十萬通簡訊成本負擔不小，因此也希望Passkey能成為降低成本的手段之一。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>持續克服導入Passkey的3大挑戰</strong></span></span></p> <p dir="ltr">露天市集成功導入Passkey，對於臺灣電商產業而言，別具意義。原因在於，最近兩年全球電商業者中，已有Amazon與eBay支援Passkey，如今他們成為臺灣C2C電商平臺的第一個Passkey應用實例，有望帶動更多電商業者跟進。</p> <p dir="ltr">雖然Passkey在全球商業應用領域發展正夯，但對臺灣企業而言，導入Passkey可能面臨哪些挑戰？從露天市集的先期發展經驗來看，他們指出3大挑戰層面，需要繼續克服。</p> <p dir="ltr">首先，需要教導用戶申請與使用Passkey。就像前幾年露天市集憂心的，若使用者普遍不了解Passkey的好處與必要性，此時推動用戶接納這項新功能，就需要投入更多成本來教育使用者。</p> <p dir="ltr">即便一些消費者可能已經知道國內銀行有FIDO這類安全機制，但他們可能沒想過在購物與拍賣的網站，也能使用FIDO技術的Passkey無密碼登入。</p> <p dir="ltr">因此，最早他們只有在露天會員的幫助中心，於問與答頁面說明Passkey無密碼登入的申請方式；今年7月，他們才真正開始大力向用戶宣傳，鼓勵大家可以透過不用記憶密碼的Passkey登入。</p> <p dir="ltr">第二，即便消費者已接受這樣的機制，但在實際申請與多種裝置的使用上，還是有些阻礙。</p> <p dir="ltr">以申請狀況而言，雖然露天市集最近發動兩波宣傳，針對Passkey申請與使用，提供詳細的教學步驟與文件，並透過舉辦多次活動，企圖吸引用戶採行，包括贈送食物、露幣等獎勵，但公司的客服團隊還是接獲很多用戶意見反映，他們表示，想拿獎勵卻不知如何啟用。</p> <p dir="ltr">以多裝置使用而言，根據他們目前的觀察，透過手機操作的流程算簡易，用電腦操作的狀況比較多。從最常見的用戶反映情形來看，一是用戶不清楚自己的Windows電腦環境是否支援Passkey，一是很多人用iPhone手機、Windows電腦，目前仍需要在不同裝置各自申請Passkey，但對有些用戶而言，會覺得再做一次很麻煩。畢竟，FIDO憑證可攜方案目前正在發展，現在還無法應用。</p> <p dir="ltr">因此，是否影響整體購物的體驗，他們仍會持續追蹤，畢竟涉及電商轉換率等議題，仍是最關注的重點。</p> <p dir="ltr">最後一點較為特別，與C2C環境的賣家產業生態有關，由於有些賣家是比較大的公司，容易有多個工作人員共用帳號，以及負責人員經常更換的狀況。</p> <p dir="ltr">換言之，企業賣家需要教育每個人如何使用Passkey，也要多留意人員異動後的Passkey登入取消與重設。不然這些賣家，可能還是會選擇以往習慣的傳統帳號密碼登入方式。</p> <p dir="ltr"><span style="font-size:22px;"><strong><span style="background-color:#3399ff;"><span style="color:#FFFFFF;"> </span><a href="https://www.ithome.com.tw/article/165792" target="_blank"><span style="color:#FFFFFF;">相關報導</span></a><span style="color:#FFFFFF;"> </span></span></strong></span><span style="color:#FFFFFF;"><span style="font-size:22px;"><strong><a href="https://www.ithome.com.tw/article/165792" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1206-feng_mian_p1-zheng_han_-open-960x420_kao_bei_0.jpg?itok=wKmS6Qm5" style="width: 550px;" /></a></strong></span></span></p> </div></div></div>
2024/11/1 08:00作者羅正漢https://www.ithome.com.tw/news/165791
兼顧快速與安全的系統通關方式
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">從純文字顯示與命令列操控到個人電腦視窗作業系統，再跨到網頁瀏覽器、手機App，很多年前，有個朋友曾跟我說她對於頻繁的各式帳號註冊、登入驗證程序，感到厭煩，而且會因此不願接觸新的服務。</p> <p dir="ltr">時至今日，形形色色的服務登入早已成為臺灣消費者生活的日常，因為無論到超商、大賣場購物，或至連鎖速食、咖啡店、餐廳點餐，店員見到顧客的前幾句話通常都會問到「有會員嗎？」，意思是問你是否有會員卡或是否已加入、成為店家的會員，接著請你出示會員卡、商家App或唸出你註冊的電話號碼，以便識別你的身分、進行交易。</p> <p dir="ltr">實體世界如此，數位世界更是仰賴大量的帳號與密碼登入，使用者為了記住這些重要識別資訊，也都各有自己的習慣。許多人通常會採取一些簡單、容易記憶的密碼，也因為太多人使用，因此，這些常用的密碼內容組成，也被大家譏笑為「白癡密碼」或「笨密碼」，而且，每隔一段時間，就會有機構或媒體揭露這類年度排行榜，趁機提醒大家更謹慎地訂定密碼內容。</p> <p dir="ltr">為了避免眾人採用容易被猜到的密碼，各種系統也普遍要求使用者須制定符合一定規範的密碼組成，提升密碼的強度，通常這些規範稱為密碼（設定）原則，例如，密碼長度需由8個以上字元組成，不僅需混合使用英文字母、數字，而且，字母不能全部大寫或小寫，而是要參雜使用。後續的密碼原則，則要求使用者設定的密碼需涵蓋特殊符號。</p> <p dir="ltr">關於密碼複雜度對應的安全程度，相信很多人都看過資安廠商Hive Systems發布的密碼破解時間表，若使用12張GPU加速卡Nvidia Geforce RTX 4090，面對使用bcrypt雜湊函數存放的密碼，若是目前最常見的8個字元組成的密碼，純數字只需37秒即可暴力破解（brute force），搭配數字、大寫字母、小寫字母、符號為7年；若以密碼長度而言，要脫離危險範圍，純數字要搭配到15個字元以上（破解需12年），搭配數字、大寫字母、小寫字母、符號需8個字元（破解需7年）。</p> <p dir="ltr">值得注意的是，根據Hive Systems的測試，若是密碼遭竊、用字典的詞彙組成的密碼，或在不同網站使用相同的密碼，無論密碼有多長，都能馬上破解。</p> <p dir="ltr">若是遵循NIST SP 800-63-3數位身分指南，將密碼設為8個字元，採用MD5雜湊函數存放密碼時，無論使用新舊款GPU，都是瞬間破解，改用複雜密碼組合，用資料中心GPU產品A100時，若是少量GPU，也只能抵擋十幾分鐘，若改用bcrypt雜湊函數存放的8字密碼，舊款GPU加速卡破解純數字密碼，需2小時，若以1萬張資料中心GPU產品破解，也是瞬間完成，但搭配複雜密碼，可抵擋5天。</p> <p dir="ltr">依照上面的測試結果分析來看，不重複使用密碼，並且採用更多字元的密碼、密碼內容組成越複雜、以及更安全的密碼雜湊函數，都是能否延長密碼破解時間的關鍵。然而，要同時滿足這些條件，難度越來越高。</p> <p dir="ltr">因此，這幾年來，資安領域也持續推動「無密碼／非密碼的身分驗證（Passwordless Authentication）」，我們先前經常報導的FIDO（Fast Identity Online），就是目前領導這股浪潮的重要標準，市面上，也陸續出現支援FIDO標準的認證設備與行動裝置憑證，而在網站與行動系統當中，近期最受關注的相關技術應用，就是Passkey（通行金鑰）。</p> <p dir="ltr">今年7月我們看到臺灣多家服務業者介紹自家網站與行動App提供Passkey支援的經驗，<a href="http://www.ithome.com.tw/article/165792" target="_blank"><span style="color:#3366ff;">這期封面故事</span></a>，資安主編羅正漢針對可樂旅遊、智冠科技、露天市集這三家廠商，深入報導他們的Passkey導入經驗，背後分別有資安廠商或專業機構的協助，分別是：網際威信、工研院，以及數聯資安、希望透過這樣的內容介紹，能讓更多企業了解這項強化與簡化身分安全的技術。</p> <p><a href="http://www.ithome.com.tw/article/165792" target="_blank"><span style="font-size: 22px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span></strong></span></a><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><a href="https://www.ithome.com.tw/article/165792" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1206-feng_mian_p1-zheng_han_-open-960x420_kao_bei_0.jpg?itok=wKmS6Qm5" style="width: 550px;" /></a></strong></span></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/fido2">FIDO2</a></div><div class="field-item odd"><a href="/tags/%E9%80%9A%E8%A1%8C%E5%AF%86%E9%91%B0">通行密鑰</a></div><div class="field-item even"><a href="/tags/%E7%84%A1%E5%AF%86%E7%A2%BC">無密碼</a></div><div class="field-item odd"><a href="/tags/passkey">Passkey</a></div></div></div>
2024/11/1 08:00作者李宗翰https://www.ithome.com.tw/voice/165793
Passkey在臺落地
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1206-feng_mian_p1-zheng_han_-open-960x420_kao_bei_0.jpg?itok=wKmS6Qm5" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路釣魚威脅持續升溫，無密碼身分識別的作法已成對應之道，近年國際間新推動的Passkey，更是為普及應用帶來新曙光，臺灣也不落人後，如今也有電商、旅遊與遊戲通路業導入，提供兼顧使用體驗與安全的會員線上登入。</p> </div></div></div>
2024/11/1 08:38作者羅正漢https://www.ithome.com.tw/article/165792
Google Cloud推第6代TPU為基礎的新版Hypercomputer
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">Google Cloud<a href="https://cloud.google.com/blog/products/compute/trillium-sixth-generation-tpu-is-in-preview" target="_blank">昨（30）日公布</a>最新版雲端超級電腦基礎服務Hypercomputer，並預覽第6代TPU（Tensor Processing Unit）Trillium。</p> <p dir="ltr">高速運算（Hypercomputing）基礎架構Hypercomputer是Google Cloud專為執行AI負載設計，集結AI優化的TPU、CPU與GPU的整合硬體、開源軟體而成的依用量計價服務。<a href="https://www.ithome.com.tw/news/160206" target="_blank">去年12月</a>公布以TPU v5p為基礎的版本後，本周Google Cloud在App Dev & Infrastructure高峰會上，公布以第6代TPU Trillium為基礎的新版Hypercomputer，以及超運算相關軟、硬體，包括Nvidia H200 Tensor Core GPU的A3 Ultra VM（預覽版）和最新叢集Hypercompute Cluster、Google自建Arm處理器Axion為基礎的C4A VM，以及最新上線的Jupiter光纖交換網路（optic circuit network fabric）與AI/ML專用的區塊儲存（block storage）服務Hyperdisk ML。</p> <p dir="ltr">Google強調，現為預覽版的Trillium是當今浮點運算效能最高的TPU，單一TPU叢集提供91 exaflops效能。和去年TPU v5e相較，訓練AI模型效能提升4倍，推論吞吐量增加3倍，每顆晶片尖峰運算效能也拉高為4.7倍。而高頻記憶體（HBM）容量和晶片間互連頻寬都增加為2倍，但同時間能源耗用卻少了67%。</p> <p dir="ltr">HBM容量和頻寬增倍讓Trillium可更有效運行和訓練權重更多與key-value快取更大的模型，像是Gemma 2與Llama 2、或是專用專家混合（mixture of expert，MoE）實作。此外Trillium在運算密集的推論，包括大型擴散模型如Stale Diffusion XL。在單一高頻寬低延遲Pod中Trillium以晶片互連技術（interchip interconnect，ICI）最高可擴充到256個晶片，以串連數百pods的上萬顆晶片，以Google 13 Petabit/s的Jupiter資料中心網路打造超級電腦，而以Multislice軟體，Trillium將可實現幾近直線擴充的效能，來訓練AI模型。。</p> <p dir="ltr">在標竿測試上，Trillium執行Gemma 2-27B、MaxText Default-32B及Llama2-70B，效能是TPU v5p的4倍有餘，執行Llama 2-7B及Gemma 2-9B則是超過3倍。而以每單位成本效能計算，Trillium是v5e的1.8倍、v5p的2倍，是最具成本效益的TPU。</p> <p dir="ltr">其他新發布方面，採用Nvidia H200 Tensor Core GPU的A3 Ultra VM，將在11月整合到Google Cloud中，屆時將推出叢集Hypercompute Cluster。比起前代的A3 Mega，A3 Ultra VM特色包括GPU對GPU網路頻寬增加2倍，LLM推論效能提升為最高2倍。在單一叢集內最高可擴充到數千顆GPU以執行AI和HPC任務。</p> <p dir="ltr">今天Google Cloud並宣布自家Arm架構Axion CPU為基礎的C4A VM服務推出，強調性價比高於別家VM 10%，而比x86 CPU-based VM相比，性價比和能源效率都提升65%和60%，適合執行一般任務如Web或應用伺服器、容器化微服務、開源資料庫、記憶體內快取、資料分析、媒體處理及AI推論應用等。</p> <p dir="ltr">最後，Google Cloud還宣布Jupiter光纖交換網路（optic circuit network fabric）、以及AI/ML專用的區塊儲存（block storage）服務Hyperdisk ML今天上線。Jupiter光纖交換網路提供原生400 Gb/s連線速度和13.1Pb/s的對分頻寬（bisection bandwidth），號稱可處理地球上所有視訊影像。4月宣布的區塊儲存（block storage）服務Hyperdisk ML今天上線，可用於AI及HPC作業的儲存需求，資料載入速度更快，一個volume可附加2500 instance，每volume集結傳輸量達1.2TB/s，是競爭者100倍有餘。</p> </div></div></div>
2024/10/31 16:36作者林妍溱https://www.ithome.com.tw/news/165785
蘋果發表搭載M4 Pro/Max的MacBook Pro，入門款MacBook Air記憶體無償翻倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">蘋果周三（10/30）發表了新一代的<a href="https://www.apple.com/newsroom/2024/10/new-macbook-pro-features-m4-family-of-chips-and-apple-intelligence/" target="_blank">MacBook Pro</a>，這批MacBook Pro搭載的是M4、M4 Pro或M4 Max晶片，電池續航力長達24小時，最低階版本的售價為1,599美元（54,900元新臺幣），預計於11月出貨。當天蘋果也宣布把MacBook Air的最低記憶體配置從8GB增加到16GB。</p> <p dir="ltr">蘋果率先在今年5月<a href="https://www.ithome.com.tw/news/162758" target="_blank">發表</a>採用M4的iPad Pro，繼之<a href="https://www.ithome.com.tw/news/165746" target="_blank">推出</a>搭載M4的iMac，以及採用M4與M4 Pro的<a href="https://www.ithome.com.tw/news/165775" target="_blank">Mac mini</a>，此次首度出現的M4 Max可配備最多16核心CPU，最多40核心GPU，以及每秒超過0.5 TB的統一記憶體頻寬。</p> <p dir="ltr">M4系列的MacBook Pro提供14吋與16吋兩種螢幕尺寸，14吋的MacBook Pro有M4、M4 Pro或M4 Max版，16吋則僅有M4 Pro或M4 Max版。其中，14吋的M4版與16吋的M4 Pro或M4 Max版擁有24小時的電池續航力，14吋的M4 Pro或M4 Max版則僅有22小時的電池續航力。</p> <p dir="ltr">它們全都支援蘋果的人工智慧功能Apple Intelligence，最低記憶體配備為16GB，最低儲存空間為512GB，而除了晶片、顯示器，或是所選擇的記憶體與儲存空間不同之外，它們的相機、音訊、鍵盤/觸控板或所採用的無線標準都是一致的，而在連接埠上，除了都提供HDMI埠與SDXC卡插槽之外，14吋M4版提供3個Thunderbolt 4埠，14吋與16吋M4 Pro/Max版則都有3個Thunderbolt 5 埠。</p> <p dir="ltr">此外，14吋的M4版MacBook Pro最輕，約為1.55公斤，14吋的M4 Pro/Max版則約1.6公斤，16吋的M4 Pro/Max則已超過2.1公斤，上述版本的最低售價分別是54,900元、67,900元及84,900元新臺幣。</p> <p dir="ltr">目前蘋果並未發表採用M4晶片的MacBook Air，但宣布將MacBook Air內建的最低記憶體配置從8GB提升到16GB，而且價格不變。現在M2版與M3版的最低階MacBook Air都已配備16GB記憶體，並維持原本的999美元（32,900元新臺幣）與1,099美元（35,900元新臺幣）價格。</p> <p dir="ltr">市場分析指出，蘋果調高筆電內建記憶體的主因應為AI應用的需求，此一更新也意味著8GB記憶體的配備已從蘋果電腦的陣容中消失。</p> <p> </p> </div></div></div>
