iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 32篇
近 24 小時: 32篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 22:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

中國及越南遭到CleverSoar惡意部署工具鎖定，攻擊者意圖散布Winos 4.0、Nidhogg
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客運用惡意軟體框架Winos 4.0從事攻擊行動的情況，今年已發生數起資安事故，例如：6月趨勢科技揭露<a href="https://www.ithome.com.tw/news/163597">駭客組織Void Arachne的攻擊行動</a>，假借提供AI應用程式的名義，向簡體中文用戶散布這款惡意軟體；到了11月初，另一家資安業者Fortinet指出，有人利用這款惡意程式框架，<a href="https://www.ithome.com.tw/news/165897">疑似鎖定教育機構下手</a>，如今相關的攻擊行動再度傳出。</p> <p>資安業者Rapid7指出，他們在11月初<a href="https://www.rapid7.com/blog/post/2024/11/27/new-cleversoar-installer-targets-chinese-and-vietnamese-users/">發現了名為CleverSoar的惡意程式部署工具（Installer）</a>，攻擊者的主要目標，是慣用簡體中文與越南文的使用者。駭客意圖利用這款部署工具在受害電腦植入多種惡意程式，並保護這些軟體的運作不受到干擾。</p> <p>而這些對方使用的惡意程式，包含了Winos 4.0進階版本，以及名為Nidhogg的Rootkit程式。攻擊者能夠用來側錄鍵盤輸入內容、資料外洩、繞過安全防護措施，甚至能進一步控制受害電腦。究竟攻擊者的目的為何？研究人員推測，主要很有可能是為了進行更深入的監控，並且截取特定的資料。</p> <p>究竟攻擊者的身分為何，目前仍不明朗，但研究人員提及，這些駭客很可能曾經散布木馬程式ValleyRAT，並利用Winos 4.0攻擊教育機構。</p> <p>駭客最早可能在今年7月下旬打造CleverSoar，攻擊者提供MSI安裝程式，一旦受害者執行，電腦就會啟動該惡意程式部署工具。</p> <p>該部署工具首先會檢查電腦的語言設定，確認是否為簡體中文或越南文，若非這兩種語言，此工具就會終止運作，這樣的配置，也突顯這是一起針對性的攻擊行動。根據駭客散布的MSI安裝程式檔名，研究人員推測，很有可能是假借遊戲相關應用程式散布。</p> <p>值得留意的是，駭客在植入各式惡意程式的過程裡，CleverSoar還會停用受害電腦的防毒軟體，此外，為了避免於研究人員的虛擬機器環境運作，攻擊者還呼叫特定參數，運用SMBIOS韌體表來確認是否在真實的電腦執行。</p> <p>再者，攻擊者也會利用特定的功能涵數，檢查Microsoft Defender的模擬器狀態，來確認執行的環境狀態。</p> <p>為了讓惡意程式能正常運作，CleverSoar也運用特定的群組原則，防止第三方的DLL元件注入，這麼做是針對防毒軟體和EDR系統的掛鉤行為而來，使得這類系統無法於正在執行的處理程序當中，注入資安防護元件相關的DLL檔案。</p> </div></div></div>
2024/11/29 12:14作者周峻佑https://www.ithome.com.tw/news/166273
為何Wasm檔案超小執行速度極快？虛擬機器、容器、Wasm三大雲原生技術大比較
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>1998年誕生的虛擬化技術的VM、2013年出現Docker容器技術和K8s，以及2019年開始走出瀏覽器Wasm，都是可以用來部署和建置雲原生基礎架構的根本技術，也都提供了一個沙盒般的獨立軟體執行環境，可以用來執行應用系統或程式。不過，這三者有很大的不同，尤其是Wasm技術，從一開始的技術創立目的，就和前兩者截然不同。</p> <p>Wasm技術發明之初，就是為了解決JavaScript效能問題，希望讓瀏覽器中的Web應用能像桌面原生軟體一樣的高速執行。而VM技術是為了更善用硬體資源，讓不同應用系統各自有自己完整的虛擬「實體主機資源」可用，而Docker則是為了解決應用程式相依性越來越複雜的挑戰，想要讓AP可以到處執行。</p> <p>不過，從技術實作背後的核心概念，VM是將實體環境的複雜度封裝到單一環境中，容器則是將AP的相依性複雜度，封裝到單一環境中，這兩者比較相似，但Wasm則是在瀏覽器環境中，創造一個Bytecode二進位執行格式的沙盒環境，來提高執行速度，技術實作的方向有很大的不同。但因瀏覽器本來就是一個與作業系統層隔離的獨立執行環境，也格外講究與實體資源的安全，以及瀏覽器內不同網頁程式之間的隔離性，這就讓Wasm先天帶有類似容器的將可以封裝AP複雜性的特色和隔離實體環境複雜度的特性。</p> <h3><span style="color:#B22222;"><strong>Wasm檔案為何遠比虛擬機器、容器映像檔小這麼多？</strong></span></h3> <p>因為技術實作的不同，VM等於模擬了一整個實體主機環境，有虛擬CPU、虛擬記憶體、虛擬儲存，因此可以安裝多套或大型的應用系統，映像檔案大小也最大，光是安裝一套作業系統，就可能需要好幾GB。<br /> 而容器不需要作業系統，只需要執行程式碼相關的必要元件，可取得記憶體資源、也可以配置本地端儲存給容器專用。容器常用來執行一隻應用程式，一隻微服務，執行同樣程式碼的容器映像檔大小比VM映像檔小了不少，冷啟動速度也快上許多。</p> <p>Wasm同樣不需要作業系統，目前也無法配置本地端儲存，常用來執行一隻應用、一隻程式或是一支元件。因為封裝到Wasm的程式碼，會經過編譯處理成二進位格式檔，而不是採取映像檔的形式來載入，因此，同樣功能程式碼的Wasm檔案，遠比容器映像檔格式小非常多。這也讓Wasm的冷啟動執行速度超短。</p> <p>技術特性、映像檔和執行檔大小，也影響了這三類技術可以部署的環境。VM大多部署於公雲環境、實體伺服器或是邊緣主機，需要有一定硬體規格的設備上。而容器除了上述三類基礎架構環境之外，也可部署到硬體規格較低階的行動裝置、邊緣裝置上。Wasm檔案的硬體規格需求最低，虛擬機器和容器可部署的環境之外，甚至可以部署到小型邊緣設備，IoT設備，甚至是IoT感測器上。</p> <p>這三者技術目前也可以混用在同一個執行環境中，Docker公司早在2022年就宣布開始支援Wasm，可以讓Docker容器的Runtime也能同時執行wasm檔案，而微軟則在去年發表了Hypervisor對Wasm的支援技術，可以在Hyperbisor平臺上，同時支援虛擬機器、容器和Wasm，甚至可以混用這三者，不過，還只是技術預覽功能。</p> <h3><span style="color:#B22222;"><strong>Wasm冷啟動速度可以比容器快上百倍</strong></span></h3> <p>冷啟動速度來說，雖然這個速度會受到執行程式碼規模和複雜度的影響，但大概來比較，以執行同樣功能的一隻應用程式來說，Wasm是最快，甚至可以說超快。虛擬機器的冷啟動速度，常見是數十分鐘，可說是分鐘級的冷啟動速度，而容器則可以縮短到數十秒，甚至數秒內，可說是秒級的冷啟動。</p> <p>由於Wasm是經過編譯後的Bytecode檔案，幾乎是載入就可以執行，再加上Wasm檔案極小。因此可以做到毫秒等級的冷啟動速度，這是千分之幾秒的程度，就能開始一支Wasm應用。</p> <p>對於開發語言的支援上，不論是在虛擬機器或是容器中，都需要該語言的runtime來執行，例如用了GO語言和Rust，就需要這兩種與言的runtime才能執行。但是在wasm的做法不一樣，經過事先編譯，可以將不同語言編譯成同樣的Bytecode執行格式，因此，只需要一隻wasm的runtime，就可以執行不同語言編譯過的wasm檔案，等於是用一隻runtime通吃各種語言，甚至WASI提出的新元件模式，可以讓不同程式語言的Wasm元件，彼此有一個標準的輸入輸出溝通方式，彷彿就像是用同一種語言開發的兩隻元件一樣。不過，目前不是所有開發語言都能支援Wasm，不同語言的支援程度也不盡相同，以Go、JavaScirpt、C#、Rust語言的支援度相對完整且穩定。其餘也有四、五十種語言提供部分程度的支援，使用時得留意支援度不足的地方。</p> <p>若以用GPU來執行AI推論的功能來比較，除了AI推論的程式碼之外，還需要Nvidiak的CUDA runtime，以及一套AI框架，像是PyTorch，光是這三者，最小的容器映像檔大小就接近5GB，LLM基礎模型的檔案大小也動輒數GB，甚至數十GB，整個加起來，至少要有15GB，以前，容器問世時，常有人打趣說，VM太肥，所以需要容器來解決，但是，LLM推論需要的容器映像檔也動輒是數GB或數十GB，就像是當年過於肥大的VM一樣。</p> <p>同樣功能，若改用Wasm，自製推論程式碼、CUDA runtime加上PyTorch框架和10GB的LLM基礎模型，編譯後可以大幅縮小到數MB，可以說比同樣功能的容器或VM映像檔，足足少了1千倍，這也正是Wasm冷啟動速度可以超級快的原因。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%89%E5%A4%A7%E9%9B%B2%E5%8E%9F%E7%94%9F%E6%8A%80%E8%A1%93%E6%AF%94%E8%BC%83%E8%A1%A8.jpeg" /></p> <p> </p> <p><span style="font-size: 20px;"><strong><span style="color: rgb(51, 102, 255);">後續報導請見：</span><a href="https://www.ithome.com.tw/news/166267" target="_blank"><span style="color: rgb(51, 102, 255);">WebAssembly生態圈有哪些重要專案？Wasm生態地圖重點剖析</span></a><span style="color: rgb(51, 102, 255);"> </span></strong></span></p> <p> </p> <p><a href="https://www.ithome.com.tw/article/166268" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(51, 102, 255);"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1210-feng_mian_p1-dou_zi_-open-960x420_kao_bei_0.jpg?itok=bh7pAHR_" style="width: 600px;" /></span></strong></span></a></p> </div></div></div>
2024/11/29 11:36作者王宏仁https://www.ithome.com.tw/news/166272
Wasm是雲原生技術的下一步發展，更是GAI實現快速推論關鍵助力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國際顧問公司Gartner每年都會發表一張新興科技發展周期報告，盤點2千項技術和應用框架，以未來2年到10年的變革和影響性為比較標準，選出當年最重要的25項新興技術，繪製成當年的新興技術成熟度曲線圖。全球爆紅的生成式AI，正是2023年進入這份清單，但是，在同一年，還有另一項技術和GAI一起入選，就是WebAssembly，簡稱Wasm。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>WebAssembly的影響力媲美GenAI和Docker</strong></span></span></p> <p>到了2024年的新興科技發展周期報告，Gartner甚至將WebAssembly和GenAI並列為唯二，跨出「期望過高的巔峰期」，即將進入技術成熟度曲線的「幻滅期」，這也代表了，Gartner認為，這兩項技術已經度過了炒作階段，接下來經過一段時間改善和優化，就會進入穩定發展的成熟期，最快2～5年，就會對全球帶來變革式的影響。</p> <p>Gartner對WebAssembly影響力的期待，僅次於GenAI，遠遠超過其他新興技術。Gartner特別看好WebAssembly的理由是，這項技術賦予網頁應用超高效能，特別適合微服務和無伺服器環境的應用。目前的缺點是，會提高複雜度，大規模導入的學習門檻也很高。</p> <p>不只跨國顧問公司看好這項技術，今年是K8s問世十年，因這項技術擴大成型的雲原生生態圈，回顧過去之際，也開始思考K8s和雲原生技術的下一個十年發展方向。有不少技術意見領袖，紛紛將WebAssembly視為K8s下一個十年最重要的發展，與eBPF、IT永續並列為雲原生技術未來三大關鍵發展方向。尤其到了今年11月，在美國鹽湖城舉辦的Kubecon北美場大會中，WebAssembly成了這場K8s生態圈年度大會中最熱門的話題。今年也首度將WebAssembly技術年會與Kubecon大會共同舉辦，不少科技公司和企業出來分享自己使用Wasm的經驗，例如美國高盛金融集團、德國製造大廠博世Bosch集團、工廠自動化設備大廠西門子等。</p> <p>CNCF推廣大使太田航平早在今年10月來臺參加K8s高峰會時，在主題演講中就強調，K8s的下一波發展有三大重要機制，第一項就是WebAssembly。為何這項技術對雲原生的發展，非常重要？他解釋，WebAssembly可以提供一個獨立的執行環境，不限任何開發語言、作業系統和CPU的執行環境。換句話說，WebAssembly可以提供一個通吃任何開發語言、作業系統，甚至是CPU架構的執行環境。他更現場展示後端工程師慣用的GO語言、網站開發語言Ruby和行動應用常用的Swift如何編譯成Wasm格式的二進會檔來執行，Docker容器也可以放進Wasm來執行。</p> <p>太田航平特別強調，WebAssembly技術，可以將不同的開發語言編譯成二進位格式的檔案，再部署到瀏覽器或非瀏覽器的環境中執行。「WebAssembly提供了一個安全、輕便而且可以在任何地方執行的環境。」</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>不只科技巨頭，跨國金融集團、製造大廠也開始嘗試</strong></span></span></p> <p>Google是參與WebAssembly標準的推動者，更是第一批採用這項技術的科技公司，許多知名的服務都靠WebAssembly來創造出流暢的使用體驗，像是用C++語言開發的Google地球，就是靠V8瀏覽器引擎的WebAssembly多執行緒支援，才在瀏覽器中實作出桌面版般的任意放大縮小、飛行視角般的瀏覽操作。線上版Google Sheets用Wasm封裝Java計算引擎，讓超大型試算表提高了1.8倍的計算速度。Google Photo團隊則靠Wasm，將用單一語言開發的照片編輯功能程式碼，部署到iOS、Android和Web等不同平臺上，開發一次，不用任何改寫就能到處部署。</p> <p>Google旗下開源機器學習框架TensorFlow的JS版本的核心，同樣用Wasm縮短了好幾倍的模型推論時間，甚至用Wasm結合多執行緒，比用GPU加速的JavaScrpit 2D/3D函式庫WebGL來執行相同推論，可以縮短好幾倍的時間，這個效能優化，讓沒有GPU的行動裝置，也能快速進行AI推論。</p> <p>Adobe是另一家大力擁抱Wasm的愛用者，像是Lightroom線上相片編輯和特效工具、Express（前身是Spark）線上相片設計工具，都採用了WebAssembly技術來優化操作體驗。甚至是他們旗下最知名的設計工具Photoshop，這是一套用C++語言開發的多執行緒軟體，Adobe花了很多年，想要將這款設計圈最重要的軟體搬上雲端，一直克服不了JavaScript的效能問題，後來找來Google幫忙，才在2021年，打造出Web版Photoshop測試版，去年正式推出，Adobe也用這項技術陸續將更多需要重度運算需求的軟體產品，也慢慢搬上雲端。 </p> <p>光是運用WebAssembly的SIMD（單指令流多資料流）處理能力，對大型圖檔中大量像素進行平行處理計算，平均就提高了3～4倍的處理速度，有些特效處理甚至可以加快80～160倍的速度。WebAssembly讓線上版Photoshop具有不輸桌面原生軟體版的流暢性和速度。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>高盛集團開發者平臺大幅改用Wasm封裝API</strong></span></span></p> <p>不只是科技巨頭愛用，也有大型企業開始嘗試Wasm，例如高盛銀行有一個每天數百萬次，甚至爆量到上億次呼叫請求的開發者API平臺，他們在2023年時，花了8、9個月驗證如何用Wasm來封裝不同語言，如Go、Java、Typescript開發的API外掛，統一這些外掛程式的部署和管理。高盛銀行第四季正式釋出了第一款用Wasm打包的API外掛，不出3個月，全部的API外掛程式在年底時都改用Wasm形式來提供。</p> <p>高盛集團早在好幾年前，就開始採用API優先戰略，也推出了一個開發者平臺，釋出各種類型的API給內部各部門和外部第三方合夥夥伴和合作開發者。</p> <p>他們也打造了一個完全用API架構的數位銀行交易平臺，同樣提供了大量API，可以將高盛金融服務嵌入到各種第三方應用中。這個開發者評平臺提供了包括三大類，資料類AP像是資料篩選、資料分析處理、資料管理等資料類API，也有用於風險分析和投資分析的工具服務，還有一大類是銀行金融交易類的API，像是銀行交易類API，如支付、財富管理API等，也包括了一套金融區塊鏈API，這些API會以外掛的彈性組合形式來對外提供。這個高盛集團的開發者平臺，每天的API呼叫次數加起來，高達數百萬次，甚至上億次。 </p> <p>這些外掛API部分來自開發者平臺團隊開發，更多是不同產品團隊各自開發。因為這些API是多年來陸續開發的成果，採用的開發語言涵蓋了Java、Go和TypeScript。不同團隊各有自己的開發實踐。<br /> 高盛平臺團隊想要找到一個技術，可以用來統一不同開發語言，使用單一獨立的runtime環境，來提高安全性，還要讓程式碼更容易重複使用。所以，他們先從一個重複帳號檢查功能開始進行PoC驗證，成效不錯。</p> <p>尤其，將Wasm編譯流程加入到原有的開發流程時，仍舊可以套用原本多數開發流程的工具和安全機制，像是程式碼掃描、套件管理、相依性管理工具，都不需要有太大變動，讓開發者可以繼續使用原本熟悉的工具。改用Wasm編譯後的API程式檔案，執行效能明顯提高，也更方便和其他部門共享不同程式語言開發的元件。</p> <p>高盛集團工程管理總監Rohan Deshpande指出，善用Wasm，可以提高API外掛生態圈品質和彈性的關鍵。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-%E9%AB%98%E7%9B%9Bapi%E5%B9%B3%E8%87%BA-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E9%AB%98%E7%9B%9B%E9%9B%86%E5%9C%98.png" style="width: 600px;" /></p> <p><span style="font-size:16px;"><span style="color:#696969;"><strong>高盛銀行有一個每天數百萬次呼叫請求的開發者API平臺，他們在2023年時開始驗證如何用Wasm，來封裝不同語言所開發的API外掛，統一這些外掛程式的部署和管理，最後讓全部的API外掛程式都改用Wasm形式來提供。</strong></span></span><span style="font-size:14px;"><span style="color:#696969;">圖片來源／高盛集團</span></span></p> <p>德國製造大廠Bosch有個研究團隊，則在2023年底時，分享了在自駕車軟體和工廠系統運用Wasm的經驗。他們用Wasm搭配容器技術，來部署汽車駕駛系統的嵌入式軟體元件，大幅簡化了電動車內不同類型異質裝置的安裝管理。他們還看上Wasm的毫秒級冷啟動能力，在工業自動化設備的邊緣主機上，用Wasm來部署監控軟體，可以幾乎即時的速度，來分析工控PLC系統回傳的資料，來判斷是否出現問題要發出預警，就算邊緣主機當機（製造工廠環境常見的故障風險），也能快速（毫秒等級）在另一臺邊緣主機啟用新的Wasm監控軟體，做到幾乎即時的故障自動切換能力，不會中斷對工廠自動化產線的持續監控。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>Amazon影音服務靠Wasm支援8千種各類裝置</strong></span></span></p> <p>Amazon的Prime Video服務則看上了Wasm通吃各種裝置、平臺的能力。Amazon這項影音服務數百萬名顧客所用的裝置高達8千種類型，除了電腦、手機，還有遊戲主機、各類數位電視、機上盒、USB串流棒等。每次要改版，幾乎很難針對每一種環境提供專門的升級版本。所以，Amazon從2020年8月開始測試Wasm，發現同樣的功能，用Rust語言開發，再編譯成Wasm檔案格式執行，可以比用JavaScript開發的執行速度快上10到25倍，便決定在2021年大幅改用WebAssembly混用JavaScript，來簡化軟體版本升級的流程。</p> <p>Amazon會在裝置上預載兩種執行環境，一個是WebAssembly VM，另一個是JavaScript VM。需要大量運算的功能，例如動畫模擬、渲染計算等，就改用Wasm技術編譯成二進位檔，放到WebAssembly VM中執行，而Prime Video App則保留原本的JavaScript程式碼，載入到另一個JavaScript VM環境中來執行。這個做法，不只更容易靠一兩種語言，支援到更多類型的裝置，高運算負載的程式碼從JavaScript改為Wasm後，省下了30MB的記憶體，只需要7.5MB就能順暢執行，也降低了不少硬體規格的門檻，提高在低階或行動裝置上的執行效能。</p> <p>WebAssembly並非是這幾年隔空出現的新技術，而是問世十年的老技術，一開始是為了解決 JavaScript直譯式語言速度太慢的問題，尤其Web應用的功能越來越複雜，程式檔也越來越大，動輒數萬、數十萬行的Web應用程式碼，如何提高大型Web應用在瀏覽器中的執行速度成了一大挑戰。早在2010年時，有位軟體工程師Alon Zakai打造了一款工具Emscripten，可以將C/C++程式碼編譯成JavaScript可執行的形式，2012年更是釋出了asm.js技術，這是JavaScript的一項子集合，可以在瀏覽器中執行C和C++程式碼來加速。這是WebAssembly標準出現前的JavaScript應用優化嘗試。</p> <p>2015年5月，JavaScript之父Brendan Eich特別來臺參加iThome舉辦的Modern Web大會，回顧這項技術的開發幕後秘辛以及20年來的發展。在演講中，他特別展示了在瀏覽器中執行的第一人稱3D射擊遊戲，來展示當JavaScript執行效率跟Bytecode程式一樣時，可以做到的能耐。這個現場展示，震驚所有參加者，包括臺下的我。</p> <p>一個月後，JavaScript之父就和四大瀏覽器平臺，發起了W3C WebAssembly社群小組，想要重新發明JavaScript網頁應用，以WebAssembly來命名新技術，顧名思義，就是Web的Assembly（組合語言）形式，要讓網頁應用也能擁有二進位Bytecode的執行格式。</p> <p>Brendan Eich指出，WebAssembly格式標準將成為一個網站程式碼的新中介層，可以提供一個二進位檔案格式標準來執行網頁。最大特色是，可以讓JavaScript程式的執行速度快20倍，讓網頁應用也能像桌面原生應用一樣的執行速度。因為，WebAssembly標準的作法是，直接定義了一個新的網頁執行層，而非如JavaScript子集合的作法，讓瀏覽器能直接執行二進位檔案格式的WebAssembly檔案，來達到像是執行Bytecode程式般的高效能。而且，當時JavaScript之父更指出一個未來的發展趨勢，這項技術不限於JavaScript這種語言，而是任何語言都可以用的技術。</p> <p>這項技術有多強？像是Adobe大砸200億美元收購的設計平臺Figma，正是靠WebAssembly技術才打造出操作流暢的線上工具，可以在瀏覽器上使用大量向量元件，組合成複雜、精美的網頁版面。正因為WebAssembly可以讓Web應用的執行速度，媲美桌面原生軟體般的執行速度，所以，不少人用「網頁組合語言技術」來形容。</p> <p>經過兩年努力，在2017年時，WebAssembly 發表了第一個版本，獲得Chrome、Safari、Edge、Firefox等主要瀏覽器的支持，也正式成了網頁標準之一。不過，這項技術，一開始只能在瀏覽器環境中執行，想要執行Wasm，還得先安裝一隻瀏覽器或瀏覽器引擎。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>Wasm走出瀏覽器，連Docker之父都驚艷</strong></span></span></p> <p>直到2019年，這一年是 Wasm走出瀏覽器，邁向廣大雲原生世界的關鍵一年。Mozilla、雲端業者Fastly等聯手發表了WASI（WebAssembly System Interface）專案，提供了一個runtime程式和命令列工具，不需要瀏覽器，可以直接在桌機或伺服器端執行Wasm應用。同時，專案成員也發起了Bytecode聯盟，要將WebAssembly推廣到瀏覽器以外的世界。這也讓同一套Wasm封裝的程式碼，可以在瀏覽器或非瀏覽器的環境中執行，不需要維護兩套程式碼。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-WASI-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Fastly%E5%82%91%E5%87%BA%E5%B7%A5%E7%A8%8B%E5%B8%ABLuke%20Wagner.png" style="width: 547px;" /></p> <p><span style="font-size:16px;"><strong><span style="color: rgb(105, 105, 105);">2019年是 Wasm走出瀏覽器，邁向廣大雲原生世界的關鍵一年。Mozilla、雲端業者Fastly等聯手發表了WASI（WebAssembly System Interface）專案，透過獨立的runtime和命令列工具，不需要瀏覽器，也可以直接在桌機或伺服器端中執行Wasm應用。</span></strong></span><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Fastly傑出工程師Luke Wagner</span></span></p> <p>「如果WASM和WASI在2008年就出現，我們就不需要發明Docker技術了。」Docker之父Solomon Hykes這一句話點出了WebAssembly技術對雲原生生態圈的影響力，可以媲美Docker技術創造了整個雲原生技術浪潮的重要性。這句話也成了後來大家談到WebAssembly發展時，最常被引述的一句話，這是一項連Docker之父都讚嘆的新技術。</p> <p>跨出瀏覽器之後，橫跨到雲原生技術圈的WASM生態圈，從2020年開始茁壯，而且相關工具和技術專案數量越來越多，貢獻者規模越來越大，更多工具，更多開發語言開始支援，也開始出現大規模開發Wasm用的技術框架。</p> <p>WASI專案在2021年提出了新的元件模式（Component Model）草案，可以讓不同語言寫的程式碼，編譯成Wasm元件，此彼此有一套標準的元件輸入輸出方式來互動，舉例來說，用Go語言寫的Wasm元件，和用Rust語言寫的Was元件，有共同的標準輸入輸出方式，就像用同一種語言開發的元件一樣，甚至可以把這兩個元件，放入一個更大的Wasm元件中混用。這個元件模型，讓Wasm具備了跨各種語言的能力，這也是後來WASI專案0.2版的重要特色。Brendan Eich多年前提到的WebAssembly跨開發語言的能力，不只在瀏覽器中落實，更在瀏覽器外的廣大雲原生世界中實現了。</p> <p>到了2022年，已有超過40種語言支援Wasm，包括Rust, C, C++, JavaScript和GO語言。而且不只伺服器環境，還可以在邊緣裝置，甚至是IoT設備上執行Wasm程式。2022年10月，Docker公司更宣布加入Bytecode聯盟，要讓Docker引擎開始支援Wasm，直接在容器執行環境中，也能直接執行Wasm的二進位元件檔。</p> <p>Docker這一步，吸引了更多雲原生採用企業對這項技術的關注，雲原生組織CNCF在年度調查中觀察到，超過37%的企業開始試水溫嘗試WebAssembly，尤其可用於Serverless架構中的兩款Runtime，包括WasmEdge和WAMR開始受到關注。CNCF這份調查報告最後的結論是「容器已經成為新標準，而WebAssembly是未來。」這個雲原生生態圈最重要的組織，開始認真將WebAssembly視為接下來的重要發展方向。</p> <p>不只是容器技術指標廠商開始擁抱，虛擬化技術也開始向Wasm靠攏。微軟Azure技術長Mark Russinovich在2023年Build開發者大會上發表了Hyperlight，可以在Hypervisor上直接執行Wasm應用。Hyperlight可以產生一個微型VM（Micro-VM），比執行一個容器所用的資源更小，啟動速度超快，具有Hypervisor層隔離強度的執行環境，來執行Wasm元件。1秒鐘可以啟動1千個這種執行Wasm的微型VM ，延遲時間甚至只有250微秒，也就是一秒的四千分之一。微軟讓虛擬機器、容器和Wasm可以在同一個Hypervisor環境中並存。</p> <p><span style="font-size:20px;"><span style="color:#3366ff;"><strong>後續報導請見：</strong></span></span></p> <p><span style="font-size:20px;"><strong><a href="https://www.ithome.com.tw/news/166257" target="_blank"><span style="color:#3366ff;">WebAssembly如何成為雲原生生態圈關鍵技術</span></a></strong></span></p> <p><span style="font-size:20px;"><strong><a href="https://www.ithome.com.tw/news/166267" target="_blank"><span style="color:#3366ff;">WebAssembly生態圈有哪些重要專案？Wasm生態地圖重點剖析</span></a></strong></span></p> <p><a href="https://www.ithome.com.tw/article/166268" target="_blank"><span style="font-size:20px;"><strong><span style="color:#3366ff;"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1210-feng_mian_p1-dou_zi_-open-960x420_kao_bei_0.jpg?itok=bh7pAHR_" style="width: 600px;" /></span></strong></span></a></p> </div></div></div>
2024/11/29 12:25作者王宏仁https://www.ithome.com.tw/news/166256
WebAssembly生態圈有哪些重要專案？Wasm生態地圖重點剖析
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:20px;"><strong><span style="color: rgb(51, 102, 255);">前篇報導請見：</span></strong></span></p> <p><span style="font-size:20px;"><strong><a href="https://www.ithome.com.tw/news/166256" target="_blank"><span style="color: rgb(51, 102, 255);">Wasm是雲原生技術的下一步發展，更是GAI實現快速推論關鍵助力 </span></a></strong></span></p> <p><span style="font-size:20px;"><strong><a href="https://www.ithome.com.tw/news/166257" target="_blank"><span style="color: rgb(51, 102, 255);">WebAssembly如何成為雲原生生態圈關鍵技術</span></a></strong></span></p> <p>在2023年發表的Wasm生態地圖第一版，涵蓋了120個專案，包括了四類開發語言和11類相關專案，CNCF估計經濟產值達到594億美元。主要可以分為兩大類專案，包括了Dev（應用程式開發）和Ops（應用程式部署）。後續這份生態地圖則整合到CNCF官網上的雲原生生態地圖，成為了其中一類子技術地圖。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/%E5%9C%965-WASM%E7%94%9F%E6%85%8B%E5%9C%B0%E5%9C%96-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-CNCF.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1210-cover-4-600-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_CNCF.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／CNCF</span></span></p> <p>在應用程式開發類Wasm相關專案上，包括了四種不同Wasm支援型態的語言，分別是編譯語言、託管類語言、腳本語言、為Wasm優化的新語言，另外開發類專案則可分為Runtime、應用程式框架、邊緣和裸機、AI推論、嵌入式功能、工具鏈等6類專案。</p> <p>而在應用程式部署的Wasm相關專案上，則可分為調度與管理類專案、託管平臺、去中心化平臺、除錯和可觀察性專案、半成品儲存等5類Wasm相關專案。</p> <p>進一步來看可支援Wasm的語言，包括了提供一級支援的編譯語言，主要有C、C++、Rust和Zig，這類語言可以直接編譯成Wasm二進位檔，而託管類語言則Go、Dart、Kotlin、Java、C#和.Net等，則需要搭配具有管理能力（如記憶體垃圾蒐集能力）的runtime來執行wasm。可搭配的runtime專案像是WasmEdghe、Wasmtime或瀏覽器圈熟悉的V8引擎，或像Java與C#則需要把runtime和程式碼一起編譯才能執行，檔案大小會稍大，另外還有腳本語言如JavaScript、Ruby、PHP、Python可以在Wasm環境中執行，編譯成Wasm檔後，用Wasm的解釋器就可以執行。而Moonbit和Grain則是兩個正在發展，以Wasm優化為目標而誕生的開發語言。</p> <p>程式碼編譯成Wasm Bytecode之後，需要建立Wasm執行環境，這也是開發者最關心的Wasm類專案。可用來建立Wasm執行環境的專案，較受到關注的像是WasmEdge、Wasmtime、Wamr、WAVM、Wasmer、wasm3、Lunatic、wazero和V8。其中，WasmEdge適合用於雲端、邊緣應用和分散式應用，而Wasmtime則是一個獨立安裝，可支援WASI，只能執行wasm的runtime。</p> <p>對於想要打造大型雲原生應用的開發者，則需要功能更完整的Wasm應用框架上，來提供更多進階或複雜功能的元件，這類應用框架專案最受到關注的是WasmEdge專案。WasmEdge框架最大特色是提供了許多進階的POSIX API，也可以搭配支援許多知名Rust和JavaScript框架，像是可搭配node.js使用。另外還兩個值得關注的Wasm應用框架，包括了可用來打造Wasm微服務架構的Spin框架，以及可用於開發和管理分散式應用架構的WasmCloud專案。</p> <p>這兩年GenAI爆紅後，可以將Wasm建立AI推論環境的專案受到高度關注，較知名的則有Wasmtime、WasmEdge和WAMR。像是WasmEdge專案可支援不少知名AI技術框架，如OpenVINO、Pytorch、Tensorflow、MMGL/Llama2，也受到AI圈高度青睞。</p> <p><a href="https://www.ithome.com.tw/article/166268" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(51, 102, 255);"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1210-feng_mian_p1-dou_zi_-open-960x420_kao_bei_0.jpg?itok=bh7pAHR_" style="width: 600px;" /></span></strong></span></a></p> </div></div></div>