2024/10/31 17:03作者陳曉莉https://www.ithome.com.tw/news/165786
微軟財報出爐，首度公開承諾投資130億美元予OpenAI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟周三（10/30）<a href="https://www.microsoft.com/en-us/Investor/earnings/FY-2025-Q1/press-release-webcast" target="_blank">公布該公司</a>截至9月30日的2025財年第一季財報，顯示該季微軟創下656億美元的營收，成長16%，營業利潤（Operating income）與淨收入（Net income）亦分別成長14%與10%，亦首度於交予美國證券交易委員會（SEC）的<a href="https://microsoft.gcs-web.com/node/33181/html" target="_blank">10-Q報告</a>中揭露，已向OpenAI承諾其投資總額將達130億美元。</p> <p>微軟執行長Satya Nadella表示，由AI帶動的轉型正在改變每個角色、功能與流程的工作，藉由協助用戶採用AI平臺與工具來推動成長，微軟正在擴大自己的機會以贏得新客戶。此外，在656億美元的營收中，有389億美元來自Microsoft Cloud，比去年同期成長了22%。</p> <p>在各個類別中，生產力與業務流程（Productivity and Business Processes）締造了283億美元的營收，成長12%；智慧雲端（Intelligent Cloud）創下241億美元的營收，成長20%；更多個人運算（More Personal Computing）占了132億美元，成長17%。</p> <p>而個別產品或服務中，Xbox內容及服務的營收成長高達61%，這有賴於微軟收購了Activision，Azure與其它雲端服務則成長了33%，伺服器產品及雲端服務成長了23%，Microsoft Cloud成長22%，而不管是Dynamics 365或搜尋暨廣告服務都成長了18%。</p> <p>在10-Q報告中，微軟除了揭露已承諾要投資130億美元予OpenAI之外，財報中的「其它收入（支出）淨額組成項目中」，有一項其它支出淨額（Other, net）高達6.83億美元，微軟特別說明該項目反映出各個權益法投資（Equity Method Investment）的認列損失，包括OpenAI在內。所謂的權益法投資指的是微軟持有對方具重大影響力的股權，通常介於20~50%之間，外傳微軟已取得49%的OpenAI控制權。</p> <p>微軟該季的每股盈餘為3.3美元，亦成長10%。儘管微軟該季營收符合華爾街分析師預期，但因預測未來的雲端營收成長將趨緩，而使得微軟當天盤後股價下滑了3.73%，跌至416.41美元。</p> </div></div></div>
2024/10/31 15:56作者陳曉莉https://www.ithome.com.tw/news/165783
GitHub Copilot登陸Xcode，提升Apple開發者效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub宣布其人工智慧開發助理GitHub Copilot，已於Apple開發環境Xcode進入<a href="https://github.blog/changelog/2024-10-29-github-copilot-code-completion-in-xcode-is-now-available-in-public-preview/">公開預覽階段</a>，能夠提高iOS和macOS開發者的開發效率。這項整合代表著Copilot擴展至更廣泛的開發平臺，使得Apple開發者也能在原生開發環境中，獲得程式碼完成功能。</p> <p>GitHub Copilot會在Xcode中提供即時程式碼建議，支援多語言程式碼自動完成，包括Swift和Objective-C等Apple生態系開發常用語言，可替Xcode使用者帶來更順暢的開發體驗。人工智慧建議也不僅限於單行程式碼完成，還能提供多行程式碼建議，協助開發者快速編寫複雜邏輯，縮短開發時間。</p> <p>此次在Xcode上推出的GitHub Copilot公開預覽版，除了自動完成之外，還加入進階內容過濾器，可從建議中篩除有害或是不當的建議，確保所有程式碼都符合專業標準。另外，開發者也可以選擇啟用重複偵測過濾器，過濾掉重複或相似於GitHub公有程式碼的建議，避免開發者無意間引入可能有版權疑慮的程式碼。</p> <p>目前所有Copilot個人、企業與組織用戶，皆可申請加入Xcode公開測試，依照GitHub指南安裝後即可開始使用新功能。</p> </div></div></div>
2024/10/31 16:06作者李建興https://www.ithome.com.tw/news/165780
Meta第三季營收成長19%，將擴大AI投資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">Meta周三（10/30）公布該公司今年<a href="https://investor.fb.com/investor-news/press-release-details/2024/Meta-Reports-Third-Quarter-2024-Results/default.aspx" target="_blank">第三季財報</a>，該季Meta創下405.89億美元營收，成長19%，每股盈餘達6.03美元，成長37%，每日用戶數為32.9億人，成長5%。或許是因為Meta的每日用戶數稍微低於預期，再加上Meta宣布明年將大幅增加資本支出，使得Meta當天盤後下滑3.11%，股價跌至573.4美元。</p> <p dir="ltr">在405.89億美元的營收中，有398.85億美元來自家族程式的廣告營收，成長11%，且廣告占了Meta總營收的98%；專注於VR開發的Reality Labs則帶進4.34億美元的營收，成長48%。Meta的家族程式替該公司帶進217.8億美元的營業利潤，而Reality Labs則虧損了44.3億美元。</p> <p dir="ltr">另一方面，家族程式的每日用戶為32.9億人，比去年同期成長5%，儘管還在成長，但略低於分析師所預期的33.1億人。</p> <p dir="ltr">AI已滲透到美國每一家主要的科技業者，Meta執行長祖克柏（Mark Zuckerberg）表示，AI的進步推動了該公司的應用程式與業務，而且不管是在 Meta AI與Llama的採用上，或是AI眼鏡上都保持強勁發展。</p> <p dir="ltr">另一方面，Meta將2024年全年的資本支出預測從原本的370~400億美元之間，調高到380~400億美元，並預期明年的資本支出還會明顯增加。祖克柏於財報會議中<a href="https://s21.q4cdn.com/399680738/files/doc_financials/2024/q3/META-Q3-2024-Earnings-Call-Transcript.pdf" target="_blank">表示</a>，他們看到許多利用AI來加速核心業務的機會，未來將進一步投資，此外，Meta對AI的投資仍需要龐大的基礎設施，而這是另一個投資方向。</p> <p dir="ltr">Meta周三盤後下跌了3.11%，股價為573.4美元。</p> </div></div></div>
2024/10/31 16:18作者陳曉莉https://www.ithome.com.tw/news/165784
OpenAI即時AI語音API Realtime降價最高80%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI昨（30）日<a href="https://twitter.com/OpenAIDevs/status/1851668229938159853" target="_blank">宣布</a>可提供即時擬真AI語音的Realtime API降價，部份服務降價最高80%，並新增5種聲音選擇。</p> <p><a href="https://www.ithome.com.tw/news/165296" target="_blank">10月初</a>公布預覽版的Realtime API提供原生語音輸入、語音輸出的人聲生成，中間無需文字轉換，讓開發人員得以打造支援多模態能力的AI聊天機器人。目前支援文字、語音的輸出、輸入，也支援函式呼叫。Realtime API可讓開發商創造的AI聊天機器人和使用者流暢對答有如真人。OpenAI Realtime原有5種人聲，今天再增加5種新選擇，強調提供AI助理更豐富表現力。</p> <p>本周OpenAI還進一步降價Realtime API中快取文字輸入（cached text input）費用50%，快取聲音輸入（cached audio input）更降價80%。快取輸入是Realtime API的一部份，可將提示中重覆使用輸入的字詞快取起來，可加速對談過程中的提示處理速度、降低延遲性，而且節省API使用成本，不過只有輸入1024字詞以上的提示才適用快取。</p> <p>根據OpenAI的<a href="https://openai.com/index/api-prompt-caching/" target="_blank">訂價</a>，使用快取的Realtime API費用是未快取的50%，詳細價格則依存取的模型版本而異，降價前的價格從GPT-4o-mini的$0.075/百萬字詞，到o1-preview的$7.50/百萬字詞。</p> </div></div></div>
2024/10/31 14:23作者林妍溱https://www.ithome.com.tw/news/165781
Dropbox全球裁員20%，強化AI業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端硬碟服務業者<a href="https://blog.dropbox.com/topics/company/an-update-from-drew" target="_blank">Dropbox本周表示</a>啟動全球裁員528人，裁員比例近20%，加速公司向AI轉型。</p> <p>Dropbox執行長Drew Houston說明，近年主要的線上硬碟及同步服務FSS（File Sync and Share）已屆市場成熟，公司推出AI文件搜尋及管理服務Dash。在產品交替之際，除了遭遇大環境變遷，客戶需求不振等外在因素挑戰外，也面臨組織複雜化，管理結構疊床架屋阻礙公司運作速度，使得公司在某些業務成長低於業界水準。</p> <p>為此這波裁員重點將削減過度投資及成長不佳的業務，並打造更扁平化、更高效的組織結構，以利公司投入策略重點領域，像是Dash for Business等產品線。</p> <p>這波是Dropbox繼2023年初裁員約500人後另一波大型人事異動。Dropbox除了美國舊金山、西雅圖，並在加拿大、愛爾蘭、波蘭、新加坡及日本等地設有辦公室。受影響的員工將可獲得16周的資遣金、醫療保險、移民簽證及轉職協助等資源。</p> </div></div></div>
2024/10/31 14:44作者林妍溱https://www.ithome.com.tw/news/165782
瞄準AI代理人應用願景，永豐銀先從三大策略打基礎
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「我還記得，金控科技長和我，一個、一個單位拜訪！」永豐銀行資深副總經理張升寶回憶。2020年，永豐銀行依循金控轉型策略，在行內開始推動AI。張升寶當時擔任綜合企劃處處長，為了說服各業務單位採用AI，和金控技術最高主管走遍了全行，「讓使用者了解AI、知道AI有哪些用處。」張升寶說。</p> <p>大型企業推動AI並不是一件容易的事，光是說服業務單位接納新技術，就得花上不少心力，在永豐銀行推動AI多年的張升寶相當清楚背後的挑戰。</p> <p>生成式AI爆紅後，拉近了非技術人員和AI間的距離。如今，員工只要在對話框輸入文字，就能直接和生成式AI互動，不再需要技術單位花時間費力解釋後，才會想用。</p> <p>去年中，永豐銀行搭上生成式AI風潮，快速導入多項GAI工具和服務。不只將Copilot導入開發流程，今年更推出員工專用的GAI小幫手，能提供一般性問答與知識庫問答服務，前者用於日常文件翻譯、文案生成或文字摘要等；後者則透過對話方式協助員工檢索內部資料庫及文件，減少資料搜尋時間，增加員工生產力。而在行內員工通訊軟體中，也提供資料庫檢索、會議記錄重點摘要、翻譯或行銷內容生成等功能。</p> <p>甚至，近期，永豐銀行更進一步推出面對顧客的GAI服務，提供顧客上千篇國內外新聞資料的市場資訊摘要，是臺灣第一批將GAI運用在對外服務的金融業者。</p> <p>下一步，張升寶透露，內部正積極將生成式AI運用在風險管理、營運效率和特定的智能服務。這三類應用場景雖難以完全自動化，「但，這才是真正的GenAI未來，能發揮AI Agent（AI代理人）效益的場景。」張升寶強調：「AI Agent，是我們未來最重要的目標。」</p> <p>他這一句話，點出了永豐銀行GAI的發展，希望能打造出更多善用AI代理人技術的應用，這正是今年開始崛起的代理型AI（Agentic AI）趨勢。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>用RPA結合GAI，打造AI Agent應用</strong></span></span></p> <p>AI代理人最大的不同是，張升寶解釋，現階段的Chatbot應用，需要由使用者輸入一道道指令，才能完成任務，而AI Agent則能主動協助使用者完成任務，讓使用者只下一個指令，就能自動執行所有任務。</p> <p>當AI Agent落地到銀行營運場景，「整段流程自動執行完成，不需要人工介入，就能真正從數位化走到智能化。」張升寶說道。</p> <p>例如，永豐銀行的業務人員需要定期查看司法院公布的受監護、受輔助宣告名單，人工比對行內客戶名單。若發現有客戶處於受監護或輔助狀態，還需動手更新這些客戶資料。</p> <p>由於這項業務涉及大量人工作業，永豐銀行原本導入RPA來加速作業流程。但是，RPA的能力有限，僅能自動篩出司法院公布的名單資訊，和自動更新客戶狀態，無法取代複雜的人工查找的判讀行為，因此，即便用了不少RPA協助，業務人員仍得手動比對司法院名單資訊和行內客戶資料。</p> <p>永豐銀行最近開始運用GAI加速家事宣告中的查找任務，加速人工查找作業。「負責這項任務的同仁，只要按下執行鈕，就能完成查找作業。」張升寶說。這項人機協作案例，正是張升寶期望朝向的AI Agent應用形式。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>面對GAI挑戰，永豐銀行先從三大策略著手</strong></span></span></p> <p>為了讓GenAI應用在永豐銀行百花齊放，張升寶計畫從單一應用起步，慢慢拓展至更多場景。除了查詢家事宣告名單，未來，張升寶期望將GAI運用在處理徵信報告，協助業務人員更快整理大量資料。</p> <p>不過，張升寶坦言，要實現AI Agent目標，仍有一大段距離。例如，GAI要整合到至既有系統或流程時，「如何收集、整合、轉換銀行內大量且不同規格的數據，並有效訓練自己的模型，就是一大挑戰。」張升寶說。甚至，若要開發對外服務，還得進一步思考合規性。</p> <p>銀行打造傳統AI應用時的開發焦點是建模，張升寶指出，如今，開發人員能直接使用雲端大廠提供的模型服務，打造生成式AI應用，建模不再是重要工程。「如何將GAI應用恰當連接周邊系統，才是關鍵。」張升寶說。甚至，如何找出適合導入GAI的業務場景，也是一大挑戰。</p> <p>面對這些挑戰，永豐銀行不僅關注技術發展，更要建立適合快速發展GAI應用的環境。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1206-CXO-%E6%8A%BD%E8%A8%80.jpg" style="text-align: center; width: 600px;" /></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>開辦提示工程訓練課，培養全行員工GAI能力</strong></span></span></p> <p>首先，是培養全行員工學習生成式AI，讓業務人員能自主提出GAI應用場景。</p> <p>去年下半年，GAI爆紅沒多久，永豐銀行一連舉辦多場提示工程訓練課，實體、線上同步進行，教導員工操作GAI工具，「全行近7千人都可以參加，高階經理也要來學。」張升寶回憶當時的盛況，一開放報名後，每一場都額滿。</p> <p>今年，永豐銀行持續開設提示工程訓練課，從永豐金控董事、總經理及高階主管、業務高度相關人員，乃至全行員工，都要學習GAI基礎概念、實作提示工程，掌握生成式AI基礎概念。</p> <p>「目標是『讓永豐人成為懂GAI的人』。」張升寶說道。不僅是認識技術，永豐銀行開設訓練課程的目標，更要讓員工學會撰寫提示，「有能力隨時不斷實驗不同想法，和進行測試。」張升寶說。</p> <p>甚至，未來永豐銀行在招募人才時，也會將提示工程能力列為其中一項個人專業能力。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>成立跨部門組織「數位幕僚」，提出GAI應用場景</strong></span></span></p> <p>培養員工了解GAI基礎概念後，永豐銀行第二步是，成立行內的跨部門組織，集合所有業務單位代表，共同提案討論GAI應用場景。</p> <p>去年下半年，永豐銀行成立一個名為「數位幕僚」的跨部門組織，找來中臺部門和前臺產品部門人員，負責從業務中發想適合發展GAI的場景。</p> <p>這個組織不僅是提出單一應用，還得思考如何將GAI應用嵌入既有系統和流程，提升銀行作業效率。這個數位幕僚團隊，正是永豐銀行讓GAI應用在行內遍地開花的關鍵組織。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>成立專責開發團隊，加速全行發展GAI應用</strong></span></span></p> <p>目前，數位幕僚團隊提出的需求，仍得和一般AI需求並行處理，但這拖慢了GAI應用的發展。因此，永豐銀行的第三步策略，要成立專責GenAI開發團隊，協助全行打造GAI應用。</p> <p>過往永豐銀行發展AI應用，主要由金控輔助開發，但張升寶指出，GAI應用必須整合至IT基礎設施中，才能讓GAI在營運場景中發揮最大效益。這個轉變，意味著第一線的銀行，未來將負擔更多GAI開發工作，促使永豐銀行決定成立專責開發團隊。</p> <p>為了加速GAI應用落地普及，張升寶表示，AI應用開發團隊中，額外成立一支GAI應用開發團隊，專責開發數位幕僚的GAI需求，輔助全行發展GenAI。</p> <p><span style="color:#FFFF00;"><span style="font-size:28px;"><strong><span style="background-color:#000000;"> 永豐銀</span></strong></span></span><span style="color:#FFFF00;"><span style="font-size:28px;"><strong><span style="background-color:#000000;">組成跨部門專案團隊打造對外GAI服務 </span></strong></span></span></p> <p><strong>去年下半年，永豐銀行開始舉辦提示工程訓練課程，不僅要讓業務人員瞭解GAI概念，更要讓業務人員動手撰寫提示，培養業務人員成為GAI應用開發主角。</strong></p> <p><strong>在永豐銀行推的GAI應用中，有一項對外服務名為「投資水晶球」，能提供顧客上千篇國內外新聞資料的市場資訊摘要，正是透過行內專案團隊人員調整提示開發而成。</strong></p> <p><strong>過往，永豐銀行內部AI專案，大多由金控技術單位負責開發。不過，永豐銀行在打造這款對外應用時，嘗試運用不同開發模式。</strong></p> <p><strong>永豐銀行內部組成了跨部門的專案團隊，包括資訊處、財富金融處等單位，並和永豐金控、永豐投顧合作，共同完成開發。和一般對內GAI應用不同，這款服務並非由業務單位直接和開發團隊對接，而是由綜合企劃處負責專案執行。</strong></p> <p><strong>在這項專案中，永豐銀行專案團隊採用提示工程進行開發，而專案中使用的提示，大多由專案團隊人員負責撰寫、調整，再由開發人員提供修改建議。</strong></p> <p><strong>當專案團隊人員收到開發人員提供的初版提示，會先在員工專用GAI小幫手中，測試自己的提示詞，確認無誤後，再交由開發人員執行提示。這個過程會反覆執行，直到模型回應達到理想程度。溝通過程中，開發人員也會針對專案團隊人員的提示，提供修改建議，如增加參數限制。</strong></p> <p><strong>另一方面，專案團隊每月都會進行專案會議，針對模型回應給予建議。除了匯集跨部門意見，專案團隊也會徵求法務意見，確保對外GAI服務合規性。</strong></p> <p><strong>從產品發想到正式上線，專案團隊花了半年。永豐銀行也同步進行市場調查，收集超過8千條客戶意見，來了解市場接受度，甚至在產品上線前，還找來2千名客戶試用實測，確認滿意度後，才正式推出。</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CIO小檔案 </span></strong></span></p> <p><span style="color:#3399ff;"><strong>永豐銀行資深副總經理張升寶</strong></span></p> <p><strong>學歷：中山大學企管所碩士</strong></p> <p><strong>經歷：在永豐銀行擁有30年資歷，擁有豐富前中後臺業務經驗，起初在行內從事外匯系統規畫維運，後來轉至國內業務通路單位管理業務推展，爾後於作業處負責全行作業營運規畫。四年前，他擔任綜合企劃處處長，推動永豐銀行擁抱AI，後來升任為資訊、數位及作業督導。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1206-CIO-300(1).jpg" style="width: 300px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>永豐商業銀行</strong></p> <p>●地址：臺北市中山區南京東路3段36號</p> <p>●成立時間：2006年11月13日，永豐金控旗下的建華商業銀行與台北國際商業銀行合併，正式更名為永豐商業銀行</p> <p>●主要業務：提供金融服務。擁有國內125家分行、國際金融業務分行，國外分支機構於香港、九龍、澳門、洛杉磯、胡志明市、河內，加上大陸地區子銀行共計11個據點</p> <p>●員工數：約7,000人</p> <p>●資本額：970億元</p> <p>●資產總計：約2.5兆元</p> <p>●年營收：2023全年合併稅後淨利為160.66億元</p> <p>●董事長：曹為實</p> <p>●總經理：莊銘福</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>●部門主管職稱：資訊、數位及作業督導</p> <p>●部門主管姓名：張升寶</p> <p>●直屬主管：莊銘福</p> <p>●部門人數：資訊處、作業處、數位金融處，客服中心，合計共1,254人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 數位大事記 </span></strong></span></p> <p>●2006年11月13日：永豐金控旗下的建華商業銀行與台北國際商業銀行合併，更名為永豐商業銀行</p> <p>●2009年：啟動新核心系統轉換，於2012年完成</p> <p>●2018年：啟動核心系統升級；同年推出Partner API</p> <p>●2019年6月17日：推出數位存款帳戶「大戶DAWHO」，隔年3月推出獨立App</p> <p>●2019年7月：同時完成機房搬遷與國內銀行核心系統升級；預計2021年完成海外分行與子行第一階段核心系統升級</p> <p>●2019年底：上線API 管理平臺（APIM）</p> <p>●2020年：推動生物辨識技術導入客戶服務及健全交易授權作業、結合AI + ROBOT技術，透過精密運算提供客製化之投資組合配置及預期未來資產報酬，提供完整投資理財目標設定及退休規畫服務</p> <p>●2022年：擴大生物辨識技術導入客戶服務及健全交易授權作業範疇，持續導入多元身分認證機制，如FIDO、電信驗證（Mobile ID）、視訊驗證、行動自然人憑證及NFC感應自然人憑證/晶片金融卡等機制</p> <p>●2023年：啟動生成式AI業務運用場景研發計畫，並依循金融業運用人工智慧指引相關規範，提供內部同仁與外部客戶創新服務、導入新世代網路銀行，整合網路及行動裝置服務</p> <p>●2024年：永豐金GAI元年，開發員工專用GAI小助手「永豐雲Chat！」以提升生產力</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1206-cio-960.jpg" width="960" height="420" alt="" title="永豐銀行資深副總經理張升寶" /></div></div></div>
2024/10/31 06:00作者李昀璇https://www.ithome.com.tw/people/165779
Wasmer 5.0新增多個後端支援，完整相容於iOS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源WebAssembly執行環境<a href="https://wasmer.io/posts/introducing-wasmer-v5" target="_blank">Wasmer更新第5版本</a>，新增對V8、Wasmi和WAMR後端的實驗性支援，並且首次完整支援iOS。這次更新不僅提升了Wasmer跨平臺靈活性，也讓WebAssembly在行動和桌面裝置上的應用更為簡單便捷。</p> <p>Wasmer開發團隊在新版Wasmer中所加入的新後端支援，包括Google V8引擎、以Rust編寫的Wasmi，以及針對行動端的WAMR，皆經由Wasm-C-API整合。每一個新後端都有其優勢，V8引擎源自於Chrome的JavaScript引擎，適用於iOS和Android，開發者將可透過V8除錯器和Chrome Devtools更好地進行除錯，而且整合V8也就相當於底層支援WebAssembly例外處理和垃圾回收功能。</p> <p>Wasmi是專門替Rust最佳化的WebAssembly直譯器，特別適用於純Rust程式碼的nostd環境或是區塊鏈。WAMR設計針對行動端資源占用少，是作為iOS開發的理想選擇。這些多元後端擴展了Wasmer執行環境適用性，使其更加靈活。</p> <p>而Wasmer 5.0也透過V8、Wasmi和WAMR的整合，實現WebAssembly在iOS裝置上的完整支援，並且克服iOS 14之後版本對JIT編譯的限制，允許WebAssembly模組直接在iOS裝置執行，而且不需要對應用程式碼進行更動。</p> <p>Wasmer開發團隊由於要提升執行效能和開發效率，Wasmer 5.0將不使用的Emscripten綁定和重複相依項目移除，減少約2萬行程式碼。此精簡措施讓Wasmer更為輕量，同時反序列化效能提升50％。此外，升級Cranelift和LLVM 18編譯器進一步提高執行速度，讓Wasmer 5.0比前一版本快約8％。這些最佳化不僅減少維護成本，還提升開發效率。</p> <p>整體而言，Wasmer 5.0在多後端支援和跨平臺應用上，展現出與其他WebAssembly解決方案不同的優勢。像是Bytecode Alliance開發的Wasmtime，注重於伺服器端的高效能應用，但是目前僅支援Cranelift後端，而WasmEdge則更專注於物聯網和嵌入式裝置，對大規模雲端和行動應用的支援相對有限。</p> <p>Wasmer 5.0在更新之後成為了一個更靈活的解決方案，或將可進一步推動WebAssembly的普及並擴展應用的可能性。</p> </div></div></div>
2024/10/30 21:44作者李建興https://www.ithome.com.tw/news/165778
執法單位搗毀竊資軟體RedLine、Meta的基礎設施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.eurojust.europa.eu/news/malware-targeting-millions-people-taken-down-international-coalition">歐盟刑事司法互助機構（Eurojust）</a>、<a href="https://www.politie.nl/nieuws/2024/oktober/29/internationale-opsporingsdiensten-ontmantelen-infostealers.html">荷蘭國家警察</a>發布新聞稿指出，10月28日荷蘭國家警察在跨國執法行動Operation Magnus當中，成功破獲竊資軟體RedLine及Meta的網路基礎設施，並宣稱執法部門已經掌握了網路罪犯的資料。</p> <p>這起執法行動由荷蘭、美國、比利時、葡萄牙、英國、澳洲當局組成的聯盟共同合作，關閉3臺位於荷蘭的伺服器、查封2個網域名稱，並在比利時逮捕2人，其中1人是竊資軟體的客戶，他遭到司法單位拘留、住處遭到搜查，另一人後續已被釋放。</p> <p>此外，數個與此犯罪組織有關的Telegram帳號也被撤銷，在此之後竊資軟體的銷售行為隨之中斷。</p> <p>美國司法部<a href="https://www.justice.gov/usao-wdtx/pr/us-joins-international-action-against-redline-and-meta-infostealers">對俄羅斯人Maxim Rudometov提出指控</a>，罪名是涉嫌開發RedLine並從事營運方面的管理。若是所有罪名成立，Rudometov有可能面臨35年監禁。</p> <p>Eurojust表示，這起執法行動的進行，有賴於受害者挺身而出，以及有資安業者通報疑似與竊資軟體相關的伺服器，經過他們的調查，全球有數十個國家、超過1,200伺服器執行相關惡意軟體，在Eurojust的協調及交換情資之下，終於能成功打擊網路罪犯。</p> <p>在執法機構成功查緝這些基礎設施後，他們直接在駭客論壇嗆聲警告罪犯已被嚴密監控，表明能夠控制基礎設施並取得他們的顧客資料，並將採取法律活動。</p> <p>執法單位宣稱已完全控制所有的RedLine及Meta伺服器，並掌握用戶的使用者名稱、密碼、IP位址、註冊日期等資訊，以及授權伺服器、REST API伺服器、管理介面、竊資軟體程式、Telegram機器人相關的原始碼，將很快會找上這些竊資軟體的用戶。</p> <p>Eurojust指出，接下來他們將繼續調查使用竊得資料的網路犯罪份子。</p> <p>而對於想要確認自己電腦是否遭到竊資軟體入侵的用戶，<a href="https://www.eset.com/nl/thuis/online-scanner-redline-en/#infected">資安業者ESET也提供線上掃描工具</a>，可自行檢查。</p> </div></div></div>
2024/10/30 18:18作者周峻佑https://www.ithome.com.tw/news/165776
【資安日報】10月30日，竊資軟體RedLine遭到執法單位查封
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期歐洲及美國跨國打擊網路犯罪的情況，有不少新的斬獲，本週有參與執法行動Operation Magnus的執法機構表示，他們已成功破壞惡名昭彰的竊資軟體RedLine、Meta的基礎設施，並將循線追查買家。</p> <p>特別的是，這次執法單位特別製作影片並透過駭客論壇嗆聲，警告罪犯已被嚴密監控，表明能夠控制基礎設施並取得他們的顧客資料，並將採取法律活動。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165774"><strong style="font-size: 22px;">俄羅斯駭客Midnight Blizzard利用惡意RDP組態檔案，入侵全球超過100個組織的網路環境</strong></a></p> <p>近期代號為APT29、UNC2452、Cozy Bear的俄羅斯駭客組織Midnight Blizzard攻擊行動頻頻，上週烏克蘭電腦緊急應變團隊（CERT-UA）警告這些駭客利用遠端桌面連線（RDP）組態檔案從事攻擊行動，並指出駭客在8月就開始架設基礎設施，本週微軟表示，這可能是全球大規模攻擊的一部分。</p> <p>微軟威脅情報中心指出，他們從10月22日開始，發現Midnight Blizzard的大規模網釣攻擊行動，這些駭客向政府、學術界、國防、非政府組織等機構發送高度針對性的釣魚郵件，有超過100個組織、數千人成為目標。這些釣魚信的共通點在於，附加了以LetsEncrypt憑證簽署的RDP組態檔案。研究人員推測，這起攻擊的主要目的是情報收集。</p> <p>網路釣魚的範圍相當廣，英國、歐洲、澳洲、日本是主要目標，但還有數十個國家也出現相關攻擊。值得一提的是，駭客使用的誘餌當中，有部分會冒充微軟的員工來引誘收信人上當，但研究人員也看到假冒其他雲端服務業者，或是與零信任概念有關的誘餌。</p> <p><a href="https://www.ithome.com.tw/news/165767"><strong style="font-size: 22px;">勒索軟體Psaux鎖定伺服器管理介面CyberPanel而來，一度有近2.2萬臺設備曝險</strong></a></p> <p>根據資安新聞網站Bleeping Computer的報導，有研究員在伺服器網頁主控臺系統CyberPanel發現弱點，攻擊者有機會在未經身分驗證的情況下，使用root的權限進行存取，而且，已有勒索軟體嘗試用於攻擊行動。CyberPanel是專攻網站代管環境、內建支援WordPress網站的伺服器管理平臺，目前有DigitalOcean、Hostinger等主機代管業者採用。</p> <p>10月27日資安研究員DreyAnd指出，他們一共在CyberPanel發現3種不同的弱點，分別涉及身分驗證缺陷、命令注入，以及繞過安全過濾機制的情況。</p> <p>28日威脅情資搜尋引擎LeakIX指出，他們偵測到有21,761個CyberPanel系統曝露於網際網路，其中近半數（10,170個）位於美國。後來研究人員指出，已有攻擊者對這些能夠公開存取的CyberPanel發動攻擊，並部署勒索軟體Psaux，但究竟有多少用戶受害？他們並未進一步說明。</p> <p><a href="https://www.ithome.com.tw/news/165760"><strong style="font-size: 22px;">香港、巴基斯坦關鍵基礎設施遭遇Cobalt Whisper攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/OpCobaltWhisper-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/OpCobaltWhisper-1.png" style="width: 300px; float: right;" /></a>鎖定關鍵基礎設施（CI）而來的網路攻擊越來越頻繁，有駭客利用網路釣魚手法從事相關活動，且採取相當一致的手法引起研究人員注意。</p> <p>資安業者Seqrite揭露針對香港與巴基斯坦的攻擊行動Operation Cobalt Whisper，攻擊者重度倚賴滲透測試工具Cobalt Strike，並使用經過混淆處理的VBScript進行部署。研究人員循線調查，總共確認了20種感染流程，其中大部分針對香港，有2種是用於攻擊巴基斯坦。在這波攻擊行動裡，駭客一共使用超過30個誘餌檔案進行。</p> <p>在駭客鎖定的目標當中，大部分是關鍵基礎設施，包含國防工業、電工工程、水力發電、再生能源、民航、環境工程、學術及研究機構、醫藥科學機構。此外，也有資安研究人員遭遇相關攻擊的情況。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/threatfabric-reveals-dangerous-upgrades-in-lightspy-spyware-28-plugins-targeting-ios-devices/">間諜軟體LightSpy鎖定iOS裝置，可搭配近30種外掛發動各式攻擊</a></strong></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/researcher-details-cve-2024-38812-cvss-9-8-critical-rce-flaw-in-vmware-vcenter/">針對博通上個月修補的VMware vCenter重大漏洞，研究人員公布細節</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/whatsup-gold-users-beware-critical-authentication-bypass-flaw-exposed-cve-2024-7763-cvss-9-8/">Progress揭露WhatsUp Gold重大層級漏洞CVE-2024-7763</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2023-32197-rke2-flaw-exposes-windows-nodes-privilege-escalation/">RKE2重大漏洞恐曝露Windows節點，並讓攻擊者提升權限</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-22036-cvss-9-1-critical-rce-vulnerability-discovered-in-suse-rancher/">容器管理平臺SUSE Rancher存在重大層級漏洞，攻擊者有機會取得root權限</a></strong></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165776"><strong style="font-size: 22px;">執法單位搗毀竊資軟體RedLine、Meta的基礎設施</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/281024-cyberlimburg.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/281024-cyberlimburg.jpg" style="width: 300px; float: right;" /></a>歐盟刑事司法互助機構（Eurojust）、荷蘭國家警察發布新聞稿指出，10月28日荷蘭國家警察在跨國執法行動Operation Magnus當中，成功破獲竊資軟體RedLine及Meta的網路基礎設施，並宣稱執法部門已經掌握了網路罪犯的資料。</p> <p>這起執法行動由荷蘭、美國、比利時、葡萄牙、英國、澳洲當局組成的聯盟共同合作，關閉3臺位於荷蘭的伺服器、查封2個網域名稱，並在比利時逮捕2人，其中1人是竊資軟體的客戶，他遭到司法單位拘留、住處遭到搜查，另一人後續已被釋放。此外，數個與此犯罪組織有關的Telegram帳號也被撤銷，在此之後竊資軟體的銷售行為隨之中斷。</p> <p>美國司法部對俄羅斯人Maxim Rudometov提出指控，罪名是涉嫌開發RedLine並從事營運方面的管理。若是所有罪名成立，Rudometov有可能面臨35年監禁。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165752"><strong>【10月29日】中國駭客開發專偷雲端資料的惡意軟體工具包並用於實際攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165725"><strong>【10月28日】上周四勒索軟體RansomHub聲稱攻擊臺灣被動元件製造廠</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165697"><strong>【10月25日】Fortinet零時差漏洞4個月前就遭駭客組織UNC5820利用</strong></a></p> </div></div></div>