2024/11/29 12:26作者王宏仁https://www.ithome.com.tw/news/166267
WebAssembly如何成為雲原生生態圈關鍵技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:20px;"><strong><span style="color:#3366ff;">前篇報導請見：</span><a href="https://www.ithome.com.tw/news/166256" target="_blank"><span style="color:#3366ff;">Wasm是雲原生技術的下一步發展，更是GAI實現快速推論關鍵助力 </span></a></strong></span></p> <p>2023年是WebAssembly快速起飛的一年，CNCF和Wasm社群聯手，開始大力推廣這項技術，為了方便各界進行導入評估，他們盤點了相關專案和工具鏈，在第一屆WasmCon大會上正式發表了Wasm生態地圖（Wasm Landscape）第一版，後來也整合到原本的雲原生生態地圖中，成為其中一項子類別。</p> <p>CNCF在生態地圖中強調，WebAssembly的特性是一個安全的沙盒，可以提供一個輕量、快速、安全、跨語言、跨平臺的應用程式執行環境。這項技術快速成了雲原生技術的其中一項關鍵技術。</p> <p>Wasm的跨硬體環境、跨平臺和高效能計算能力，在這兩年爆紅的生成式AI浪潮中，也找到了新的應用場景，開始受到生成式AI開發社群和企業的重視。</p> <p>專門提供Wasm平臺服務的新創Fermyon技術長Radu Matie指出，許多AI開發者愛用容器技術來部署各式各樣的AI推論，就是希望能用更快的方式來回應模型推論的結果。但是，「容器化AI冷啟動最大的挑戰是，數GB的容器映像檔和LLM模型資料。」他強調。</p> <p>想要用GPU硬體來執行一隻AI推論程式，除了開發者自己的程式碼之外，還需要Nvidia的CUDA runtime，以及AI技術框架像是PyTorch、TensorFlow等函式庫，這樣的容器映像檔至少要4.8GB大小，再加上所用的LLM模型檔案大小可能高達10～50GB，想要建立一個容器化的AI推論應用，至少要15GB，也拖慢冷啟動的速度，往往需要30秒，甚至好幾分鐘，開發者多半得先啟動一隻AI推論服務來待命，這也限制了AI推論可部署和執行的模式。</p> <p>Radu Matie指出，若改用Wasm來封裝AI推論應用程式碼，只需要數MB檔案大小，而不需要數GB的容器映像檔，冷啟動速度可以大幅縮短到幾毫秒，也就千分之幾秒，可以切割出短暫的GPU算力，來提供「剛好即時（Just in time）」的AI推論回應。「不需要將GPU綁定到特定容器來待命，可以簡化和更善用GPU基礎架構的算力。」這正是吸引GAI開發者和相關技術專案開始嘗試Wasm的關鍵。</p> <p>甚至今年也出現了專門用Wasm打包的AI推論框架LlamaEdge，包括了一套10億參數量的Llama 2模型，檔案大小只有30ＭＢ，可以提供GPU原生應用執行速度，也能快速部署到Docker和K8s叢集中。 </p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>CNCF舉行首次Wasm大調查</strong></span></span></p> <p>CNCF在2023年底舉辦第一次的Wasm大調查，來了解開發者怎麼運用這項技術，調查了255位有Wasm實戰經驗的開發者。調查發現，Wasm應用範圍早已擴散到各類型的應用需求，不侷限於Web應用。6成開發用來打造Web應用，35%用於資料視覺化處理，也有3成2用於IoT環境，結合Wasm和AI應用的開發者也高達3成，這是最常見的四大類應用場景，也可以反映出Wasm技術目前最適合的四類場景。其他應用需求，像是遊戲、邊緣運算、加密、伺服器端服務也都有1～2成的採用比例。</p> <p>目前約有4成開發者高度願意繼續用於瀏覽器環境，而有2成6則願意用於非瀏覽器環境，不過，也有2成開發者擔心這項技術還在發展中，保持觀望態度，還沒決定未來是否要跟進採用。甚至有5~7％開發者更為謹慎，決定還沒有到可以採用的程度。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1210-cover-3-600-1-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-CNCF.png" style="width: 600px;" /></p> <p><span style="font-size:16px;"><strong><span style="color:#696969;">CNCF在2023年底公布首次Wasm大調查，顯示Wasm應用範圍已擴散到各類型的應用需求，6成開發者用來打造Web應用，35%用於資料視覺化處理，也有3成2用於IoT環境，結合Wasm和AI應用的開發者也高達3成。</span></strong></span><span style="font-size:14px;"><span style="color:#696969;">圖片來源／CNCF</span></span></p> <p>Wasm技術最吸引開發者的特色，包括了超快啟動速度，可以用於探索新應用，以及可跨專案共享程式碼、可提高JavaScript效能、滿足高運算任務的需求、可到處執行的二進位檔等等。這些都是吸引開發者，讓他們願意，甚至很想用的原因。</p> <p>開發者打造Wasm應用所用的開發語言排名，JavaScript理所當然是第一名，高達45%，幾乎有一半的Wasm應用採用了JavaScript，其次則是C#（31%）、C++（30%）、Python（29%）和Java（29%）。特別的是，用COBOL這個老牌語言來打造Wasm的開發者竟然也高達15%。超過34%的開發者在開發專案中開始採用WASI，另有34%開發者預計未來一年會採用。</p> <p>對於可以提供元件模式的WASI專案，多數Wasm開發者都知道這項專案，目前有34%的開發者正在用，也有3成預計未來一年會開始採用。吸引開發者採用WASI的主要原因，高達四成看上了WASI能讓Wasm程式碼具有可移動性（Portability），也能大幅簡化Wasm的部署。另外減少複雜度、提高WebAssembly原生能力和Runtime獨立性，都是WASI受到青睞的原因。目前WASI專案也計畫比照Wasm，申請成為W3C標準，正在提案討論過程中。Wasm開發者最期待WASI未來可以增加HTTP、IO/streams、SQL這三項能力。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1210-cover-3-600-2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-CNCF.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1210-cover-3-600-2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-CNCF.png" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><span style="font-size:16px;"><strong>根據CNCF在2023年底公布的Wasm大調查，開發者頭號痛點是除錯困難，像是現有除錯工具的支援還不夠，第二項困難是不同Runtime的效能差異很大，導致開發者得自行挑選適合自己應用場景的runtime，增加開發專案管理的複雜度。</strong></span></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／CNCF</span></p> <p>不過，從這次調查中，也可以看到目前Wasm開發的挑戰和相關工具還不夠成熟，有待發展之初。Wasm開發者最頭痛的三大困難，高達2成開發者認為除錯非常困難，像是現有除錯工具的支援還不夠或是得自己尋找除錯作法，第二項困難是不同Runtime的效能差異很大，這就導致開發者得自行挑選適合自己應用場景的runtime，或是針對不同場景採用不同的runtime，這也增加了開發專案管理的複雜度。第三個挑戰也是runtime的問題，高達15%的Wasm開發者認為現有Wasm runtime的開發者體驗落差太多，彼此的操作習慣，命令語法差異很大，得學習不同套的作法，提高了不少學習門檻和開發複雜度。其他開發挑戰還有像是，缺乏了更完整的工具、學習資源不足、特定瀏覽器有相容問題、需要不少程式碼客制等挑戰。</p> <p>這些困難都是Wasm目前技術發展的挑戰，也是相關Wasm工具鏈未來的機會。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>WASI小組加速發展元件模式，要讓不同語言的Wasm元件直接互動</strong></span></span></p> <p>Cosmonic技術長Bailey Hayes也是WASI小組共同主席。這位將Wasm推廣到瀏覽器以外世界的關鍵推手，在今年初KubeCon歐洲大會的演講中，她介紹了WASI最新的元件模式，目前是預覽第二版，也就是0.2版，吸引了雲原生社群的高度關注。這個WASI元件模式，可以讓不同開發語言所編譯的Wasm程式，有一套標準的輸入輸出方式，互相溝通，甚至放到同一個更大的Wasm元件中互動。舉例來說，用Go語言寫的Wasm元件，和用Rust語言寫的Wasm元件，有共同的標準輸入輸出方式，就像用同一種語言開發的元件一樣，甚至可以把這兩個元件，放入一個更大的Wasm元件中混用。這個元件模型，讓Wasm具備了跨各種語言的能力。</p> <p>Bailey Hayes指出，元件模式將會限制不同元件只能用標準輸入、輸出管道來確保安全性，但也可以在元件內部建立全域式變數和記憶體，用同一個runtime的跨元件間呼叫速度，甚至可以短到奈秒等級的超高速回應。她預告，新版WASI 0.2版草案標準即將完成，就會納入這個全新的元件模式。</p> <p>不只如此，WASI在0.2版中，也將開始支援網路能力，換句話說，Wasm元件不只是可以在單一應用環境中彼此溝通，未來也看好能與外部環境，甚至網際網路上的第三方應用元件相互溝通，有了網路溝通能力，也可以讓Wasm元件更適合用來打造一支支微服務程式碼，甚至建立一個全用Wasm元件組成的微服務架構。</p> <p>下一步，Bailey Hayes預告，WASI預覽第三版的0.3版，要進一步開始讓WASI支援原生的非同步能力，讓瀏覽器外的wasm元件，可以用非同步的方式，來彼此呼叫和協作，這是2025年接下來的發展重點。</p> <h3> </h3> <p><span style="font-size:20px;"><strong><span style="color:#3366ff;">後續報導請見：</span><a href="https://www.ithome.com.tw/news/166267" target="_blank"><span style="color:#3366ff;">WebAssembly生態圈有哪些重要專案？Wasm生態地圖重點剖析</span></a><span style="color:#3366ff;"> </span></strong></span></p> <p><a href="https://www.ithome.com.tw/article/166268" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(51, 102, 255);"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1210-feng_mian_p1-dou_zi_-open-960x420_kao_bei_0.jpg?itok=bh7pAHR_" style="width: 600px;" /></span></strong></span></a></p> </div></div></div>
2024/11/29 12:27作者王宏仁https://www.ithome.com.tw/news/166257
阿里巴巴釋出具備325億個參數的QwQ-32B-Preview模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>阿里巴巴的Qwen Team本周釋出了<a href="https://qwenlm.github.io/zh/blog/qwq-32b-preview/" target="_blank">QwQ-32B-Preview</a>，這是一個具備325億個參數，脈絡長度為32,768個Token，強調推論能力的實驗性研究模型，在AIME及MATH-500等數學能力基準測試上的表現，勝過了OpenAI的o1-preview，在程式生成及解決程式設計問題的LiveCodeBench測試上亦有出色的表現。開發人員已可透過Hugging Face<a href="https://huggingface.co/Qwen/QwQ-32B-Preview" target="_blank">存取</a>該模型。</p> <p>Qwen團隊指出，藉由深入探索及無數試驗，發現當模型有足夠的時間思考、質疑及反射時，它對數學與程式碼的理解就會深化，這種細致的反思與自我質疑的過程，令模型能夠取得解決複雜問題的突破性進展，並在許多測試上取得卓越的成績，像是評測高階科學問題解決能力的GPQA，涵蓋算數、代數、幾何與概率等中學數學的AIME，包含500個測試樣本的MATH-500，以及實際生成程式碼的LiveCodeBench。</p> <p>QwQ-32B-Preview在AIME與MATH-500的測試成績分別達到50與90，超越OpenAI o1-preview的44.6及85.5，而它在GPQA及LiveCodeBench的成績則是65.2及50，低於o1-preview的72.3及53.6。</p> <p>不過，QwQ-32B-Preview模型目前仍有許多問題，包括它可能會在回答中使用不同的語言，影響表達的連異性；在處理複雜的邏輯問題時，偶爾會落入無盡的循環；可能產生不恰當或具偏見的回答；除了數學及程式碼之外，它在其它領域仍有進步空間。</p> <p>此外，根據TechCrunch的<a href="https://techcrunch.com/2024/11/27/alibaba-releases-an-open-challenger-to-openais-o1-reasoning-model/" target="_blank">報導</a>，由於這是中國製的模型，因此已自行內建各種符合該國政策的審核機制，例如它不會回應針對天安門事件的詢問，還說臺灣是中國不可分割的一部分。先前TechCrunch也曾<a href="https://techcrunch.com/2024/07/24/a-new-chinese-video-generating-model-appears-to-be-censoring-politically-sensitive-topics/" target="_blank">發現</a>，由中國快手所建置的影片生成模型Kling，也會拒絕生成有關中國國家主席習近平的影片。</p> </div></div></div>
2024/11/29 12:32作者陳曉莉https://www.ithome.com.tw/news/166274
Google Gemini App開放Workspace企業及教育用戶下載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="https://workspaceupdates.googleblog.com/2024/11/now-available-gemini-mobile-app-for-workspace-users.html" target="_blank">宣布</a>，Gemini Android及iOS版獨立應用程式已提供Workspace用戶下載，在行動裝置上作業更方便。</p> <p>Gemini App讓用戶可存取Workspace中的核心Gemini服務（core service）。利用App，企業用戶可在行動期間查詢資訊、研究，或利用手機拍攝手寫筆記、再匯入到Google Docs或Gmail，或將白板上的圖表轉成數位圖表。在App上的資料處理和傳輸，也都能獲得Workspace的資料保護。</p> <p>Google同時宣布手機版App擴大部署到教育方案用戶，可以核心或附加服務存取Gemini。用戶必須以企業和教育版帳號登入使用。</p> <p>Gemini App目前已支援150多國家地區及語言。但是部分Web版Workspace服務目前還未部署到Gemini App上，包括Workspace外掛、檔案上傳和客製化個人助理Gemini。Google日前再為Gemini加入超過13種檔案類型的支援，包括TXT、DOC、DOCX、PDF、XLSX及Google Sheets與Docs，最多一次可上傳10個檔案，每個檔案最大100MB。</p> <p>iOS版Google App並不支援以Google Workspace帳號驗證，因此想用Workspace帳號驗證的iOS用戶必須下載Gemini App。而在Android版Gemini App方面，目前尚不支援Work Profile。</p> <p>這次變更對以附加服務存取Gemini App的Workspace用戶不會有影響，他們可以持續存取Gemini App。</p> </div></div></div>
2024/11/29 10:26作者林妍溱https://www.ithome.com.tw/news/166271
零售IT雙周報第46期：統一資訊在小七門市推出程序化數位戶外廣告服務，拓展RMN生意同時吸引過客入店
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000FF;"><strong>重點新聞(1117~1130)</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#RMN #RTB #pDOOH</span></strong></span></p> <p><strong>統一RMN通路再加一，小七門市開始提供程序化數位戶外廣告服務</strong><strong>，行銷對象從店內顧客轉為為店外過客</strong></p> <p>統一資訊和Martech廠商TenMax合作，在統一超商門市架設數位看板，提供pDOOH（程序化數位戶外廣告）聯播網服務。廣告主可根據特定時間、地點、天氣、人流等數據，來選擇廣告投放時間地點。此服務支援即時競價和即時數據優化。此系統與統一集團既有的Presco RMN系統定位不同。Presco是針對店內消費者行銷，pDDOH則是透過面對店外的數位廣告看板，鎖定門市外過路消費者，期望同時達到溝通行銷訊息，以及吸引過客進店購物兩個目的。</p> <p>此服務透過總部線上系統統一管理廣告競標及投放，無須從各個門市端設定。每個廣告上線前都會即時競價，並依照廣告主設定的CPM預算上限、當下有哪些品牌正在競價、選擇的門市及時段，來廣告價格。</p> <p>廣告系統還有整合統一資訊的商家檔案智慧管理系統，廣告主可以用來檢視門市細緻數據，來調整投放組合。</p> <p>pDOOH螢幕上設有鏡頭，會追蹤並整合人流數據到廣告系統。統一資訊強調，系統僅會進行人流分析、不會辨識人臉，也不會與 POS 串接。</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#視覺辨識 #OMO零售 #LBS</span></strong></p> <p><strong>Google Lens開始支援線下商店的商品搜尋，還可以即時跟附近商家比價</strong></p> <p><a href="https://blog.google/products/shopping/google-maps-lens-holiday-shopping/">Google圖像搜尋服務Google Lens開始支援更多線下購物的搜尋情境</a>。現在上傳實體門市中的商品照片，就能查詢商品資訊、類似商品的存貨情況、附近商家同款商品的比價，以及其他消費者評論。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/gles.png" style="height: 506px;" /></p> <p>這與他們日前在Google Maps上新增的功能類似，差別是進一步搭配了AI圖像辨識技術。背後數據包含彙集450億件商品的Shopping Graph數據集、不同零售業者的存貨數據，以及使用者精確定位數據。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#自動化倉儲 #ASRS #DWS #DAS</span></strong></span></p> <p><strong>Momo南區物流中心亮相，每日商品吞吐量達16萬件商品</strong></p> <p>Momo正式啟用位在臺南的南區儲配運輸物流中心，層級等同於桃園的北區物流中心，在主倉、衛星倉、衛星站之上。<a href="https://www.ithome.com.tw/news/166125">啟用當日，他們也揭露了智慧物流設備及流程。</a></p> <p>進貨階段，小尺寸商品會經過DWS（體積重測量系統）測量尺寸及重量，透過跨樓層的螺旋輸送機，送至倉儲存放。大尺寸商品則會堆疊在棧板上，透過快速棧板升降機，送進不同樓層的AS/RS（自動倉儲系統）儲存。</p> <p>揀貨階段，DAS（自動分貨系統）會從棧板式及穿梭式兩種AS/RS系統取出貨物，並用系統控制燈號來提示揀貨人員，將同一訂單商品快速放到同一物流箱給分裝人員。分裝完，空箱會由機械手臂堆疊，以利後續回收。商品則會透過輸送帶運回理貨、出貨區。由每小時能掃描7,500個紙箱上QR Code的感應門，依據訂單資訊，將商品導流到14條輸送帶上，由工作人員理貨、載貨上車。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#自動化物流 #彈性包材尺寸 #環保包材</span></strong></span></p> <p><strong>Amazon如何改造物流中心，支援全紙質包材</strong></p> <p><a href="https://www.aboutamazon.com/news/sustainability/amazon-fulfillment-center-eliminates-plastic-packaging">Amazon宣布，已經成功將首間大型物流中心完全改造成支援0塑膠包材，全面利用紙質材料來包貨。</a>他們改造了既有設備，也打造了新型設備，來從塑膠和紙質包材混合的模式轉變為全紙質包材，同時降低紙質包材用量、強化易回收性。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/amaz.jpg" style="width: 600px;" /></p> <p>首先，他們改造了原本用塑膠袋來包裝小件商品貨的機器，增加了感應器，串聯到機器學習模型，來辨認衣物、廚具、運動用品等商品的尺寸及適合的紙質包材。接著，就會裁切出適當尺寸的可熱封紙，來打包商品。這種包裝方法所耗費的包材，最多會比固定尺寸的瓦楞紙箱輕上9成。這種可熱封紙，也是Amazon內部自行開發出的材料。</p> <p>他們還打造了新型包貨用機器，同樣能即時測量商品尺寸，並用輕型瓦楞紙來製作適當大小的紙箱。此機器在所有可以彈性調整包材大小的自動包貨機中，支援尺寸範圍最廣。另外，當易碎商品需要用緩衝時，他們改用紙質填充物來取代塑膠泡泡紙。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#自動化物流 #短鏈物流 #訂單履行 #BOPIS</span></strong></span></p> <p><strong>Walmart訂單履行自動化幅度較去年增加1倍，降低40%物流成本</strong></p> <p><a href="https://seekingalpha.com/article/4738715-walmart-inc-wmt-q3-2025-earnings-call-transcript">近日法說會中，Walmart CFO John David Rainey表示</a>，自家訂單履行中心已有5成作業能自動化，幅度是去年同時的兩倍。這大幅降低了他們在美國的物流成本，平均訂單成本減少了4成。</p> <p>除了大力擁抱自動化物流，Walmart也積極布局以門市為履行中心的短鏈物流，利用AI物流平臺來優化訂單履行不同環節，並計算出每家分店的訂單履行能力，來最大化從門市出貨的服務範圍。他們還開始加大門市空間中，用來支援實體門市出貨及BOPIS（線上下單線下取貨）等電商功能的面積。截至11月底，Walmart由門市直接履行的電商訂單總數較去年多出了2成。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#百貨公司 #生成式AI #個人化推薦</span></strong></span></p> <p><strong>連鎖服飾百貨Nordstrom用生成式AI來強化搜尋及個人化時尚推薦功能</strong></p> <p><a href="https://www.prnewswire.com/news-releases/wonder-all-the-way-with-nordstrom-this-holiday-season-302302089.html">在美國有數百家分館的服飾百貨Nordstrom用生成式AI來強化會員App功能。</a>首先是搜尋功能，使用者可以用自然語言來描述商品，而不用根據商品名稱或關鍵字來搜尋。這對於商品取名規律較發散的服飾業來說，尤其重要。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/nordst.png" style="width: 600px;" /></p> <p>另外一個功能是個人化時尚商品推薦，由生成式AI結合Nordstrom造型師設計、時尚趨勢及個人消費紀錄等數據，來推薦使用者同時符合流行及自身喜好的商品。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態</span></strong></span></p> <p>1. <a href="https://walmartrealm.com/?trk=public_post-text#/viewer/mountain/chalet">Walmart自家沉浸式電商體驗Walmart Realm因應聖誕季增加了AR體驗、展示空間跟遊戲</a></p> <p>2. <a href="https://www.prnewswire.com/news-releases/kroger-celebrates-the-joy-of-connecting-with-food-this-holiday-season-302303572.html">大型連鎖超市Kroger在串流平臺的經典聖誕電影中加入QR Code，讓消費者可以購買劇中料理所需食材</a></p> <p>3. <a href="https://www.ithome.com.tw/news/166151">純線上旅遊電商如何應用Martech月賺千萬，還靠自建追蹤碼歸因行銷成效</a></p> <p>4. <a href="https://www.ithome.com.tw/news/166150">臺灣外送龍頭如何靠外送特色打造零售媒體聯播網服務</a></p> <p>資料來源：iThome整理，2024年11月</p> <p>責任編輯：郭又華</p> <p>圖片來源：統一資訊、Google、Amazon、Nordstrom</p> <p></p> </div></div></div>
2024/11/29 10:08作者郭又華https://www.ithome.com.tw/news/166270
Google推開發者計畫Premium會員，供開發者付費取得額外資源與服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google針對其開發者計畫（Google Developer Program）推出<a href="https://developers.googleblog.com/en/introducing-the-google-developer-program-premium/">Premium付費會員服務</a>，目的是提供更全面的資源和個人化支援，進一步協助開發者推進專案開發、學習與部署。該付費計畫是建立在原有免費的計畫基礎上，並新增額外的工具和服務，進一步鞏固自家開發者生態系。</p> <p>Google在今年I/O大會發布免費開發者計畫，開放全球開發者加入，提供基本技術支援服務，像是技術文件中的Gemini人工智慧助理、Cloud Learning點數和專案工具的使用。該計畫已經吸引了數百萬開發者參與。</p> <p>而Premium付費會員，則進一步擴展原計畫的服務範圍，新增多項專屬資源，例如每年提供500美元的Google雲端點數，支援開發者啟動新專案並試驗新技術，並在開發者每年取得第一個Google雲端認證之後，再額外提供500美元點數。</p> <p>另外，Premium會員還包括無限制存取Google Cloud Skills Boost平臺上700項互動實驗和課程，供開發者學習和掌握新技術，同時，該服務還提供一對一專家諮詢，讓會員能夠針對特定專案需求獲得個人化建議。會員可以透過新增的福利儀表板（Benefits Dashboard），集中管理新功能。</p> <p>Google表示，Premium付費會員是根據Cloud Innovators Plus計畫的成功經驗，進一步整合並改進Google開發者生態系，提供開發者更多支援與工具。</p> </div></div></div>
2024/11/29 08:23作者李建興https://www.ithome.com.tw/news/166265
傳統水泥廠也能轉型智慧工廠，亞東預拌用IT革新生產流程
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一聯想水泥廠，多數人仍停留在3K（危險、辛苦、骯髒）的刻板印象，殊不知，臺灣本土一家混擬土製造商早已開始透過數位化工具、AI技術，對傳統水泥生產流程進行全面革新，推動工廠朝向更加數位化、智慧化的目標邁進。</p> <p>這一場數位科技革新，約自4年前展開，「我們不再只是傳統製造業，而要變成科技數位化產業，將傳統工廠轉型成智慧工廠。」亞東預拌混凝土公司資訊處副理潘誼聰這樣說道。</p> <p>亞東預拌混凝土公司（以下稱亞東預拌）前身是亞洲水泥的水泥製品廠，隨著營運規模擴大，在1999年自公司分割成立，專門生產預拌混凝土及水泥製品。目前，亞東預拌工廠遍布臺灣和越南，共有20多間廠，每年出貨量更超過500多萬立方米。隨著工廠增加、營運規模壯大，亞東預拌對於IT重視日益提升，期望透過數位科技提升生產效率並確保品質穩定。</p> <p>潘誼聰表示，混凝土產線有項獨特的時限考驗，從原料車進廠、將桶裝原料攪拌至車上，再由成品車出工廠，過程不能超過30分鐘，每一個環節都得把關物料品質，如果未能落實即時管控，一旦發生問題，就可能造成損失，甚至面臨出貨違約的罰款。</p> <p>亞東預拌很早就展開數位化，自有一套IT作法，來協助整個混凝土出貨。內部許多作業流程也陸續改用e化方式處理，例如導入進銷存系統、公文簽核系統、郵件系統、車輛排班刷卡系統等，持續沿用了很多年。然而，隨著工廠數量增加及公司規模成長，舊有的系統漸漸無法滿足公司營運發展的需求，必須全面升級甚至翻新。</p> <p>潘誼聰回憶，剛加入亞東預拌時，他大膽提出數位改革計畫，一口氣提出比以往多十倍的IT預算，近2千萬元，當時他擔心預算過高可能遭刪減和質疑，可是，最後順利通過預算，一毛都沒有少。「正因為亞東預拌高度重視IT改革，願意放手讓我推動這場資訊大轉型」他說。</p> <p>潘誼聰推動改革第一步，導入伺服器虛擬化技術，集中整併IT資源。資訊團隊花了3個月多完成10多套系統的虛擬化，包含銷售系統、發貨系統、薪工系統、物料系統等核心系統，來大幅優化IT運作效率並降低管理複雜度。</p> <p>同一時間，潘誼聰更以私有雲為基礎來打造新的IT架構，以滿足未來營運發展所需。他提到，私有雲的優勢是，可以根據需求彈性調度資源，例如每月結帳高峰期可優先分配更多資源給銷售系統使用，平日時則回收資源供其他系統運用。此外，若有臺機器發生故障，也可以透過動態遷移機制，迅速將負載轉移到私有雲中的其他機器，確保系統穩定運作。</p> <p>潘誼聰以下水道工程來比喻，沒有穩固地基，就無法建造大樓，「IT改革的過程，如同挖地基、下水道工程，是支撐未來發展的關鍵基礎。」而私有雲、虛擬化的導入，正是用來建造亞東預拌IT下水道工程的重要基底。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>用eTag標籤偵測預拌車的進出，作為排班依據</strong></span></span></p> <p>不只翻新IT架構，潘誼聰也著手優化內部生產作業環節。他上任後優先導入新一代排班系統，改用eTag感應標籤偵測預拌車的進出，取代過去排班刷卡的做法，進一步優化排班作業流程。</p> <p>eTag這項技術來自遠東集團旗下另一子公司遠通電收，在國道全線電子收費系統所採用的感測裝置。車輛只要安裝了eTag卡，通過eTag感應門架時，就能夠自動記錄車輛資訊，供計算通行費使用。亞東預拌IT部門與遠通電收合作，將這套技術延伸至排班作業，作為車輛調度的重要參考依據。</p> <p>潘誼聰表示，eTag最大好處在於，解決了過去刷卡流程導致的進出車流堵塞問題。過去排貨人員需下車刷卡，車輛數量一多便容易造成排隊與與延誤。改用新機制後，預拌車只需經過感應區域，eTag便可自動記錄進場順序及車牌號碼，不僅減少塞車情況，也能有效落實先進先出（FIFO）原則，進一步提升進出場流程的順暢度，確保產能穩定。</p> <p>亞東預拌在2017年開始導入eTag排班系統，潘誼聰採取漸進式的導入策略，先以高雄仁武新廠作為示範場，待系統運作穩定後，再逐步推廣至其他廠區。這項技術後來更擴大到更多作業場景，像是車輛下料檢核、過磅檢核流程，透過自動感應提升作業效率與準確性，方便調度中心人員迅速判斷車輛載重和運送配方是否正確。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1210-CIO-%E6%8A%BD%E8%A8%80-600.png" style="width: 600px;" /></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>積極推動數位轉型，更訂定5年轉型方針</strong></span></span></p> <p>在2020年，亞東預拌高層做了一個重要決定，決定展開數位轉型，訂定了5年數位轉型方針，要徹底改變混凝土產業的營運模式，並透過數位科技革新，強化資訊安全與員工安全，有效提升整體營運效率和產品品質。</p> <p>亞東預拌數位轉型第一步，先在工廠中部署了大量IoT感測器和智慧電表，持續蒐集能耗、溫濕度和空氣品質等數據，並整合到戰情室儀表板上進行即時監控。為了分析各項營運數據，資訊部門於2022年導入BI商業智慧系統進行資料分析與商業分析，並建置EIS營運管理系統，納入國內20個廠及越南2個廠的經營績效進行管控。透過此系統，管理階層能即時查看各廠的生產資訊，包括當前產量、實際出貨量及預計出貨量，也能結合歷史資料，呈現依據不同時間區間的營運成果分析，例如年度、季度或去年同期的比較等，作為高層決策的參考依據。</p> <p>在品質管理上，亞東預拌不僅設立實驗中心，負責檢驗每批原料的品質，還開發出了一款專用App，便於記錄和追蹤原料的品質，進而提升作業效率與準確性。</p> <p>潘誼聰表示，過去，品管資訊先用紙本記錄，再輸入電腦，常因紙張髒污導致資訊模糊不清。如今，品管人員用App可以快速完成品質記錄，有助於掌握各項原料的入料狀況與庫存品質，並能統整分析檢驗數據，若發現問題，還能迅速追溯並識別出有問題的原料。</p> <p>不只用App記錄原料品質，亞東預拌在生產過程中也部署大量IoT感測器，用於蒐集生產數據，包括生產狀況與環境參數等資訊，以提升品質穩定性，甚至在2023年開始結合AI技術進行品質監控，透過數據分析與即時反饋，進一步優化生產流程與成品品質。