2024/10/30 18:24作者周峻佑https://www.ithome.com.tw/news/165777
俄羅斯駭客Midnight Blizzard利用惡意RDP組態檔案，入侵全球超過100個組織的網路環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期代號為APT29、UNC2452、Cozy Bear的俄羅斯駭客組織Midnight Blizzard攻擊行動頻頻，上週烏克蘭電腦緊急應變團隊（CERT-UA）警告<a href="https://cert.gov.ua/article/6281076">這些駭客利用遠端桌面連線（RDP）組態檔案從事攻擊行動</a>，並指出駭客在8月就開始架設基礎設施，本週微軟表示，這可能是全球大規模攻擊的一部分。</p> <p>微軟威脅情報中心指出，<a href="https://www.microsoft.com/en-us/security/blog/2024/10/29/midnight-blizzard-conducts-large-scale-spear-phishing-campaign-using-rdp-files/">他們從10月22日開始，發現Midnight Blizzard的大規模網釣攻擊行動</a>，這些駭客向政府、學術界、國防、非政府組織等機構發送高度針對性的釣魚郵件，有超過100個組織、數千人成為目標。這些釣魚信的共通點在於，駭客挾帶了帶有簽章的RDP組態檔案。研究人員推測，這起攻擊的主要目標，是進行情報的收集。</p> <p>這起攻擊行動的範圍相當廣，英國、歐洲、澳洲、日本是主要目標，但還有數十個國家也出現相關攻擊。</p> <p>值得一提的是，駭客使用的誘餌當中，有部分會冒充微軟的員工來引誘收信人上當，但研究人員也看到假冒其他雲端服務業者，或是與零信任概念有關的誘餌。</p> <p>針對釣魚信裡挾帶的附件檔案，研究人員指出是經Let's Encrypt憑證進行簽章的RDP檔，這些組態檔案內含多項敏感配置，很有可能引發資訊洩露。</p> <p>一旦目標系統遭到入侵，將會與攻擊者控制的伺服器連線，並以雙向對應方式（bidirectionally mapped）將受害電腦連接的周邊裝置與暫存資料，掛載到攻擊者控制的伺服器。這些資源包含本機硬碟、剪貼簿內容、印表機與其他連接到電腦的外部裝置，甚至連Windows身分驗證功能相關的設施（如智慧卡），也在共享的範圍裡面。研究人員提及，使用者登入電腦的帳密資料，也可能會因此曝露給駭客。</p> <p>接著，攻擊者便能在受害電腦或是共享的網路硬碟植入惡意軟體，尤其是可能部署RAT木馬程式等其他工具，以便在RDP連線中斷後持續存取受害電腦。</p> </div></div></div>
2024/10/30 16:40作者周峻佑https://www.ithome.com.tw/news/165774
勒索軟體Psaux鎖定伺服器管理介面CyberPanel而來，一度有近2.2萬臺設備曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據資安新聞網站Bleeping Computer的<a href="https://www.bleepingcomputer.com/news/security/massive-psaux-ransomware-attack-targets-22-000-cyberpanel-instances/">報導</a>，有研究員在伺服器網頁主控臺系統CyberPanel發現弱點，攻擊者有機會在未經身分驗證的情況下，使用root的權限進行存取，而且，已有勒索軟體嘗試用於攻擊行動。CyberPanel是專攻網站代管環境、內建支援WordPress網站的伺服器管理平臺，目前有DigitalOcean、Hostinger等主機代管業者採用。</p> <p>10月27日資安研究員DreyAnd指出，他們一共在CyberPanel<a href="https://dreyand.rs/code/review/2024/10/27/what-are-my-options-cyberpanel-v236-pre-auth-rce">發現3種不同的弱點</a>，分別涉及身分驗證缺陷、命令注入，以及繞過安全過濾機制的情況。</p> <p>首先，針對身分驗證的部分，起因是CyberPanel會個別檢查每個網頁的使用者身分驗證狀態，而非將身分驗證集中控管，使得特定的網頁或是路由不受保護，而有機會進行未經授權存取。</p> <p>另一個與命令注有關的弱點，則是發生在前述未受到保護的網頁，起因是使用者輸入的內容並未進行適當的清理，導致攻擊者有機會進行注入並執行任意的系統命令。</p> <p>第3個弱點能夠繞過安全過濾機制，起因是特定的安全中介軟體只對POST請求進行處理，若是攻擊者使用OPTIONS、PUT等其他方式，就有機會繞過。</p> <p>值得留意的是，研究人員取得2.3.6版CyberPanel進行調查，並於10月23日向開發團隊通報，但目前最新版本是9月19日發布的2.3.7版，因此，他們推測新版CyberPanel也可能存在相同的弱點。上述弱點其中2個已被登記為CVE-2024-51567、CVE-2024-51568。對此，開發團隊於29日表示，<a href="https://cyberpanel.net/blog/detials-and-fix-of-recent-security-issue-and-patch-of-cyberpanel">他們在獲報後半小時內已完成修補</a>，但期望用戶能有更多時間套用更新，因此決定延後公布這些弱點。</p> <p>但在這段期間，有研究人員提出警告，這種伺服器網頁主控臺已遭鎖定，駭客對其散布勒索軟體。</p> <p>28日威脅情資搜尋引擎LeakIX指出，<a href="https://x.com/leak_ix/status/1850908887668465828">他們偵測到有21,761個CyberPanel實體曝露於網際網路</a>，其中近半數（10,170個）位於美國。</p> <p>然而當天晚上曝險系統數量大幅下降，僅剩約400個，LeakIX指出，大多數受到漏洞影響的伺服器已無法存取。</p> <p>後來研究人員指出，已有攻擊者對這些能夠公開存取的CyberPanel發動攻擊，並部署勒索軟體Psaux，但究竟有多少用戶受害？他們並未進一步說明。研究人員提供了解密工具，讓遭到相關攻擊的企業組織能夠復原檔案。</p> </div></div></div>
2024/10/30 15:44作者周峻佑https://www.ithome.com.tw/news/165767
蘋果發表搭載M4與M4 Pro的Mac mini
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果周二（10/29）<a href="https://www.apple.com/newsroom/2024/10/apples-new-mac-mini-is-more-mighty-more-mini-and-built-for-apple-intelligence/" target="_blank">發表了</a>搭載M4與M4 Pro處理器的新一代Mac mini。Mac mini是蘋果所開發的桌上型電腦，新版不僅使用最新的處理器，也是自2010年以來首次重新設計了外觀，原本的尺寸為19.7x19.7x3.58公分，現在則只有12.7x12.7x5公分。</p> <p>新版Mac mini的前方有兩個USB-C埠，一個3.5 mm的麥克風插座，背後則有一個乙太網路傳輸埠、一個HDMI傳輸埠，以及3個Thunderbolt（USB-C）埠，使用者必須自行搭配螢幕、鍵盤及滑鼠來使用Mac mini。</p> <p>迄今蘋果已經將M4應用在<a href="https://www.ithome.com.tw/news/162758" target="_blank">iPad Pro</a>及<a href="https://www.ithome.com.tw/news/165746" target="_blank">iMac</a>上，而Mac mini除了有M4版之外，還有首次現身的M4 Pro版。M4 Pro具備最多14個核心，包括10個性能核心與4個節能核心，其GPU最多達20個核心，比M4版GPU強大兩倍，最多支援64GB的統一記憶體，記憶體頻寬最高每秒可達273GB。</p> <p>M4版與M4 Pro版Mac mini除了採用的晶片不同之外，M4 Pro版背後的Thunderbolt埠支援Thunderbolt 5，最高傳輸速率可達120Gb/s，M4版所支援的則是最高傳輸速率為40Gb/s的Thunderbolt 4。</p> <p>相較於蘋果在2020年推出的<a href="https://www.ithome.com.tw/news/141038" target="_blank">M1版Mac mini</a>，M4版在微軟Excel中的計算能力快了1.7倍，於MacWhisper中語音轉文字的速度快了2倍；若相較於去年1月發表的<a href="https://www.ithome.com.tw/news/155203" target="_blank">M2 Pro版Mac mini</a>，M4 Pro版在Logic Pro中可套用1.8倍的音效外掛模組，在Motion中將動態繪圖渲染到RAM的速度提高了2倍，在Blender完成3D渲染的速度提高了2.9倍。</p> <p>除了新晶片與更迷你的尺寸之外，這款Mac mini也是蘋果首款達到碳中和的Mac。它有50%來自再生材料，如機身全都來自再生鋁，所有印刷電路板皆採用再生金，所有磁石皆採用再生稀土，製造Mac mini的所有電力都來自再生電力，並優先採用低碳排的海運，其包裝材料也首度完全以纖維為基礎。</p> <p>Mac mini最便宜的機種為599美元（19,900元新臺幣），M4 Pro版則是1,399美元（46,900元新臺幣），即日起開放預購，預計於11月出貨。</p> </div></div></div>
2024/10/30 16:54作者陳曉莉https://www.ithome.com.tw/news/165775
香港、巴基斯坦關鍵基礎設施遭遇Cobalt Whisper攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定關鍵基礎設施（CI）而來的網路攻擊越來越頻繁，有駭客利用網路釣魚手法從事相關活動，且採取相當一致的手法引起研究人員注意。</p> <p>資安業者Seqrite揭露針對香港與巴基斯坦的<a href="https://www.seqrite.com/blog/operation-cobalt-whisper-targets-industries-hong-kong-pakistan/">攻擊行動Operation Cobalt Whisper</a>，攻擊者重度倚賴滲透測試工具Cobalt Strike，並使用經過混淆處理的VBScript進行部署。研究人員循線調查，總共確認了20種感染流程，其中大部分針對香港，有2種是用於攻擊巴基斯坦。在這波攻擊行動裡，駭客一共使用超過30個誘餌檔案進行。</p> <p>在駭客鎖定的目標當中，大部分是關鍵基礎設施，包含國防工業、電工工程、水力發電、再生能源、民航、環境工程、學術及研究機構、醫樂科學機構。學機構。此外，也有資安研究人員遭遇相關攻擊的情況。</p> <p>這起攻擊行動之所以引起研究人員注意，最初源於他們在網路上發現惡意的RAR壓縮檔，此檔案是受害電腦的感染來源，內有多個PDF及LNK副檔名的誘餌檔案，以及最終酬載Cobalt Strike。</p> <p>其中一個以簡體中文命名，並偽裝成PDF文件的LNK檔案，若是使用者將其開啟，就會執行名為O365.vbs的VBScript指令碼，將Cobalt Strike的Beacon進行解密、執行，並與C2伺服器連線。</p> <p>研究人員指出，這波攻擊行動的誘餌是精心打造，刻意利用與電工學會、能源基礎設施、民用航空、環境工程有關的文件作為誘餌，企圖以此引發香港、中國、巴基斯坦工程研究員、教授等專業人士的高度興趣，他們研判駭客在針對香港與巴基斯坦之餘，很可能也打算對印度下手。根據駭客使用的戰略、手段、程序（TTP），這波攻擊很有可能是從5月開始，目標是竊取研究成果及智慧財產。</p> </div></div></div>
2024/10/30 14:13作者周峻佑https://www.ithome.com.tw/news/165760
醫院轉錄語音的OpenAI模型有逾1%出現AI幻覺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>愈來愈多醫院使用AI來轉錄（transcribe）門診紀錄，<a href="https://www.linkedin.com/posts/hilkeschellmann_researchers-say-an-ai-powered-transcription-activity-7256020996980183041-XQ73/" target="_blank">但一項研究發現</a>，有超過1%經過OpenAI的Whisper模型錄寫的文字，包含AI幻覺（hallucination），可能對診斷或治療造成影響。</p> <p>由紐約大學、康乃爾大學及華盛頓大學學者組成的<a href="https://arxiv.org/html/2402.08021v2#S2.SS5" target="_blank">研究團隊</a>為了解廣受醫院採用的OpenAI語音轉錄模型Whisper是否存在常被討論的AI幻覺，他們以TalkBank語言障礙（特別是失語症）的錄音資料集作為分析對象。這些資料來自美國不同大學醫院，涵括英文、中文、西語、希臘文等12種語言。</p> <p>研究人員比較Whisper轉錄的語音檔文字紀錄，和人類錄寫的訪談紀錄，以了解轉錄的正確性。研究團隊分別在2023年4、5月，以及同年11月各做一次研究。</p> <p>研究團隊發現，在2023年春天，他們187段錄音中有312則錄寫紀錄發生幻覺，佔了總體資料集的1.4%。幻覺類型包括加入暴力、死亡、性別或年齡刻板印象等情節（19%）、13%包括不正確的人事物關聯（捏造的地點、人名、關係、或健康狀態），8%是引述錯誤來源（引述主播、YouTuber或網站連結等）。例如一名受訪者只說男孩可能拿著雨傘，但Whisper轉錄時加入了他可能拿了一把刀，或是憑空加入某人「十分野蠻」、自行加入某人「有殘障」的描述、或是捏造名字、自己附加網址等等。研究人員指出，近40%的幻覺內容是有害或值得擔憂的，像是強化歧視，或是暴力內容可能刺激受虐被害者。</p> <p>研究人員發現，若說話者有較長時間的非語言停頓，像是失語症患者或是非裔美國人，Whisper轉錄出現幻覺的機會將提高。他們認為，這是發展轉錄語言模型的業者研發時需留意的偏差問題。</p> <p>研究團隊在同年12月又讓Whisper對同樣的語音資料集做了轉錄，錯誤減少到12則。此外，他們又在11月做了另一次研究，隨機抽取250段錄音檔讓Whisper錄寫，這次只有1則有幻覺，Whisper虛構了名字。研究團隊認為，研究結果進步可能是因為OpenAI方面提供了升級，但是他們認為這還是有改善空間，因為牽涉醫療，再小的失誤都可能對診斷造成不良影響。</p> <p><a href="https://www.theverge.com/2024/10/27/24281170/open-ai-whisper-hospitals-transcription-hallucinations-studies" target="_blank">OpenAI方面回應</a>，將持續改善模型幻覺問題。但該公司也強調政策禁止在某些重大決策情境下使用Whisper，其開源使用模型規畫也包含不建議用於高風險領域。</p> </div></div></div>
2024/10/30 15:13作者林妍溱https://www.ithome.com.tw/news/165762
GitHub將同時支援OpenAI、Google與Anthropic模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub周二（10/29）<a href="https://github.blog/news-insights/product-news/bringing-developer-choice-to-copilot/" target="_blank">宣布</a>，將於Copilot Chat中同時提供OpenAI的o1-preview與o1-mini，Anthropic的Claude 3.5 Sonnet，以及Google的Gemini 1.5 Pro供用戶選擇，同一天也發表了可完全利用自然語言建置應用程式的AI工具GitHub Spark。</p> <p>GitHub最早是在2021年與OpenAI<a href="https://www.ithome.com.tw/news/145340" target="_blank">聯手</a>，利用OpenAI開發的Codex人工智慧系統打造GitHub Copilot，目的是讓AI充當結對工程師。Codex是OpenAI GPT-3的早期版本，針對撰寫程式碼進行了微調，之後GitHub Copilot陸續採用了GPT-3.5、GPT-4、 GPT 3.5-turbo、GPT 4o與4o-mini 。</p> <p>對於從只與OpenAI合作到擴大合作夥伴，GitHub解釋，過去一年來人們經歷了許多高品質且擅長不同程式設計任務的大、小語言模型，可明顯看出下一階段的AI程式碼生成功能將不僅由多模態功能來定義，而會由多模型選擇來主導，致力於成為開放開發者平臺的GitHub，將確保每個開發人員都能夠使用最適合的模型來建置。</p> <p>因此，Copilot Chat中除了既有的OpenAI o1-preview與o1-mini模型之外，下周將出現Claude 3.5 Sonnet， Gemini 1.5 Pro則會在未來幾周登場，並可應用在Copilot Workspace、多文件編輯、程式碼審查、安全自動修復及CLI等，未來亦會將多模型選擇延伸到更多服務上。</p> <p>每個模型各有擅場，其中，OpenAI o1-preview與o1-mini模型的推論能力，能夠更深入地理解程式碼的限制條件與邊界狀況，因而能產生高效與高品質的結果；Claude 3.5 Sonnet擅長在整個軟體開發生命周期中撰寫程式碼，展現對複雜與多步驟程式碼撰寫任務的熟練程度；Gemini 1.5 Pro支援200萬個Token的脈絡長度，可同時處理文字、程式碼、圖像、聲音與影片，在程式碼建議、文件及解釋上有良好的回應速度。</p> <p>除了宣布Copilot Chat支援多模型之外，GitHub還發表了<a href="https://githubnext.com/projects/github-spark" target="_blank">GitHub Spark</a>。這是一個基於AI的開發工具，允許使用者完全利用自然語言來建置應用程式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1030-GitHub%20Spark.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／GitHub</span></span></p> <p>GitHub Spark的3大元件分別是一個基於自然語言（NL）的編輯器，一個託管的運作環境，以及一個支援PWA（Progressive Web Apps）的儀表板。GitHub說，使用者可利用GitHub Spark來創造與分享微程式，這些微程式是針對特定需求與偏好打造的，完全不需要撰寫或部署任何程式碼，就能直接在桌面與行動裝置上使用。</p> <p>例如要求它建立一個用來學西班牙文的教學卡片程式，並藉由自然語言或選擇不同的模型來要求各種功能；或是要求它建置一個程式可讓使用者評論所造訪景點；也能建立一個用來追蹤小孩零用錢的程式等。</p> <p>不過，目前GitHub Spark處於非常早期的狀態，仍在封閉測試階段，僅開放少數使用者參與測試。</p> </div></div></div>
2024/10/30 14:27作者陳曉莉https://www.ithome.com.tw/news/165761
Google有超過1/4的新程式碼是由AI生成的
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自從OpenAI在2022年底發表ChatGPT以來，AI已席捲了科技領域，各大科技業者無不加速擁抱AI，不管是建立AI模型，或是於作業中導入AI，本周Alphabet及Google執行長Sundar Pichai即趁著財報日，<a href="https://blog.google/inside-google/message-ceo/alphabet-earnings-q3-2024/#full-stack-approach" target="_blank">揭露AI於Google的進展</a>，指出Google的新程式碼中，已經有超過1/4是由AI生成的，再由工程師負責審查與接納。</p> <p>Pichai先描繪了Google在AI創新上的全棧優勢，首先是具備強大的AI基礎設施，涵蓋資料中心、晶片與全球光纖網路，其次則是擁有一流的研究團隊，最後則是藉由觸及全球數十億人的產品及平臺，來實現廣泛的全球影響力，形成良性循環。</p> <p>其中，Google投資了位於美國、泰國與烏拉圭的基礎設施，也簽署了首個向多個小型模組化反應爐購買核能的企業協定，還針對硬體與模型進行重大的改善，讓AI Overviews每個查詢的機器成本，在18個月內減少超過90%，而客製化Gemini模型的尺寸則大了一倍。Google同時使用Nvidia的GPU與自製的TPU，目前使用的是代號為Trillium的第六代TPU；至於AI研究則是有賴DeepMind團隊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0515-google%20io%2024-Trillium%20TPU.jpg" style="width: 500px;" /></p> <p>而正在開發的Project Astra則定位為未來的通用AI助理，可帶來多模態的互動功能，允許使用者透過語音、文字、圖像與影片與之溝通。Google計畫在明年開放外界試用Project Astra。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1030-google%20io%20keynote-Project%20Astra.png" style="width: 600px;" /></p> <p>Pichai指出，迄今Google已經有7種產品或平臺的用戶數超過20億，而且它們全都採用Gemini模型。相關服務涵蓋了搜尋、Android、Chrome、Google Play、YouTube及Gmail，再加上該季新入榜的Google Maps。</p> <p>此外，Google已將Gemini應用程式團隊併入Google DeepMind，以加速新模型的開發，並簡化訓練後的工作。Google內部也利用AI來改善寫程式的程序，目前已有超過1/4的新程式碼都是由AI所生成。</p> <p>結合AI能力的<a href="https://www.ithome.com.tw/news/160879" target="_blank">Circle to Search</a>則已於超過1.5億臺的Android裝置上推出，人們用它來購物、翻譯文字與了解周圍的世界，在嘗試過Circle to Search的使用者中，有1/3每周都會使用它。基於影像辨識的Google Lens每月已被用來執行逾200億次的視覺化搜尋。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1004-Google%20Lens%E6%96%B0%E5%A2%9E%E5%BD%B1%E7%89%87%E5%8F%8A%E8%AA%9E%E9%9F%B3%E6%90%9C%E5%B0%8B%E5%8A%9F%E8%83%BD.png" style="width: 432px;" /></p> <p>在今年第三季創下114億美元營收，成長35%的Google Cloud也提供各種AI服務，包括AI基礎設施與企業AI平臺Vertex等。</p> <p>看起來，未來不管是大型科技業者或企業都可能會將AI融入每個環節中而無法再切割，AI模型將無所不在。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/10/30 13:26作者陳曉莉https://www.ithome.com.tw/news/165758
Alphabet營收成長15%，Google Cloud成長35%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Alphabet周二（10/29）<a href="https://abc.xyz/assets/71/a5/78197a7540c987f13d247728a371/2024q3-alphabet-earnings-release.pdf" target="_blank">公布第三季財報</a>，顯示該季創下883億美元的營收，成長15%。其中，Google Services營收占了765億美元，成長13%，而Google Cloud則為114億美元，成長35%，每股盈餘為2.12美元，成長37%。財報公布後，Alphabet盤後上漲了5.89%，股價升至181.22美元。</p> <p>Alphabet執行長Sundar Pichai表示，該公司的發展動力非常強勁，Alphabet對創新的承諾，以及對AI的長期關注與投資，正隨著消費者與合作夥伴自這些AI工具中受益而得到回報。</p> <p>Pichai舉例，搜尋中的AI功能拓展了人們能夠搜尋的內容與搜尋方式，雲端中的AI解決方案正在推動既有客戶更深入地採用產品，以吸引新客戶並贏得更大的交易。</p> <p>此外，YouTube過去4個季度的廣告加上訂閱營收，首度超過了500億美元。</p> <p>自財報可看出，Google Services包含了搜尋、YouTube、Google Network，以及訂閱及裝置等其它營收，分別替Alphabet帶來494億美元、89億美元、75億美元及107億美元的營收。而除了Google Services與Google Cloud之外，還有一個營收類別是新創事業（Other Bets），包含Waymo、Wing、Verily及Calico等眾多新創公司，該類別在第三季創下3.88億美元的營收，高於去年同期的2.97億美元。</p> <p>在營業利潤（Operating Income）的表現上，Google Services在該季創造了309億美元的利潤；Google Cloud也賺了19.47億美元，遠高於去年同期的2.66億美元；至於新創事業則虧損了11.16億美元，略低於去年同期所虧損的11.94億美元。</p> </div></div></div>
2024/10/30 10:52作者陳曉莉https://www.ithome.com.tw/news/165757
不滿開發進度停滯，前Google Flutter成員推分叉專案Flock
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>考量Flutter開發資源不足的困境，前Google Flutter團隊成員Matt Carroll決定推出Flutter分叉專案<a href="https://flutterfoundation.dev/blog/posts/we-are-forking-flutter-this-is-why/">Flock</a>，期望打破現有局面。新專案的目標是要解決Flutter在多平臺的資源困境，並為開發者提供更靈活的貢獻環境。</p> <p>Matt Carroll在Flock專案介紹網頁提到，Flutter團隊目前僅約50名成員，卻要服務全球超過百萬的開發者需求，相當於每位成員需要支援約2萬名開發者。這樣的比例使得問題回應和錯誤修正的速度無法滿足龐大的需求。另外，他認為，因為Google近期把焦點集中在人工智慧領域，使得Flutter桌面平臺支援優先度下降，許多桌面應用的問題停留在待處理清單數年，導致部分公司與開發者放棄Flutter。</p> <p>另外，他也指出，Flutter的貢獻審核過程過於繁瑣冗長，缺乏靈活性，外部貢獻者通常無法順利推動改進，根據他自己的經驗，Flutter團隊對外部貢獻的需求僅止於口號，實際上因審核資源有限和內部文化的隔閡，導致外部開發者難以參與。Matt Carroll提出質疑，Flutter專案如果歡迎外部貢獻，近十年不可能只合併1,500名開發人員所貢獻的程式碼。</p> <p>為了解決Flutter既有且似乎近期無法從內部改善的問題，Matt Carroll推出Flock專案，並且稱其為Flutter+。Flock將保持與Flutter核心程式碼同步更新，但會加入社群所期待的修復和新功能。Matt Carroll強調，Flock專案的目的不是要分裂Flutter，而是希望可以成為一個增強版的Flutter，以更符合社群的需求。</p> <p>Flock專案的釋出在<a href="https://news.ycombinator.com/item?id=41975047">網路論壇</a>引起廣泛關注，期待與質疑的聲音皆有。不少開發者認同Matt Carroll的觀點，特別是桌面端與網頁端的Flutter開發者，普遍抱怨支援度不足。Flock的推出對Flutter社群產生一定的影響，在跨平臺開發者市場，Flock成為了一種新的選擇，若Flock成功吸引大量開發者，可能迫使Google投入更多資源，維持其對跨平臺市場的影響力。</p> </div></div></div>
2024/10/30 07:38作者李建興https://www.ithome.com.tw/news/165754
OSI發布開源AI定義，確立AI系統四大開源標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開放原始碼促進會（OSI）正式宣布全球第一個開源人工智慧定義<a href="https://opensource.org/blog/the-open-source-initiative-announces-the-release-of-the-industrys-first-open-source-ai-definition">OSAID v1.0</a>，替人工智慧系統在開源環境中確立標準。該定義是OSI與全球社群共同合作創建，目的是要確立人工智慧系統的使用、研究、分享和修改的自由，進一步推動人工智慧領域的透明性和重現性。</p> <p>OSI成立於1998年，是一個推廣開源技術教育和倡議的非營利組織，其所定義的開源授權，成為了開源軟體的標準，而這次發布的開源人工智慧定義，是開源技術領域重要的里程碑，針對人工智慧系統訂立符合開源原則的標準和框架，對於推動人工智慧應用與發展的開源價值，存在重要意義。</p> <p>根據OSAID v1.0的定義，人工智慧系統必須符合四大自由標準，才能被稱為開源人工智慧系統。這四大自由指的是使用自由、研究自由、分享自由和修改自由。定義中還特別強調透明性和重現性的重要性，像是人工智慧模型的訓練資料應該提供足夠資訊，使得具備技術的專業人士，也可以利用相似的資料重現系統。</p> <p>該要求明顯超過目前許多聲稱開源人工智慧模型所提供的資訊，因此OSAID v1.0的推動，同時將有助於推動開源資料在人工智慧生態系中的普及。 OSI執行董事Stefano Maffulli表示，在制定開源人工智慧定義的過程充滿挑戰，包括技術障礙和整合社群內部的不同意見。經過多方協調後，最終才確立OSAID v1.0，達成OSI最初設定的目標。OSI也呼籲更多組織和開發者加入推動開源人工智慧的行列，替未來人工智慧生態系，奠定開放、透明的基礎。</p> </div></div></div>
2024/10/30 07:48作者李建興https://www.ithome.com.tw/news/165755
法國大型ISP業者Free證實資料遭到外流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據資安新聞網站<a href="https://securityaffairs.com/170333/data-breach/free-suffered-a-cyber-attack.html">SecurityAffairs</a>、<a href="https://www.bleepingcomputer.com/news/security/free-frances-second-largest-isp-confirms-data-breach-after-leak/">Bleeping Computer</a>的報導，上週末有人在駭客論壇BreachForums兜售法國大型網路服務供應商（ISP）Free的內部資料，他們聲稱握有19,192,948筆客戶帳號資料，以及511萬筆國際銀行帳戶號碼（IBAN）。對此，10月26日Free向法新社透露證實資料外洩的情況，表示他們因管理工具遭到鎖定而遇害，導致部分個資遭到未經授權存取。</p> <p>而對於外洩的資料，Free強調不含密碼、無銀行卡片，也沒有電子郵件、簡訊、語音訊息等通訊內容。該公司表示，他們的服務及營運並未受到這起資料外洩事故影響。該公司已向法國國家資訊科技和公民自由委員會（CNIL）、國家資訊系統安全局（ANSSI）通報此事，並採取法律行動。</p> <p>究竟駭客掌握那些資料？資安研究員SaxX指出，<a href="https://twitter.com/_SaxX_/status/1848662776656351565">駭客聲稱竊得Free Mobile及Freebox用戶的資料</a>，資料取得的時間是今年10月17日，但就根據駭客的說法，以及發文者在21日（發文前一天）才註冊帳號，他無法確定駭客說法的真實性，不過為了保險起見，呼籲該電信業者用戶應提高警覺、更換密碼、啟動多因素驗證等方式，來因應資料外流可能會引發的網路攻擊。</p> </div></div></div>
2024/10/29 16:49作者周峻佑https://www.ithome.com.tw/news/165751
【資安日報】10月29日，中國駭客開發專偷雲端資料的惡意軟體工具包並用於實際攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客組織Evasive Panda最近動作頻頻，先是使用後門程式Macma<a href="https://www.ithome.com.tw/news/164099">攻擊臺灣及美國的macOS用戶</a>，後來<a href="https://www.ithome.com.tw/news/164300">對網際網路服務供應商（ISP）發動DNS中毒攻擊</a>，再對不安全的軟體更新機制下手，最近有研究人員指出，這些駭客最近2年開發了惡意軟體工具包，專門偷取企業組織的雲端資料。</p> <p>值得留意的是，這款工具包在駭客從事攻擊行動2年後才被發現、揭露，且有部分元件用途仍不明朗，代表相關行蹤可能相當不易察覺。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165749"><strong style="font-size: 22px;">中國駭客開發專偷雲端資料的惡意軟體工具包，前兩年臺灣有政府機關與宗教組織遇害</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/cloudscout-figure-3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/cloudscout-figure-3.png" style="width: 300px; float: right;" /></a></p> <p>駭客鎖定雲端服務來進行偵察、收集資料的情況，近期有不少研究人員對這樣的現象提出警告，如今有資安業者發現，他們看到駭客專門打造一組工具包，用來從雲端服務存取、搜尋企業組織的機敏資料。</p> <p>資安業者ESET指出，中國駭客組織Evasive Panda於2022年至2023年攻擊臺灣政府機關和宗教團體，過程中利用名為CloudScout的工具包，攔截連線階段（Session）及Cookie，而能從多種雲端服務挖掘資料。此外，該工具包還能透過外掛程式擴充功能，並與該組織慣用的另一款惡意軟體框架MgBot緊密協作。</p> <p>研究人員發現這起攻擊的緣由，在於他們偵測到該組織於臺灣某個政府機關部署3個過往未被揭露的.NET模組CGD、CGM、COL，而這些元件的主要功能，就是藉由挾持網路的連線階段內容，而能存取Google Drive、Gmail、Outlook等公有雲服務。研究人員提及，駭客主要透過瀏覽器組態竊得Cookie，然後在特定的網路連線請求當中利用，從而得到雲端服務的存取權限。</p> <p><a href="https://www.ithome.com.tw/news/165750"><strong style="font-size: 22px;">美國政府證實電信業者遭到中國駭客入侵</strong></a></p> <p>華爾街日報先後於9月底至10月初報導，中國駭客Salt Typhoon已成功入侵美國多家網際網路服務供應商（ISP），目的是滲透美國政府的竊聽系統並收集情報，駭客潛入的業者包含AT&T、Verizon、Lumen，如今美國政府也發布公告，證實中國資助的駭客非法存取他們的電信基礎設施。</p> <p>10月25日美國聯邦調查局（FBI）與網路安全暨基礎設施安全局（CISA）發布聯合聲明，表示他們正在調查中國駭客未經授權存取電信業者基礎設施的行為。</p> <p>究竟攻擊者的身分為何？這份公告並未透露，也沒具體交代資安事故發生的經過。但此公告一出，外界不禁懷疑可能與Salt Typhoon的網路間諜活動有關。