</p> <p>為了讓IT部門能更專注於數位化推展，亞東預拌在2018進行IT組織調整，將原隸屬於財務處的資訊科獨立出來，升格為資訊處，滿足更多工廠轉型、營運發展需求。</p> <p>亞東預拌的IT部門雖僅有5人，卻需支援全臺20多個工廠的生產穩定運作，如何升作業效率是關鍵。潘誼聰擔任資訊主管後，先對總公司與各廠之間的網路專線進行全面升級，不僅汰換老舊專線，還將傳輸速度從2Mbps提升至百Mbps，使各廠的資料能快速回傳總公司，為往後更多轉型計畫奠定基礎。</p> <p>IT團隊也利用這個專線快速連線至各廠，遠端協助排除問題，並定期將各廠資訊設備的運作狀況回傳至總公司，一有異常就會通知相關人員處理，確保生產順暢。亞東預拌在每一個廠都有一套發貨系統，沿用多年，他上任後也一併汰換，改新系統取代。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>讓各部門自行開發RPA解決各自流程痛點</strong></span></span></p> <p>數位轉型第3年，亞東預拌導入RPA機器人流程自動化服務，將流程中重複的人工作業場景進行自動化，迄今已累積完成50多支RPA，其中17支RPA已推行到各廠，涵蓋外部環境、競爭者分析、財務報表、營運管理、銷售訂單、應收帳款、區廠損益成本分析、職安、行銷、人力資源、品質管理等項目。</p> <p>與一般企業通常由資訊部門主導開發RPA不同，亞東預拌採取了不同的策略，由IT部門提供工具，讓各單位能自行開發RPA。為此，亞東預拌不僅開設課程教導各部門如何開發RPA，還每年舉辦內部競賽，鼓勵員工發揮創意，找出業務或流程中的痛點，再由內部專家小組進行評選，選出最具實用性的應用，優先推行至各工廠。例如，有部門利用RPA解決每日廢棄物申報的問題，或是即時發送各區天氣狀況的通知，幫助工廠預防雨天對生產品質的影響。</p> <p>自RPA導入以來，為亞東預拌帶來不少效益，不僅年省5.4萬小時的工時，也替公司節省了近三千萬元的人事費用。</p> <p>亞東預拌的永續目標是朝向2030年碳減半、2050年零碳排目標邁進。亞東預拌早早透過IoT技術、智慧電表持續蒐集能耗、各項動力成本和用水數據，加強內部碳排放數據的蒐集和管理，也利用品質管理App記錄每批混凝土供應所產生的碳排放數據，用於範疇三供應鏈碳追蹤和管理。此外，自2021起先後取得ISO 14064組織型溫室氣體盤查、ISO 14067碳足跡和ISO 14046水足跡查證，成為國內首家通過BS 8001循環經濟查核的預拌混凝土企業。</p> <p>亞東預拌接下來將推動數位和永續雙軸轉型，更擬訂未來三年九大數位轉型方案，目標是在2024年走向AI數位執行階段、2025年進入數位優化與推廣階段、2026年進入數位大師階段。</p> <p>亞東預拌去年開始導入生成式AI技術，並開發出財務專用客服機器人，讓高層管理者可以用自然語言方式詢問營運上的相關問題，例如這個廠現在產量多少，或過去這個月某一天哪個廠產能表現最好等，幫助管理者快速了解各廠的營收、產能狀況等。他表示，未來將持續優化AI生成式語言模型架構，增加數據分析能力，提高營運績效。</p> <p>亞東預拌還計畫透過增強式AI演算法，發展智慧化生產計畫排程及運輸排程，未來也將AI應用於職安領域，結合無人機和AI影像辨識技術，即時偵測設備的銹蝕、污染和危險行為，進一步提升安全管控。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>亞東預拌混凝土公司資訊處副理潘誼聰</strong></p> <p>學歷：逢甲大學資訊工程碩士</p> <p>經歷：在上市櫃公司擔任IT主管多年，曾擔任過花仙子資訊副理、泰詠電子資訊課長、山富國際旅行社資訊經理，也具備有在供應商、客戶端等多方歷練，2016年進到亞東預拌混凝土公司擔任資訊主管，負責協助公司推動數位轉型，邁向智慧工廠</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1210-CIO-300.jpg" style="width: 300px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>亞東預拌混凝土公司</strong></p> <p>地址：新北市汐止區大同路一段139號</p> <p>網址：<a href="http://www.yatung.com.tw">www.yatung.com.tw</a></p> <p>成立時間：1999年</p> <p>主要業務：水泥及混凝土製品生產</p> <p>員工數：500人</p> <p>董事長：李坤炎</p> <p>總經理：金崇仁</p> <p>資本額： 20億元</p> <p>年營收：約140億元（2023年）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：副理</p> <p>資訊部門主管姓名：潘誼聰</p> <p>資訊部門名稱：資訊處</p> <p>資訊部門人數：5人</p> <p>每年IT預算：2仟萬元</p> <p>資訊部門分工：系統維運、程式開發設計</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2016年：開始導入私有雲、資訊系統全面虛擬化</p> <p>●2017年：導入Exchange Server取代Lotus Notes Mail、導入郵件備份Mailbase</p> <p>●2018年：導入新人類公文簽核系統、導入電子發票系統</p> <p>●2020年：導入eTag排班系統，取代刷卡排班系統、建置IoT智慧能源管理系統、IoT溫溼度監控系統、空氣品質監測系統</p> <p>●2022年：導入商業智慧BI、導入品質管理App</p> <p>●2023年：ISO 27001 ISMS資訊安全管理系統上線、導入機器人流程自動化RPA、自行建置LLM高階管理專用財務客服機械人</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1210-cio-960.jpg" width="960" height="420" alt="" title="亞東預拌混凝土公司資訊處副理潘誼聰" /></div></div></div>
2024/11/29 06:00作者余至浩https://www.ithome.com.tw/people/166244
醫療科技新創AlleyPin專攻醫病整合系統，下一步考慮生成式AI優化回診追蹤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今（11/28）醫療科技新創AlleyPin揭產品布局，他們專攻雲端醫病管理服務，其下3支主力產品包括整合預約和回診追蹤的醫病關係管理系統（PRM）、供病患線上掛號和預約諮詢的醫病媒合平臺，以及幫助院所經營品牌的醫療品牌顧問服務。其中，全臺已有1,200多家診所採用其系統，涵蓋牙醫、西醫、中醫和醫美等科別，今年9月也進軍日本，目前已有20家診所採用。接下來，他們也考慮用Google雲端平臺既有的生成式AI資源，來優化其下產品。</p> <p><span style="font-size:22px;"><strong>2017年起家，瞄準診所數位化管理痛點推3款產品</strong></span></p> <p>AlleyPin共同創辦人暨執行長周翊軒指出，團隊在2017年成立，2019年推出首支產品，是針對牙醫診所的Line客戶管理管理（CRM）服務，隔年則推出協助院所經營的醫療品牌顧問服務。</p> <p>2021年則是一大分水嶺，產品從牙醫擴展到其他科別，如醫美、中醫、西醫等，並針對全科別診所推出PRM服務1.Talk醫點通，客戶數也成長至500多家院所。2022年則推出數位醫病媒合平臺PinMed，目前已有5,000多位醫師在該平臺上架，至今也共有1,200多家診所使用他們的服務，占全臺診所約5%。</p> <p>AlleyPin共同創辦人暨營運長羅偉誠進一步說明，他們的產品以病人旅程為基礎，鎖定了看診前、看診中和看診後等三大流程，要來解決診所數位化管理和經營痛點。比如，他們的醫病媒合平臺今年整合Google地圖預約功能，民眾在看診前、透過地圖搜尋診所時，就能直接預約合作診所，該資訊也會與診所HIS同步串聯。</p> <p>再來，他們的醫病媒合平臺也結合Line提供線上約診功能，就算診所休診也能預約、掛號。民眾看診前，平臺也會發送提醒，並將看診與否的資訊同步到HIS中。</p> <p>到了看診階段，系統還整合Google商家評論，方便民眾直接評價，也利於診所好評累積。</p> <p>看診後，PRM服務還提供貼標分群、分眾管理功能，來讓診所掌握客群輪廓。此外，該服務也能結合Line，可發送個人化衛教資訊和回診提醒，如洗牙、領慢箋、疫苗注射等都包括在內，可增加回診率。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_6424.JPG" /></p> <p>內湖一家家醫科診所新明診所院長謝天仁在現場指出，使用系統服務2年多來，大幅提高回診率，也節省護理師大量的人工作業成本。尤其，以往每個月底，護理師都得查看HIS、找出慢性病人回診的名單，再一一打電話提醒，人數大約是400人，非常耗時耗力，回診率也不算好。</p> <p>但透過系統自動比對、發送提醒，將回診率從6成提高至9成，省下用簡訊、電話提醒3、400位患者的成本。</p> <p>他也分享，診所營業數年，Google評價一直只有60多條，但透過新服務介接評價，至今累積了982條，大多為正面評價，提供診所醫師正向回饋。</p> <p><span style="font-size:22px;"><strong>今年擴展到日本要整合在地EMR系統、電子處方箋和旅日臺人病歷資料</strong></span></p> <p>周翊軒透露，今年，AlleyPin獲得的A輪資金挹注，運用於3大方向發展。首先是海外拓展，他們以日本為海外第一站，因為日本醫療模式與臺灣相似，尤其日本有全民健保，需顧及健保與自費患者，與臺灣相似；再加上文化、地緣共通性，都習慣使用Line、Google地圖，產品調整門檻低。</p> <p>今年9月，他們也在日本成立子公司，並在11月獲得20家日本診所採用，還有50家正在洽談和試用，科別涵蓋牙科、內科、美容醫學、皮膚科等。</p> <p>另一個要發展的方向是強化對日產品研發，比如要將系統整合至日本診所的電子病歷系統。周翊軒解釋，日本約有50多家醫事管理系統廠商，大都具備標準化API，其生態圈模式已相當成熟，預計AlleyPin明年第一季可支援導入日本2萬6千多家診所。再來，他們也將產品連動電子處方箋，來提高領藥便利性。因為日本看診後，主要由院外藥局負責配藥，而透過電子處方箋連動，診所可在患者看診後，自動通知指定藥局來配藥，加速作業。另外，AlleyPin還要整合旅日臺人病歷系統資料，只要病人授權，未來在日本就醫時，就能同步查看病歷資料，提供更好的就醫體驗。</p> <p>第3個AlleyPin要發展的方向，則是組建日本團隊，來協助產品開發和行銷，滿足在地診所需求。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_6418.JPG" /></p> <p>由於產品本身以Google雲平臺開發，羅偉誠也補充，他們正觀察Google生成式AI和一般AI的應用場景，未來可能用來優化回診追蹤，透過生成式AI提供更暖心的內容。又或是用AI來處理複雜的預約排班行程，來簡化診所作業。</p> <p></p> </div></div></div>
2024/11/28 19:17作者王若樸https://www.ithome.com.tw/news/166266
檔案共享伺服器ProjectSend存在重大漏洞，已被用於實際攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週資安業者VulnCheck針對<a href="https://vulncheck.com/blog/projectsend-exploited-itw">檔案共享平臺ProjectSend重大漏洞CVE-2024-11680提出警告</a>，並指出該漏洞雖然前幾天才正式登記CVE編號，但其實是去年就被發現、修補，而且，已有駭客將其用於攻擊行動。</p> <p>ProjectSend是開源檔案共享應用程式，該專案在GitHub得到1,500顆星，根據Censys威脅情報平臺的分析資料，全球約有超過4千套ProjectSend系統。但資安業者VulnCheck發現，大部分的伺服器仍在執行存在漏洞的舊版ProjectSend。</p> <p>為何會如此？原因可能與這項漏洞遲遲沒有登記CVE編號，開發團隊也並未發布相關資訊有關。這項漏洞起因是身分驗證不當，攻擊者可在未經身分驗證的情況下，向options.php發送偽造的HTTP請求，從而遠端觸發漏洞，一旦成功，攻擊者就能竄改應用程式組態、建立帳號、上傳Web Shell，或是嵌入惡意JavaScript指令碼，CVSS風險評為9.8，開發團隊發布r1720版修補。</p> <p>該漏洞最早是資安業者Synactiv去年1月通報，<a href="https://github.com/projectsend/projectsend/commit/193367d937b1a59ed5b68dd4e60bd53317473744">開發團隊5月嘗試修補</a>，到了今年7月，<a href="https://www.synacktiv.com/sites/default/files/2024-07/synacktiv-projectsend-multiple-vulnerabilities.pdf">Synactiv公開對這項漏洞提出警告</a>，開發團隊8月才正式提供修補程式。</p> <p>值得留意的是，到11月26日VulnCheck登記CVE編號之前，已有ProjectDiscovery、Rapid7兩家資安業者，將這項弱點的規則加入弱點掃描工具<a href="https://github.com/projectdiscovery/nuclei-templates/blob/main/http/vulnerabilities/projectsend-auth-bypass.yaml">Nuclei</a>、滲透測試工具<a href="https://github.com/rapid7/metasploit-framework/blob/master/modules/exploits/linux/http/projectsend_unauth_rce.rb">Metasploit</a>，而這樣的情況，使得攻擊者想要透過濫用這些工具鑽漏洞，變得更加容易。</p> <p>對於漏洞出現實際攻擊行動的情況，VulnCheck留意到從網際網路存取的ProjectSend伺服器約有208臺，自9月開始遭到竄改，入口網站的標題變成一長串的隨機字串，而這些字串的規則，正好與Nuclei與Metasploit加入的漏洞測試規則雷同，換言之，攻擊者很可能利用這些規則竄改伺服器。</p> <p>研究人員使用GreyNoise的威脅分析平臺進行搜尋，結果發現122個攻擊來源IP位址，大部分來自德國，但也有愛爾蘭、英國、澳洲、日本。這樣的情況，代表可能有多組人馬試圖利用漏洞。</p> <p>他們看到攻擊者一旦成功利用漏洞，就會接著啟動使用者註冊功能，從而取得特殊權限。此外，攻擊者很可能在網站根目錄（webroot）上傳Web Shell的情況。</p> <p>但在此同時，鮮少有ProjectSend伺服器完成更新。研究人員指出，僅有1%左右執行r1750版，採用2022年10月推出的r1605，佔了55%，而其餘（44%）執行去年4月發布的版本（未公布版號）。考慮到尚未修補的情況非常嚴重，研究人員推測，攻擊者很可能已經準備大肆對這種伺服器展開攻擊。</p> </div></div></div>
2024/11/28 17:15作者周峻佑https://www.ithome.com.tw/news/166258
【資安日報】11月28日，第一款針對Linux主機的UEFI Bootkit現身
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>埋藏在UEFI韌體的惡意啟動工具UEFI Bootkit相當神秘，攻擊者藉此隱匿行蹤，並能從開機階段就挾持整臺電腦，讓執行於作業系統之上的防護機制失效，這樣的情況最近有了新的變化。</p> <p>本週資安業者ESET揭露新的惡意啟動工具Bootkitty，並指出雖然這支程式很可能仍在開發階段，但是第一個專門針對Linux作業系統的UEFI Bootkit，後續發展相當值得留意。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166255"><strong style="font-size: 22px;">研究人員揭露名為Bootkitty的惡意UEFI Bootkit，專門鎖定Linux主機而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Bootkitty-figure-6-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Bootkitty-figure-6-1.png" style="width: 300px; float: right;" /></a></p> <p>最近幾年，駭客針對UEFI開機系統打造惡意啟動工具（UEFI Bootkit）的情況，約自2020年開始已有數起事故傳出，攻擊者利用這種工具竄改電腦的安全啟動機制，從而突破Windows作業系統的安全防護，甚至是停用防毒軟體與EDR系統。但如今，這類工具也出現專門針對Linux作業系統下手的情形。</p> <p>資安業者ESET指出，他們近期看到有人在VirusTotal上傳未知的UEFI應用程式，檔名是bootkit.efi，經過分析確認是惡意UEFI啟動工具，研究人員將其命名為Bootkitty，並指出與過往同類工具最大的不同，在於它是針對Ubuntu作業系統特定版本而開發。</p> <p>根據分析結果，研究人員認為Bootkitty很可能在早期開發階段，只是進行概念性驗證（PoC），而非積極活動的駭客用來作案的工具，僅管可能沒有實際的危害能力，但這代表執行Linux的電腦又多了一個可被侵入的管道，並顯示攻擊者正積極鎖定這類電腦開發相關工具。</p> <p><a href="https://www.ithome.com.tw/news/166258"><strong style="font-size: 22px;">檔案共享伺服器ProjectSend存在重大漏洞，已被用於實際攻擊行動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/shodan-victims.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/shodan-victims.png" style="width: 300px; float: right;" /></a></p> <p>本週資安業者VulnCheck針對檔案共享平臺ProjectSend重大漏洞CVE-2024-11680提出警告，並指出該漏洞雖然前幾天才正式登記CVE編號，但其實是去年就被發現、修補，而且，已有駭客將其用於攻擊行動。</p> <p>ProjectSend是開源檔案共享應用程式，該專案在GitHub得到1,500顆星，根據Censys威脅情報平臺的分析資料，全球約有超過4千套ProjectSend系統。但資安業者VulnCheck發現，大部分的伺服器仍在執行存在漏洞的舊版ProjectSend。</p> <p>對於漏洞出現實際攻擊行動的情況，VulnCheck留意到從網際網路存取的ProjectSend伺服器約有208臺，自9月開始遭到竄改，入口網站的標題變成一長串的隨機字串，而這些字串的規則，正好與Nuclei與Metasploit加入的漏洞測試規則雷同，換言之，攻擊者很可能利用這些規則竄改伺服器。</p> <p><a href="https://www.ithome.com.tw/news/166225"><strong style="font-size: 22px;">美國證實Array Networks旗下SSL VPN系統重大漏洞已出現攻擊行動</strong></a></p> <p>1月25日美國網路安全暨基礎設施安全局（CISA）發布公告，他們將去年一項重大層級的已知漏洞CVE-2023-28461新列入已遭利用漏洞（KEV）清單，要求聯邦機構必須在12月16日完成修補。</p> <p>這項漏洞存在於安瑞科技（Array Networks）Array AG系列SSL VPN設備，以及虛擬化版本vxAG，原因是重要功能缺乏身分驗證機制造成，攻擊者有機會利用漏洞讀取SSL VPN閘道的本機檔案，或是執行任意程式碼，CVSS風險達到9.8，影響9.4.0.481以前版本的作業系統。安瑞於去年3月9日公布這項漏洞，並於同月17日提供修補程式。</p> <p>雖然CISA並未透露攻擊者如何利用這項漏洞，不過這項資安公告發布的前幾天，趨勢科技公布中國駭客組織Earth Kasha的最新一波攻擊行動裡，其中一項用來取得初始入侵管道的SSL VPN漏洞，就是CVE-2023-28461。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/11/apt-c-60-exploits-wps-office.html">駭客組織APT-C-60鎖定StatCounter、Bitbucket伺服器，意圖散布惡意軟體SpyGlace</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-godloader-malware-infects-thousands-of-gamers-using-godot-scripts/">惡意程式GodLoader迴避偵測出現新手法，駭客濫用遊戲引擎感染1.7萬臺電腦</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/infostealers-vietcredcare-and-ducktail-fuel-facebook-business-account-exploitation/">越南駭客透過企業臉書帳號散布竊資軟體VietCredCare、DuckTail</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/chinese-hackers-breached-t-mobiles-routers-to-scope-out-network/">針對傳出遭遇中國駭客入侵，T-Mobile公布最新調查結果</a></strong></p> <p><strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-godloader-malware-infects-thousands-of-gamers-using-godot-scripts/"></a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166245"><strong style="font-size: 22px;">已終止維護的D-Link數據機存在重大漏洞，近6萬臺設備曝險</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/e9DooFv6gX.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/e9DooFv6gX.png" style="width: 300px; float: right;" /></a>11月11日台灣電腦網路危機處理暨協調中心（TWCERT/CC）發布公告，指出D-Link數據機DSL-6740C存在一系列漏洞，由於該設備今年初已達到終止支援（EoS）階段，D-Link將不會進行修補，呼籲使用者應汰換設備。由於使用這款設備的用戶絕大多數都位於臺灣，寬頻網路的使用者應特別提高警覺。</p> <p>對此，12日D-Link也發布公告證實此事，並指出這款設備在今年1月15日已經結束支援，強烈建議用戶停止使用。</p> <p>這些漏洞分別是特權API不正確使用漏洞CVE-2024-1108、路徑穿越漏洞CVE-2024-11067，以及作業系統命令注入漏洞CVE-2024-11062、CVE-2024-11063、CVE-2024-11064、CVE-2024-11065、CVE-2024-11066，CVSS風險評分介於7.2至9.8。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-nachovpn-attack-uses-rogue-vpn-servers-to-install-malicious-updates/">Palo Alto Networks、SonicWall旗下SSL VPN系統存在新型態漏洞NachoVPN，攻擊者有機會為用戶端安裝惡意更新</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166249"><strong style="font-size: 22px;">重塑對企業資安聯防的溝通模式，TWCERT/CC將逐步從傳統事件通報提升到關鍵情資共享</strong></a></p> <p>為了提升臺灣民間企業的資安能力，不僅依賴個資法對全體企業的規範，以及金管會對上市櫃公司提出的各項要求，政府在協助企業提升資安能力方面，台灣電腦網路危機處理暨協調中心（TWCERT/CC）扮演著重要角色。</p> <p>隨著2024年元旦資通安全研究院（資安院）接手TWCERT/CC，各界都關心他們後續如何進一步協助民間企業。4月他們公布發展計畫，預告將持續推廣共同參與，拉攏更多企業加入TWCERT/CC免費會員，時隔超過半年的此刻，資安院在2024台灣資安通報應變年會，揭露目前最新相關進展。</p> <p>關於深化情資分享的具體做法，TWCERT/CC最近更是有了全新的策略，強調將以情資為主的溝通，扭轉大家對於通報的刻板印象。</p> <p><a href="https://www.ithome.com.tw/news/166187"><strong style="font-size: 22px;">「零信任博士」的實踐觀察，揭示零信任挑戰與應用未來</strong></a></p> <p>零信任架構（ZTA）在美國政府的推動下，已經成為全球政府與企業積極推動的網路安全架構，臺灣從政府到企業也非常認同零信任架構。在這個理論推動的過程中，除了有零信任架構的提出者、現任Illumio傳道士John Kindervag，各界稱之為「零信任之父」外，另外也有被譽為「零信任博士」（Dr. Zero Trust）的Dr. Chase Cunningham。</p> <p>Chase Cunningham日前來臺參加「零信任架構實踐高峰論壇」的媒體專訪時表示，零信任架構的核心原則是「永不信任，始終驗證」（Never Trust、Always Verify），這一原則徹底顛覆了傳統網路安全模型中對內部邊界的信任假設。他指出，隨著數位化轉型、雲端技術的普及以及第三方供應商的依賴，對傳統的「信任邊界」模式已經不再適用，企業需要重新定義網路安全的基石。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166236"><strong>【11月27日】攻擊者串連Firefox與Windows的零時差漏洞，能在使用者毫無察覺的狀況下植入惡意程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166203"><strong>【11月26日】軟體供應鏈業者Blue Yonder遭遇勒索軟體攻擊，客戶受到波及</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166190"><strong>【11月25日】俄羅斯駭客在軍事行動前夕，藉由跳版入侵目標組織的無線網路環境</strong></a></p> </div></div></div>
2024/11/28 17:27作者周峻佑https://www.ithome.com.tw/news/166259
行政院推打詐策略行動綱領2.0，提高產業防詐監管力度、AI科技防詐是關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為遏止詐騙盛行，行政院推動新世代打擊詐欺策略行動綱領2.0版（後簡稱打詐策略行動綱領2.0），除強化金融、電信產業的防詐策略，也擴大納入數位經濟產業，提高對產業監管力度以對抗各種詐騙手法，並且積極運用AI以強化科技防詐。</p> <p>打詐策略行動綱領2.0，打詐辦公室轉型為打詐指揮中心，分為識詐、堵詐、防詐、阻詐、懲詐5個面向，分別由內政部、NCC、數發部、金管會、法務部負責，各自針對警政宣傳、電信產業、數位經濟產業、金融產業、偵查提出打詐對策，並由打詐指揮中心跨部會協調合作，2.0也加強中央政府和地方政府合作，取得通報、共同打詐防詐。</p> <p>行動綱領2.0包含強化AI防制、深化跨境合作、監管防詐產業、強化被害人保護4大重點；其中針對產業方面，除了金融、電信產業，還擴大數位經濟面的防詐，包括網路廣告平臺、第三方支付服務、虛擬資產服務、網路連線遊戲、電商產業的防詐監管力度。</p> <p><span style="color:#B22222;"><strong>介接政府機關資料庫強化電信預付卡客戶KYC</strong></span></p> <p>以電信產業為例，鼓勵電信業者強化運用AI技術分析涉詐的異常行為，協助司法警察機關防詐。另外，考慮到許多詐騙手法使用人頭電信門號，為加強對人頭門號的清查，行動綱領2.0在電信業防詐工作重點是，介接相關機關資料庫，加強對電信客戶的KYC查核工作，以過濾高詐騙風險的用戶，限制或拒絕提供其電信服務。</p> <p>以客戶申請電信門號舉例，如為本國籍客戶申辦門號，電信業者除了查核該客戶的雙證件資料，並查詢內政部的國民身分證領補換資料庫，進一步驗證證件的真偽，最後再查詢165的防詐聯合風險管理系統資料庫，查詢該客戶是否為登錄在案的高風險客戶，進一步限制或拒絕提供服務，避免詐騙集團取得人頭門號。</p> <p>對於非本國籍人士申請電信門號，後端連線至移民署相關資料庫，驗證外籍人士在臺狀態，最後也要查詢165的防詐聯合風險管理系統資料庫，若發現為高風險客戶，即限制或拒絕提供服務。</p> <p>針對非本國籍人士申請預付卡後，出境後遺留的預付卡被詐騙集團利用，在打詐條例、查詢辦法實施前，NCC要求電信業者針對使用預付卡的外籍人士，查詢該外籍客戶的身分資料是否齊全，如果需要補齊身分資料，需在二周內到實體門市補齊資料、完成查核，如果沒有在兩周內核資，則予以停斷話該門號。</p> <p>在打詐條例、查詢辦法實施之後，未來非本國籍人士使用的預付卡門號，電信業者需要每月分批定期查詢移民署出入境資料庫，如查詢該預付卡客戶已出境，則要求在二周內到門市核資，如果沒有在期限內至門市核資，則限制或停止其服務，如果該名客戶仍在臺灣則仍可以正常使用門號。</p> <p>NCC表示，此舉目的在避免非本國籍人士出境外，將預付卡轉售給詐騙集團不法使用。根據清查，國內有約221萬非本國籍預付卡門號，目前仍有210萬預付卡門號尚待清查，NCC準備在12月要求電信業者加大力道，對非本國籍預付卡門號通知客戶核資處理。</p> <p><span style="color:#B22222;"><strong>更多數位經濟產業納入防詐策略</strong></span></p> <p>行動綱領2.0也擴大數位經濟面的防詐策略，由主管機關數位部要求數位經濟產業配合政府的防詐政策，包括網路廣告平臺、電商、第三方支付、虛擬資產服務、網路連線遊戲。</p> <p>數位部數位產業署代理署長林俊秀表示，新的打詐策略行動綱領2.0，在數位經濟面向，包括6大防詐策略，防止網路詐騙廣告、遏止詐騙網站、建立政府專用短碼簡訊發送機制、加強電商資安維護、防制第三方支付詐騙、避免遊戲點數淪為詐騙工具。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96-%E6%95%B8%E4%BD%8D%E7%B6%93%E6%BF%9F6%E7%AD%96%E7%95%A5600.jpg" style="width: 600px; height: 339px;" /></p> <p>先前在行動綱領1.5，數位部已運用一些數位工具協助防詐，例如為避免物流業者洩漏電商客戶資料的物流隱碼技術，還有政府專用的111短碼簡訊平臺，以及遊戲點數商會員的OTP驗證等等。</p> <p><strong><span style="color:#B22222;">推動網路廣告平臺廣告刊登實名制，建立詐騙廣告通報機制</span></strong></p> <p>在新世代打詐策略行動綱領2.0裡，對詐騙廣告盛行的網路廣告平臺，數位部明確表示相關子法將在11月30日前發布，將要求網路廣告平臺強化廣告來源的實名認證，要求業者以安全性相當的技術或方式，來驗證委托刊登廣告或廣告出資者的身分，並在廣告中揭露。數位部日前已和幾個大型網路廣告平臺業者，如Google、Line、Meta等溝通網路廣告實名制，目前Google及Line已實施實名制，其他業者最晚將在12月初推動身分驗證機制。</p> <p>網路詐騙廣告遏止也見成效，網路廣告平臺依照詐騙態樣分析，掃描高風險詐騙案件，以高風險的金融投資詐騙廣告掃獲件數為例，從2024年最高單周約7.9萬件降到2024年10月的單周近7千件，相當於減少9成，而冒用名人身分的網路詐騙廣告也降低到單周約3,600多件，同樣減少約9成，從數據來看，金融投資詐騙廣告及冒用名人身分詐騙廣告發現的件數雙雙下跌。</p> <p>為方便民眾檢舉網路詐騙，數位部今年建置網路詐騙通報查詢網，不過，目前數位部計畫配合行動綱領2.0，改進網路詐騙通報查詢網，以降低民眾接觸到網路詐騙廣告，數位部預期這項防詐政策，每年通報可疑網路詐騙廣告約6萬件。</p> <p>針對假造的詐騙網站，數位部已和IASP、TANet管理者業者合作，包括數位部管理的GSN，在收到目的事業主管機關、司法機關通報詐騙網站，透過DNS RPZ屏蔽假造的詐騙網站。</p> <p>至於政府機關專用的111短碼簡訊平臺，供民眾辨別信任來自政府機關的通知簡訊，未來111短碼簡訊平臺將會擴大給公立學校、國公營事業也能使用。至於商用方面，也推5碼的商用簡碼簡訊機制，和其他部會合作鼓勵產業使用。數位部預期未來每年發送約2千萬則政府專屬短碼簡訊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96-%E7%9F%AD%E7%A2%BC%E7%B0%A1%E8%A8%8A600.jpg" style="width: 600px; height: 338px;" /></p> <p>數位部也和電商合作，例如與蘋果公司合作，針對Apple Store卡儲值，利用AI偵測儲值態樣，找出可疑的異常行為阻詐；而針對的第三方支付服務的能量登錄，目前已有64家業者完成登錄，未來繼續強化推動登錄制度，另外也對第三方支付的虛擬帳號建立查詢平臺，讓警調單位可以查詢並通知第三方支付業者，原本流程約需7到30天，但緩不濟急，因此希望透過新的查詢平臺，將時間縮短至1到3天。</p> <p><span style="color:#B22222;"><strong>金融業強化跨機構防詐、善用AI科技防詐</strong></span></p> <p>金管會也配合打詐策略行動綱領2.0，除了繼續推動金融業者的臨櫃防詐關懷，公減少民眾疑似被騙的提款、匯款異常行為，也強化金融機構跨機構防詐，並且鼓勵金融機構運用AI技術協助防詐。</p> <p>例如對人頭帳戶詐騙、洗錢詐騙、信用卡詐騙，建立電子化通報平臺，以及涉詐帳戶及交易的預警機制。</p> <p>金管會銀行局長莊琇媛指出，臨櫃關懷阻詐方面，從2023年到現在，累計阻詐件數約2.2萬件，阻詐金額達115億元，涉詐境外金融帳戶預警已攔阻275件，金額約2.26億元。</p> </div></div></div>
2024/11/28 18:15作者蘇文彬https://www.ithome.com.tw/news/166264
研究人員揭露名為Bootkitty的惡意UEFI Bootkit，專門鎖定Linux主機而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾年，駭客針對UEFI開機系統打造惡意啟動工具（UEFI Bootkit）的情況，約自2020年開始已有數起事故傳出，攻擊者利用這種工具竄改電腦的安全啟動機制，從而突破Windows作業系統的安全防護，甚至是停用防毒軟體與EDR系統。但如今，這類工具也出現專門針對Linux作業系統下手的情形。</p> <p>資安業者ESET指出，<a href="https://www.welivesecurity.com/en/eset-research/bootkitty-analyzing-first-uefi-bootkit-linux/">他們近期看到有人在VirusTotal上傳未知的UEFI應用程式</a>，檔名是bootkit.efi，經過分析確認是惡意UEFI啟動工具，研究人員將其命名為Bootkitty，並指出與過往同類工具最大的不同，在於它是針對Ubuntu作業系統特定版本而開發。</p> <p>為了讓啟動工具能夠通過UEFI開機流程，駭客使用自行簽署的憑證，替Bootkitty「漂白」，電腦啟動流程皆可進到執行Linux核心的階段，並在開機管理程式GRUB執行前，在記憶體內進行必要的完整性驗證功能，然而，這項工具的主要目的就是停用Linux的核心簽章驗證功能，並透過init處理程序預先載入2項來路不明的ELF執行檔。</p> <p>對於攻擊者的身分，雖然開發者自稱是BlackCat，但研究人員認為與勒索軟體BlackCat（Alphv）無關，原因是這些駭客雖然自稱BlackCat，Bootkitty是以C語言開發而成，但BlackCat其實是資安研究人員的稱呼，該組織自稱ALPHV，而且他們自始至終都用Rust語言開發惡意程式。對照之下，很有可能是兩組不同的攻擊者。</p> <p>另一方面，根據分析結果，研究人員認為Bootkitty很可能在早期開發階段，只是進行概念性驗證（PoC），而非積極活動的駭客用來作案的工具，僅管可能沒有實際的危害能力，但這代表執行Linux的電腦又多了一個可被侵入的管道，並顯示攻擊者正積極鎖定這類電腦開發相關工具。</p> </div></div></div>