值得留意的是，中國駭客的攻擊行動不光針對美國，相鄰的加拿大也是目標。</p> <p><a href="https://www.ithome.com.tw/news/165751"><strong style="font-size: 22px;">法國大型ISP業者Free證實資料遭到外流</strong></a></p> <p>根據資安新聞網站SecurityAffairs、Bleeping Computer的報導，上週末有人在駭客論壇BreachForums兜售法國大型網路服務供應商（ISP）Free的內部資料，他們聲稱握有19,192,948筆客戶帳號資料，以及511萬筆國際銀行帳戶號碼（IBAN）。對此，10月26日Free向法新社透露證實資料外洩的情況，表示他們因管理工具遭到鎖定而遇害，導致部分個資遭到未經授權存取。</p> <p>而對於外洩的資料，Free強調不含密碼、無銀行卡片，也沒有電子郵件、簡訊、語音訊息等通訊內容。該公司表示，他們的服務及營運並未受到這起資料外洩事故影響。該公司已向法國國家資訊科技和公民自由委員會（CNIL）、國家資訊系統安全局（ANSSI）通報此事，並採取法律行動。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/russia-targets-ukrainian-conscripts-with-windows-android-malware/">俄羅斯駭客UNC5812偽裝成與烏克蘭友好組織，意圖透過Telegram散布惡意程式</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/10/cert-ua-identifies-malicious-rdp-files.html">俄羅斯駭客APT29利用惡意RDP組態檔案入侵組織網路環境</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fog-ransomware-targets-sonicwall-vpns-to-breach-corporate-networks/">勒索軟體Fog鎖定SonicWall防火牆的VPN功能而來，意圖入侵企業網路環境</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/rekoobe-backdoor-and-typosquatting-domains-a-potential-threat-to-tradingview-users/">後門程式Rekoobe鎖定交易社群網站TradingView用戶而來</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/synology-fixes-critical-vulnerabilities-in-synology-photos-and-beephotos-after-pwn2own-exposure/">群暉修補Pwn2Own發現的相簿應用程式弱點</a></strong></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165692"><strong style="font-size: 22px;">美國發布首個AI國家安全備忘錄</strong></a></p> <p>10月24日美國總統拜登（Joe Biden）發布首個與人工智慧（Artificial Intelligence，AI）有關的國家安全備忘錄（National Security Memorandum，NSM），其三大重點為確保美國引領全球的AI發展，利用尖端的AI技術推動美國國家安全，以及推動AI的國際治理。</p> <p>上述三大重點支柱的細項包括：拜登簽署《晶片法案》（CHIPS Act）以投資開發AI系統所需的大量高階晶片；將競爭對手針對美國AI產業的間諜行動的情報列為最高優先等級；指定AI安全研究所（AI Safety Institute）作為美國AI產業的主要聯繫窗口；加強對National AI Research Resource的支持，以讓大學、民間與小企業的研究人員可進行有意義的AI研究，而非只仰賴大企業。</p> <p><a href="https://www.ithome.com.tw/news/165688"><strong style="font-size: 22px;">美國防部將以三年、四階段推動CMMC規則</strong></a></p> <p>為了讓美國國防工業產業（DIB）的供應鏈業者，有足夠的時間準備、理解和實施CMMC規則（CMMC Rule）的各種要求，以及解決任何CMMC評估、啟動過程中遭遇到的各種問題，並提供培訓所需的評估人員時間，美國國防部（DoD）為CMMC規則制定了三年、四階段的推動計畫。</p> <p>美國國防部會分成四個階段推動CMMC規則（CMMC Rule），第一階段也就是初步實施階段（Initial Implementation），自《48 CFR規則》（48 CFR Rule）生效日期開始；在適用的情況下，招標將要求CMMC認證等級第一級（Level 1）或第二級（Level 2）認證的自我評估（Self - Assessment）。</p> <p>第二階段在第一階段開始後的12個月啟動，在適用的情況下，美國國防部會在相關的國防採購招標案中，要求相關的業者必須取得CMMC認證等級第二級的第三方認證（C3PAO）。</p> <p> </p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165725"><strong>【10月28日】上周四勒索軟體RansomHub聲稱攻擊臺灣被動元件製造廠</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165697"><strong>【10月25日】Fortinet零時差漏洞4個月前就遭駭客組織UNC5820利用</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165683"><strong>【10月24日】FortiManager零時差漏洞已被用於實際攻擊行動</strong></a></p> </div></div></div>
2024/10/29 16:58作者周峻佑https://www.ithome.com.tw/news/165752
中國駭客開發專偷雲端資料資料的惡意軟體工具包，前兩年臺灣有政府機關與宗教組織遇害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客鎖定雲端服務來進行偵察、收集資料的情況，近期有不少研究人員對這樣的現象提出警告，如今有資安業者發現，他們看到駭客專門打造一組工具包，用來從雲端服務存取、搜尋企業組織的機敏資料。</p> <p>資安業者ESET指出，<a href="https://www.welivesecurity.com/en/eset-research/cloudscout-evasive-panda-scouting-cloud-services/">中國駭客組織Evasive Panda於2022年至2023年攻擊臺灣政府機關和宗教團體</a>，過程中利用名為CloudScout的工具包，攔截連線階段（Session）及Cookie，而能從多種雲端服務挖掘資料。此外，該工具包還能透過外掛程式擴充功能，並與該組織慣用的另一款惡意軟體框架MgBot緊密協作。</p> <p>研究人員發現這起攻擊的緣由，在於他們偵測到該組織於臺灣某個政府機關部署3個過往未被揭露的.NET模組CGD、CGM、COL，而這些元件的主要功能，就是藉由挾持網路的連線階段內容，而能存取Google Drive、Gmail、Outlook等公有雲服務。研究人員提及，駭客主要透過瀏覽器組態竊得Cookie，然後在特定的網路連線請求當中利用，從而得到雲端服務的存取權限。</p> <p>他們取得其中3個模組並進行程式碼分析，從而確認源自於開發代號為CloudScout的惡意程式開發框架，此框架以C#打造而成，但根據遙測的資料，駭客已在2起事故運用CloudScout。</p> <p>其中一起發生在2022年5月，臺灣某個宗教機構遭到惡意軟體MgBot及Nightdoor的攻擊，而MgBot被用來安裝一種外掛程式，目的是部署CloudScout的模組。</p> <p>另一起事故出現於2023年2月，研究人員疑似在臺灣政府機關發現CloudScout模組及Nightdoor。</p> <p>值得一提的是，CloudScout是.NET惡意軟體框架，並能搭配不同的模組攻擊對應的雲端服務。研究人員在看到駭客使用的3種模組之餘，發現駭客列出其餘7個該框架支援的模組，但他們發現，駭客並未將這些模組部署到受害電腦。這代表攻擊者很可能根據實際需求，僅安裝指定的模組。他們根據駭客的命名規則，研判其中的CTW及CFB模組，是用來挾持X（原推特）及臉書帳號之用。</p> <p>該工具套件主要的核心元件，被稱為CommonUtilities，能為所有模組執行的過程提供必要的低階程式庫。研究人員認為，網路上雖然有許多類似的開源工具，但駭客仍自行實作特定的程式庫，能對受害組織內部工作流程進行更多控制；隨著這款惡意程式框架的曝光，突顯這些駭客的技術能力之餘，也提醒大家應更重視資料保護，存放在雲端的資料、使用者組態檔案、電子郵件等機敏內容都是駭客覬覦的目標。</p> </div></div></div>
2024/10/29 15:20作者周峻佑https://www.ithome.com.tw/news/165749
美國政府證實電信業者遭到中國駭客入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>華爾街日報先後於9月底至10月初報導，<a href="https://www.ithome.com.tw/news/165354">中國駭客Salt Typhoon已成功入侵美國多家網際網路服務供應商（ISP）</a>，目的是滲透美國政府的竊聽系統並收集情報，駭客潛入的業者包含AT&T、Verizon、Lumen，如今美國政府也發布公告，證實中國資助的駭客非法存取他們的電信基礎設施。</p> <p>10月25日美國聯邦調查局（FBI）與網路安全暨基礎設施安全局（CISA）發布聯合聲明，<a href="https://www.cisa.gov/news-events/news/joint-statement-fbi-and-cisa-prc-activity-targeting-telecommunications">表示他們正在調查中國駭客未經授權存取電信業者基礎設施的行為</a>。</p> <p>在FBI察覺針對電信業的惡意活動後，FBI與CISA隨即通知受到影響的企業，並提供技術支援、共享情資，協助其他潛在的受害者。</p> <p>究竟攻擊者的身分為何？這份公告並未透露，也沒具體交代資安事故發生的經過。但此公告一出，外界不禁懷疑可能與Salt Typhoon的網路間諜活動有關。</p> <p>值得留意的是，中國駭客的攻擊行動不光針對美國，相鄰的加拿大也是目標。</p> <p>因為加拿大政府<a href="https://www.cyber.gc.ca/en/news-events/statement-peoples-republic-china-reconnaissance-canadian-systems">也在同日發布警訊</a>，由中國政府資助的駭客組織在最近幾個月裡，對該國眾多網域名稱進行廣泛的偵察及掃描，鎖定關鍵基礎設施、國防部門、新聞媒體、智庫、非政府組織等數十個企業組織而來，呼籲大家應遵循網路安全最佳實務，以便因應這項國家資安威脅。</p> </div></div></div>
2024/10/29 15:58作者周峻佑https://www.ithome.com.tw/news/165750
一般消費者占了OpenAI逾7成營收
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI財務長Sarah Friar周一（10/28）接受Bloomberg TV專訪時<a href="https://www.bloomberg.com/news/articles/2024-10-28/openai-cfo-says-75-of-its-revenue-comes-from-paying-consumers?embedded-checkout=true" target="_blank">透露</a>，該公司約有75%的營收是來自一般消費者的訂閱，且該公司每周的活躍用戶數已達2.5億。</p> <p>OpenAI所提供的生成式聊天機器人服務ChatGPT除了免費版之外，還包括去年2月上線、供個人訂閱、每月20美元的<a href="https://www.ithome.com.tw/news/155347" target="_blank">ChatGPT Plus</a>，去年8月上線、供大型企業訂閱的<a href="https://www.ithome.com.tw/news/158474" target="_blank">ChatGPT Enterprise</a>，以及今年1月上線、鎖定中小企業團隊、每人每月30美元的<a href="https://www.ithome.com.tw/news/160799" target="_blank">ChatGPT Team</a>，再加上今年5月發表的教育版<a href="https://www.ithome.com.tw/news/163223" target="_blank">ChatGPT Edu</a>。其中，ChatGPT Enterprise與ChatGPT Edu都是依使用人數計價，並未有固定價格，且只有ChatGPT Plus用戶被視為是一般消費者，其它方案的用戶皆被視為商業用戶。</p> <p>Friar並未揭露OpenAI的營收。</p> <p>OpenAI是今年才開始推出商用服務，去年只有供個人訂閱的ChatGPT Plus。The Information今年初引述消息來源<a href="https://www.ithome.com.tw/news/160633" target="_blank">報導</a>，OpenAI在2023年創下了16億美元的營收，遠高出外界原本預期的2億美元。</p> <p>此外，Quartz於今年9月上旬<a href="https://qz.com/openai-chatgpt-enterprise-team-edu-paid-users-million-1851640780" target="_blank">報導</a>，OpenAI的商用使用者已超過100萬人，包括ChatGPT Enterprise、ChatGPT Team與ChatGPT Edu。該數字在今年4月只有60萬人，但OpenAI在之後發表了ChatGPT Edu。</p> <p>CNBC則在9月下旬<a href="https://www.cnbc.com/2024/09/27/openai-sees-5-billion-loss-this-year-on-3point7-billion-in-revenue.html" target="_blank">報導</a>，OpenAI預期今年可創造37億美元的營收，虧損5億美元。</p> <p>倘若上述報導為真，那麼一般消費者今年可望替OpenAI帶進27.75億美元的營收。OpenAI甫於本月初完成66億美元的<a href="https://www.ithome.com.tw/news/165304" target="_blank">增資</a>，增資後的身價已達1,570億美元。</p> </div></div></div>
2024/10/29 14:19作者陳曉莉https://www.ithome.com.tw/news/165748
Google本周將於全球部署AI Overviews
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周一（10/28）<a href="https://blog.google/products/search/ai-overviews-search-october-2024/" target="_blank">宣布</a>，將把搜尋引擎中的AI功能AI Overviews部署到全球逾100多個市場，讓AI Overviews的每月用戶數超過10億，而且已開始於美國市場刊登廣告。</p> <p>AI Overviews是在使用者搜尋時，由AI彙整網路上的重要資訊並提供連結，原本是Search Labs的實驗之一，它在今年5月率先現身於美國市場，<a href="https://www.ithome.com.tw/news/164523" target="_blank">8月擴增</a>到日本及印尼等其它市場，並將自本周起陸續部署至包括臺灣在內的逾100個市場。</p> <p>現階段AI Overviews支援英文、日文、西班牙文、葡萄牙文、印尼文與印地語等，也將漸次支援更多的語言。</p> <p>不過，根據Google的說明，AI Overviews與知識面板（Knowledge Panel）同為Google搜尋的核心功能之一，這些核心功能都是無法關閉的，但使用者在搜尋之後，可以選擇搜尋引擎中的Web過濾工具，之後即可展示簡單的文字連結，而不出現AI Overviews。</p> <p>而在廣告的部分，Google<a href="https://blog.google/products/ads-commerce/google-lens-ai-overviews-ads-marketers/" target="_blank">表示</a>，AI Overviews可以滿足快速追求所需資訊的使用者，調查顯示與AI Overviews互動的使用者對搜尋結果更滿意，也覺得出現在AI Overviews上方或下方的廣告很有用，因而將於AI Overviews中以Sponsored標籤來展示廣告內容。</p> <p>例如在公園晃了一天的使用者發現自己的牛仔褲沾滿了草漬，並向Google求助，Google除了以AI Overviews整合各種解決方案之外，也可呈現各種相關的廣告。</p> <p>外界預期隨著Google將AI Overviews推向全球，相關的廣告服務也將蔓延至全世界。</p> </div></div></div>
2024/10/29 12:35作者陳曉莉https://www.ithome.com.tw/news/165747
Apple Intelligence正式登場，M4進駐iMac
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果周一（10/28）<a href="https://www.apple.com/newsroom/2024/10/apple-intelligence-is-available-today-on-iphone-ipad-and-mac/" target="_blank">藉由發布</a>iOS 18.1、iPadOS 18.1與macOS Sequoia 15.1正式釋出了Apple Intelligence功能，同一天也<a href="https://www.apple.com/newsroom/2024/10/apple-introduces-new-imac-supercharged-by-m4-and-apple-intelligence/" target="_blank">發表了</a>搭載M4處理器的iMac。</p> <p>Apple Intelligence（AI）是蘋果替旗下不同裝置所打造的人工智慧功能，可同時於裝置上或私有雲運算環境中執行AI運算，本周透過更新作業系統所推出的AI功能包括Writing Tools、更聰明的Siri、更厲害的照片（Photos）程式，也被整合在郵件、備忘錄（Notes）與電話（Phone）等程式中。不過，此波的AI更新僅支援iPhone 15 Pro、iPhone 16全系列，以及採用M1或更新處理器的iPad與Mac，預計明年會擴大支援其它裝置。</p> <p>其中，書寫工具（Writing Tools）允許使用者改寫、校對與摘要文字，支援郵件、訊息、備忘錄與第三方程式。聰明版的Siri現在可以同時支援文字及語音，還可回答上千個關於蘋果產品功能與設定的問題。新版照片程式現在允許使用者以自然語言來搜尋照片或影片。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1029-Apple%20Intelligence_iMac%20with%20M4.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1029-Siri_iMac%20with%20M4.png" style="width: 600px;" /></p> <p>在郵件程式上，AI表現在可彰顯收件匣中最重要與緊急的郵件，無需打開郵件即可查看摘要，並可根據郵件內容提供智慧回覆建議。而備忘錄與電話程式的AI功能則允許使用者錄製音訊，並產生逐字稿與摘要。</p> <p>蘋果計畫陸續強化旗下裝置的AI能力，除了上述外，新一波的AI功能可望於下個月問世。</p> <p>另一方面，繼於<a href="https://www.ithome.com.tw/news/162758" target="_blank">今年5月發表</a>首個搭載M4晶片的iPad Pro之後，蘋果本周發表了第二個搭載M4的iMac。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1029-M4-iMac-960.jpg" style="width: 600px;" /></p> <p>蘋果是在2021年於iMac上搭載自製的M1晶片，<a href="https://www.ithome.com.tw/news/159571" target="_blank">去年10月再推出</a>基於M3的iMac，一年後再升級至M4。</p> <p>或許是為了說服舊用戶升級，蘋果的新聞稿中只比較基於M1與M4的iMac性能差異，例如採用M4的iMac的CPU效能大增，速度是M1版的1.7倍，升級後的GPU在編輯照片或玩遊戲的速度也是M1版的2.1倍，此外，M4版的神經網路引擎也是M1版的3倍快，大幅提升處理AI的能力。</p> <p>此外，M4版iMac在處理微軟Excel任務的速度是M1版的1.7倍，以Safari瀏覽網路的速度也是M1版的1.5倍。若是相較於市場上搭載Intel Core 7處理器的24吋一體成型PC，M4版iMac速度最快是其4.5倍。若是比較最受歡迎的Intel版iMac，M4版可能快上6倍。</p> <p>新版iMac提供7種顏色，根據不同規格的最低售價為1,299美元（臺灣最低售價為44,900元新臺幣），預計於下個月出貨。目前尚未開放臺灣市場訂購。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> </div></div></div>
2024/10/29 11:34作者陳曉莉https://www.ithome.com.tw/news/165746
蘋果贏得血氧技術官司，獲賠250美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果上周一項血氧設備官司贏得一項久違的勝利，並得以要求對方禁售產品。</p> <p>根據專業媒體<a href="https://news.bloomberglaw.com/ip-law/apple-wins-250-in-mixed-jury-verdict-over-smartwatch-patents" target="_blank">報導</a>，蘋果控告血氧設備供應商Masimo的血氧量測手錶W1和Freedom、健康模組與充電器侵犯蘋果設計專利，上周法庭認定Masimo侵權行為是「刻意為之」，判決Masimo的部份元件侵犯蘋果設計必須停售侵權產品，且支付蘋果要求的250美元賠償金，沒有少個「萬」或幾個0。</p> <p>這是有史以來金額最小的專利侵權賠償。蘋果代理律師對陪審團說，該公司的目的不是錢，而是要求對方停止抄襲其設計。</p> <p>不過Masimo也宣稱這結果是他們的勝利，因為蘋果要求的是禁售市面銷售的W1和Freedom產品，但最終法官僅允許禁售已經沒在銷售的健康模組和充電器。</p> <p>這是蘋果自2020年遭這家廠商控告後，難得的法庭勝利。Masimo<a href="https://www.ithome.com.tw/news/135303" target="_blank">控告</a>蘋果侵犯10項專利並竊取該公司的商業機密，以將血氧量測技術應用在Apple Watch 4及Apple Watch 5。去年法官核准Masimo禁制令，要求蘋果若不移除侵權技術，就需停售最新的Apple Watch 9、Ultra 2。今年初蘋果<a href="https://www.ithome.com.tw/news/160851" target="_blank">變更</a>美國版Apple Watch設計，移除血氧量測功能，才得以確保Apple Watch的銷售。</p> <p>蘋果今年6月<a href="https://support.apple.com/en-us/120359" target="_blank">公告</a>，美國版Apple Watch將不會有血氧量測功能，這對許多想買Apple Watch 10的美國消費者來說是個<a href="https://www.wired.com/review/apple-watch-series-10/" target="_blank">缺憾</a>。</p> </div></div></div>
2024/10/29 08:26作者林妍溱https://www.ithome.com.tw/news/165743
SQLite擬遷移至輕量建置系統Autosetup，提升可維護性與穩定性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SQLite開發團隊啟動了一項探索性專案，<a href="https://sqlite.org/src/timeline?r=autosetup">計畫將現有建置系統從原本的GNU Autotools，轉移至Autosetup</a>。這項變更的目的是要提高系統的可維護性和穩定性，但由於新系統與現有配置方法存在一些差異，可能對部分應用的自動化建置流程產生影響。目前團隊正在積極測試新方案，並持續收集回饋以決定最終實作。</p> <p>SQLite從創立以來就使用GNU Autotools作為主要建置工具，由於其開源和靈活等特性，能夠適應多數Unix-like平臺和作業系統，但是隨著SQLite應用逐漸擴展至各種嵌入式和企業環境，Autotools複雜的語法和外部相依需求，逐漸成為專案維護的阻礙，因此SQLite團隊希望更換成更為簡化的建置工具Autosetup，能夠嵌入至專案原始碼樹中，維持建置的獨立性和穩定性。</p> <p>Autosetup是一個使用TCL語法的建置工具，內建輕量版的TCL直譯器JimTCL，可用於不具備完整TCL安裝的環境，由於SQLite團隊長期以來測試和工具皆使用TCL，因此Autosetup也就成為理想的建置工具選擇。</p> <p>SQLite團隊現在正探索遷移至Autosetup的可能性，以解決Autotools的維護困難。因為Autosetup的輕量特性，減少了建置系統的複雜性和開發人員負擔，此外，將Autosetup直接嵌入到專案中，SQLite團隊也就不用擔心外部工具更新時所帶來潛在的不相容問題。</p> <p>而且相較於Autotools，Autosetup擁有更簡單的語法和更快的執行速度，過去Autotools架構混合了GNU m4和POSIX Shell語法，而Autosetup僅使用TCL，使得建置流程對開發者更為友善。而且SQLite專案中原本相依於TCL的所有程式碼生成步驟，現在都可以直接使用Autosetup提供的JimTCL完成，大幅減少建置過程的系統需求。</p> <p>雖然Autosetup擁有不少優勢，但是也產生一些新的問題，像是Autosetup主要針對POSIX標準開發，目前對部分非POSIX平臺的支援尚未完全確認。SQLite團隊正在評估對應方案，當新系統無法全面相容這些平臺，可能會透過提供靜態Makefile確保新系統的相容性。</p> <p>另外，因為Autosetup和Autotools在解析和執行配置旗標的方式不同，部分建置選項需要重新命名以保持相同語義，雖然這些變更僅會影響少數自動化建置流程，但開發者仍需要調整腳本跟新系統相容。</p> <p>SQLite團隊正在測試Autosetup的適用性，以確保新系統能在相容性和長期維護性間取得平衡，目前團隊尚未做出最終決定，將會根據測試結果決定是否正式遷移。</p> </div></div></div>
2024/10/29 07:55作者李建興https://www.ithome.com.tw/news/165736
Next.js 15引入非同步請求API簡化渲染與快取模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>官方正式推出<a href="https://nextjs.org/blog/next-15#turbopack-dev">Next.js 15</a>，不僅提升框架的穩定性，也帶來一系列開發功能更新。更新亮點包括加入非同步請求API，提供更靈活的渲染方式，並且新支援React 19和React編譯器，在強化效能的同時，減少開發者手動最佳化的負擔，還正式推出Turbopack開發模式帶來更高效的開發體驗。</p> <p>Next.js15引入非同步請求API，提供伺服器端渲染更多的靈活性，這對於大型應用的效能提升非常有用。傳統的伺服器端渲染需要等待請求才能開始渲染，而Next.js 15則允許提前準備與請求無關的元件渲染，在收到請求前就開始準備渲染。此變化影響了請求相關的API，諸如cookies、headers和params等API都將會轉換成為非同步模式。這項變更為破壞性更新，Next.js團隊提供了程式碼轉換工具來簡化升級流程。</p> <p>隨著React 19釋出，Next.js 15開始提供穩定支援，並添加實驗性React編譯器。新的React編譯器能夠深度理解JavaScript語義並且自動最佳化，讓開發者不需要手動進行useMemo或useCallback效能調整，整體來說使程式碼更簡潔易讀，也降低出錯的風險，對於需要處理大量互動的應用程式來說更為友善。</p> <p>Turbopack開發模式在Next.js 15中進入穩定階段，能夠明顯提升開發體驗。Turbopack的優點在於減少開發延遲，提升開發的順暢度，使得團隊在迭代程式碼過程更加高效。根據在大型Next.js應用程式的實測資料，該模式可以加快本地伺服器啟動速度76.7％，程式碼更新速度提升96.3％，在沒有快取的情況下，初始路由編譯速度可提升45.8％，因此很適合用於需要頻繁調整程式碼的大型專案。</p> <p>Next.js 15新加入的instrumentation.js工具讓開發者可以深入觀察伺服器運作狀況，以識別效能瓶頸和錯誤來源。透過整合OpenTelemetry等遙測工具，開發者可以清楚追蹤伺服器的操作步驟，並獲得即時報告，進一步提升應用的可維護性和穩定性。</p> <p>對TypeScript開發者的好消息是，Next.js 15支援使用TypeScript編寫next.config.ts檔案，並提供NextConfig類型支援。這將使得配置過程更加安全，並且TypeScript開發者可獲得自動完成功能，避免因為配置錯誤導致潛在問題。</p> <p>Next.js 15還新增了<Form>元件，讓開發者在處理表單更加方便。該元件預設具備預擷取和客戶端導航功能，這兩項功能分別讓表單在畫面顯示時，會自動提前載入表單提交後的頁面和資料，使頁面切換更加順暢，另外，在提交表單時，系統將不再需要重新載入整個網頁，直接在客戶端完成導航過程。這樣的設計讓表單在網頁上的回應更迅速，特別適合需要進行頁面跳轉的表單，並讓程式碼開發工作更容易。</p> </div></div></div>
2024/10/29 08:04作者李建興https://www.ithome.com.tw/news/165742
零售IT雙周報第44期：歐洲電商巨頭如何用生成式AI打造商品上架輔助功能，來自動填入商品資訊欄位
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000FF;"><strong>重點新聞(1013~1026)</strong></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #商品上架輔助 #商品分類管理</span></span></strong><br /> <strong>Zalando如何用生成式AI打造商品上架輔助功能，來自動填入商品資訊欄位</strong></p> <p><a href="https://engineering.zalando.com/posts/2024/09/content-creation-copilot-ai-assited-product-onboarding.html">歐洲時尚電商巨頭Zalando揭露了他們如何打造生成式AI商品上架輔助功能。</a>這個功能會根據商品圖片特徵，自動辨認並填入商品資訊欄位。這個功能整合了多個資料來源及AI服務，架構上主要可以分為內容生成工具、商品主數據、提示生成器及OpenAI-GPT服務等4部份。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/zala2.png" style="width: 600px;" /></p> <p>運作模式是，商家在內容生成工具中上傳圖片，就會傳送到提示生成器，結合Zalando商品主數據，來辨認出特徵，並生成提示給OpenAI-GPT服務，來進一步生成商品資訊描述建議。這些建議，會再會回傳至內容生成工具，自動填入商品資訊欄位。</p> <p>為了支援25國語言商家，Zalando選擇用英文來進行大部分數據處理，再於OpenAI-GPT服務設置一個翻譯層，翻譯產出建議到商家語言，並過濾掉生成內容中不需要的資訊。另外，為了讓模型能更準確給出商品屬性建議，他們也設置了一系列機制，包括進一步提示模型如何區別不同商品屬性的小細節等。</p> <p>隨著Zalando不斷強化此功能，未來他們希望還能藉由此功能來全面性豐富商品數據，並用來支援商品銷售數據分析、精準行銷等情境。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#SCM #商品數據 #精準行銷 #OMO零售</span></span></strong><br /> <strong>鞋全家福如何將商品數據應用於行銷、採購及供應商管理</strong></p> <p>鞋全家福電商部副理呂榮生近日揭露了自家導入數據科技的做法與應用方向。呂榮生說，鞋全家福應用數據的目的是，整合線上線下數據、提升顧客體驗，以優化進銷存策略。不同於許多零售業者習慣從會員數據切入的策略，他們選擇以產品數據為中心，串聯起ERP、會員、供應鏈管理（SCM）等系統的產品相關數據，並從中找出對行銷、採購及供應商管理的價值。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/LINE_ALBUM_%E9%9E%8B%E5%85%A8%E5%AE%B6%E7%A6%8F_241028_1(1).jpg" style="width: 600px;" /></p> <p>行銷方面，鞋全家福透過分析產品銷售數據，包括商品關聯性、區域和門市熱銷主題、關鍵字分析等，來發掘潛在行銷角度。他們也會以門市銷售情況，來調整個別店面的商品陳列。</p> <p>採購方面，鞋全家福透過商品銷售數據來支援廠商篩選和品項選擇等作業，庫存迴轉率得到提升，跌價損失金額更減少了50%，新品採購的週期也縮短了15天。</p> <p>供應商管理方面，鞋全家福則與廠商共享商品銷售數據洞察，協助廠商提品、報價，並針對市場需求來開發產品。他們分享這些洞察的供應商，目前提升了12%提品成功率，以及高達70%業績。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#個人化電商首頁 #精準行銷 #再行銷</span></span></strong></p> <p><strong>Amazon電商App改版，利用ML技術呈現完全個人化的首頁內容</strong></p> <p>在電商頁面呈現個人化內容已經是相當基本的事情，<a href="https://www.aboutamazon.com/news/retail/amazon-homepage-redesign-features">不過Amazon這次電商App介面改版，個人化程度又再上一層樓</a>。傳統電商首頁往往嘗試呈現站上商品的不同分類商品，或當下行銷檔期訊息。新版Amazon電商介面則只保留基本版型，內容上則會根據顧客行為而完全不同，且會聚焦於和顧客喜好高度相關的主題或類別。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/amzfpui.jpg" style="width: 600px;" /></p> <p>這與Walmart先前宣布，在每一個顧客造訪電商時，生成專屬首頁的做法有異曲同工之妙。雖然Amazon沒有提到使用生成式AI技術來打造個人化首頁，但都是要將首頁功能從通用的入口網站，改造成超級個人化的再行銷接觸點。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#生成式AI #商品上架輔助</span></span></strong><br /> <strong>eBay推出大量商品上架輔助功能，一次讀取數百張商品照片並自動生成商品資訊</strong></p> <p>eBay又推出一項以視覺辨識為基礎的生成式AI商家輔助功能。<a href="https://innovation.ebayinc.com/tech/features/magical-bulk-listing-tool-is-ebays-latest-ai-powered-time-saver-for-sellers/">這次是一個批量商品上架功能</a>，商家只需批量上傳商品圖片，系統就能在幾秒內生成包含建議類別、標題和商品詳情等資訊。確認無誤後，商家就能快速上架這些商品。</p> <p>目前，此功能只開放給美國商家使用，只支援運動類交換卡片商品。不過eBay表示未來數月將拓展此功能支援商品類別，並開放給更多地區商家使用。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#搜尋引擎電商 #生成式AI #購物輔助功能</span></span></strong><br /> <strong>Google購物介面大改版，結合生成式AI商品推薦及相關商品知識搜尋等功能來輔助購物決策</strong></p> <p><a href="https://blog.google/products/shopping/google-shopping-ai-update-october-2024/">Google改版了Google Shopping服務介面，其中最大的改動是，用生成式AI來輔助購物決策的一系列功能。</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/gaisp.jpg" style="width: 600px;" /></p> <p>顧客輸入商品需求，如搜尋「西雅圖男士冬季外套」時，系統會生成一份AI說明，概述在這種情境下，購買此商品前應了解的重點。例如，應該注意的外套分類與特性等。系統會根據這些特性和分類，來呈現出商品搜尋結果，並解釋這些商品分類符合搜尋結果的原因。同時，搜尋結果頁面還會搜尋相關商品知識的文章和影片，供顧客更深入研究。</p> <p>其他改版功能還包括各式個人化商品推薦及優惠推薦功能。這些更新目前只在美國市場推出。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電商經營 #CRM</span></span></strong><br /> <strong>Salesforce針對小型企業推出電商經營工具</strong></p> <p>Salesforce在小型企業的解決方案中新增電商經營功能，主要功能包括電商頁面建立功能、Low-code電商設計工具、集中式商品管理工具，還有營運數據儀表板。此功能和原本解決方案中的銷售、客服、行銷功能及數據原生整合，有利於小型企業主一站式管理經營電商所需的其他作業，例如電商個人化行銷、會員關係管理等。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態：</span></strong></span></p> <p>1. <a href="https://www.onead.com.tw/product/retaildmp/">OneAD推出蒐集100家線上線下通路、11個產業以及25,000個以上品牌商品數據的DMP，用來支援市調及商品行銷決策</a></p> <p>2. <a href="https://newsroom.roku.com/news/2024/10/instacart-and-roku-expand-advertising-partnership-with-new-shoppable-formats/crouq6mo-1728406294">生鮮電商平臺Instacart將電商及外送功能整合到CTV巨頭Roku系統中，並提供廣告主利用前者數據在後者投放廣告的服務</a></p> <p>3. <a href="https://www.dunnhumby.com/about-us/news/tesco-media-unveils-new-retail-media-developments-at-annual-upfront-event/?_gl=1*vkck8h*_up*MQ..*_ga*OTk1ODUxMTQzLjE3MzAwOTgyNzk.*_ga_1HYPEY1HH6*MTczMDA5ODI3OC4xLjAuMTczMDA5ODI3OC4wLjAuMA..">特易購將RMN業務範疇拓展到數位短影音廣告及主題門市行銷模式，並推出自助式行銷成效分析工具</a></p> <p>資料來源：iThome整理，2024年10月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Zalando、Amazon、Google、郭又華攝</p> <p></p> </div></div></div>