2024/11/28 15:13作者周峻佑https://www.ithome.com.tw/news/166255
已終止維護的D-Link數據機存在重大漏洞，近6萬臺設備曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11月11日台灣電腦網路危機處理暨協調中心（TWCERT/CC）發布公告，指出D-Link數據機DSL-6740C存在一系列漏洞，由於該設備今年初已達到終止支援（EoS）階段，D-Link將不會進行修補，呼籲使用者應汰換設備。由於使用這款設備的用戶絕大多數都位於臺灣，寬頻網路的使用者應特別提高警覺。</p> <p>對此，12日D-Link也<a href="https://supportannouncement.us.dlink.com/security/publication.aspx?name=SAP10414">發布公告證實此事</a>，並指出這款設備在今年1月15日已經結束支援，強烈建議用戶停止使用。</p> <p>這些漏洞分別是特權API不正確使用漏洞<a href="https://www.twcert.org.tw/tw/cp-132-8227-f3f3b-1.html">CVE-2024-1108</a>、路徑穿越漏洞<a href="https://www.twcert.org.tw/tw/cp-132-8226-0b07b-1.html">CVE-2024-11067</a>，以及作業系統命令注入漏洞<a href="https://www.twcert.org.tw/tw/cp-132-8221-601c3-1.html">CVE-2024-11062</a>、<a href="https://www.twcert.org.tw/tw/cp-132-8222-eb5bb-1.html">CVE-2024-11063</a>、<a href="https://www.twcert.org.tw/tw/cp-132-8223-f6da0-1.html">CVE-2024-11064</a>、<a href="https://www.twcert.org.tw/tw/cp-132-8224-d939e-1.html">CVE-2024-11065</a>、<a href="https://www.twcert.org.tw/tw/cp-132-8225-3d882-1.html">CVE-2024-11066</a>，CVSS風險評分介於7.2至9.8。</p> <p>根據CVSS風險評分，最嚴重的是重大層級的CVE-2024-1108，攻擊者可在未經身分驗證的情況下，利用特定的API隨意修改使用者的密碼，並以該使用者的帳號存取網頁、SSH、Telnet等服務，風險值達到9.8。</p> <p>路徑穿越漏洞CVE-2024-11067也相當值得留意，因為也同樣能在未經授權的情況下利用，一旦攻擊者成功觸發漏洞，就有機會讀取任意的系統檔案。值得留意的是，由於數據機的預設密碼與MAC位址有關，若是攻擊者利用這項漏洞得到MAC位址，便能試圖以預設密碼登入裝置，CVSS評分為7.5。</p> <p>其餘的作業系統命令注入漏洞，取得管理者權限的攻擊者能夠遠端利用，並透過SSH或Telnet的特定功能執行任意的系統命令，CVSS風險為7.2。</p> <p>針對這些漏洞曝險的情況，已有國外媒體報導此事，當時資安新聞網站Bleeping Computer<a href="https://www.bleepingcomputer.com/news/security/d-link-wont-fix-critical-bug-in-60-000-exposed-eol-modems/">透過物聯網搜尋引擎FOFA搜尋</a>，有59,083臺具有資安風險的數據機，其中在臺灣的有59,077臺；事隔2週，數量僅略為減少，我們今天經由FOFA搜尋，結果發現仍有多達57,949臺仍在運作的數據機，其中57,945臺位於臺灣，顯然很多人並未意識到此事的嚴重性。</p> <p>對於此事，我們也向通報漏洞的趨勢科技紅隊資安研究員Steven Meow進一步確認，他表示這批漏洞的危險之處，在於中華電信提供許多個人用戶及政府機關這款數據機，上述漏洞的影響範圍相當廣泛，他估計有超過6萬臺裝置曝露於遠端執行任意程式碼（RCE）的危險，而且，這些裝置大部分仍在運作。</p> <p>對於前述提及管理員帳密可被猜測的情況，Steven Meow也提及10月底已被登記為CVE-2024-48271，<a href="https://gist.github.com/stevenyu113228/e264c145d6e6e6b59cf53fddc27409ad#1--predictable-administrator-credentials-in-d-link-dsl6740c-modem">這項漏洞存在於6.TR069.20211230版韌體</a>，涉及管理員的帳密能夠被猜測的情形，攻擊者有機會遠端未經授權存取數據機的主控臺，CVSS風險達到9.8分。</p> </div></div></div>
2024/11/28 12:10作者周峻佑https://www.ithome.com.tw/news/166245
教育部揭精準健康跨領域人才培育成果
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>昨日（11/27）國科會第12次委員會議中，教育部揭露精準健康跨域人才培育計畫成果，包括已培育近4萬5千人次具生技和ICT技能的人才，其中就有運用AIoT技術的成大虛擬實境鏡像治療（VRMT）團隊，還在今年獲得美國FDA第二類虛擬實境復健軟體認證。同時，經濟部也在會後分享精準健康產業計畫進展，包括整合醫療院所資源，在全臺8家醫院建置臨床場域、推動56項數位及智慧醫材國產國用。</p> <p><span style="font-size:22px;"><strong>精準健康跨域人才培育重點1：共享教學資源</strong></span></p> <p>教育部資訊及科技教育司副司長邱仁杰指出，精準健康產業人才培育計畫，鎖定跨領域人才培養，目標是要透過中心與夥伴學校聯盟，建立跨校、跨域、跨產業共授共育的機制，來推動前瞻教研、產業實務和創新創業發展，打好精準健康跨領域人才基礎。尤其這類跨域人才，要具備生技和數位科技技能。</p> <p>就前瞻教研來說，目的是聚焦學校教學特色和產學師資專長，來提供共享的跨校授課資源。比如，由中心學校開授數位和智慧科技跨域課程，來讓夥伴學校透過遠距或實體收播，供跨校師生共同參與、共享資源。</p> <p>這類課程規畫分為3階段，包含打好基礎知識的基礎課程、導入數位科技實作的深化應用課程，以及整合式智慧應用實作。</p> <p><span style="font-size:22px;"><strong>精準健康跨域人才培育重點2：鼓勵組隊創新創業</strong></span></p> <p>在產業實務和創新創業發展部分，政府則整合跨部會資源，鼓勵學生組隊創新、創業。比如，學生組隊接受跨域課程培訓，這些課程有生技領域課程、創新創業跨域課程兩大類，其中後者面面俱到，有團隊組成管理、財務風險管理、創業精神、市場分析與行銷研究，還有生技技術、智財法規與管理、計畫實務演練等。</p> <p>課程培訓後，團隊可撰寫創業計畫書、由產學專家個案輔導，進入進階和高階培訓，再透過學校或外部育成機制，來進行創新創業。在這個階段，計畫中心會提供資源，來媒合創投和天使投資人、輔導參與國際競賽等。</p> <p>政府希望，創業成功的團隊能回饋經驗，成為種子業師，來輔導新一批學員。</p> <p>邱仁杰也分享創新創業實例，在這項計畫中，成大生醫工程系團隊學生先在2018年接受教育部創新創業課程培訓，課程內容涵蓋嵌入式系統、設計思維（Design Thinking）、商業化概念、生技醫材設計與開發等，完成後聯手成大醫院，組成虛擬實境鏡像治療（VRMT）團隊，來開發原型、展開學術研究臨床試驗。</p> <p>他們也在2023年修習AIoT數位精準健康的應用課程，以Nvidia Jetson Neno模組生成式AI進行上機實務培訓，優化模型產出。同年，他們也獲國科會科研創業計畫萌芽案補助，今年還成為臺灣首個取得美國FDA第二類虛擬實境復健軟體認證的大學院校。接下來，他們打算技轉，也考慮成立公司。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-11-28%20141011.png" /></p> <p>教育部盤點，自計畫推動以來，已培育具生技與數位科技跨域技能的人才，近4萬5千人次，也已輔導31個團隊創業成功。</p> <p><strong><span style="font-size:22px;">經濟部推精準健康產業跨域躍進計畫，瞄準4大痛點</span></strong></p> <p>另一方面，經濟部產發署也在六大核心戰略產業方案的大方向下，推動精準健康產業跨域躍進計畫，提出4大方針來解決4大痛點，包括加速產業投資，來滿足國內小規模生醫企業的資金需求；透過聯手醫院、建置驗證場域，來加速國產醫材研發和上市；媒合ICT廠商和醫院，來打造符合需求的智慧醫材產品，並輔導國外取證上市、加速商品化；以及帶領國內廠商參與國際商展，拓展國際市場佈局。</p> <p>在加速產業投資部分，經濟部統計，他們已經協助214家公司、541個品項取得生醫條例投資抵減資格，自2022年至今年，投資超過300億元。他們的「單一窗口」服務部分，自2022年至今年也協助172件廠商申請，帶動約960億元投資。</p> <p>至於建置驗證場域，則在全臺8家醫療院所打造了醫材驗證場域，推動56項數位和智慧化醫材國產國用，試用人次達14,160人。加速商品化部分，則已經為65案提供了符合醫療需求的產品技術開發和臨床測試輔導，另也為36案提供法規輔導和上市申請，其中已有9項產品於歐盟、美國、印尼和臺灣上市。</p> <p>在國際市場布局部分，經濟部統計，2022年至2024年共帶領了159家廠商參展，成功的國際商業合作文件簽署共有77件，協助爭取了602.2萬美元訂單。</p> <p></p> </div></div></div>
2024/11/28 13:33作者王若樸https://www.ithome.com.tw/news/166247
微軟強調沒有使用Microsoft 365用戶文件訓練AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周澄清，說明並未使用Microsoft 365（M365）上廣大用戶的Word或Excel等文件，來訓練自家AI模型。</p> <p>一名使用者在Tumblr<a href="https://thethiefandtheairbender.tumblr.com/post/767470678692823040" target="_blank">指稱</a>，微軟近日在M365加入一項連結體驗（Connect Experience）功能，並且悄悄加入自願退出（opt-out）選項。文章指出，如同時下許多廠商，微軟將這項功能預設為開啟，一旦用戶未主動關閉，即意謂允許微軟擷取用戶在雲端上的Word、Excel文件作為資料集，用以訓練其AI模型。</p> <p>作者指稱，微軟的作法呼籲M365用戶透過以下路徑關閉這功能：檔案>選項>信賴中心>信賴中心設定>隱私選項>隱私設定>連結體驗，用戶應取消勾選「啟用隨選的連結體驗」這個選項。</p> <p>微軟透過<a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-says-its-not-using-your-word-excel-data-for-ai-training/" target="_blank">媒體</a>駁斥這項指控。微軟說不會使用M365消費者和商用應用程式來訓練LLM。</p> <p>而且連結服務的設定也和微軟訓練LLM方法無關。這<a href="https://learn.microsoft.com/en-us/microsoft-365-apps/privacy/connected-experiences#connected-experiences-that-download-online-content" target="_top">設定</a>是用於控制共同撰寫、即時文法建議和Web資源。微軟說，該公司很多年前就在生產力應用加入AI，例如PowerPoint中的Designer可生成更美觀的簡報、Word中的Editor可提供文法和寫作建議。但這些功能並不是仰賴生成式AI或LLM提供，而是使用機器學習演算法。</p> <p>微軟還說，連結服務2019年4月就預設開啟了，也不是最近才變更。同時對商業用戶而言，即使用戶開啟，管理員還是可以透過政策設定功能強制關閉，來保護公司資料安全及用戶隱私。</p> <p>在隱私和資安被放大檢視的今天，微軟可能也不敢使用用戶M365文件來訓練AI。微軟上周透過Windows Insiders方案，將Beta版AI功能Recall<a href="https://blogs.windows.com/windows-insider/2024/11/22/previewing-recall-with-click-to-do-on-copilot-pcs-with-windows-insiders-in-the-dev-channel/" target="_blank">釋出</a>給Copilot+ PC用戶，特別強調為預設關閉，用戶具有控制權、且資料加密儲存在電腦的隔離區中，存取Recall紀錄都必須經過身分驗證。在新功能中，Recall還加入Click to Do功能，可分析Windows PC螢幕快照，運用AI提供用戶建議以加速操作、節省時間及提升生產力。它也是Opt-in的應用程式，不會主動蒐集用戶使用行為資料。</p> </div></div></div>
2024/11/28 13:55作者林妍溱https://www.ithome.com.tw/news/166248
重塑對企業的聯防溝通模式，TWCERT/CC將逐步從聯防所需關鍵情資的角度出發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了提升臺灣民間企業的資安能力，不僅依賴個資法對全體企業的規範，以及金管會對上市櫃公司提出的各項要求，政府在協助企業提升資安能力方面，台灣電腦網路危機處理暨協調中心（TWCERT/CC）扮演著重要角色。</p> <p>隨著2024年元旦資通安全研究院（資安院）接手TWCERT/CC，各界都關心他們後續如何進一步協助民間企業。<a href="https://www.ithome.com.tw/news/163174">4月他們公布發展計畫</a>，預告將持續推廣共同參與，拉攏更多企業加入TWCERT/CC免費會員，時隔超過半年的此刻，資安院在2024台灣資安通報應變年會，揭露目前最新相關進展。</p> <p>其中TWCERT/CC會員數的增長是焦點之一，目前已有1,699家民間企業加入，相較於今年年初的1,260家，數量增加449名會員，比例已成長35％。</p> <p>關於深化情資分享的具體做法，TWCERT/CC最近更是有了全新的策略，強調將以情資為主的溝通，扭轉大家對於通報的刻板印象。特別的是，他們還闡釋了4大情資類別，涵蓋活動預警、駭侵事件、漏洞情資與IoC，希望外界可以更能明白情資內容與應用，同時也公布了成功開發電郵陷阱機制，以及與Shadowserver基金會合作等進展。</p> <h3><strong>將逐步以情資為溝通基礎，而非以事件通報角度來溝通，以利情資驅動的資安聯防</strong></h3> <p>資安院院長何全德強調，資安問題已不再是單一國家、企業或組織可以獨自有效解決，在資安院接手TWCERT/CC後，希望將過去技服中心的經驗，也能有效用於服務廣大的臺灣民間企業。</p> <p>關於TWCERT/CC的發展現況，由資安院通報應變中心主任孫偉哲上場說明。由於該場議程的TLP情資分級為「綠燈」，僅限領域內部人員使用，因此我們會後徵詢孫偉哲同意，揭露當中可公開的重點。</p> <p>他首先強調，TWCERT/CC為促進資安情資分享，將以「情資」取代「通報」的概念，這是其未來服務方向的一項全新轉變。</p> <p>為何會有這樣的改變？主要原因是，在過去一年推廣情資分享的過程中，他們發現民間企業較不願以通報角度來分享資訊，認為通報是嚴謹且繁瑣的程序，這也導致降低了參與意願。此外，企業也常誤解分享情資時需提供過於詳盡的內容。</p> <p>因此，TWCERT/CC希望以「情資」為溝通基礎，幫助企業理解其在聯防合作中的重要性。</p> <p>雖然大家對於情資、通報的定義仍很抽象，但孫偉哲解釋，情資分享的重點並非提供事件的全貌，主要聚焦於：遇到何種類型攻擊、可能攻擊標的、入侵指標（IoC）、攻擊手法等。</p> <p>換言之，情資分享並不是分享多少電腦伺服器受害，是否資料外洩等，這些內容對第一線聯防並無價值，無法幫助其他單位的聯防準備。</p> <p>因此孫偉哲指出，TWCERT/CC將逐步以情資角度來溝通，而非以事件通報為角度來進行溝通，這是後續推動上的調整重點。</p> <p>至於具體有哪些調整？對此，我們首先聯想到，這應該是指TWCERT/CC網站的服務頁面上，可以找到「一般資安通報」的線上服務。孫偉哲的回應是：未來TWCERT/CC的對外服務網站確實將進行全面改版，會以情資的角度，讓民眾與企業協助提供相應的資訊，以幫助提升聯防的成效。</p> <p>綜觀此一變化，我們認為，過去TWCERT/CC為了幫助企業遭遇資安事件的應處，提供事件通報的管道，隨著2023年他們發布企業資安事件應變處理指南，如今他們顯然更強調在聯防與情資交流。</p> <h3><strong>提供會員4大情資類別，中小企業受益最大</strong></h3> <p>在以情資驅動的聯防上，TWCERT/CC會員究竟可獲得哪些具體內容？孫偉哲表示，主要有4大情資類型，分別是：活動預警、駭侵事件、漏洞情資，以及入侵指標。</p> <p>而我們也好奇，這4大情資類型是否今年才開始畫分？他表示，過去TWCERT/CC就會將情資提供給會員，如今資安院接手維運的新作法就是，依照過往經驗將情資類別明確化，希望讓會員可以較能明白情資內容與應用，例如：</p> <p><strong><span style="color: rgb(0, 153, 255);">（一）活動預警情資</span></strong><br /> TWCERT/CC將研析外部提供的企業攻擊事件情資，從中發現共通性、淺在攻擊活動，提醒相關企業及早防範。他舉例，當發現一個針對特定領域的攻擊，雖然該企業可能不是正在被攻擊的對象，但接獲情資、知道風險可能上升時，就能預先做準備。當然，這也仰賴情資的價值程度，才能讓防範上更有針對性。</p> <p><span style="color: rgb(0, 153, 255);"><strong>（二）駭侵事件情資</strong></span><br /> 會根據外部或自主發現的攻擊事件情資，將相關資訊經分析後提供遭駭企業應處。例如TWCERT/CC在暗網、地下論壇發現有一家公司資料被販賣，一旦發現這樣的情資後，他們就會協助通知該公司。</p> <p>基本上，這應該是企業應該主動監控的範疇，但為了幫助更多缺乏資源的中小企業，因此TWCERT將協助通知，避免國內企業未能掌握此狀況。至於外洩資料是否為攻擊者設置的煙霧彈，或企業是否真正受害，仍需要收到情資的企業自行判斷與調查。</p> <p><span style="color: rgb(0, 153, 255);"><strong>（三）漏洞情資</strong></span><br /> 不論是已知漏洞未修補，或是零時差漏洞的問題，由於近年駭客經常利用漏洞作為攻擊起始點的態勢，因此企業必須有所掌握。當然，所有漏洞修補其實都有其重要性，不過，TWCERT/CC會更著重在高風險漏洞層面的分享，因為這些漏洞威脅更具急迫性。</p> <p>因此，他們每星期會參考美國CISA公布的已知漏洞利用清單，並彙整新遭利用的漏洞，同時也會統整出相對影響較高的漏洞，以及CVSS風險評分較高的漏洞，供廣泛的TWCERT/CC會員可以檢查，是否有受影響的設備，以及是否已經安排更新修補。</p> <p><span style="color: rgb(0, 153, 255);"><strong>（四）入侵指標情資</strong></span><br /> 基本上，IoC入侵指標的全名是Indicators of Compromise，主要是用於辨識惡意活動或安全事件的具體證據或跡象，包含IP地址、網域名稱（DN）、惡意檔案的HASH值，可以幫助資安團隊快速識別威脅。</p> <p>孫偉哲表示，如果不知道面對特定威脅該如何防護，也可以把這些情資部署於防護設備、設為黑名單。這對於普遍資源不充沛的中小企業而言，至少能有防護行動的開始。</p> <h3><strong>開發電郵陷阱機制，與Shadowserver合作，未來還將提升情資自研能量</strong></h3> <p>之所以有上述4大情資類別能夠交流分享、促進聯防，背後其實也仰賴多方威脅偵測的蒐集，才能產出這些預警情資。</p> <p>因此，TWCERT/CC日後也希望，有些情資可以是由自身研究來發現，進一步提升情蒐預警能力，而不像過去這方面的業務型態，全是仰賴從外部收到的情資，或是購買而來的情資。</p> <p>之所以有此改變，是因為過去計服中心在協助公務機關時，本身就會自己研究取得情資，因此資安院如今也希望將這樣的能量也用在民間企業，這會是未來一個重要發展方向。</p> <p>在促進情資交流上，現在TWCERT/CC也採取更積極的態度，像是針對發布資安重訊的上市櫃公司，他們會主動聯繫這些公司，詢問是否能協助提供IoC以利聯防。而且，目前也確實有企業願意分享這些入侵指標。</p> <p>在國內資安事件分析上，孫偉哲也揭露幾項統計數據，我們特別關注以下幾點，例如：在國內資安事件分析上，以今年2024年（至10月底為止）而言，勒索攻擊事件比例最高，佔所有事件的44.68%；在CVE漏洞審查方面，今年TWCERT/CC已公告130個CVE漏洞，當中多屬高風險漏洞；在惡意檔案檢測服務VirusCheck上，TWCERT/CC收到1,645筆可疑檔案需要檢測，以民間企業使用率最高，共發現44個惡意程式、12個IP位址與16個網域名稱。</p> <p>在國際情資分享上，今年TWCERT/CC已接獲1,660件國際資安情資，當中以惡意程式相關情報佔45.84%，比例最高。</p> <p>特別的是，他們也提到與國際組織Shadowserver基金會合作，共同研析國內產品資安漏洞，希望進一步提升台灣資安產品在國際市場的可信度。</p> <p>而在技術創新方面，TWCERT/CC也成功開發了一項自主電郵陷阱機制，專注於捕捉針對電子郵件的威脅行為，希望藉由發展更多威脅資訊來源，持續擴展自身的情蒐預警能力。</p> </div></div></div>
2024/11/28 14:03作者羅正漢https://www.ithome.com.tw/news/166249
美國針對微軟業務展開反托拉斯調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>彭博社（<a href="https://www.bloomberg.com/news/articles/2024-11-27/us-antitrust-watchdog-launches-broad-microsoft-investigation" target="_blank">Bloomberg</a>）及金融時報（<a href="https://www.ft.com/content/62f361eb-ce52-47c1-9857-878cfe298d54" target="_blank">The Financial Times</a>）周三（11/27）相繼引述消息來源報導，美國聯邦交易委員會（FTC）已針對微軟展開反托拉斯調查，正式要求微軟提供雲端運算、人工智慧（AI）及網路安全的產品的相關資訊。</p> <p>消息來源向彭博社透露，在FTC與微軟競爭對手及業務合作夥伴，進行了一年多的非正式訪談之後，反托拉斯的執法人員已制定一份長達數百頁的資訊請求，在FTC 主席 Lina Khan簽署之後送交微軟，同時FTC也會持續與微軟競爭對手討論此事。</p> <p>而金融時報則說，FTC正在審查微軟濫用其生產力軟體的市場力量，透過施加懲罰條款，來阻止客戶將資料從Azure轉到競爭對手的雲端平臺，包括增加那些離開公司的訂閱費率，收取高額的退出費用，以及讓Office 365與競爭對手的雲端不相容等。</p> <p>先前<a href="https://www.ithome.com.tw/news/165227" target="_blank">Google</a>亦曾向歐盟執委會（European Commission，EC）投訴微軟，內容頗為相似。</p> <p>這可能是拜登政府針對微軟的最後一次調查，因為新任總統川普（Donald Trump）即將於明年1月上任，也將重新指派FTC主席，惟目前尚不確定川普是否會放鬆對大型科技的監管。</p> <p>除了FTC與微軟之外，美國司法部日前<a href="https://www.ithome.com.tw/news/166148" target="_blank">提議</a>要求Google出售Chrome業務，以解決Google於搜尋市場的壟斷，此案預計在2025年由法院作出最終判決。</p> </div></div></div>
2024/11/28 14:12作者陳曉莉https://www.ithome.com.tw/news/166250
中國自駕車業者Pony AI登上美國那斯達克股市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國自駕車業者小馬智行（Pony AI）周三（11/27）藉由發行美國存托股票（American Depositary Shares，ADS），以PONY為代號登上了美國那斯達克股市，它的發行價為13美元，上市首日以12美元作收，下跌了7.69%。</p> <p>ADS是外國企業於美國上市的管道之一，企業先將股票交由美國的存託銀行管理，該銀行再根據這些股票發行ADS，供美國投資者以美元交易。它可減少直接於美國IPO的複雜度及所需遵循的法規，可維持在企業母國的上市地位，還能向美國投資人籌募資金，包括台積電及阿里巴巴都是藉由發行ADS在美上市。</p> <p>根據小馬智行向美國證券交易委員會（SEC）提交的<a href="https://www.sec.gov/Archives/edgar/data/1969302/000110465924109475/tm2310344-12_f1.htm#tDOAD" target="_blank">上市申請書</a>，小馬智行主要開發自動駕駛技術，並推出Pony Robotaxi及Pony Robotruck等自動駕駛車隊，其中，無人駕駛的Pony Robotaxi已有250輛計程車在中國北京、上海、廣州及深圳服務，並有190輛無人駕駛的卡車已投入營運。</p> <p>此外，小馬智行已與豐田（Toyota）及GTMC成立合資公司，以於中國推動無人駕駛計程車的大規模量產及部署，亦與中國的SAIC、GAC及FAW等汽車OEM業者合作，共同開發及量產無人駕駛計程車。除了中國市場之外，小馬智行也已將業務拓展至歐洲、東亞、中東及其它地區。</p> <p>小馬智行在2022年的營收為6,839萬美元，虧損近1.5億美元，2023年營收為7,190萬美元，虧損1.25億美元，今年前6個月的營收為2,472萬美元，虧損近5,200萬美元。</p> </div></div></div>
2024/11/28 12:56作者陳曉莉https://www.ithome.com.tw/news/166246
重塑聯防溝通模式，TWCERT/CC將以情資取代通報
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了提升臺灣民間企業的資安能力，不僅依賴個資法對全體企業的規範，以及金管會對上市櫃公司提出的各項要求，政府在協助企業提升資安能力方面，台灣電腦網路危機處理暨協調中心（TWCERT/CC）扮演著重要角色。</p> <p>隨著2024年元旦資通安全研究院（資安院）接手TWCERT/CC，各界都關心他們後續如何進一步協助民間企業。4月他們公布發展計畫，預告將持續推廣共同參與，拉攏更多企業加入TWCERT/CC免費會員，時隔超過半年的此刻，資安院在2024台灣資安通報應變年會，揭露目前最新相關進展。</p> <p>特別的是，關於深化情資分享的具體做法，TWCERT/CC有了全新的策略，強調將以情資為主的溝通，扭轉大家對於通報的刻板印象，他們同時公布，加入TWCERT/CC會員的民間企業已有1,699家。相較於今年年初的1,260家，增加449名會員，提升35.6%。</p> <h3><strong>將逐步以情資角度，而不是以事件通報角度來溝通，以利情資驅動的資安聯防</strong></h3> <p>資安院院長何全德強調，資安問題已不再是單一國家、企業或組織可以獨自有效解決，在資安院接手TWCERT/CC後，希望將過去技服中心的經驗，也能有效用於服務廣大的臺灣民間企業。</p> <p>關於TWCERT/CC的發展現況，由資安院通報應變中心主任孫偉哲上場說明。由於該場議程的TLP情資分級為「綠燈」，僅限領域內部人員使用，因此我們會後徵詢孫偉哲同意，揭露當中可公開的重點。</p> <p>他首先強調，TWCERT/CC為促進資安情資分享，將以「情資」取代「通報」的概念，這是其未來服務方向的一項全新轉變。</p> <p>為何會有這樣的改變？主要原因是，在過去一年推廣情資分享的過程中，他們發現民間企業較不願以通報角度來分享資訊，認為通報是嚴謹且繁瑣的程序，這也導致降低了參與意願。此外，企業也常誤解分享情資時需提供過於詳盡的內容。</p> <p>因此，TWCERT/CC希望以「情資」為溝通基礎，幫助企業理解其在聯防合作中的重要性。孫偉哲解釋，情資分享的重點並非提供事件的全貌，主要聚焦於：遇到何種類型攻擊、可能攻擊標的、入侵指標（IoC）、攻擊手法等。</p> <p>換言之，情資分享並不是分享多少電腦伺服器受害，是否資料外洩等，這些內容對第一線聯防並無價值，無法幫助其他單位的聯防準備。</p> <p>因此孫偉哲指出，TWCERT/CC將逐步以情資為溝通基礎，而非以事件通報為角度來進行溝通，這是後續推動上的調整重點。</p> <p>至於具體有哪些調整？對此，我們首先聯想到，這應該是指TWCERT/CC網站的服務頁面上，可以找到「一般資安通報」的線上服務。孫偉哲的回應是：未來TWCERT/CC的對外服務網站確實將進行全面改版，會以情資的角度，讓民眾與企業協助提供相應的資訊，以幫助提升聯防的成效。</p> <p>綜觀此一變化，我們認為，過去TWCERT/CC為了幫助企業遭遇資安事件的應處，提供事件通報的管道，隨著2023年他們發布企業資安事件應變處理指南，如今他們顯然更強調在聯防與情資交流。</p> <h3><strong>提供會員4大情資類別，中小企業受益最大</strong></h3> <p>在情資聯防上，TWCERT/CC會員究竟可獲得哪些具體內容？孫偉哲表示，主要有4大情資類型，分別是：活動預警、駭侵事件、漏洞情資，以及入侵指標。</p> <p>而我們也好奇，這4大情資類型是否今年才開始畫分？他表示，過去TWCERT/CC就會將情資提供給會員，如今資安院接手維運的新作法就是，依照過往經驗將情資類別明確化，希望讓會員可以較能明白情資內容與應用，例如：</p> <p>（一）活動預警情資</p> <p>TWCERT/CC將研析外部提供的企業攻擊事件情資，從中發現共通性、淺在攻擊活動，提醒相關企業及早防範。他舉例，當發現一個針對特定領域的攻擊，雖然該企業可能不是正在被攻擊的對象，但接獲情資、知道風險可能上升時，就能預先做準備。當然，這也仰賴情資的價值程度，才能讓防範上更有針對性。</p> <p>（二）駭侵事件情資</p> <p>會根據外部或自主發現的攻擊事件情資，將相關資訊經分析後提供遭駭企業應處。例如TWCERT/CC在暗網、地下論壇發現有一家公司資料被販賣，一旦發現這樣的情資後，他們就會協助通知該公司。</p> <p>基本上，這應該是企業應該主動監控的範疇，但為了幫助更多缺乏資源的中小企業，因此TWCERT將協助通知，避免國內企業未能掌握此狀況。至於外洩資料是否為攻擊者設置的煙霧彈，或企業是否真正受害，仍需要收到情資的企業自行判斷與調查。</p> <p>（三）漏洞情資</p> <p>不論是已知漏洞未修補，或是零時差漏洞的問題，由於近年駭客經常利用漏洞作為攻擊起始點的態勢，因此企業必須有所掌握。當然，所有漏洞修補其實都有其重要性，不過，TWCERT/CC會更著重在高風險漏洞層面的分享，因為這些漏洞威脅更具急迫性。</p> <p>因此，他們每星期會參考美國CISA公布的已知漏洞利用清單，並彙整新遭利用的漏洞，同時也會統整出相對影響較高的漏洞，以及CVSS風險評分較高的漏洞，供廣泛的TWCERT/CC會員可以檢查，是否有受影響的設備，以及是否已經安排更新修補。</p> <p>（四）入侵指標情資</p> <p>基本上，IoC入侵指標的全名是Indicators of Compromise，主要是用於辨識惡意活動或安全事件的具體證據或跡象，包含IP地址、網域名稱（DN）、惡意檔案的HASH值，可以幫助資安團隊快速識別威脅。</p> <p>孫偉哲表示，如果不知道面對特定威脅該如何防護，也可以把這些情資部署於防護設備、設為黑名單。這對於普遍資源不充沛的中小企業而言，至少能有防護行動的開始。</p> <h3><strong>開發電郵陷阱機制，與Shadowserver合作，未來還將提升情資自研能量</strong></h3> <p>之所以有上述4大情資類別能夠分享，背後其實也仰賴多方威脅偵測的蒐集，才能產出預警情資。</p> <p>例如，TWCERT/CC也希望日後有些情資可以是由自身研究來發現，進一步提升情蒐預警能力，而不像過去這方面的業務型態，全是仰賴從外部收到的情資，或是購買而來的情資。</p> <p>之所以有此改變，是因為過去計服中心在協助公務機關時，本身就會自己研究取得情資，因此資安院如今也希望將這樣的能量也用在民間企業，這會是未來一個重要發展方向。</p> <p>在促進情資交流上，TWCERT/CC也採取更積極的態度，像是針對發布資安重訊的上市櫃公司，他們現在會主動聯繫這些公司，詢問是否能協助提供IoC以利聯防。而且，目前也確實有企業願意分享這些入侵指標。</p> <p>在國內資安事件分析上，孫偉哲也揭露幾項統計數據，在國內資安事件分析上，以今年2024年（至10月底為止）而言，勒索攻擊事件比例最高，佔所有事件的44.68%；在CVE漏洞審查方面，今年TWCERT/CC已公告130個CVE漏洞，當中多屬高風險漏洞；在惡意檔案檢測服務VirusCheck上，TWCERT/CC收到1,645筆可疑檔案需要檢測，以民間企業使用率最高，共發現44個惡意程式、12個IP位址與16個網域名稱。</p> <p>在國際情資分享上，今年TWCERT/CC已接獲1,660件國際資安情資，當中以惡意程式相關情報佔45.84%，比例最高。</p> <p>特別的是，他們也提到與國際組織Shadowserver基金會合作，共同研析國內產品資安漏洞，希望進一步提升台灣資安產品在國際市場的可信度。</p> <p>而在技術創新方面，TWCERT/CC也成功開發了一項自主電郵陷阱機制，專注於捕捉針對電子郵件的威脅行為，希望藉由發展更多來源，持續擴展自身的情蒐預警能力。</p> </div></div></div>
2024/11/28 10:16作者羅正漢https://www.ithome.com.tw/news/166241
思科新款中小企業NGFW來了！進階威脅防禦效能達6Gbps
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/cisco_secure_firewall_1200_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對小型／家用辦公室（SOHO）、分支辦公室、中小企業的網路環境防護，思科過去主要提供的防火牆產品是<a href="https://www.ithome.com.tw/review/132785">Cisco Firepower 1000系列，當中包含的機型有1010、1120、1140、1150，我們在2021年初曾有相關報導</a>，<a href="https://youtu.be/LZkfDVU6rsw?si=AUL-1LsPaXGPuVdE">2023年底思科開始推廣1010E</a>，到了今年6月的2024年度用戶大會Cisco Live，他們發表Cisco Secure Firewall 1200系列機型，強調相較於競爭產品可提供3倍效能，可支援SD-WAN的應用需求，針對企業在分支辦公室的網路環境，提供高效能與外型精簡的防火牆，而不需設置交換器、路由器、防火牆等多臺網路設備，並預告首批機型將於10月上市。</p> <p>思科最初先在自家網站揭露1200系列防火牆有3款桌上型設備：1210 CE、1210 CP、1220 CX，以及簡要的產品規格，例如，網路介面的配置上，它們皆內建8個GbE埠，1210 CP會有4個GbE埠支援思科主推的乙太網路供電（PoE）規格UPOE+，1220 CX則是額外提供2個SFP+接頭的10GbE埠；網路傳輸效能的部分，思科提到防火牆、IPS、IPsec VPN這三種資安防護應用的吞吐量。例如，就前兩種處理的效能而言，1210 CE與1210 CP皆為6 Gbps，1220 CX為9 Gbps；在IPsec VPN的部分，1210 CE與1210 CP皆為5 Gbps，1220 CX為10 Gbps。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Secure Firewall 1200 series summary.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Secure%20Firewall%201200%20series%20summary.jpg" style="width: 600px;" /></a></p> <p>而在6月Cisco Live Las Vegas 2024大會的分場演講「Cisco Secure Firewall Platforms Deep Dive」當中，思科稱呼這批產品為1200C系列，透露更多技術規格，例如，運算平臺的部分，它們搭配8核心Arm架構的系統單晶片（SoC）處理器、16 GB記憶體，以及240 GB NVMe固態儲存空間。這裡採用的系統單晶片，也嵌入多個加速器，能夠提升加解密與網路流量的處理能力。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco SF-1200-2024-06-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20SF-1200-2024-06-2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco SF-1200-2024-06-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20SF-1200-2024-06-4.jpg" style="width: 600px;" /></a></p> <p>關於網路介面的部分，思科此時也特別提到1210CP內建4個支援UPoE+的GbE埠，總共可供應120瓦電力，單埠最大可供應90瓦電力。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco SF-1200-2024-06-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20SF-1200-2024-06-3.jpg" style="width: 600px;" /></a></p> <p>單就次世代防火牆的效能而言，思科認為1200C系列可達到1010的10倍，1100系列的3倍，並列出搭配兩種防火牆系統軟體平臺的效能，從中可明顯看出差異頗大——採用ASA（Adaptive Security Appliance）時，1210與1220的防護效能各為8 Gbps、18 Gbps，採用FTD（Firewall Threat Defense）時的防護效能，分別為2.5 Gbps、3 Gbps。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco SF-1200-2024-06-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20SF-1200-2024-06-5.jpg" style="width: 600px;" /></a></p> <p>到了8月，思科在社群網站LinkedIn的Cisco Security帳號頁面，發布介紹1200系列硬體特色介紹的1分鐘影片，</p> <p> </p> <div class="media_embed" height="624px" width="504px"> <iframe allowfullscreen="" frameborder="0" height="624px" src="https://www.linkedin.com/embed/feed/update/urn:li:ugcPost:7229165994059993088" title="Embedded post" width="504px"></iframe></div> <p> </p> <p>10月初他們公開更多細部資訊。</p> <p>首先，<a href="https://youtu.be/KToIL-tyiWM?si=f9X7cPI4Fm_l5RGs">在影音網站YouTube的Cisco Secure Firewall頻道，思科發布4分鐘內容的影片</a>，介紹1200系列的市場定位、產品規格、效能，基本上，與思科4個月前預告的資訊大同小異。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Secure Firewall-2024-10.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Secure%20Firewall-2024-10.jpg" style="width: 600px;" /></a></p> <p>第二，思科正式發布Cisco Secure Firewall 1200系列的資料規格表，當中詳細列出3款機型的完整組態配置與效能資訊。相較於早先預告的規格，大部分都符合，我們看到有幾項差異：設備搭配的固態硬碟容量，從240 GB改為480 GB；每個PoE網路埠的電力供應改為30瓦，主要是為了相容於電力傳遞端點（PD endpoints）；搭配不同系統軟體的網路傳輸效能，也趨於一致——採用ASA（Adaptive Security Appliance）時，1210與1220的防護效能各為6.5 Gbps、15 Gbps，採用FTD（Firewall Threat Defense）時的防護效能，分別為6 Gbps、9 Gbps。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco 1200-FTD-ASA performance.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%201200-FTD-ASA%20performance.png" style="width: 600px;" /></a></p> <p>而在10月中與月底，思科也陸續發布ASA與FTD這兩個系統軟體平臺的改版（<a href="https://www.cisco.com/c/en/us/support/security/adaptive-security-appliance-asa-software/products-release-notes-list.html">9.22</a>、<a href="https://www.cisco.com/c/en/us/support/security/firepower-ngfw/products-release-notes-list.html">7.6</a>），正式將Secure Firewall 1200系列置入前述軟體適用的產品機型當中。</p> <p>1200系列後續還會有更多機型。11月中舉行的Cisco Live 2024 Melbourne大會，思科傑出工程師Andrew Ossipov在防火牆相關的分場演講預告，此系列將增設3款機架式設備：1230、1240、1250，就網路介面而言，這批機型的上行埠將提供更多10GbE埠——1230與1240會有4個SFP+接頭的10GbE埠，1250會有4個RJ45接頭的10GbE埠（後續會改為2個10GbE埠與2個25GbE埠），至於其他8個原本為GbE埠的網路介面可支援2.5GbE埠。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco SF1200-2024-11-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20SF1200-2024-11-2.jpg" style="width: 600px;" /></a></p> <p>而在運算配置上，1230、1240的處理器將內建12核心，1250搭配16核心（現有機型皆為8核心），1240與1250的系統記憶體容量將擴增為32 GB（現有機型與1230皆為16 GB）。介於處理器與網路埠之間的內部交換網路（Internal Switch Fabric）也將強化，從此處連至處理器的加速器，頻寬將大幅提升，從原本的1個10GbE連線提升至2個10GbE（1210、1220、1230、1240）或1個50GbE（1250），至於此處連至整個處理器的部分，1210、1220、1230、1240仍維持1個10GbE連線，1250升級為50GbE。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco SF-1200-2024-06-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20SF1200-2024-11-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Cisco SF-1200-2024-06-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20SF-1200-2024-06-4.jpg" style="width: 298px;" /></a></p> <p>可想而知，這樣的配置將提供更多效能的選擇，Andrew Ossipov也列出預估的5款機型效能表現差距，值得注意的是，單就1210、1220、1230三款的效能規格資訊來看，這應該是基於思科在6月所公布的資料，10月正式推出產品之後，已有相當大幅度的修正，等到1230、1240、1250真正上市時，應該還會再翻新這邊的數值。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20SF1200-2024-11-3.jpg" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong><span style="color:#0000FF;">Cisco Secure Firewall 1200系列</span></strong><br /> ●原廠：Cisco<br /> ●建議售價：廠商未提供<br /> ●機型與尺寸：1210CE、1210CP、1220CX，皆為桌上型<br /> ●網路埠：1210CE為8個GbE埠，1210CP為8個GbE埠（其中4埠支援PoE，每埠提供30瓦電力），1220CX為8個GbE埠和2個10GbE埠（SFP+）<br /> ●防火牆吞吐量（啟用AVC與IPS）：1210CE為6.0 Gbps，1210CP為6.0 Gbps，1220CX為9.0 Gbps<br /> ●VPN吞吐量：1210CE為5.0 Gbps，1210CP為5.0 Gbps，1220CX為10.0 Gbps<br /> ●最大同時連線數：1210CE為20萬個，1210CP為20萬個，1220CX為30萬個</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/11/28 12:11作者李宗翰https://www.ithome.com.tw/review/166209
Hugging Face公布可在裝置上執行的小型多模態模型SmolVLM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在7月<a href="https://www.ithome.com.tw/news/163988" target="_blank">公布</a>SmolLM輕量語言模型後，AI應用開發平臺Hugging Face本周<a href="https://HuggingFace.co/blog/smolvlm" target="_blank">公布</a>輕量多模態模型SmolVLM，主打輕量、高效能，為其小型語言模型再添成員。</p> <p>SmolVLM為參數量20億的小型多模態模型，號稱是同規模模型的State-of-the-Art（SOTA）。SmolVLM可接受以任意圖片和文字的組合作為輸入，但作為輕量模型，它只會生成文字輸出。SmolVLM能回答關於圖片的問題、描述圖片內容，根據多張圖片來說故事，也可以當成純語言模型使用。開發團隊表示，SmolVLM基於輕量架構，很適合在裝置上執行，且維持多模態任務的高效能。</p> <p>SmolVLM的架構是以Hugging Face之前推出的視覺模型IDEFICS 3為基礎，連Transformer實作也相同。但是Hugging Face較<a href="https://HuggingFace.co/blog/idefics" target="_blank">IDEFICS</a>有幾點不同。第一是將語言骨幹由Llama 3.1 8B換成了SmolLM2 1.7B。其次，SmolVLM採用更強大的圖片壓縮技術，使用了像素混合（pixel shuffle）策略，以及更大的patch來為視覺字詞編碼，這能提升它編碼效率、推論速度更快，但使用的記憶體更少。</p> <p>Hugging Face強調SmolVLM的高效及記憶體效率，並公布和市面參數量相當的模型的測試數據。在多模態理解、推理、數學以及文字理解能力方面，SmolVLM超越InternVL2、PaliGemma、MM1.5、moondream、MiniCPM-V-2等模型，而以GPU RAM使用效率而言，也超越大多數模型。其中和阿里巴巴的Qwen2-V2相較，SmolVLM的預填充吞吐量快3.3到4.5倍，而生成吞吐量則是7.5到16倍大。</p> <p>Hugging Face公布了SmolVLM家族三個模型，包括可供微調基礎模型SmolVLM-Base、以合成資料集微調成的SmolVLM-Synthetic、以及以指令微調的版本SmolVLM Instruct，後者能立即提供終端用戶互動使用。SmolVLM的所有模型檢查點、訓練資料集、訓練方法及工具，都以Apache 2.0<a href="https://HuggingFace.co/HuggingFaceTB/SmolVLM-Instruct" target="_blank">授權開源</a>。</p> </div></div></div>
2024/11/28 10:46作者林妍溱https://www.ithome.com.tw/news/166242
配置臭蟲讓Cloudflare遺失55%的客戶日誌
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提供內容傳遞網路及安全服務的Cloudflare本周<a href="https://blog.cloudflare.com/cloudflare-incident-on-november-14-2024-resulting-in-lost-logs/" target="_blank">坦承</a>，該公司在11月14日，因為內部系統一連串的臭蟲，在短短5分鐘的錯誤配置中，便遺失了55%的客戶日誌。</p> <p>Cloudflare的網路是由分布在全球330個城市的系統組成，它們支援多項服務，且系統的每個部分都會產生事件日誌，並將它們傳送給客戶，供客戶執行合規性管理、系統觀察，或是會計。Cloudflare平均每天會處理50兆個客戶事件日誌，但僅有不到10%、約4.5兆個會傳送給客戶。</p> <p>Cloudflare的日誌處理架構，包括負責從全球伺服器接受並批量轉發日誌的Logfwdr，接收批量日誌並進一步將它們分配至緩衝區的Logreceiver，管理超過100萬個日誌緩衝區的Buftee，以及將日誌推送到客戶指定地點的Logpush。</p> <p>在11月14日那天，為了支援新的資料集以處理額外的日誌類型，Cloudflare更新了Logpush的配置，配置系統需要將此一配置傳送給Logfwdr，但配置系統傳送給Logfwdr的檔案卻是空白的，因而觸發了Logfwdr內部的「故障開放」（Fail Open）機制。</p> <p>該機制是一種系統設計策略，在發生故障時，系統預設選擇開放狀態，亦即寧可多做也不要停止服務，在Cloudflare的日誌系統上發生時，它便選擇替所有的客戶發送日誌。</p> <p>儘管Cloudflare很快就發現此一錯誤，並在5分鐘內恢復了該變更，但Logfwdr已根據Fail Open發送日誌予大量客戶，而Buftee原本有防護機制，卻因配置問題而未被正確啟用，導致Buftee所管理的日誌緩衝區數量，很快就從一百多萬個快速增加到4,000萬個。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1128-Cloudflare%20incident_Nov%2014_Cloudflare%20Logs-600-2.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Cloudflare</span></p> <p>只有短短5分鐘的錯誤配置便造成了巨大的過載，導致底層系統過載而無法正常運作，需要全面的重置與重新啟動。這起意外從配置系統出錯、Fail Open的設計、Buftee的保護機制未被啟動，一直到復原，總計持續了3.5個小時，造成Cloudflare原本應該發送給客戶的日誌中，有55%並未發送而且完全遺失。</p> <p>Cloudflare表示，大規模系統中的故障是無可避免的，但子系統必須具備自我保護機制，以防止來自其它部分的故障引發連鎖反應，在此次的事故中，系統某部分的配置錯誤導致了另一部分的過載，而另一部分的系統亦存在著配置問題，如果正確的配置，即可避免日誌遺失。</p> </div></div></div>
2024/11/28 11:09作者陳曉莉https://www.ithome.com.tw/news/166243
Deno請願註銷JavaScript商標，挑戰甲骨文所有權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國專利商標局（USPTO）收到Deno提出的<a href="https://ttabvue.uspto.gov/ttabvue/v?pno=92086835&pty=CAN&eno=1">請願</a>，要求註銷甲骨文（Oracle）所持有的JavaScript商標。該行動的目的是要將JavaScript這個全球廣泛使用的程式語言名稱，排除於商標法的限制之外，使其成為開放的公共資產。</p> <p>一旦請願成功，技術社群將不再受商標限制，JavaScript Conference等名稱可以重新使用，而不需要選擇像是JSConf這類避免法律爭議的替代名稱。另外，ECMA-262規範也可從繁瑣的名稱ECMAScript，改為更直覺的JavaScript規範，更多開發者社群例如Rust for JavaScript Developers，也都能自由地使用該名稱。</p> <p>JavaScript最初由網景公司在1995年推出，由程式設計師Brendan Eich開發，一開始是為了在網頁增加互動功能。當時語言原本被稱為Mocha，後改名為LiveScript，但在網景和昇陽電腦合作後，為了搭上Java語言的熱潮，將最終名稱定為JavaScript。雖然名稱中包含Java，但是JavaScript與Java的語法結構及用途明顯不同。</p> <p>JavaScript被納入Ecma國際組織管理，由TC39技術委員會負責維護ECMA-262標準規範。在這個過程，JavaScript逐漸成為全球開發者普遍使用的開放技術，並超越了單一企業的控制範疇，不過，原本是昇陽電腦所擁有的JavaScript商標，在甲骨文收購昇陽電腦之後，甲骨文成為當前商標持有者。</p> <p>JavaScript的發展過程中，其商標歸屬一直備受關注。<a href="https://deno.com/blog/deno-v-oracle">Deno現在則基於三項法律主張</a>，從商標法角度質疑甲骨文的JavaScript商標所有權。Deno認為，JavaScript已經成為全球數百萬開發者使用的程式語言名稱，並由ECMA-262規範定義，該名稱早已超越企業品牌的範疇成為通用名稱。根據美國法律，通用名稱無法被註冊為商標，另外，甲骨文既不是JavaScript的創建者，又未曾參與標準制定，從未實現對其JavaScript名稱的控制。</p> <p>另外，Deno還指控甲骨文在2019年續展商標時，向美國專利商標局提供虛假證據，聲稱該商標進行商業活動，但是提交的證明卻是Node.js的截圖，而Node.js完全由Deno創辦人Ryan Dahl主導，與甲骨文無關。因此Deno認為，這樣的行為不僅與商標法規範相違，同時嚴重誤導美國專利商標局的審查決策。</p> <p>Deno也指出，甲骨文多年來未對外銷售或是提供任何使用JavaScript名稱的產品或是服務，雖然有少量如JavaScript Extension Toolkit或GraalVM相關工具，也不足以構成商標的商業使用，因此根據美國法律，三年未使用的商標將被視為棄用，因此應該撤銷。</p> <p>Deno的請願得到技術社群的廣泛支援，包括JavaScript創造者Brendan Eich在內超過1.4萬名開發者，皆已簽署公開信，要求甲骨文放棄該商標。甲骨文需要在2025年1月4日之前作出回應，否則案件進入默認判決，商標就可能會被直接撤銷，而如果甲骨文選擇抗辯，Deno也表示已準備充足證據，證明JavaScript商標通用化並且已被甲骨文棄用。</p> </div></div></div>
2024/11/28 08:17作者李建興https://www.ithome.com.tw/news/166238
【資安日報】11月27日，攻擊者串連Firefox與Windows的零時差漏洞，能在使用者毫無察覺的狀況下植入惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>攻擊者利用瀏覽器零時差漏洞的情況不時傳出，但多半會針對較多人使用的Chrome而來，發生在今年10月上旬的Firefox零時差漏洞攻擊相當引人關注，如今通報漏洞的研究人員更多細節。</p> <p>他們提及這波攻擊行動由俄羅斯駭客RomCom發起，在過程裡還會運用Windows零時差漏洞CVE-2024-49039，使得攻擊者無須與使用者互動，就能將後門程式散布到受害電腦。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166215"><strong style="font-size: 22px;">俄羅斯駭客RomCom利用Firefox、Windows零時差漏洞發動攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RomCom-figure-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/RomCom-figure-1.png" style="width: 300px; float: right;" /></a>今年10月Mozilla基金會修補Firefox零時差漏洞CVE-2024-9680（CVSS風險評分為9.8），並表明他們掌握實際利用的活動情資，通報此事的資安業者ESET本週公布這起事故的細節。</p> <p>研究人員表示，他們在10月8日看到廣泛利用CVE-2024-9680的跡象，駭客運用這項當時尚未公開的零時差漏洞，對Mozilla開發的應用程式下手。值得留意的是，攻擊者在活動當中，串連11月例行更新修補的Windows零時差漏洞CVE-2024-49039（CVSS風險評分為8.8），而有機會在使用者登入作業系統的狀態下，執行任意程式碼。</p> <p>對於發起這波攻擊行動的駭客身分，研究人員表示是代號為Storm-0978、Tropical Scorpius、UNC2596的俄羅斯駭客RomCom。一旦成功利用上述漏洞，這些駭客就會在受害電腦植入後門程式RomCom，以便進行後續的網路間諜活動。</p> <p><a href="https://www.ithome.com.tw/news/166218"><strong style="font-size: 22px;">Array Networks、Fortinet SSL VPN漏洞被用於散布後門程式，臺灣、日本有企業受害</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Spot the difference fig1-01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Spot%20the%20difference%20fig1-01.png" style="width: 300px; float: right;" /></a></p> <p>中國駭客組織Earth Kasha近日以後門程式，攻擊包括Array Networks、Fortinet等品牌SSL VPN設備，已有臺灣、日本，以及印度等地的企業受害。</p> <p>趨勢科技指出，這些駭客原本主要在日本活動，但他們今年初發現，Earth Kasha發展出新的攻擊策略和技倆，從2023年起開始運用企業防火牆軟體漏洞植入後門程式Lodeinfo。研究人員發現，駭客利用SSL VPN漏洞取得初始入侵管道，包括存在於Array AG及vxAG的漏洞CVE-2023-28461、Fortinet防火牆作業系統FortiOS與上網安全閘道FortiProxy的漏洞CVE-2023-27997，此外，駭客也濫用檔案共用系統Proself漏洞CVE-2023-45727。</p> <p>在多起事故中，Earth Kasha成功駭入企業組織的網域管理員帳號，並植入Cobalt Strike、Lodeinfo及Noopdoor，藉此建立長期滲透管道，並從事資料蒐集。</p> <p><a href="https://www.ithome.com.tw/news/166220"><strong style="font-size: 22px;">兆勤證實防火牆漏洞遭到勒索軟體利用的情況</strong></a></p> <p>11月19日資安業者Sekoia針對勒索軟體Hellodown的攻擊行動提出警告，並提及這些駭客入侵受害組織的管道，就是利用兆勤科技（Zyxel Networks）防火牆的弱點而得逞。事隔數日，該公司坦承情況確實如研究人員揭露，呼籲IT人員要儘速採取行動，升級韌體並更換管理員密碼。</p> <p>21日兆勤發布資安公告表示，他們掌握近期有人試圖利用已知漏洞攻擊該廠牌防火牆，而這項漏洞就是Sekoia在部落格提及的CVE-2024-42057。經過確認，防火牆在套用9月3日發布的5.39版韌體後，將不受這項漏洞影響。</p> <p>對此，他們呼籲IT人員要更新防火牆的韌體，若是無法及時套用，最好先停用遠端存取的功能因應。此外，該公司也建議IT人員重新檢視防火牆組態，確認是否遵循最佳實務的建議進行配置。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/11/nodestealer-malware-targets-facebook-ad.html">竊資軟體NodeStealer透過臉書廣告散布，利用Windows公用程式竊取瀏覽器資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/11/iranian-hackers-deploy-wezrat-malware.html">以色列企業組織遭伊朗駭客鎖定，被散布惡意軟體WezRat</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.infosecurity-magazine.com/news/black-friday-spam-emails-scams/">逾四分之三黑色星期五垃圾信涉及詐騙</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166230"><strong style="font-size: 22px;">PHP修補重大層級的記憶體越界寫入漏洞</strong></a></p> <p>11月21日PHP開發團隊發布8.3.14、8.2.26、8.1.31版，主要修補一項重大層級的漏洞CVE-2024-8932，這項弱點可被用於越界寫入（OBW），CVSS風險評為9.8。</p> <p>開發團隊指出，這項弱點存在於32位元的系統，起因是在名為ldap_escape()的功能裡，若是輸入不受控制的長字串，就有可能導致整數溢位的情形。</p> <p>他們也提及這項弱點影響4.56.2及以前版本的HipHop Virtual Machine（HHVM）虛擬機器，此外，介於4.57.0與4.83.0之間多個版本HHVM，也會曝險。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/critical-vulnerabilities-found-in-anti-spam-plugin-used-by-200000-wordpress-sites/">WordPress網站防護外掛存在重大漏洞，逾20萬網站曝險</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-9511-cvss-9-8-critical-flaw-in-fluentsmtp-plugin-exposes-over-300000-wordpress-sites-to-potential-takeover/">WordPress寄信外掛FluentSMTP存在重大漏洞，恐導致網站遭挾持</a></strong></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166222"><strong style="font-size: 22px;">國際執法單位與非洲刑警組織聯手，逮捕上千名參與網路犯罪的嫌犯</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/c40a332460f6-23COM002986-CYBER_-Africa-Cyber-Surge-II-Operation_Infographic_2023-08_infographic_HR-1-1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/c40a332460f6-23COM002986-CYBER_-Africa-Cyber-Surge-II-Operation_Infographic_2023-08_infographic_HR-1-1.jpg" style="width: 300px; float: right;" /></a>國際刑警組織Interpol及非洲刑警組織Afripol本周宣布，他們聯手於19個非洲國家逮捕1,006名涉及網路犯罪的嫌犯，摧毀了134,089個惡意基礎設施及網路。</p> <p>此執法行動稱為Operation Serengeti，是針對勒索軟體、商業電子郵件詐騙、數位勒索，以及網路詐騙背後的犯罪份子，受害者多達3.5萬名，造成近1.93億美元的經濟損失。</p> <p>Interpol秘書長Valdecy Urquiza表示，從多層次行銷詐騙到大規模的信用卡詐欺，網路犯罪的攻擊數量與複雜程度不斷增加，光是此一逮捕行動就能使無數的潛在受害者免受真正的損失，同時他們也知道這只是冰山一角，將繼續鎖定全球的犯罪集團。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166133"><strong style="font-size: 22px;">展望2025國際治理趨勢，BSI揭露董事會「義務」成新主軸</strong></a></p> <p>隨著生成式AI應用的高速發展，企業在面對數位與永續轉型浪潮，以及AI風險快速竄升之際，我們該如何解決與因應這些風險與挑戰？</p> <p>在11月舉行的英國標準協會（BSI）數位信任國際資安標準年會上，該公司東北亞區董事總經理蒲樹盛強調，今年一項備受關注的國際趨勢，就是對「董事會義務」的高度重視，這是國內企業在公司治理上需關切的重要發展，他共歸納4大重點。</p> <p>首先，當今的公司法正強化受託人義務，從治理層面全面提升應對能力。他解釋，所謂受託人指的就是公司董事、獨立董事、高階經理人，這些都是受託來管理公司組織的人，更重要的是，現今重點是放在「義務」，也就是應符合利害關係人的期待，包含客戶、員工、股東認為公司應該要做到的事。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166203"><strong>【11月26日】軟體供應鏈業者Blue Yonder遭遇勒索軟體攻擊，客戶受到波及</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166190"><strong>【11月25日】俄羅斯駭客在軍事行動前夕，藉由跳版入侵目標組織的無線網路環境</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166161"><strong>【11月22日】駭客疑似利用零時差漏洞入侵2千臺Palo Alto Networks防火牆</strong></a></p> </div></div></div>
2024/11/27 17:27作者周峻佑https://www.ithome.com.tw/news/166236