2024/10/28 19:24作者郭又華https://www.ithome.com.tw/news/165741
【資安日報】10月28日，上周四勒索軟體RansomHub聲稱攻擊臺灣被動元件製造廠
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去一週以來，有5家上市櫃公司發布資安重大訊息，證實遭遇資安事故，其中一起被動元件製造商華新科技公告的網路攻擊事件，有資安業者透露很有可能是勒索軟體攻擊。</p> <p>值得留意的是，勒索軟體駭客組織RansomHub對臺灣企業下手的情況並非首例，今年6月，這些駭客聲稱從老牌筆電廠藍天電腦竊得200 GB內部資料。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165723"><strong style="font-size: 22px;">被動元件製造商華新科技上週公布遭駭重訊，勒索軟體RansomHub聲稱是他們發動攻擊所致</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/messageImage_1729849094638.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/messageImage_1729849094638.jpg" style="width: 300px; float: right;" /></a></p> <p>10月23日下午被動元件製造商華新科技在股市公開觀測站指出，他們有部分資訊系統遭遇網路攻擊，在察覺事故的當下立即啟動相關防禦機制因應。如今有研究人員指出，攻擊者很有可能是勒索軟體駭客組織RansomHub。</p> <p>臺灣資安業者竣盟科技25日發布部落格文章，揭露勒索軟體駭客組織RansomHub聲稱成功入侵臺灣上市被動元件大廠，該公司年營收接近30億美元，駭客竊得多達150 GB資料，內容涵蓋相關技術、有關協定、簽章資料，要脅這家公司在10月31日前支付贖金，否則將會公布竊得資料。</p> <p>另一個提到這次攻擊事故的消息來源，是網路威脅情報分析公司HackManac，10月24日他們也在社群網站X貼文揭露此事，而且直接點名苦主是Walsin Technology Corporation，也就是華新科技的英文名稱。</p> <p><a href="https://www.ithome.com.tw/news/165715"><strong style="font-size: 22px;">美國醫療服務供應商UnitedHealth坦承1億用戶資料遭竊</strong></a></p> <p>今年2月美國醫療服務供應商Change Healthcare遭到勒索軟體BlackCat攻擊，母公司UnitedHealth Group因為這起資安事故，在今年第3季財報認列超過20億美元損失，根據近日美國衛生及公共服務部（HHS）的公開資料顯示，Change Healthcare通報遭到外洩的用戶資料高達1億筆，成為美國醫療領域最嚴重的資料外洩事件。</p> <p>值得留意的是，UnitedHealth今年4月公布的第1季財報時，編列8.72億美元因應網路攻擊的成本，其中有5.93億美元屬於直接回應攻擊成本，另外的2.79億美元則是業務損失，並估計總成本將超過10億美元；而在UnitedHealth今年第3季的財報中，列出了該攻擊對該公司今年前9個月的影響，相關成本累計已超過24.5億美元。</p> <p><a href="https://www.ithome.com.tw/news/165706"><strong style="font-size: 22px;">因CrowdStrike大當機停擺多日，達美航空正式提告並求償5億美元</strong></a></p> <p>7月間資安廠商CrowdStrike更新軟體元件導致全球數百萬臺電腦大當機，受累的達美航空（Delta Airlines）上周正式提告，要求至少5億美元的賠償。</p> <p>根據路透社等多家媒體報導，達美航空向喬治亞州富爾頓（Fulton）郡高等法院提告，指CrowdStrike強迫將未測試的錯誤更新部署給客戶，導致850萬臺Windows電腦當機，引發災難性後果，要求賠償5億美元損失，以及利潤、律師費、商譽，以及未來營收的損失。</p> <p>對此CrowdStrike回應，達美航空說法是基於沒有根據的錯誤資訊，顯示不理解現代化網路安全運作方式，反映其推卸未能現代化老舊系統的責任。該公司宣稱，只要刪除更新的CrowdStrike檔案並重開機，就能排除問題。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=170029&SPOKE_DATE=20241025&COMPANY_ID=2208"><strong style="font-size: 22px;">大型造船廠台船郵件系統遭受攻擊</strong></a></p> <p>上週美利達、豐祥、華新科技，以及正新代加拿大子公司等多家上市櫃公司於股市公開觀測站發布重大訊息，週五（10月25日）傍晚大型造船廠台船發布重大訊息，表示他們發現部分郵件系統的使用者帳號遭到攻擊的情況。</p> <p>針對這起事故的後續處理，該公司表示資安單位立即啟動資安防禦機制，並執行使用者帳密修改作業，他們初步評估這起事故對公司營運無重大影響。值得留意的是，這是上週第2起郵件系統帳號遭到攻擊而登上重訊版面的資安事故，算是過往相當罕見的情況。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=180929&SPOKE_DATE=20241028&COMPANY_ID=1447"><strong style="font-size: 22px;">紡織業者力鵬傳出遭遇勒索軟體攻擊</strong></a></p> <p>今日（28日）晚間紡織業者力鵬發布重大訊息，證實他們楊梅廠的部分主機於早上遭遇檔案加密攻擊，而且，本地備份資料也不幸被刪除，他們正從異地的備援資料進行還原作業。</p> <p>針對這起勒索軟體攻擊事故可能會造成的損失或是影響，該公司目前評估對於公司的營運沒有重大影響，並表示他們後續將會持繽強化網路及資訊基礎架構的安全管控。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/10/notorious-hacker-group-teamtnt-launches.html">駭客組織TeamTNT鎖定雲端環境發動攻擊，將受害主機租給他人牟利</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/10/new-qilinb-ransomware-variant-emerges.html">勒索軟體Qilin出現變種，攻擊者採用更為複雜的方法埋藏加密金鑰</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.cybereason.com/blog/threat-analysis-beast-ransomware">勒索軟體Beast鎖定Windows、NAS、VMware ESXi而來</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/black-basta-ransomware-poses-as-it-support-on-microsoft-teams-to-breach-networks/">勒索軟體Black Basta透過微軟Teams進行社交工程攻擊</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165721"><strong style="font-size: 22px;">新型態降級攻擊可讓攻擊者植入惡意核心驅動程式、Rootkit</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/TXRZwIefiJ.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/TXRZwIefiJ.png" style="width: 300px; float: right;" /></a>今年8月資安業者SafeBreach在Black Hat USA 2024、DEF CON 32兩場大型資安會議上，揭露Windows Downdate降級攻擊，攻擊者可藉由視窗作業系統的弱點，對於重要元件進行降級，從而曝露原本已經修補完成的漏洞，其中一個藉由降級攻擊引發的弱點是CVE-2024-21302（CVSS風險評為6.7），微軟獲報後也在同月發布修補程式，如今研究人員公布更多細節，並提及一種新的降級攻擊手法。</p> <p>研究人員提及，雖然微軟對CVE-2024-21302發布了修補程式，但他們發現，微軟目前只處理已跨越安全邊界的部分，而對於能夠接管自動更新機制Microsoft Update的部分，由於這項弱點涉及以管理員身分執行核心程式碼，微軟不認為此舉跨越安全邊界而未處理，但實際上，仍有可能遭人濫用。</p> <p>他們發現，攻擊者若是能利用接管Microsoft Update的弱點，就有機會繞過驅動程式強制簽章（DSE）的系統核心防護機制，進而載入尚未簽章的驅動程式，並部署rootkit惡意程式，甚至能隱藏特定處理程序、網路活動、破壞作業系統的安全管控機制。研究人員將這種攻擊手法命名為ItsNotASecurityBoundary，並在完整套用所有更新的Windows 11 23H2作業系統上，展示如何用來發動降級攻擊。</p> <p><a href="https://www.ithome.com.tw/news/165714"><strong style="font-size: 22px;">Amazon修補Cloud Development Kit帳戶接管漏洞</strong></a></p> <p>資安業者Aqua揭露基礎設施即程式碼（Infrastructure as Code，IaC）開發框架AWS Cloud Development Kit（AWS CDK）的安全漏洞，此漏洞可能允許駭客接管CDK用戶帳戶，AWS收到Aqua通知之後，已於今年10月將其修補，估計約有1%的CDK用戶受到影響。</p> <p>這項漏洞發生的原因，是開發人員使用AWS CDK之前，必須先初始化其環境，過程裡AWS CDK會建立臨時S3儲存桶來存放部署資產，該儲存桶的命名是唯一的、與使用者帳戶有關，而且是可預測的。因此，駭客只要知道目標對象的帳號ID，就有機會替CDK建立暫存的S3儲存桶，進行竄改使用者上傳的範本，並得到該帳號的完整控制權。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/over-70-zero-day-flaws-get-hackers-1-million-at-pwn2own-ireland/">漏洞挖掘競賽Pwn2Own Ireland 2024找出逾70個零時差漏洞</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165697"><strong>【10月25日】Fortinet零時差漏洞4個月前就遭駭客組織UNC5820利用</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165683"><strong>【10月24日】FortiManager零時差漏洞已被用於實際攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165652"><strong>【10月23日】中國駭客組織IcePeony對亞洲國家網頁伺服器發動SQL注入攻擊</strong></a></p> </div></div></div>
2024/10/28 17:25作者周峻佑https://www.ithome.com.tw/news/165725
被動元件製造商華新科技上週公布遭駭重訊，勒索軟體RansomHub聲稱是他們發動攻擊所致
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10月23日下午被動元件製造商華新科技在股市公開觀測站指出，<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=142357&SPOKE_DATE=20241023&COMPANY_ID=2492">他們有部分資訊系統遭遇網路攻擊</a>，在察覺事故的當下立即啟動相關防禦機制因應。如今有研究人員指出，攻擊者很有可能是勒索軟體駭客組織RansomHub。</p> <p>臺灣資安業者竣盟科技指出，<a href="https://blog.billows.com.tw/?p=3389">勒索軟體駭客組織RansomHub聲稱</a>，他們成功入侵臺灣上市被動元件大廠，該公司年營收接近30億美元，駭客竊得多達150 GB資料，內容涵蓋相關技術、有關協定、簽章資料，要脅這家公司在10月31日前支付贖金，否則將會公布竊得資料。</p> <p>而對於遭到攻擊的公司，駭客指出擁有超過30個生產基地，旗下有完整的產品線，提供多樣性的電子產品類型及服務，其交付平臺遍布全球。</p> <p>雖然竣盟並未提及受害公司名稱，但他們提及該公司於10月23日發布重大訊息，證實有資訊系統遭受網路攻擊的情況，而當天僅有華新科技發布這類重大訊息，因此RansomHub指的顯然就是華新科技。竣盟也公布入侵指標（IoC），供IT人員偵測相關相關威脅。</p> <p>值得留意的是，RansomHub並非首度對於臺灣企業下手，今年6月，<a href="https://www.ithome.com.tw/news/163347">老牌筆電廠藍天電腦傳出遭駭</a>，該組織聲稱竊得逾200 GB資料。</p> </div></div></div>
2024/10/28 17:11作者周峻佑https://www.ithome.com.tw/news/165723
新型態降級攻擊可讓攻擊者植入惡意核心驅動程式、Rootkit
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年8月資安業者SafeBreach在Black Hat USA 2024、DEF CON 32兩場大型資安會議上，揭露<a href="https://www.ithome.com.tw/news/164368">Windows Downdate降級攻擊</a>，攻擊者可藉由視窗作業系統的弱點，對於重要元件進行降級，從而曝露原本已經修補完成的漏洞，其中一個藉由降級攻擊引發的弱點是CVE-2024-21302（CVSS風險評為6.7），微軟獲報後也在同月發布修補程式，<a href="https://www.safebreach.com/blog/update-on-windows-downdate-downgrade-attacks/">如今研究人員公布更多細節</a>，並提及一種新的降級攻擊手法。</p> <p>研究人員提及，雖然微軟對CVE-2024-21302發布了修補程式，但他們發現，微軟目前只處理已跨越安全邊界的部分，而對於能夠接管自動更新機制Microsoft Update的部分，由於這項弱點涉及以管理員身分執行核心程式碼，微軟不認為此舉跨越安全邊界而未處理，但實際上，仍有可能遭人濫用。</p> <p>他們發現，攻擊者若是能利用接管Microsoft Update的弱點，就有機會繞過驅動程式強制簽章（DSE）的系統核心防護機制，進而載入尚未簽章的驅動程式，並部署rootkit惡意程式，甚至能隱藏特定處理程序、網路活動、破壞作業系統的安全管控機制。研究人員將這種攻擊手法命名為ItsNotASecurityBoundary，並在完整套用所有更新的Windows 11 23H2作業系統上，展示如何用來發動降級攻擊，</p> <p>針對於這項繞過DSE的攻擊手法，研究人員解釋這是涉及<a href="https://www.elastic.co/security-labs/false-file-immutability">「檔案假性不變（False File Immutability，FFI）」</a>的新型態漏洞，此類弱點源自於檔案理應不會被變更的錯誤假設。</p> <p>他們進一步舉例說明。照理來說，封鎖寫入的存取共享機制將使得檔案不會被受到變更，但若是攻擊者藉由清理系統運作環境，並在檔案於記憶體存取的過程當中，觸發記憶體分頁錯誤，就有機會導致檔案重新讀取甚至是更改。</p> <p>這種雙重讀取的狀況，本質上，也涉及從檢查時間到使用時間（ Time-of-Check to Time-of-Use，TOCTOU）的競爭，攻擊者有機會藉此置換成未經簽章的惡意版本核心驅動程式，當作業系統處理驅動程式列表的過程裡，便會將該驅動程式的驗證碼視為有效並允許載入，從而達成ItsNotASecurityBoundary攻擊。</p> </div></div></div>
2024/10/28 16:20作者周峻佑https://www.ithome.com.tw/news/165721