Fintech周報第257期：日本三菱日聯金融集團要建立金融專業LLM，計畫2026年向其他金融業者推出模型服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color:#8B4513;">11/18~11/27金融科技精選新聞</span></h3> <h4><span style="color:#0000CD;"> #三菱日聯金融集團 #金融LLM </span></h4> <h3>日本三菱日聯金融集團要建立金融專業LLM，計畫2026年向其他金融業者推出模型服務</h3> <p>日本三菱日聯金融集團（MUFG）和日本大型電信業者KDDI近日宣布，透過策略性合作，共同發展生成式AI。例如，未來MUFG會運用KDDI開發出的LLM，發展成金融專業LLM。MUFG表示，計畫分成三個階段，第一階段會專注在發展金融專業LLM，讓LLM學習MUFJ員工擁有的經驗和專業知識，並且讓模型讀取大量MUFG內部文件。第一階段計畫預計在今年實現。</p> <p>計畫第二階段，則是讓這個金融專業LLM能擔任客戶的顧問，提供個人化的財務建議，預計在2025年實現。計畫的第三階段，預計在2026年，兩間集團會向其他金融行業推出金融專業LLM模型服務。</p> <h4><span style="color:#0000CD;"> #生成式AI #預測通膨 </span></h4> <h3>BIS和歐洲央行計畫運用GenAI處理大量消費數據，協助提升通膨預測能力</h3> <p>國際清算銀行（BIS）近日表示，他們正在和歐洲央行、德意志聯邦銀行合作，探索如何透過生成式AI，將大量可參考的非結構化數據化為可用資訊，用來提升通膨的預測能力。BIS提到，通膨預測人員需要採用大量數據，才能從數據中形成見解。但是，和消費者相關的數據大多是非結構化資料，且資料量過於龐大，導致通膨預測人員難以手動處裡，需要自動化工具來協助處理大量消費者數據。</p> <p>因此，BIS希望透過生成式AI，自動將數十億個商品描述和價格進行分類，將非結構化資料轉為結構化資料，再用來提升通膨預測能力。BIS表示，他們首先會運用歐洲每日價格資料集進行測試，將這些數據自動對應到聯合國的消費分類標準（COICOP）。BIS也表示，未來可以透過嵌入技術，讓研究結果可以適用於歐洲以外的地區。</p> <h4><span style="color:#0000CD;"> #生成式AI #聊天機器人 </span></h4> <h3>麥格理集團對全球員工推出GenAI聊天機器人，每週約有5,000名活躍用戶</h3> <p>麥格理集團數位長Matthew Ellis近日在社群媒體上透露，內部的AI團隊已對全球的員工推出GenAI聊天機器人Macquarie AI Chat，能協助提升員工生產力和創造力。截至目前，這個平臺每週約有5,000名活躍使用者。目前，麥格理集團在全球則擁有超過兩萬名員工。</p> <p>Matthew Ellis表示，內部正在投入大量資金培訓員工使用GenAI。近期，麥格理舉辦了全球性的AI黑客松活動，共有超過800位業務部門和行政部門員工參與。</p> <h4><span style="color:#0000CD;"> #打詐 #共享情報 </span></h4> <h3>澳洲多間領先銀行合作建立詐欺情報共享網路，在交易發生前即時偵測、攔阻可疑交易</h3> <p>澳洲澳盛銀行、國民銀行、聯邦銀行、西太平洋銀行和Suncorp銀行合作建立一個詐欺情報共享網路，能即時評估線上轉帳的交易風險，並在發現可疑收款帳戶時，即時通知匯款方的銀行，讓銀行能在交易發生前提前一步審核交易資訊。</p> <p>這個詐欺情報共享網路主要瞄準人頭戶的偵測，除了偵測收款帳戶是否已被其他參與銀行標記為高風險帳戶，也會偵測使用者在設備上的行為模式，例如，收款帳戶使用者在手機或電腦上的打字模式，來判斷是否為異常帳戶。</p> <h4><span style="color:#0000CD;"> #CFPB #數位支付 </span></h4> <h3>美國金融監理機構加強監管推出數位支付服務的科技公司</h3> <p>美國消費者金融保護局（CFPB）近日宣布一項新規定，加強監管推出數位錢包應用和數位轉帳服務的大型科技公司，每年處理超過5,000萬筆美元交易的非銀行公司，例如蘋果或Google，都得接受監管。雖然CFPB一直對這類公司擁有執法權，但這項新規定，賦予CFPB主動檢查的權力，包括能主動檢查科技公司收集消費者交易數據的方式，或是要求科技公司自行處理消費爭議，而不是將爭議推給銀行處理。這項規定將在30天後生效。</p> <p>代表美國數位支付業者的金融科技協會批評這項新規定存在缺陷，呼籲CFPB撤回這項提案。這個協會成員包括科技巨頭亞馬遜和PayPal。不過，在CFPB發布的新聞稿中，尚未提及哪些科技公司會受到監管。</p> <h4><span style="color:#0000CD;"> #VASP #金管會 </span></h4> <h3>金管會加強對虛擬資產業的監管力道，洗錢防制聲明制改採登記制，違者可處刑事罰</h3> <p>針對虛擬資產業，金管會表示，將從既有的洗錢防制法遵聲明改採登記制，預計在11月底正式上線。未來，若業者未完成登記，卻繼續經營虛擬資產業務，將承擔刑事責任。</p> <p>現行業者從事虛擬資產業務，須先向金管會完成洗錢防制法遵聲明，若未完成聲明，金管會可處業者行政罰。未來登記制上路後，業者若未完成洗錢防制登記，則會背上刑事責任。</p> <p>目前，已完成洗錢防制聲明的虛擬資產業者共有26家，但新制上路後，這26家業者仍要重新申請洗錢防制登記，最晚須於明年3月31日前向金管會辦理登記，並須於明年9月30日前正式完成登記。</p> <h4><span style="color:#0000CD;"> #集保 #數位簽章 </span></h4> <h3>集保eCounter平臺PC版預計明年5月中上線</h3> <p>金管會近日宣布，核准臺灣集中保管結算所（以下簡稱集保）經營eCounter平臺服務，當投資人通過身分驗證登入eCounter平臺，使用數位簽章遞交基本資料變更書件，平臺就會將書件資料送到各個股務單位審查、辦理變更。投資人不用臨櫃申辦相關業務，只要透過單一平臺就能完成資料變更。</p> <p>證期局副局長高晶萍表示，集保後續將開發手機版功能，並滾動檢討、盤點其他股務作業或項目放入eCounter平臺的可能性。</p> <h3>其他重要Fintech新聞：</h3> <ul> <li>英國財政部將在明年初公布加密貨幣及穩定幣的規範</li> <li>瑞典央行計畫對零售支付基礎設施進行現代化改造</li> <li>Revolut宣布推出新的AI助理和ATM</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);">圖片來源／</span>日本三菱日聯金融集團</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年11月</p> <p> </p> <p></p> </div></div></div>
2024/11/27 15:57作者李昀璇https://www.ithome.com.tw/news/166227
Line推出RMN服務，結合第一方生態圈與統一OpenPoint等第三方消費數據來支援精準行銷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今（11/27）Line宣布推出Line RMN Solution數位廣告服務，利用Line購物、Line Beacon等第一方數據，以及統一集團1,800萬名Open Point會員數據，來支援廣告精準投放。</p> <p>這是Line廣告平臺上的一個新服務，主打利用Line Beacon地理數據、Line Cross Buy線上銷售數據，以及第三方DMP聯盟數據，來支援精準廣告投放。支援投放通路包括Line生態圈App、廣告主電商官網、第三方電商平臺等。</p> <p>此服務使用的第一方數據來源中，Line Beacon是一種LBS服務，利用安裝在捷運、高鐵、便利商店等高人流地區的藍芽發訊機，根據地理位置推播行銷訊息和優惠券等內容，並記錄人流與地理相關數據。Cross Buy是一個交叉銷售服務，根據Line購物等零售消費數據來比對行銷對象，投放廣告並蒐集相關數據。</p> <p>Line還預計與外部零售商、發票載具、支付工具、電商平臺營運商等第三方夥伴結成DMP聯盟，來進一步補齊Line自身服務無法蒐集到的會員行為數據，深化對會員理解，以提升行銷精準度。目前DMP聯盟一個重要成員是統一數網，手握統一生態圈1,800萬名Open Point會員。與統一等聯盟夥伴交換數據時，會利用手機號碼等ID，作為比對依據，來找出雙方共同會員。Line會定期重新比對和更新這些會員數據，來確保數據時效性。</p> <p>Line還宣布了其他新功能，包括：用生成式AI技術支援的官方帳號多語言自動客服機器人、根據行銷素材圖生成行銷文案的文案生成機器人，以及官方帳號分析工具升級，將能依照年齡與性別來分析訊息成效。</p> <p></p> </div></div></div>
2024/11/27 16:38作者郭又華https://www.ithome.com.tw/news/166228
PHP修補重大層級的記憶體越界寫入漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11月21日PHP開發團隊發布8.3.14、8.2.26、8.1.31版，主要修補一項<a href="https://github.com/php/php-src/security/advisories/GHSA-g665-fm4p-vhff">重大層級的漏洞CVE-2024-8932</a>，這項弱點可被用於越界寫入（OBW），CVSS風險評為9.8。</p> <p>開發團隊指出，這項弱點存在於32位元的系統，起因是在名為ldap_escape()的功能裡，若是輸入不受控制的長字串，就有可能導致整數溢位的情形。</p> <p>他們也提及這項弱點影響4.56.2及以前版本的HipHop Virtual Machine（HHVM）虛擬機器，此外，介於4.57.0與4.83.0之間多個版本HHVM，也會曝險。</p> </div></div></div>
2024/11/27 16:42作者周峻佑https://www.ithome.com.tw/news/166230
兆勤證實防火牆漏洞遭到勒索軟體利用的情況
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11月19日資安業者Sekoia針對<a href="https://www.ithome.com.tw/news/166117">勒索軟體Hellodown的攻擊行動</a>提出警告，並提及這些駭客入侵受害組織的管道，就是利用兆勤科技（Zyxel Networks）防火牆的弱點而得逞。事隔數日，該公司坦承情況確實如研究人員揭露，呼籲IT人員要儘速採取行動，升級韌體並更換管理員密碼。</p> <p>21日兆勤<a href="https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-protecting-against-recent-firewall-threats-11-21-2024">發布資安公告</a>表示，他們掌握近期有人試圖利用已知漏洞攻擊該廠牌防火牆，而這項漏洞就是Sekoia在部落格提及的CVE-2024-42057。經過確認，防火牆在套用<a href="https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-multiple-vulnerabilities-in-firewalls-09-03-2024">9月3日發布的5.39版韌體</a>後，將不受這項漏洞影響。</p> <p>對此，他們呼籲IT人員要更新防火牆的韌體，若是無法及時套用，最好先停用遠端存取的功能因應。此外，該公司也建議IT人員重新檢視防火牆組態，是否有遵循最佳實作進行配置。</p> <p>針對研究人員提及遭到利用的CVE-2024-42057，此弱點存在於IPSec VPN的功能，為命令注入漏洞，未經身分驗證的攻擊者可發送特定的使用者名稱觸發，CVSS風險為8.1分。兆勤指出，利用這項漏洞存在必要條件，那就是防火牆必須設置為特定的身分驗證模式，而且，其中有使用者的名稱長度超過28個字元。</p> </div></div></div>
2024/11/27 14:31作者周峻佑https://www.ithome.com.tw/news/166220
美國證實Array Networks旗下SSL VPN系統重大漏洞已出現攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11月25日美國網路安全暨基礎設施安全局（CISA）發布公告，<a href="https://www.cisa.gov/news-events/alerts/2024/11/25/cisa-adds-one-known-exploited-vulnerability-catalog">他們將重大層級的漏洞CVE-2023-28461列入已遭利用漏洞（KEV）清單</a>，要求聯邦機構必須在12月16日完成修補。</p> <p>這項漏洞存在於安瑞科技（Array Networks）Array AG系列SSL VPN設備，以及虛擬化版本vxAG，原因是重要功能缺乏身分驗證機制造成，攻擊者有機會利用漏洞讀取SSL VPN閘道的本機檔案，或是執行任意程式碼，CVSS風險達到9.8，影響9.4.0.481以前版本的作業系統。</p> <p>一旦攻擊者利用這項漏洞，就有機會遠端執行任意程式碼，他們可在未經身分驗證的情況下，藉由HTTP標頭特定標籤屬性，瀏覽閘道的檔案系統。安瑞於去年3月9日公布這項漏洞，並於同月17日提供修補程式。</p> <p>雖然CISA並未透露攻擊者如何利用這項漏洞，不過這項資安公告發布的前幾天，趨勢科技公布<a href="https://www.ithome.com.tw/news/166218">中國駭客組織Earth Kasha的最新一波攻擊行動</a>裡，其中一項用來取得初始入侵管道的SSL VPN漏洞，就是CVE-2023-28461。</p> </div></div></div>
2024/11/27 15:26作者周峻佑https://www.ithome.com.tw/news/166225
俄羅斯駭客RomCom利用Firefox、Windows零時差漏洞發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年10月<a href="https://www.ithome.com.tw/news/165442">Mozilla基金會修補Firefox零時差漏洞CVE-2024-9680</a>（CVSS風險評分為9.8），並表明他們掌握實際利用的活動情資，通報此事的資安業者ESET本週公布這起事故的細節。</p> <p>研究人員表示，<a href="https://www.welivesecurity.com/en/eset-research/romcom-exploits-firefox-and-windows-zero-days-in-the-wild/">他們在10月8日看到廣泛利用CVE-2024-9680的跡象</a>，駭客運用這項當時尚未公開的零時差漏洞，對Mozilla開發的應用程式下手。</p> <p>值得留意的是，攻擊者在活動當中，串連<a href="https://www.ithome.com.tw/news/165982">11月例行更新</a>修補的Windows零時差漏洞CVE-2024-49039（CVSS風險評分為8.8），而有機會在使用者登入作業系統的狀態下，執行任意程式碼。研究人員提及，受害者若是正在瀏覽能觸發漏洞的網頁，無須與使用者互動，攻擊者就能執行任意程式碼。</p> <p>對於發起這波攻擊行動的駭客身分，研究人員表示是代號為Storm-0978、Tropical Scorpius、UNC2596的俄羅斯駭客RomCom。一旦成功利用上述漏洞，這些駭客就會在受害電腦植入後門程式RomCom，以便進行後續的網路間諜活動。</p> <p>針對整個資安事故發生的流程，駭客先是利用假網站將受害者重新導向特定伺服器，並對使用者的瀏覽器進行漏洞利用攻擊，一旦得逞，電腦就會執行Shell Code，下載、執行後門程式RomCom。</p> <p>究竟駭客如何散布假網站？研究人員表示不清楚。但他們強調，一旦攻擊者的網頁接觸到含有漏洞的瀏覽器，有效酬載就會投放到受害電腦並執行，過程完全不需使用者互動。</p> <p>根據10月10日至11月4日的遙測資料顯示，大多受害者位於北美及歐洲，研究人員提及，其中部分國家的受害者數量多達250位。</p> <p>對於RomCom利用的這些零時差漏洞，Mozilla基金會、微軟先後於10月9日、11月12日完成修補。他們特別提及，Mozilla在獲報的25小時內就完成修補，如此迅速的因應讓他們印象相當深刻。</p> </div></div></div>
2024/11/27 12:20作者周峻佑https://www.ithome.com.tw/news/166215
OpenAI影片生成器Sora遭故意外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">一群被OpenAI邀請來測試文字轉影片AI模型Sora的藝術家，因為認為自己被OpenAI免費用來行銷Sora，而在Hugging Face上釋出了Sora的存取權限。不過，OpenAI在3小時後就關閉了針對藝術家所提供的早期存取權限。</p> <p dir="ltr">OpenAI是在今年2月發表短影片生成模型<a href="https://www.ithome.com.tw/news/161312" target="_blank">Sora</a>，該模型允許使用者輸入場景或內容的描述，生成最長1分鐘的高畫質影片，當時便已邀請紅隊演練測試人員，以及少部分視覺設計、攝影師、製片人員試用Sora，以取得專業反饋意見。</p> <p dir="ltr">而該藝術社群則在本周二（11/26）發表一封<a href="https://openletter.earth/dear-corporate-ai-overlords-90668a95" target="_blank">公開信</a>，指出約有300名藝術家獲得了Sora的存取權限，以成為早期測試者、紅隊成員及創意合作夥伴，然而，他們卻認為自己是被OpenAI引誘以替其展開藝術漂白，向全世界說明Sora對藝術家來說是個有用的工具。</p> <p dir="ltr">公開信中闡述，藝術家們使用Sora所生成的影片，在對外分享之前都必須獲得OpenAI團隊的批准，此一早期存取計畫似乎不太關心創意表達與批評，而更在意公關及廣告。他們藉由臭蟲測試、反饋與實驗來替一家價值1,500億美元的企業免費勞動，儘管貢獻人數多達數百人，但僅有少數人的作品可以被展示，相較於OpenAI因此獲得的公關與行銷價值，該報酬相形見絀。</p> <p dir="ltr">這群藝術家們憤怒地說，藝術家並不是OpenAI的免費研發人員，亦非免費的除錯工程師、行銷傀儡、訓練資料，或是驗證工具。因此，他們釋出了可無限制存取Sora工具的權限，讓一般使用者跟藝術家一樣，都可隨意探索及實驗Sora的潛力。</p> <p dir="ltr">不過，在該存取權限被公開的3小時後，OpenAI便暫時關閉了該權限。</p> <p dir="ltr">該公開信已獲得超過140名藝術家的連署，而且有96名已通過身分驗證，強調他們並不反對以AI作為藝術創作工具，反對的是此一藝術家計畫實施的方式，以及該工具在公開釋出前的發展方向，希望OpenAI能因此更加開放，對藝術家更為友善，以超越作秀的方式來支持藝術。</p> </div></div></div>
2024/11/27 14:51作者陳曉莉https://www.ithome.com.tw/news/166221
國際及非洲刑警組織聯手於非洲逮捕上千名參與網路犯罪的嫌犯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">國際刑警組織Interpol及非洲刑警組織Afripol本周<a href="https://www.interpol.int/en/News-and-Events/News/2024/Major-cybercrime-operation-nets-1-006-suspects" target="_blank">宣布</a>，它們已聯手於19個非洲國家逮捕了1,006名涉及網路犯罪的嫌犯，摧毀了134,089個惡意基礎設施及網路。</p> <p dir="ltr">此一被命名為Operation Serengeti的行動，是針對勒索軟體、商業電子郵件詐騙、數位勒索，以及網路詐騙背後的犯罪份子，受害者多達3.5萬名，造成近1.93億美元的經濟損失。</p> <p dir="ltr">Interpol秘書長Valdecy Urquiza表示，從多層次行銷詐騙到大規模的信用卡詐欺，網路犯罪的攻擊數量與複雜程度不斷增加，光是此一逮捕行動就能使無數的潛在受害者免受真正的損失，同時他們也知道這只是冰山一角，將繼續鎖定全球的犯罪集團。</p> <p dir="ltr">有些案例令人瞠目，例如肯亞破獲的一起涉及860萬美元的網路信用卡詐騙案中，駭客是藉由修改銀行系統的安全協議，執行惡意腳本程式以盜走資金，之後迅速透過SWIFT系統轉移到阿拉伯聯合大公國、奈及利亞與中國的公司，接著再移轉至散布於多國司法管轄區、提供交易與金融服務的數位資產機構。</p> <p dir="ltr">塞內加爾則破獲一起網路龐氏騙局，8名嫌犯布局欺騙了1,811名受害者，取得了600萬美元的不當款項；喀麥隆的詐騙則是與工作有關，宣稱繳交會員費就可提供就業或培訓機會，但受害者會直接被俘虜，必須找到下一個受害者才能獲得自由。</p> </div></div></div>
2024/11/27 15:04作者陳曉莉https://www.ithome.com.tw/news/166222
Android版Google Gemini可外掛連結Spotify
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">Google Gemini AI助理再添擴充功能的外掛。繼WhatsApp後，9to5Google<a href="https://9to5google.com/2024/11/26/spotify-gemini-extension/" target="_blank">發現</a>Android版Google Gemini將能以外掛再整合Spotify，提供更直覺而連貫的服務。</p> <p dir="ltr">報導是在今年稍早有用戶<a href="https://www.androidauthority.com/spotify-google-gemini-extension-coming-soon-apk-teardown-3448585/" target="_blank">發現</a>Google App執行Spotify的設定程式碼後，Google進一步拓展第三方服務外掛。這讓用戶可以口說或文字提示，要求Android版Gemini App使用這個線上串流音樂服務。</p> <p dir="ltr">根據Gemini App的<a href="https://support.google.com/gemini/answer/15300097" target="_blank">設定</a>，要用使用這功能，必須先建立Gemini和Spotify連結。用戶可按指示建立兩者的連結。完成後，就可叫Gemini搜尋Spotify歌曲、歌單並播放。用戶可以選擇前一次使用的音樂服務，或是連結一種以上的音樂服務但不指定特定一種（其他如Yahoo Music）。但只有Spotify Premium訂閱戶才能指定播放特定歌曲。</p> <p dir="ltr">目前僅Android版Gemini App有Spotify外掛，Web版、iOS版及Google Gemini in Messages都還沒有。Android版Gemini App上的Spotify外掛只在Gemini設定使用英文、以及啟用Gemini Apps Activity時才能使用。雖然外掛可使用口說提示，但用戶必須記得要先設定好Hey Google及Voice Match才能使用Hey Google提示。</p> <p dir="ltr">Gemini App第一個<a href="https://support.google.com/gemini/answer/15574928?hl=en" target="_blank">外掛</a>是WhatsApp。Android用戶可叫Gemini App在WhatsApp撥打電話和發送訊息，或叫它編寫和編輯訊息。Google正漸次將本功能部署到全球。</p> </div></div></div>
2024/11/27 14:02作者林妍溱https://www.ithome.com.tw/news/166219
Array Networks、Fortinet SSL VPN漏洞遭駭植入後門程式臺灣、日本企業受害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">駭客組織Earth Kasha近日以後門程式，攻擊包括Array Networks、Fortinet等多家品牌SSL VPN設備，已有臺灣、日本及印度等地企業受害。</p> <p dir="ltr">這波攻擊背後的駭客組織是中國駭客組織Earth Kasha，之前曾以精準釣魚信件攻擊公立機構和學術單位，主要活動地區在日本。趨勢科技今年初<a href="https://www.trendmicro.com/en_us/research/24/k/lodeinfo-campaign-of-earth-kasha.html" target="_blank">發現</a>，Earth Kasha發展出新的攻擊策略和技倆，從2023年起開始運用企業防火牆軟體漏洞植入後門程式Lodeinfo。研究人員發現，遭到濫用的SSL VPN防火牆漏洞包括Array AG/vxAG（<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-28461" target="_blank">CVE-2023-28461</a>）、Fortinet的FortiOS/FortiProxy（<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-27997" target="_blank">CVE-2023-27997</a>），此外，駭客也濫用了FTP系統Proself漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-45727" target="_blank">CVE-2023-45727</a>。</p> <p dir="ltr">除了使用新手法，Earth Kasha的攻擊目標也更廣，從原本的日本擴大到臺灣和印度。趨勢科技兩地都有知名組織用戶，包括先進科技和政府單位受害。多數案例中，Earth Kasha成功駭入企業組織的網域管理員帳號，並在多臺網路機器內植入Cobalt Strike、Lodeinfo及<a href="https://www.ithome.com.tw/news/164009" target="_blank">Noopdoor</a>，藉此建立長期滲透管道，並從事資料蒐集，其中他們使用自製惡意程式MirrorStealer取得儲存在郵件用戶端、瀏覽器、群組政策偏好，以及SQL Server Managemen Studio中的憑證。</p> <p dir="ltr">Earth Kasha於2019年首先使用後門程式Lodeinfo作案，今年另一個中國駭客組織<a href="https://www.ithome.com.tw/news/157037" target="_blank">Volt Typhoon</a>又攻擊FortiOS/FortiGate的零時差漏洞CVE-2023-27997。但有於其他廠商，趨勢科技認為從手法、工具等線索來看，兩者並非同一群人。因此從兩者都濫用FortiOS漏洞資訊及使用Lodeinfo，顯示駭客之間也會共享零時差漏洞及攻擊資源。</p> <p dir="ltr">Fortinet已在今年6月<a href="https://www.fortiguard.com/psirt/FG-IR-23-097" target="_blank">修補</a>CVE-2023-27997，而Array Networks也在今年3月<a href="https://support.arraynetworks.net/prx/001/http/supportportal.arraynetworks.net/documentation/FieldNotice/Array_Networks_Security_Advisory_for_Remote_Code_Execution_Vulnerability_AG.pdf" target="_blank">發布</a>最新版ArrayOS AG 9.4.0.484解決漏洞。</p> </div></div></div>
2024/11/27 14:09作者林妍溱https://www.ithome.com.tw/news/166218
歷經多年醞釀PHP 8.4終於引入屬性掛勾
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>PHP社群正式發布最新版本<a href="https://thephp.foundation/blog/2024/11/21/php-core-roundup-20-php84/">PHP 8.4</a>，多項重要更新包括添加<a href="https://thephp.foundation/blog/2024/11/01/how-hooks-happened/">屬性掛勾（Property Hooks）與非對稱可見性（Asymmetric Visibility）</a>，這兩項功能可以帶來明顯的效能提升和開發靈活性。</p> <p>屬性掛勾是這個版本的代表性新功能，讓開發者可以為屬性定義特定的行為邏輯，像是存取或是設定屬性時，可以直接加入檢查或是轉換的過程，而不需要編寫額外的輔助方法。過去開發者需要藉由魔術方法，例如__get和 __set實現類似的功能，但這種特殊的方法不僅難以閱讀，還會對效能造成負面影響。</p> <p>而屬性掛勾的加入不僅解決這些問題，也能夠被用於更多創新場景中，像是開發者可以簡單定義虛擬屬性，讓程式邏輯更直覺且接近自然語言表達，進一步改進程式碼的可維護性和協作效率。</p> <p>另一個受到關注的新功能是非對稱可見性，提供屬性存取控制更大的靈活性，允許開發者區分屬性的讀取和寫入權限，例如在部分應用中，屬性可設為公開讀取但限制寫入，現在透過簡單語法即可實現，無需額外的輔助方法。非對稱可見性簡化了程式碼邏輯，並且提升資料完整性和安全性，可對API開發和用戶資料保護等場景提供更細緻的控制。</p> <p>官方指出，這些功能的實作歷經數年的技術與設計探索。屬性掛勾的構想甚至可溯及2009年，該功能經過多次提案都未獲足夠的支持，一直到PHP基金會的資助與協作才成功實現。在開發過程也經過多次修改和討論，並且從C#、Swift和Kotlin等現代語言的設計汲取靈感，使該功能更加符合PHP生態。而非對稱可見性的提案也是在2023年投票失敗後，於2024年重新來過，終於取得壓倒性票數，成為PHP語法重要的現代化功能。</p> <p>除了屬性掛勾與非對稱可見性，PHP 8.4在效能和相容性也大有進展，像是DOM擴展全面支援HTML5，提升解析準確性並加入CSS選擇器功能。BCMath擴充新增運算子多載支援，使得代數運算更加直覺。同時，PHP 8.4中OpenSSL等底層相依套件也進一步升級，強化了安全性和穩定性。</p> <p>PHP 8.4能夠順利實現多項重要更新，很大程度是因為PHP基金會的支援。PHP基金會是2021年成立的非營利組織，專注向PHP語言開發提供長期穩定的資金和技術支援，其透過資助Ilija Tovilo等核心開發者，解決過去因資源匱乏而導致功能開發中斷的問題。</p> </div></div></div>
2024/11/27 09:39作者李建興https://www.ithome.com.tw/news/166207
【資安日報】11月26日，軟體供應鏈業者Blue Yonder遭遇勒索軟體攻擊，客戶受到波及
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>供應鏈攻擊事故頻傳，最近軟體供應鏈業者Blue Yonder遭遇勒索軟體攻擊，傳出已對客戶的運作造成影響，目前已有連鎖咖啡店星巴克、英國兩大超市證實受到波及。</p> <p>值得留意的是，11月21日Blue Yonder證實因資安事故導致代管服務中斷，但目前尚未確認復原的時間，相關災情與影響範圍有待後續觀察。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166196"><strong style="font-size: 22px;">軟體供應鏈Blue Yonder遭勒索軟體攻擊，波及星巴克等業者</strong></a></p> <p>美國軟體供應鏈Blue Yonder在上周四（11月21日）遭到勒索軟體攻擊，並傳出已波及星巴克（Starbucks），以及英國連鎖超市Sainsbury、Morrisons等客戶。</p> <p>知名連鎖咖啡品牌星巴克（Starbucks）向華爾街日報（WSJ）透露，Blue Yonder的服務中斷，影響他們的員工管理，只能手動追蹤人員工時與計算工資，波及約1.1萬家北美門市。</p> <p>英國專門報導消費者商品的The Grocer則說，當地的兩大連鎖超市Sainsbury與Morrisons，也都因Blue Yonder被駭而遭到波及，其中，Morrisons主要利用Blue Yonder的需求預測及補貨解決方案，來處理新鮮的農產品及冷凍食品，事件發生後已改為手動處理。</p> <p><a href="https://www.ithome.com.tw/news/166197"><strong style="font-size: 22px;">趨勢科技揭露Salt Typhoon攻擊電信業者的惡意程式GhostSpider</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/EarthEstries-Fig08.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/EarthEstries-Fig08.png" style="width: 300px; float: right;" /></a></p> <p>華爾街日報自9月底開始，多次針對中國駭客組織Salt Typhoon（也被稱為Earth Estries、GhostEmperor、FamousSparrow）攻擊美國電信業者的情況進行報導，受害業者包含AT&T、Lumen、T-Mobile、Verizon，傳出美國政府已著手調查此事，而且，這些駭客的目標還包含其他國家的電信業者。但究竟這些駭客如何發動攻擊？最近有研究人員公布調查結果。</p> <p>資安業者趨勢科技指出，根據他們自2020年開始的追蹤，這些駭客持續針對政府機關及網際網路服務供應商（ISP）進行長期攻擊，並指出2022年也開始針對電信公司。研究人員認為，駭客從事攻擊行動的目的，是為了更有效收集相關情報。</p> <p>他們發現對方主要鎖定的標的，包含電信公司使用的資料庫、雲端伺服器等重要服務，以及服務供應商的網路環境，駭客會試圖植入名為Demodex的rootkit程式，目的是希望藉此增加存取受害電信業者的管道。在近期攻擊東南亞電信業者的事故裡，這些駭客使用多款後門程式，其中包含未被揭露的GhostSpider。</p> <p><a href="https://www.ithome.com.tw/news/166202"><strong style="font-size: 22px;">圖博新聞媒體、大學網站遭中國駭客TAG-112攻擊，用網站漏洞與紅隊測試工具進行滲透</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ElonFCaiFb.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/ElonFCaiFb.jpg" style="width: 300px; float: right;" /></a>資安業者Recorded Future揭露中國駭客組織TAG-112的攻擊行動，駭客先是入侵國際西藏郵報（Tibet Post）及Gyudmed Tantric University的網站，目的是在瀏覽網站的使用者電腦植入Cobalt Strike，從而進行情報收集，或是運用受害電腦進行其他間諜活動。</p> <p>駭客於網站上嵌入惡意JavaScript指令碼，藉此欺騙使用者TLS憑證錯誤，以要求下載新的憑證為由，引誘使用者上當。</p> <p>這起事故發生在今年5月下旬，攻擊者利用內容管理系統Joolma的漏洞，在上述2個網站植入惡意JavaScript指令碼。究竟駭客使用那些漏洞，研究人員沒有說明。值得留意的是，這起攻擊行動直到10月上旬，仍處於活動的狀態。</p> <p><a href="https://www.ithome.com.tw/news/166200"><strong style="font-size: 22px;">防毒軟體Avast的驅動程式元件遭到濫用，駭客企圖停用受害電腦防護機制</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/when-guardians-become-predators-1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/when-guardians-become-predators-1.jpg" style="width: 300px; float: right;" /></a></p> <p>為了迴避端點防護的偵測，駭客濫用防毒軟體元件從事自帶驅動程式（BYOVD）攻擊的手法，今年可說是越來越頻繁，如今甚至出現有人針對多家廠牌的端點防護系統進行破壞的情形。</p> <p>例如，資安業者Trellix近期揭露的攻擊行動，就是典型的例子。研究人員發現由檔名kill-floor.exe開始的惡意程式感染鏈，一旦該執行檔啟動，就會於受害電腦部署Avast的Anti-Rootkit驅動程式aswArPot.sys，接著，攻擊者再植入另一個合法的核心驅動程式，檔名為ntfs.bin。</p> <p>然後，kill-floor.exe就會比對受害電腦上的處理程序，若出現攻擊者認定的142種資安工具處理程序名稱，就會藉由Avast驅動程式，以核心層級來終止處理程序，導致受害電腦的防毒軟體或EDR停止運作。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/lazarus-group-exploits-xattr-with-rustyattr-to-evade-detection/">北韓駭客Lazarus鎖定macOS用戶，意圖散布木馬程式RustyAttr</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/11/russian-hackers-deploy-hatvibe-and.html">俄羅斯駭客鎖定歐洲、亞洲，散布惡意軟體HatVibe、CherrySpy</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/11/apt-k-47-uses-hajj-themed-lures-to.html">南亞駭客組織APT-K-47以伊斯蘭教朝聖活動為誘餌，散布惡意軟體Asyncshell</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.zscaler.com/blogs/security-research/unraveling-raspberry-robin-s-layers-analyzing-obfuscation-techniques-and">對抗資安人員駭客出奇招，惡意軟體Raspberry Robin在測試環境會部署誘餌擾亂調查</a></strong></p> <p> </p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166195"><strong style="font-size: 22px;">威聯通修補路由器OS與NAS加值軟體重大漏洞</strong></a></p> <p>11月23日臺灣網路設備業者威聯通（QNAP）發布資安公告，針對旗下產品修補超過30項漏洞，其中，路由器作業系統QuRouter、NAS協作應用程式Notes Station 3存在重大層級漏洞，相當值得留意。</p> <p>根據CVSS風險評分，最嚴重的是CVE-2024-48860，此漏洞出現於QuRouter，為作業系統命令注入漏洞，一旦攻擊者成功利用，就有機會遠端執行命令，4.0版CVSS評分為9.5。</p> <p>另外2個重大漏洞CVE-2024-38643、CVE-2024-38645，出現在Notes Station 3，其中較嚴重的是CVE-2024-38645，此為伺服器請求偽造（SSRF）漏洞，若是攻擊者成功利用漏洞，有機會在通過身分驗證的情況下，遠端讀取應用程式資料，風險值為9.4。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/php-patches-multi-flaws-including-cve-2024-8932-cvss-9-8-urges-immediate-update/">PHP修補重大層級的記憶體越界存取、緩衝區過度讀取漏洞</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166190"><strong>【11月25日】俄羅斯駭客在軍事行動前夕，藉由跳版入侵目標組織的無線網路環境</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166161"><strong>【11月22日】駭客疑似利用零時差漏洞入侵2千臺Palo Alto Networks防火牆</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166142"><strong>【11月21日】中國駭客鎖定南亞及非洲一帶一路國家的電信業者從事間諜活動</strong></a></p> </div></div></div>
2024/11/26 16:25作者周峻佑https://www.ithome.com.tw/news/166203
IBM Granite AI模型在AWS上架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IBM和AWS<a href="https://newsroom.ibm.com/blog-ibm-and-aws-accelerate-partnership-to-scale-responsible-generative-ai" target="_blank">宣布</a>強化AI合作，包括IBM大語言模型家族Granite將在Amazon雲端平臺推出，雙方也強化整合AWS及watsonx雲端平臺的功能，提升安全及效能管理。</p> <p>這項消息是為下周AWS re: Invent技術大會打頭陣。IBM繼上個月<a href="https://www.ithome.com.tw/news/165605" target="_blank">開源</a>Granite 3.0 2B、8B模型後，Granite程式模型將在Amazon Bedrock及機器學習平臺Amazon SageMaker JumpStart上架。IBM最新的Granite 3.0模型系列已經先一步在Sagemaker JumpStart<a href="https://aws.amazon.com/marketplace/pp/prodview-vweaesrobaglk" target="_blank">提供</a>。</p> <p>透過這項合作，Granite模型現在獲得AWS Neuron開發套件支援，可在AWS Inferentia及AWS Trainium晶片的雲端執行個體上執行。IBM並計畫其watsonx未來將支援AWS最新一代AI晶片Trainium2。</p> <p>雙方雲端平臺也將擴大整合或合作。首先，12月IBM AI模型生命周期管理watsonx.governance將進一步整合Amazon SageMaker，雙方開發一個全新介面，直接以watsonx.governance管理介面管理SageMaker。SageMaker Model Registry的模型資訊可分享給watsonx，使AI運作管理透明化。</p> <p>其次IBM管理機敏AI數據與AI模型安全風險的Guardium AI Security，現在在AWS Marketplace上架。這工具能發現「影子AI」（即員工私下建的AI模型），能和watsonx.governance整合，確保AI治理。</p> <p>最後，雲端應用管理工具Instana Generative AI Observability on AWS現在已預覽版推出，可透通管理Amazon Bedrock及Amazon SageMaker，確保AWS生成式AI應用的穩定性和運作正常。此外，IBM Instana也將支援Amazon Elastic Kubernetes Services和Elastic Cloud Services，提供雲端微服務的管理。</p> <p>其他新宣布方面，IBM預覽了IBM Concert新功能。IBM Concert利用生成式AI技術提供AWS平臺上應用程式的風險管理，預計將於2025年初上線。此外有IBM Autonomous Security for Cloud（ASC）這項新技術是IBM顧問服務開發的AI解決方案，可利用Amazon Bedrock生成AI技術，加強雲端安全自動化管理，預計12月全球推出。</p> </div></div></div>
2024/11/26 15:22作者林妍溱https://www.ithome.com.tw/news/166201
圖博新聞媒體、大學網站遭中國駭客TAG-112攻擊，用網站漏洞與紅隊測試工具進行滲透
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客鎖定圖博發動攻擊的情況，每隔一段時間就有事故傳出，而最近一起事故揭露，再度引起外界關注。</p> <p>資安業者Recorded Future揭露<a href="https://www.recordedfuture.com/research/china-nexus-tag-112-compromises-tibetan-websites">中國駭客組織TAG-112的攻擊行動</a>，駭客先是入侵國際西藏郵報（Tibet Post）及Gyudmed Tantric University的網站，目的是在瀏覽網站的使用者電腦植入Cobalt Strike，從而進行情報收集，或是運用受害電腦進行其他間諜活動。</p> <p>駭客於網站上嵌入惡意JavaScript指令碼，藉此矇騙使用者、謊稱TLS的憑證出錯，以要求下載新的憑證為由，引誘使用者上當。</p> <p>這起事故發生在今年5月下旬，攻擊者利用內容管理系統Joolma的漏洞，在上述2個網站植入惡意JavaScript指令碼。究竟駭客使用那些漏洞，研究人員沒有說明。值得留意的是，這起攻擊行動直到10月上旬，仍處於活動的狀態。</p> <p>研究人員也提及駭客的基礎設施相當複雜，他們濫用Cloudflare服務遮掩伺服器的IP位址，使得追蹤攻擊的來源變得更加困難。</p> </div></div></div>
2024/11/26 15:41作者周峻佑https://www.ithome.com.tw/news/166202
防毒軟體Avast的驅動程式元件遭到濫用，駭客企圖停用受害電腦防護機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了迴避端點防護的偵測，駭客濫用防毒軟體元件從事自帶驅動程式（BYOVD）攻擊的手法，今年可說是越來越頻繁，如今甚至出現有人針對多家廠牌的端點防護系統進行破壞的情形。</p> <p>例如，<a href="https://www.trellix.com/blogs/research/when-guardians-become-predators-how-malware-corrupts-the-protectors/">資安業者Trellix近期揭露的攻擊行動</a>，就是典型的例子。研究人員發現由檔名kill-floor.exe開始的惡意程式感染鏈，一旦該執行檔啟動，就會於受害電腦部署Avast的Anti-Rootkit驅動程式aswArPot.sys，接著，攻擊者再植入另一個合法的核心驅動程式，檔名為ntfs.bin。</p> <p>在完成上述投放驅動程式的步驟，此惡意軟體就會濫用公用程式sc.exe，產生名為aswArPot.sys的服務，目的是向系統註冊ntfs.bin。</p> <p>然後，kill-floor.exe就會比對受害電腦上的處理程序，若出現攻擊者認定的142種資安工具處理程序名稱，就會加入Avast驅動程式的參照資料，並呼叫名為DeviceIoControl的API，傳送特定的IOCTL碼，藉由Avast驅動程式，以核心層級來終止處理程序，導致受害電腦的防毒軟體或EDR停止運作。</p> </div></div></div>
2024/11/26 14:47作者周峻佑https://www.ithome.com.tw/news/166200
Anthropic開源可用來連結AI助理與資料的Model Context Protocol
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>打造Claude大型語言模型的Anthropic周一（11/25）<a href="https://www.anthropic.com/news/model-context-protocol" target="_blank">開源</a>了模型脈絡協定（Model Context Protocol，MCP），這是一個可用來連結AI助理及資料系統的新標準，使AI助理可透過單一協定存取所有的資料來源，讓模型能產生更好與更相關的回應。</p> <p>Anthropic表示，隨著AI助理獲得主要的採用，業界於模型功能上投入了大量資金，於推論及品質上取得了快速進展，然而，就算是最複雜的模型也會受到與資料隔離的限制，每一個新的資料來源都需要專屬的客製化實現，而讓真正互連的系統難以擴展。</p> <p>而MCP則解決了上述挑戰，允許開發人員在資料來源及AI工具之間建立安全的雙向連接，這是個非常簡單的架構，開發人員可透過MCP伺服器來公開資料，或者是建立可連結這些MCP伺服器的AI應用程式。它有3個主要元件，一是模型脈絡協定的規範與各種SDK，二是Claude桌面程式對本機MCP伺服器的支援，三為MCP伺服器的開源儲存庫。</p> <p>此外，Claude 3.5 Sonnet擅長快速建置MCP伺服器，讓企業和個人可輕鬆連結重要的資料與各種AI工具，為了協助開發人員啟動探索，Anthropic將分享替Google Drive、Slack、GitHub、Git、Postgres及Puppeteer等熱門系統預先建置的MCP伺服器。</p> <p>另一方面，Block與Apollo等早期採用者也已將MCP整合到它們的系統中，Zed、Replit、Codeium及Sourcegraph等開發工具公司，亦打算利用MCP來強化其平臺，讓AI代理可更好地檢索資訊以理解程式碼任務的脈絡，並生成更實用的程式碼。</p> <p>總之，現在開發人員可以根據標準協定來建置連接器，而不必再替各別的資料來源打造各自的連接器，Anthropic相信隨著此一生態體系的成熟，AI系統就算是在不同的工具及資料集之間移動，都能維持脈絡，以更永續的架構來取代當前零散的整合方式。</p> </div></div></div>
2024/11/26 14:14作者陳曉莉https://www.ithome.com.tw/news/166199
軟體供應鏈Blue Yonder遭勒索軟體攻擊，波及星巴克等業者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國軟體供應鏈Blue Yonder在上周四（11/21）遭到勒索軟體<a href="https://blueyonder.com/customer-update" target="_blank">攻擊</a>，並傳出已波及<a href="https://www.wsj.com/livecoverage/stock-market-today-dow-sp500-nasdaq-live-11-25-2024/card/exclusive-starbucks-wrestles-with-ransomware-attack-on-software-supplier-cZJuRHR4rUCg8rOc9LJQ?mod=article_inline" target="_blank">星巴克</a>（Starbucks），以及英國連鎖超市<a href="https://www.thegrocer.co.uk/news/blue-yonder-software-hack-impacting-supermarket-supply-chains/698211.article" target="_blank">Sainsbury與Morrisons</a>等客戶。</p> <p>Blue Yonder是松下電器（Panasonic Corporation）百分之百持有的<a href="https://www.ithome.com.tw/news/144043" target="_blank">子公司</a>，主要提供各種供應鏈與商業解決方案，如供應鏈管理、退貨管理、人力資源管理、零售業目錄管理或倉儲管理等解決方案，支援服飾、汽車、雜貨、製造、消費者商品及物流等領域，客戶涵蓋DML、拜耳、星巴克、雀巢及7-Eleven等。</p> <p>Blue Yonder上周指出，該公司受到勒索軟體攻擊，使其代管環境的中各種託管服務在21日中斷了，它們正與多個外部的網路安全公司合作，首要任務是確保安全地復原，但直至24日都沒有恢復的時間表。</p> <p>知名連鎖咖啡品牌星巴克（Starbucks）向華爾街日報（WSJ）透露，Blue Yonder的服務中斷，影響了員工管理其工作時間的能力，而讓星巴克只能手動追蹤員工工作時數與計算工資，波及星巴克約1.1萬家的北美門市。</p> <p>英國專門報導消費者商品的The Grocer則說，當地的兩大連鎖超市Sainsbury與Morrisons，也都因Blue Yonder被駭而遭到波及，其中，Morrisons主要利用Blue Yonder的需求預測及補貨解決方案，來處理新鮮的農產品及冷凍食品，事件發生後已改為手動處理。</p> <p>有媒體分析，駭客或許是故意選在感恩節的前一周發動攻擊，因為Blue Yonder有許多零售業客戶，而此時正是它們的銷售旺季，以迫使Blue Yonder支付贖金。迄今尚未有勒索集團出面承認責任。</p> </div></div></div>
2024/11/26 12:33作者陳曉莉https://www.ithome.com.tw/news/166196
趨勢科技揭露Salt Typhoon攻擊電信業者的惡意程式GhostSpider
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>華爾街日報自9月底開始，多次針對<a href="https://www.ithome.com.tw/news/166096">中國駭客組織Salt Typhoon（也被稱為Earth Estries、GhostEmperor、FamousSparrow）攻擊美國電信業者</a>的情況進行報導，受害業者包含AT&T、Lumen、T-Mobile、Verizon，傳出美國政府已著手調查此事，而且，這些駭客的目標還包含其他國家的電信業者。但究竟這些駭客如何發動攻擊？最近有研究人員公布調查結果。</p> <p>資安業者<a href="https://www.trendmicro.com/en_us/research/24/k/earth-estries.html">趨勢科技指出</a>，根據他們自2020年開始的追蹤，這些駭客持續針對政府機關及網際網路服務供應商（ISP）進行長期攻擊，並指出2022年也開始針對電信公司。研究人員認為，駭客從事攻擊行動的目的，是為了更有效收集相關情報。</p> <p>他們發現對方主要鎖定的標的，包含電信公司使用的資料庫、雲端伺服器等重要服務，以及服務供應商的網路環境，駭客會試圖植入名為Demodex的rootkit程式，目的是希望藉此增加存取受害電信業者的管道。</p> <p>在近期攻擊東南亞電信業者的事故裡，這些駭客使用多款後門程式，其中包含未被揭露的GhostSpider、模組化的SnappyBee（Deed RAT）、跨平臺的Masol RAT。根據他們的追蹤，駭客的攻擊行動，根據鎖定的產業類型，大致上可區分為兩種類型Alpha、Beta，其中的Beta攻擊是針對電信業者及政府機關而來。</p> <p>無論是那一種攻擊行動，駭客取得初始入侵管道的方法，主要都是針對曝露於網際網路的應用程式伺服器，並利用已知漏洞來達到目的，這些包含Ivanti Connect Secure漏洞CVE-2023-46805和CVE-2024-21887、FortiClient EMS的SQL注入漏洞CVE-2023-48788、Sophos防火牆漏洞CVE-2022-3236，以及ProxyLogon（CVE-2021-26855、CVE-2021-26857、CVE-2021-26858、CVE-2021-27065）。</p> <p>在Beta攻擊行動裡，駭客初期利用網頁伺服器或是ProxyLogon，取得相關帳密然後控制目標電腦。</p> <p>接著，他們主要使用Demodex長期埋伏於受害組織的網路環境，在近期的攻擊行動裡，對方透過DLL挾持手法載入GhostSpider，此後門程式使用TLS通訊協定，從C2接收藏匿於HTTP標頭及cookie的命令，而能將攻擊流量混入合法流量。</p> <p>而對於攻擊行動Alpha的部分，研究人員提及是針對臺灣的政府機關及化學公司而來，駭客從C2伺服器下載惡意工具，並透過寄生攻擊進行橫向移動。</p> </div></div></div>
2024/11/26 12:43作者周峻佑https://www.ithome.com.tw/news/166197
美超微推出新型JBOF，搭36臺E3.S固態硬碟與BF3資料處理器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/supermicro_ssg-229j-5be36jbf_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了追求更高的固態儲存密度配置，這兩年來，出現越來越多可搭配EDSFF E3.S外形NVMe固態硬碟的伺服器，若以純固態儲存的組態而言，我們過去曾介紹幾款產品，像是<a href="https://www.ithome.com.tw/review/156122">Supermicro（美超微），在2023年發表1U機箱安裝16臺E3.S固態硬碟的X13或H13世代伺服器，以及2U機箱安裝32臺E3.S固態硬碟的X13或H13世代伺服器</a>，<a href="https://www.ithome.com.tw/review/159695">HPE Alletra Storage Server 4110</a>與<a href="http://D:\Dropbox\__New Product\Supermicro SSG-229J-5BE36JBF\雲達QuantaGrid D55X-1U">雲達QuantaGrid D55X-1U</a>，都是1U機箱可安裝20臺E3.S固態硬碟的伺服器。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%20X13-H13-All-Flash-2024-08.jpg" style="width: 600px;" /></p> <p>8月初2024 FMS大會召開，Supermicro預告將推出X14世代的高密度固態儲存伺服器，而在他們的網站目前已列出兩款機型，分別是：1U機箱安裝16臺E3.S固態硬碟的伺服器SSG-122B-NE316R，以及2U機箱安裝32臺E3.S固態硬碟的伺服器SSG-222B-NE3X24R。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%20X14-All-Flash-2024-08.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%20X14-All-Flash-2024-08-2.jpg" style="width: 298px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%20X14%20All-Flash%20NVMe.jpg" style="width: 600px;" /></p> <p>到了10月中適逢2024 OCP高峰會舉行，多家伺服器廠商趁機發表或展出支援大量E3.S固態硬碟的產品，像是永擎電子（ASRock Rack），就展出2U尺寸32臺E3.S固態硬碟的Xeon 6伺服器2U32E3S-GNR2FLW。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2U32E3S-GNR2FLW-1732077874981-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2U32E3S-GNR2FLW-1732077874981-web.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/ASRock Rack Xeon 6700E-series servers.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ASRock%20Rack%20Xeon%206700E-series%20servers.jpg" style="width: 298px;" /></a></p> <p>Supermicro此時推出的產品是兩款快閃儲存櫃（JBOF），其中之一是安裝24臺2.5吋U.2外形固態硬碟的SSG-229J-5BU24JBF，若搭配30.72 TB容量的固態硬碟，整臺設備的原生儲存容量為737 TB，若搭配61.44 TB容量的固態硬碟，整臺設備的原生儲存容量將可達到1.44 PB；另一款是安裝36臺E3.S固態硬碟的SSG-229J-5BE36JBF，若搭配30.72 TB容量的固態硬碟，整臺設備的原生儲存容量將超過1 PB，若搭配61.44 TB容量的固態硬碟，整臺設備的原生儲存容量將可達到2 PB。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%20BF3-based%20JBOF.jpg" style="width: 600px;" /></p> <p>相較於一般的硬碟櫃（JBOD）或快閃儲存櫃，Supermicro這兩款產品最大的特色，在於機箱內建兩臺控制器節點模組（Canister），提供雙埠連接的儲存系統（dual-ported system）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%20Gen5%20NVMe%20JBOF-Canisters.jpg" style="width: 600px;" /></p> <p>基本上，每臺模組內建1個嵌入式PCIe交換器（原為PLX公司的PCIe交換器，現為Broadcom公司的產品線），最多可支援兩個<a href="https://www.ithome.com.tw/review/156209">Nvidia BlueField-3資料處理器</a>，以及1個Nvidia GPU，不需沿用傳統搭配中央處理器、記憶體，作為子系統（subsystem），而是改用BlueField-3替代，由資料處理器上面的16顆Arm處理器執行儲存應用，同時，還能運用資料處理器的儲存加速功能，可代為處理糾刪碼（erasure coding）、解壓縮、加密演算法，加速處理NVMe/TCP與NVMe-over-Fabric（NVMe-oF）目標端（Target）的卸載，以及硬體支援RoCE、GPUDirect Storage，獲得網路加速處理與GPU直連儲存的能力。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%20Gen5%20NVMe%20JBOF-expansion.jpg" style="width: 600px;" /></p> <p>整體而言，Supermicro這批JBOF的機箱之所以設置兩個控制器模組，是為了提供雙主動（Active-Active）或主動－被動（Active-Passive）的高可用性機制，可針對雲端儲存的應用需求，提供橫跨多臺JBOF設備的軟體備援與故障切換，當然企業也可只啟用其中一個控制器模組，以節省成本開支。</p> <p>除此之外，單就固態硬碟這一層而言，用戶也能在這批JBOF當中搭配具有雙埠配置的商用產品，例如，可搭配通過Supermicro認證的鎧俠（Kioxia）CM7，若無這方面考量，可搭配的市售PCIe 5.0固態硬碟選擇更多，有鎧俠的CM7、<a href="https://www.ithome.com.tw/review/158091">CD8P</a>，以及<a href="https://www.ithome.com.tw/review/164160">美光（Micron）的9550</a>。 </p> <p>基於上述的高密度配置，Supermicro與Nvidia認為，對於需要縱向擴展（scale-up）與橫向擴展（scale-out）的檔案與物件儲存應用，相當適合，可提供高速的網路與儲存吞吐量——每臺JBOF可達800 Gb/s，並且針對PCIe 5.0固態硬碟提供超過250 GB/s的I/O頻寬，因應AI訓練與高效能運算的工作負載需求。</p> <p>根據Nvidia的測試，若在安裝1個BlueField-3資料處理器的組態下，執行儲存工作負載，這款JBOF的網路連線速度可達到400 Gb/s，總吞吐量為50 GB/s；若用於4KB這類小區塊的隨機讀取工作負載，相較於傳統基於x86處理器而成的JBOF，存取延遲為100微秒，Supermicro新推出的JBOF，存取延遲為86微秒，領先幅度為13％。</p> <p>關於耗電量的部分，由於資料處理器不只是取代JBOF的中央處理器、記憶體，也能涵蓋網路卡及基板控制器（BMC），若以子系統而言，相較於一般硬碟儲存櫃，可節省50％電力，若以整臺快閃儲存櫃（包含固態硬碟）而言，對比傳統架構的快閃儲存櫃，Supermicro新推出的JBOF省電幅度為10％至15％，積少成多，若用於大型、橫向擴展規模的部署，能替整座資料中心節省數千瓦電力。Supermicro表示，若匯集超過100臺快閃儲存櫃系統，最多能節省20千瓦電力，對於資料中心散熱而言，可額外省下10千瓦電力，對於資料中心的電力使用效率（PUE）而言，可達到1.5的水準。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%20Gen5%20NVMe%20JBOF.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/jbof-design-simpler.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/jbof-design-simpler.jpg" style="width: 600px;" /></a></p> <p>關於儲存系統、資料管理軟體的搭配上，此批JBOF設備目前有兩款解決方案支援，一款是物件儲存系統Cloudian HyperStore，支援S3物件儲存協定與NFS、SMB檔案儲存協定，另一款是平行檔案系統Hammerspace Global Data Platform，支援單一全域命名空間與資料調度服務，可儲存物件與檔案型態的資料，Supermicro表示，還有幾款儲存解決方案正在測試其支援度。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>Supermicro SSG-229J-5BE36JBF</strong></span><br /> ●原廠：Supermicro<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：2U（449.4 x 88 x 762公釐）<br /> ●儲存媒體容量：36臺E3.S 1T外形NVMe固態硬碟<br /> ●系統組成：2臺節點<br /> ●每臺節點的網路介面：2個GbE埠（Nvidia ConnectX-7或BlueField-3），作為共用LAN埠；1個GbE埠（Realtek）作為IPMI LAN埠<br /> ●每臺節點的擴充介面：3個PCIe 5.0 x16全高全長，可安裝2張DPU與1張GPU<br /> ●電源供應器：2臺2000瓦<br /> ●散熱風扇：6臺</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/11/26 12:54作者李宗翰https://www.ithome.com.tw/review/166177
Nvidia公布可生成混合音樂、人聲音效的AI模型Fugatto
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia本周<a href="https://blogs.nvidia.com/blog/fugatto-gen-ai-sound-model/" target="_blank">發表</a>一個能依文字或音樂檔案提示，生成或修改一首混合音樂、人聲和音效的AI模型，名為Fugatto。</p> <p>現今已有多家廠商，包括Google、Meta推出可生成短曲、音效、或修改現有音樂的AI模型，但Nvidia公布的Fugatto模型號稱生成技巧超越前者。Fugatto可依據用戶輸入的文字，或上傳的音訊檔案，生成或修改音樂、人聲或聲音的元素組合。例如它可以根據使用者文字提示生成音樂片段、在現有歌曲加入一種樂器聲音（或移除），或是改變人聲腔調或是情感，甚至發展出全新的表現方式。</p> <p>Fugatto全名為「Foundational Generative Audio Transformer Opus 1」，是一個基礎生成式transformer模型，為Nvidia在之前語音模型、音訊編碼及音訊理解等基礎上的研發成果。模型本身包含25億參數，是在32顆H100 GPU的DGX系統，在一年多期間，以數百萬音訊樣本及文字資料訓練而成。</p> <p>Fugatto訓練團隊涵括印度、巴西、中國、南韓和約旦。Nvidia指出，研究團隊使用多面向策略產生資料和指令，以確保模型能勝任多種不同任務，他們也審視現有資料集，找出資料間的新關聯性，在不需額外新資料集情況下，使模型學習到新任務且獲致高準確性。</p> <p>例如Fugatto使用名為ComposableART的技術，把原本個別使用的指令組合起來，像是組合多個指令，例如用戶可要求它用悲傷情緒以法語腔說一段文字，還允許插入不同指令的功能，方便使用者微調，像是腔調濃重或是悲傷程度。</p> <p>Nvidia貼出了一段<a href="https://www.youtube.com/watch?v=qj1Sp8He6e4&t=1s" target="_blank">影片</a>，展現Fugatto可為電影創造出震撼的配音。</p> <p>Fugatto還具備時序插入（temporal interpolation）能力，可生成隨時間改變的聲音，像是暴風雨中由近而遠傳遞的雷聲，也提供聲音地景的微調功能。此外，有別於其他多數模型只能重建模型團隊輸入的訓練資料，Fugatto還讓使用者新創造全新的聲音地景，像是風雨過後隨著鳥鳴來到的清晨。</p> <p>各家業者目前皆積極開發生成音樂、人聲及音效的AI技術。<a href="https://www.ithome.com.tw/news/163263" target="_blank">ElevenLabs</a>、<a href="https://www.ithome.com.tw/news/163510" target="_blank">DeepMind</a>都在開發幫影片配音的技術、Meta去年公布可同時接受文字和音訊輸入的<a href="https://www.ithome.com.tw/news/160146" target="_blank">AudioBox</a>。<a href="https://www.ithome.com.tw/news/162049" target="_blank">OpenAI</a>也在今年稍早公布了以15秒樣本生成人聲的模型。</p> </div></div></div>
2024/11/26 13:03作者林妍溱https://www.ithome.com.tw/news/166198
威聯通修補路由器OS與NAS加值軟體重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11月23日臺灣網路設備業者威聯通（QNAP）發布資安公告，針對旗下產品修補超過30項漏洞，其中，<a href="https://www.qnap.com/go/security-advisory/qsa-24-44">路由器作業系統QuRouter</a>、<a href="https://www.qnap.com/go/security-advisory/qsa-24-36">NAS協作應用程式Notes Station 3</a>存在重大層級漏洞，相當值得留意。</p> <p>根據CVSS風險評分，最嚴重的是<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-48860">CVE-2024-48860</a>，此漏洞出現於QuRouter，為作業系統命令注入漏洞，一旦攻擊者成功利用，就有機會遠端執行命令，4.0版CVSS評分為9.5。</p> <p>另外2個重大漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-38643">CVE-2024-38643</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-38645">CVE-2024-38645</a>，出現在Notes Station 3，其中較嚴重的是CVE-2024-38645，此為伺服器請求偽造（SSRF）漏洞，若是攻擊者成功利用漏洞，有機會在通過身分驗證的情況下，遠端讀取應用程式資料，風險值為9.4。</p> <p>至於CVE-2024-38643則與重要功能缺乏身分驗證有關，一旦攻擊者觸發漏洞，就可能遠端存取並執行特定的功能，CVSS風險為9.3。</p> </div></div></div>
2024/11/26 11:31作者周峻佑https://www.ithome.com.tw/news/166195
微軟AI開發工具包Semantic Kernel推出OpenAPI擴充，提升智慧功能開發靈活性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟宣布其人工智慧開發工具包<a href="https://devblogs.microsoft.com/semantic-kernel/announcing-the-ga-release-of-the-openapi-plugin-for-net-and-python-in-semantic-kernel/">Semantic Kernel的OpenAPI擴充功能</a>，進入一般可用階段，全面支援.NET與Python。該項更新讓開發者將現有API轉換為擴充套件，進一步強化人工智慧代理的應用能力，更容易實作多元人工智慧解決方案。</p> <p>Semantic Kernel是由微軟開發的開源軟體開發套件，目的是將諸如OpenAI、Azure OpenAI和Hugging Face等大型語言模型，與C#、Python和Java等語言編寫的程式整合，開發者可以更簡單地在應用程式中引入語言模型，大幅降低人工智慧應用的開發門檻。</p> <p>OpenAPI則是一個開源標準規範，藉由利用機器可讀格式，像是JSON或是YAML，描述RESTful API的結構與行為，其詳細定義了API端點、請求參數、回應格式與認證方式等細節，讓開發者能夠清晰地了解和使用API。OpenAPI專案由OpenAPI Initiative管理，其前身為Swagger，致力於促進API標準化和互通性，被廣泛用於生成文件、自動化測試和模擬服務。</p> <p>微軟這次針對Semantic Kernel的OpenAPI擴充功能，讓開發者可以利用企業現有的API基礎，將其轉換成為人工智慧代理可以使用的擴充套件，提升整體效率和功能靈活性。例如智慧家電場景，開發者就可以依據OpenAPI規範建立擴充套件，讓人工智慧代理能夠控制燈光開關。這樣的方式不僅降低系統整合的難度，也擴展了人工智慧代理的實際應用規範。</p> <p>微軟同時還推出簡單易用的整合工具，無論是.NET還是Python開發者，只需要透過幾行程式碼，即可完成套件匯入。微軟同時建議開發者，使得開發者的OpenAPI的規範更容易被人工智慧代理理解，例如簡化端點數量、清晰的命名參數，以及提供範例請求與回應資料，進一步提升規範的可讀性，最佳化人工代理的執行結果。</p> <p>除此之外，<a href="https://devblogs.microsoft.com/semantic-kernel/announcing-the-ga-release-of-filters-for-net-and-python-in-semantic-kernel/">Semantic Kernel的.NET和Python也新增過濾器（Filters）功能</a>，這項更新替開發者提供更多的控制和透明度，確保人工智慧函式執行的每個環節，都能符合負責任的人工智慧應用實務。Filters包括函式呼叫過濾器、提示詞渲染過濾器以及自動函式呼叫過濾器，支援參數驗證、例外處理、提示詞修改，和執行流程中斷等功能。每種過濾器都提供上下文物件和回呼機制，協助開發者實現敏感資料清理、錯誤恢復和效率最佳化，使企業級人工智慧解決方案更加安全可信。</p> </div></div></div>
2024/11/26 08:19作者李建興https://www.ithome.com.tw/news/166193
【資安日報】11月25日，俄羅斯駭客在軍事行動前夕，藉由跳版入侵目標組織的無線網路環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾年，有研究人員揭露利用Wi-Fi無線網路從事近距離、非接觸式的攻擊手法，但這樣的手段鮮少在實際的資安事故曝光，如今有研究人員公布此種類型攻擊行動。</p> <p>資安業者Volexity指出，2年前俄羅斯駭客組織APT28就是利用類似的策略，先攻擊目標組織鄰近的企業，再藉由這些跳板存取目標組織的Wi-Fi網路，從而進行相關的情報收集。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166183"><strong style="font-size: 22px;">俄羅斯駭客APT28發動Nearest Neighbor攻擊，目的是收集烏克蘭情報</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/nearest-neighbor-attack001-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/nearest-neighbor-attack001-1.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Volexity上周揭露了俄羅斯駭客組織APT28精心設計的攻擊行動「Nearest Neighbor Attack」，由於APT28打算攻擊的組織，在各個公共服務採用了多因素身分驗證（MFA），使得APT28最終選擇攻陷該組織的各個「鄰居」，再藉由鄰近電腦入侵未執行MFA的Wi-Fi網路。</p> <p>這起攻擊事件發生在2022年2月，正巧是俄羅斯入侵烏克蘭的前夕，APT28的目的是蒐集該組織中涉及烏克蘭的個人或專案資料。</p> <p>調查發現，APT28先針對目標組織外部服務發動密碼潑灑攻擊，儘管已經取得了帳號及密碼，卻無法通過這些服務的多因素驗證，於是轉向較少採用MFA的Wi-Fi網路，然而，APT28與目標組織之間有半個地球的距離，使得駭客決定從目標的鄰居著手。</p> <p><a href="https://www.ithome.com.tw/news/166188"><strong style="font-size: 22px;">出現命名意圖與兩大AI平臺混淆的可疑開發套件，目的是散播竊資軟體JarkaStealer</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/JarkaStealer-in-pypi-packages-01.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/JarkaStealer-in-pypi-packages-01.jpg" style="width: 300px; float: right;" /></a></p> <p>生成式AI當紅，許多開發者加入運用這類工具的行列，但駭客也伺機而動，企圖假借相關名目散布惡意軟體。</p> <p>資安業者卡巴斯基指出，他們在PyPI套件庫當中，發現2個惡意套件，提供這些套件的人士聲稱，一旦安裝之後，開發人員就能使用這些程式庫與熱門的大型語言模型（LLM）協同合作。但實際上，對方其實是濫用展示版本的ChatGPT掩人耳目，真正的目的，就是要在開發人員的電腦植入竊資軟體JarkaStealer。</p> <p>而對於這款竊資軟體的來歷，研究人員指出是由慣用俄文的開發者製作，具備從各種瀏覽器竊取資料的能力，或是從Telegram、Discord、Steam等應用程式盜竊連線階段（Session）的Token。此外，攻擊者還能中斷受害電腦的瀏覽器運作，以便搜尋瀏覽器存放的特定資料。</p> <p><a href="https://www.ithome.com.tw/news/166191"><strong style="font-size: 22px;">北捷AI客服遭網友測試發現可代寫程式碼，北捷緊急斷開Azure Open AI回應功能</strong></a></p> <p>台北捷運提供的AI智慧客服，協助真人客服減輕工作壓力，提供旅客24小時AI客服，不過，近期有網友測試後發現，北捷AI智慧客服竟然可以提供程式碼範例，引發其他網友測試，事件發生後，台北捷運接獲通報，已緊急要求廠商斷開串接Azure Open AI，讓AI客服回到旅客搭乘捷運相關問題的應答功能。</p> <p>對此，台北捷運初步研判原因為，網友以程式語言測試捷運AI智慧客服，超出原先設定的資料庫範圍，系統透過Azure OpenAI回應，因此台北捷運立即要求廠商斷開串接功能，回到北捷已建置的旅客常見問題應答。</p> <p>由於沒有對民眾提出的問題請求設限，擋掉和台北捷運旅客服務以外的無關問題，如果長時間遭到外界濫用，可能導致生成式AI鉅額的收費外，有心人士可能測試各種提問方式，還可能設法騙取AI客服回應企業內的敏感資料，可能衍生出資安的風險。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/11/google-exposes-glassbridge-pro-china.html">中國Storm-2077架設影響力網路GlassBridge，意圖對美國政府機關、非政府組織散布假新聞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.trendmicro.com/en_us/research/24/k/lodeinfo-campaign-of-earth-kasha.html">中國駭客Earth Kasha發起LodeInfo攻擊，將範圍從日本延伸到臺灣、印度</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cyber-espionage-campaign-north-korean-actors-deploy-beavertail-and-invisibleferret/">北韓駭客鎖定開發人員而來，藉由NPM套件散布惡意程式BeaverTail、InvisibleFerret</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/11/hamas-affiliated-wirte-employs-samecoin.html">哈馬斯駭客Wirte鎖定以色列企業組織，散布資料破壞軟體SameCoin</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/librenms-vulnerability-cve-2024-51092-mitigating-the-risk-of-server-compromise/">網路流量監控系統LibreNMS存在重大漏洞，攻擊者有機會執行作業系統層級命令</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166164"><strong style="font-size: 22px;">資安新創Wiz買下雲端安全業者Dazz</strong></a></p> <p></p> <p>今年傳出拒絕Google收購的雲端資安業者Wiz上周四（11月21日）宣布，將買下另一資安新創Dazz，以強化該公司的風險緩解能力。雙方並未公布交易細節，但外傳此交易價值約4.5億美元。</p> <p>Wiz共同創辦人暨執行長Assaf Rappaport指出，Dazz的修復引擎能幫助安全團隊連結不同來源的資料，並透過一個統一平臺有效管理應用程式風險；其先進的映射功能可精準找出問題根源，使工程師能直接在程式碼中修復安全漏洞，同時將重要的雲端環境無縫整合至安全工作流程中。Rappaport 強調，在徹底改變修復流程與應用程式安全的旅程中，Dazz是最理想的合作夥伴。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166161"><strong>【11月22日】駭客疑似利用零時差漏洞入侵2千臺Palo Alto Networks防火牆</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166142"><strong>【11月21日】中國駭客鎖定南亞及非洲一帶一路國家的電信業者從事間諜活動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166119"><strong>【11月20日】勒索軟體Helldown潛入受害組織，管道是兆勤防火牆的弱點</strong></a></p> </div></div></div>
2024/11/25 16:54作者周峻佑https://www.ithome.com.tw/news/166190
北捷AI客服遭網友測試發現可代寫程式碼，北捷緊急斷開Azure Open AI回應功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>台北捷運提供的AI智慧客服，協助真人客服減輕工作壓力，提供旅客24小時AI客服，不過，近期有網友測試後發現，北捷AI智慧客服竟然可以提供程式碼範例，引發其他網友測試，事件發生後，台北捷運接獲通報，已緊急要求廠商斷開串接Azure Open AI，讓AI客服回到旅客搭乘捷運相關問題的應答功能。</p> <p>台北捷運是在2022年11月推出AI智慧客服，提供乘車旅客即問即答的客服服務，後續還提供事件通報功能，讓旅客可以通報飲料打翻、車站或車廂內有髒污等事件，北捷估計每月使用量超過10萬人次。今年3月，北捷AI智慧客服升級，串接Azure Open AI，讓旅客可以和AI智慧客服對話，提供搭乘台北捷運相關資訊。</p> <p>然而，有民眾近日測試後發現，北捷AI智慧客服功能遠不只如此，該民眾要求AI協助提供程式碼範例，AI客服雖然沒有提供完整程式碼，但仍提供一段程式碼範例，該民眾在Threads發文後，在網路上發酵，吸引不少網友跟進測試，以各種不同請求測試AI客服，甚至釣出AI客服的應答規則，更有人調侃網友熱心幫台北捷運AI客服除錯。</p> <p>下圖截自Threads：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Threads-600.jpg" style="width: 600px; height: 711px;" /></p> <p>台北捷運表示，接到通報後，已要求廠商立即斷開串接Azure Open AI功能，回歸到提供旅客常見問答題庫，以回應旅客詢問，目前旅客詢問捷運相關資訊，像是首末班車諮詢、遺失物協尋服務等等皆正常服務。</p> <p>由於事件發生後，吸引大批網友測試，導致該服務使用的Token量爆增，可能導致使用生成式AI費用激增，對此，台北捷運強調，接到通報後已立即要求廠商斷開串接Azure Open AI，因發現異常即立即處置，並無明顯費用產生。</p> <p>台北捷運初步研判原因為，網友以程式語言測試捷運AI智慧客服，超出原先設定的資料庫範圍，系統透過Azure OpenAI回應，因此台北捷運立即要求廠商斷開串接功能，回到北捷已建置的旅客常見問題應答。</p> <p>由於沒有對民眾提出的問題請求設限，擋掉和台北捷運旅客服務以外的無關問題，如果長時間遭到外界濫用，可能導致生成式AI鉅額的收費外，有心人士可能測試各種提問方式，還可能設法騙取AI客服回應企業內的敏感資料，可能衍生出資安的風險。</p> <p>對此，台北捷運回應，此次雖然一發現異常就立即處置，所幸沒有明顯費用產生，但後續將邀請相關單位召開會議，研議AI智慧客服精進做法，並請廠商提出檢討報告，由台北捷運公司的資安長督導應用單位建立檢核機制。</p> <p>生成式AI帶動一波AI應用浪潮後，不少公司期待運用生成式AI帶來的效益，特別是在客戶服務方面，因少子化缺工問題，為減輕真人客服的工作壓力，導入生成式AI精進AI客服能力，此次台北捷運AI智慧客服，反映企業使用生成式AI對外提供服務，類似應用在上線前應該謹慎檢測，避免使用者提出服務以外的請求，可能導致被濫用，甚至產生資安的風險。</p> </div></div></div>
2024/11/25 17:36作者蘇文彬https://www.ithome.com.tw/news/166191
GovTech月報第35期：政府以微波、非同步軌道衛星強化離島通訊韌性；美國底特律市擬開放民眾使用加密貨幣付稅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(1022~1122)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位韌性</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">衛星</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>政府以海纜、微波、衛星多元通訊加強金門等離島通訊韌性</strong></span></p> <p>數位部推動我國通訊數位韌性，近期在金門展示成果，除了繼續拓展海纜通訊之外，還結合微波、非同步軌道衛星來強化離島地區的通訊韋韌性，降低天災或緊急狀態造成通訊服務中斷的風險。</p> <p>相較於臺灣本島，金門、馬祖等離島因距離臺灣較遠，常因為地震、颱風或是漁船等人為原因造成海纜發生故障，影響當地的網路通訊服務，例如去年馬祖就曾因為與臺灣間的兩條海纜發生故障，影響當地民眾生活，金門也曾因為海纜發生異常，影響民眾生活。</p> <p>政府通過經費補助鼓勵電信業者加強離島地區建置多元通訊網路，以金門為例，除了寬頻海纜建置之外，還結合無線微波，微波容量達3.5Gbps，數位部並且和金門縣政府合作，測試以OneWeb低軌衛星通訊，在緊急狀態導致一般通訊服務中斷下，提供縣府基本、安全的通訊服務。</p> <p>以寬頻網路為基礎，發展數位應用，以縮短離島與本島間的數位落差，例如運用高速寬頻網路、5G，展示遠距AI診間、5G遠距醫療，以強化醫療資源不足的外島地區就醫需求，還發展古蹟智慧導覽、智慧教育等應用。</p> <p>利用寬頻通訊網路展示古蹟智慧導覽服務：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96-600(4).jpg" style="width: 600px; height: 505px;" /></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">加密貨幣</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">稅費</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>美國底特律市開放民眾以加密貨幣付稅</strong></span></p> <p>美國的底特律市近期宣布將開放民眾透過PayPal管理的安全平臺，以加密貨幣來支付政府的稅款或其他規費，加上近期美國各州指控聯邦政府干預加密貨幣過嚴，以及即將上臺的川普政府支持加密貨幣，預示美國可能大力擁抱加密貨幣。</p> <p>底特律市政府財政辦公室近期指出，民眾可以選擇使用加密貨幣繳納市政府稅費，這項新政策將使這座密西根州最大城市，成為美國至今接受加密貨幣繳交政府稅費的最大城市，底特律市政府計畫在2025年中開始推出，伴隨該服務的開放，也需要更新市政府的支付服務。</p> <p>隨著拜登政府即將下臺，川普政府即將上位，新舊政府即將交替之際，美國18個州日前組成聯盟，狀告美國證券交易委員會（SEC）過度監管各州推動加密貨幣法令；與此同時，外傳川普上任後，將會在聯邦政府設立加密貨幣相關的管理單位，種種跡向顯示美國可能改變對加密貨幣的政策立場，轉而擁抱加密貨幣。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">5G</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AIoT</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>臺南市污水處理廠導入5G及AIoT，以水質智慧化管理強化供水韌性</strong></span></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/a-600.jpg" style="width: 600px; height: 400px;" /></strong></span></p> <p>臺南市政府在水資源管理積極導入新科技，近期市府與國發會合作，以永康水資源回收中心作為水資源智慧管理的示範場域，結合5G專頻專網及AIoT，強化水質即時監控管理，以提供南科園區半導體產業穩定的水資源。</p> <p>永康水資源回收中心將民生污水處理廠與再生水廠合併設計，位於臺南市永康地區，佔地約9.67公頃，民生使用過的污水經過處理後，再生水再透過管道提供南科園區使用，為臺南市建立水資源管理及供水韌性的重要一環。</p> <p>該座水質源回收中心利用5G專頻專網來建置IoT網路，在水質監控的「前哨」，於關鍵位置建置感測器，以提前30分鐘預先感測水質變化，並建立相關的辨識系統，以辨識大型垃圾或是油脂、水位高低，以掌握進水狀況，當發現異常時，立即向管理單位發送警示，此外，也利用生成式AI學習專家知識，提供相關的處理建議，加快應變速度；感測數據上傳至區塊鏈，確保數據的真實性。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">生產效率</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>澳洲政府測試導入生成式AI，平均可為公務人員每天節省1個小時</strong></span></p> <p>澳洲政府去年開始測試公共服務部門使用生成式AI，測試為期半年時間，近期評估報告指出，參與測試的公務人員每天平均可節省1個小時，提升行政效率。</p> <p>澳洲公共服務部門（APS）是在去年11月開始測試計畫，導入Microsoft Copilot 365，約有60多個政府部門，共7,600名公務人員參加測試，經過6個月的測試使用，參與的公務人員運用生成式AI工具，所節省的時間主要在於任務型的工作，例如作筆記、製作會議記錄，以及其他行政作業上的工作。</p> <p>另外，超過7成的參與者對使用AI工具感到滿意，近7成的人認為使用AI工具加速他們的工作，約6成的人則認為提升工作品質；不過，該報告也發現雖然帶來節省時間的好處，但也需要花費時間檢視AI產生的內容是否有錯誤，同時在測試中也發現在AI訓練中社會偏見影響政府服務，AI模型可能複製偏見，導致產生不公平的內容或建議，例如可能偏向西方價值觀，錯誤運用原住民文化及資訊。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">詐騙</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>行政院明年將提出打詐行動綱領2.0，加強運用AI工具防詐</strong></span></p> <p>為遏止詐欺盛行，行政院繼完成打詐專法「詐欺犯罪危害防治條例」，加重詐欺刑責，並配套修法三法，從源頭加強管理，防止詐騙集團利用金融、網路、電信進行詐騙，行政院透露明年計畫提出新世代打擊詐欺策略行動綱領2.0，其中一項手段是運用AI工具防止詐騙，預計於明年1月實施。</p> <p>研擬中的打詐行動綱領2.0將交由數位部統籌，聚焦在數位經濟產業治理，包括運用AI、深化跨境合作、監管關鍵產業、加強被害保護等重點，並建立提升防詐意識、減少發生數、降低財損數3大目標。</p> <p>事實上在今年，政府已開始運用AI技術投入防詐工作，例如數位部資安院研發運用AI技術的廣告自動化巡檢技術，用以自動巡檢大量的廣告，每月可檢測超過50萬筆廣告，當偵測到詐騙廣告，後續通報處理，宣稱其AI偵測詐騙廣告準確度達93％。行政院明年提出新世代打詐行動綱領2.0，預期將加速發展AI工具投入防詐工作。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">區塊鏈</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位債券</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>英國以區塊鏈技術推動數位政府債券試驗</strong></span></p> <p>英國政府正計畫運用區塊鏈技術推動數位政府債券，運用分散式帳本技術來提升英國政府金融部門的透明度及效率。</p> <p>該國正在諮詢相關專家，嘗試以區塊鏈為基礎打造數位債券，將分散式帳本技術整合到政府的財務運作，英國政府希望以此探索創新的公共債務管理方式，並且提高交易的自動化、透明度，該項試驗由英格蘭銀行與金融監管部門在數位證券的沙盒中進行。</p> <p>在此之前，英國央行原本對加密貨幣提出質疑的態度，然而在新的數位債券試驗中，可以看到英國央行對區塊鏈技術的應用抱持興趣，此舉也呼應世銀、歐洲投資銀行對採用區塊鏈發行債券的趨勢。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位身分</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">管理</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size: 22px;"><strong>紐西蘭提出數位身分服務信賴框架</strong></span></p> <p>紐西蘭政府近期確定該國的數位身分服務信賴框架，明確提出可被信賴的數位身分服務應遵守的規範，涵蓋個人隱私及安全，以增加民眾對於使用數位身分服務的信賴，自主管理他們的個人身分資訊。</p> <p>紐西蘭的數位化政府部表示，民眾希望能夠透過線上，以安全可靠的方式來完成他們每天的工作。該信賴框架為未來紐西蘭政府推動數位身分服務預先鋪路，未來預期可能出現的數位身分服務包括數位駕照、銀行ID或特定的產業證照。</p> <p>紐西蘭政府指出，數位身分服務可以讓人們不再需要提供重要紙本證件的掃描或影本，民眾自主選擇分享哪些資訊，與哪些服務提供者分享。而透過該信賴框架，透過數位皮夾或App來使用第三方服務，分享的身分資訊受到加密保護，且服務提供者取得身分資訊的前提是要取得民眾的同意。另外，數位憑證由民眾持有，發行憑證單位不會知道或監控民眾如何使用憑證。</p> <p> </p> <p>圖片來源／金門縣政府、臺南市政府、台灣大哥大</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.波蘭計畫投入2.3億歐元發展AI，包括在地化LLM</strong></p> <p><strong>2.阿拉伯將導入IoT技術，為政府機關大樓節省用電、用水</strong></p> <p>資料來源：iThome整理，2024年11月</p> </div></div></div>
2024/11/25 17:36作者蘇文彬https://www.ithome.com.tw/news/166170
出現命名意圖與兩大AI平臺混淆的可疑開發套件，目的是散播竊資軟體JarkaStealer
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI當紅，許多開發者加入運用這類工具的行列，但駭客也伺機而動，企圖假借相關名目散布惡意軟體。</p> <p>資安業者卡巴斯基指出，他們在PyPI套件庫當中，<a href="https://www.kaspersky.com/blog/jarkastealer-in-pypi-packages/52640/">發現2個惡意套件</a>，提供這些套件的人士聲稱，一旦安裝之後，開發人員就能使用這些程式庫與熱門的大型語言模型（LLM）協同合作。但實際上，對方其實是濫用展示版本的ChatGPT掩人耳目，真正的目的，就是要在開發人員的電腦植入竊資軟體JarkaStealer。</p> <p>值得留意的是，這些套件上架超過一年，約有逾30國、1,700個使用者下載、安裝。</p> <p>其中一個套件名為gptplus，開發者號稱能從OpenAI存取名為GPT-4 Turbo的API；另一個稱做claudeai-eng，開發者宣稱能從Anthropic PBC存取Claude AI的API。</p> <p>雖然兩者聲稱的功能有所不同，但研究人員發現，對方都提供了範本，解釋如何與語言模型建立聊天頻道並傳送訊息。然而實際上，這些套件將會與ChatGPT的展示代理伺服器進行互動，使得受害者誤以為套件具備開發者標榜的功能。</p> <p>將套件的__init__.py檔案內容進行解析，他們發現這些套件執行後，會解密特定的內部資料，從程式碼儲存庫GitHub下載JavaUpdater.jar，最終解開得到惡意軟體JarkaStealer。特別的是，駭客還會檢查電腦是否部署了Java執行環境（JRE），假如沒有，還會自動從雲端儲存空間Dropbox下載、安裝，而目的就是要執行埋藏於JAR檔案裡的竊資軟體JarkaStealer，以便在無法偵測的狀態下竊取資料。</p> <p>而對於這款竊資軟體的來歷，研究人員指出是由慣用俄文的開發者製作，具備從各種瀏覽器竊取資料的能力，或是從Telegram、Discord、Steam等應用程式盜竊連線階段（Session）的Token。此外，攻擊者還能中斷受害電腦的瀏覽器運作，以便搜尋瀏覽器存放的特定資料。</p> </div></div></div>
2024/11/25 16:12作者周峻佑https://www.ithome.com.tw/news/166188
英國將在明年訂定加密貨幣的監管框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>彭博社（Bloomberg）上周<a href="https://www.bloomberg.com/news/articles/2024-11-21/uk-to-unveil-long-awaited-crypto-stablecoin-rules-early-in-2025?embedded-checkout=true" target="_blank">報導</a>，英國財政部經濟事務大臣Tulip Siddiq 在上周舉行的代幣化高峰會（The Tokenisation Summit）上透露，英國將在明年初公布外界期待已久的加密貨幣及穩定幣的規範，制定單一的加密貨幣監管框架。</p> <p>Siddiq說，前保守黨政府原本預計在今年夏天，通過與穩定幣及質押有關的加密貨幣法案，但因大選而延後。保守黨在英國今年7月的大選中敗給了工黨，工黨指派的財政大臣為Rachel Reeves，Siddiq則是經濟事務大臣，負責金融相關政策的制定與推行。</p> <p>根據新政府的規畫，穩定幣不再被納入現有的支付服務法規中，因為現有法令並不適用於穩定幣，而是要建立一個統一的加密貨幣監督框架，以跟上美國與歐盟的行動，並吸引相關產業。</p> <p>英國國會在今年9月便曾<a href="https://www.gov.uk/government/news/new-bill-introduced-in-parliament-to-clarify-cryptos-legal-status" target="_blank">提出</a>一項納入了數位資產的財產法案，是英國首次將加密貨幣、數位藝術等非同質化代幣（NFT），以及碳權等數位資產視為個人財產。</p> </div></div></div>
2024/11/25 14:27作者陳曉莉https://www.ithome.com.tw/news/166185
「零信任博士」的實踐觀察，揭示零信任挑戰與應用未來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>零信任架構（ZTA）在美國政府的推動下，已經成為全球政府與企業積極推動的網路安全架構，臺灣從政府到企業也非常認同零信任架構。在這個理論推動的過程中，除了有零信任架構的提出者、現任Illumio傳道士John Kindervag，各界稱之為「零信任之父」外，另外也有被譽為「零信任博士」（Dr. Zero Trust）的Dr. Chase Cunningham。</p> <p>Chase Cunningham不僅是零信任架構的支持者，也同時是推動零信任架構的實踐者，而其軍事背景出身，曾經在美國國家安全局（NSA）、海軍、聯邦調查局（FBI）等單位累積實戰經驗，並陸續在許多企業擔任網路安全顧問，有利於將零信任架構轉化成為實際可用的策略框架。</p> <p>Chase Cunningham日前來臺參加「零信任架構實踐高峰論壇」的媒體專訪時表示，零信任架構的核心原則是「永不信任，始終驗證」（Never Trust、Always Verify），這一原則徹底顛覆了傳統網路安全模型中對內部邊界的信任假設。他指出，隨著數位化轉型、雲端技術的普及以及第三方供應商的依賴，對傳統的「信任邊界」模式已經不再適用，企業需要重新定義網路安全的基石。</p> <h2><strong>零信任架構改變傳統資安對內部邊界的信任</strong></h2> <p>面對網路威脅日益複雜，零信任架構成為一項革命性的安全框架，Chase Cunningham表示，零信任的基礎原則「永不信任，始終驗證」則打破傳統網路安全的信任假設，也徹底改變傳統資安模型──側重於保護明確的內部邊界、假設外部威脅為主要風險的理念。</p> <p>Chase Cunningham認為，零信任架構是「重新定義網路安全的基石」，取消對任何內部或外部用戶、設備的預設信任，顛覆了企業對「信任」的傳統認知，強調所有的存取操作，都必須基於客觀驗證和持續的風險評估。</p> <p>而隨著企業數位化轉型、遠距辦公的普及、雲端技術的使用，以及第三方供應商的普遍，Chase Cunningham指出，傳統的「信任邊界」（Trust Boundary）模式已經變得越來越模糊，甚至難以識別。</p> <p>他進一步解釋，零信任架構的基本原則有三點，「永不信任，始終驗證」指的是：所有進入網路的請求都必須經過驗證和授權，無論來源是內部還是外部；「最小權限原則」僅允許用戶和設備存取完成任務所需要的最低權限，防止多餘權限導致安全風險；而「動態調整與持續監控」則意味著：通過即時檢測和動態調整存取策略，快速應對潛在威脅。</p> <p>Chase Cunningham也觀察到，內部攻擊和員工疏忽所造成的安全事件頻率，已經遠遠高於外部攻擊；加上勒索軟體和社交工程攻擊手段的進步，傳統防火牆早已無法應對日益增加的進階持續性威脅（APT）；而攻擊者一旦進入內部網路，可以在未隔離的系統中橫向移動，更容易獲取敏感的資料。</p> <p>加上，許多企業依賴外部供應商，但這些供應商的安全防護能力參差不齊；甚至於，許多監管機構已將零信任納入其標準，例如，美國的行政命令則要求，所有政府機構都要採用零信任架構，特別針對重要關鍵基礎設施領域。</p> <h2><strong>推動零信任架構面臨的四大挑戰</strong></h2> <p>對於推動零信任架構的過程中，Chase Cunningham坦言，其中的確面臨一些挑戰。首先，他表示，零信任架構需要整合多種技術，像是身分驗證、網路分割、即時威脅監控等，最明顯的就是，許多企業現有的基礎設施並不支持這些功能。</p> <p>例如：身份驗證系統的不足，部分企業仍依賴弱密碼和單因子驗證，無法滿足零信任的高標準；加上網路架構的複雜性，導致企業內部缺乏清晰的資產分段與隔離，導致橫向攻擊無法被及時阻止。</p> <p>而許多關鍵基礎設施內部的系統老舊，許多小型企業缺乏足夠資源等，加上許多企業內部的系統缺乏互通性，都使得系統整合愈形困難，這也造成零信任政策難以全面實施推動。</p> <p>其次，零信任的實施方法不僅需要技術支持，更需要企業文化的配合，Chase Cunningham特別提到，零信任強調的雖然是「不預設信任」，這並不意味著企業對員工不信任，而是基於風險管理的必要性。</p> <p>他強調，零信任是一種風險管理工具，並不涉及對員工的道德或能力評價，而是針對行為的安全管理策略，所以，為了避免引發員工牴觸零信任推動的情緒，成功的零信任實施，需要高層領導的支持和全體員工的協作，企業應通過教育和溝通，幫助員工理解零信任的真正價值。</p> <p>他也將零信任比喻作一艘船的防水艙設計，船艙之間的隔離，能防止單個船艙破損後則導致整艘船沉沒，這種類比，強調零信任架構可以防止整個企業在網路攻擊中「沉沒」，展現了在保持企業營運完整性的同時，也做到隔離脆弱性的必要性。「這種分隔設計，很精準詮釋了零信任的精髓。」他說。</p> <p>第三點則是，零信任架構的部署往往需要投入大量資金，特別是對於需要升級基礎設施、或重新設計網路架構的企業來說，這是一項長期投資，許多中小型企業在資金和專業知識方面的匱乏，更使得實施進程更加緩慢。</p> <p>因此，Chase Cunningham建議，企業需要在現有預算下尋找成本與效益的平衡點，可以從高風險領域（如資料存取）入手，逐步擴展零信任的覆蓋範圍。</p> <p>最後，Chase Cunningham認為，外界將零信任視為產品而非全面的安全架構，是最大的誤解，也是最難的挑戰。他進一步表示，許多企業將零信任視為一種「產品」或單一解決方案，但事實上，零信任其實是一個綜合性的安全架構，並無法通過購買單一工具來實現。「企業需要根據自身需求設計適合的零信任策略，並選擇合適的技術進行實施。」他說。</p> <h2><strong>實施零信任架構的五步驟</strong></h2> <p>為了幫助企業成功部署零信任架構，Chase Cunningham提出了五步驟的實施框架，從身份驗證到數據保護，涵蓋了零信任的所有核心要素，作為實施零信任的必要措施。</p> <p>因為實施零信任是一個系統性工程，透過分步驟的實施框架，也可以幫助企業按照清晰的策略逐步推進。他強調，零信任不是一種單一技術，而是一種持續演進的安全模式，因此企業需要根據自身情況，靈活設計部署計劃。</p> <p><strong>步驟 1：身份驗證與存取控制（IAM）</strong></p> <p>身份驗證是實施零信任架構的核心起點，目的是確保每個存取請求，都是來自經過驗證的用戶或設備。</p> <p>目前常見的身分驗證技術可以使用多因素認證（MFA），使用密碼加上另外的生物識別技術（例如指紋或是臉部識別），為傳統的密碼身分驗證方式，增加額外的驗證機制；另外，FIDO（Fast Identity Online，FIDO）網路身分識別技術，減少對傳統密碼的依賴，提升身分驗證效率和安全性。</p> <p>此外，也要針對設備進行驗證，不僅驗證人員身份，還要確保設備的合法性及設備健康狀態，以防止被感染的設備進入企業內部網路。</p> <p><strong>步驟 2：網路分割（Segmentation）</strong></p> <p>網路分割是限制威脅擴散的有效手段，Chase Cunningham指出，可以透過微分割（Micro-segmentation）的方式，將網路切分為小範圍的隔離區域，限制橫向移動，例如，敏感數據伺服器可以單獨隔離，確保即使某一區域被攻陷，其他部分仍然安全，可以防止攻擊者在系統內部進一步擴散。</p> <p>另外，也可以使用基於角色的存取控制（Role-based Access Control，RBAC），這是一種基於用戶的角色（Role）來分配存取權限，這些角色通常與用戶的職責或工作職位相關，而不是直接分配給個別用戶的作法，限制系統或網路中的用戶存取權限，確保用戶僅能存取其職責範圍內的資源，做到細粒度的存取控制</p> <p>RBAC是零信任架構中不可或缺的一部分，它的角色導向存取控制方法為組織提供了一種既高效又安全的權限管理方式，可以做到支持動態以及更精細化的資源保護。</p> <p><strong>步驟 3：即時監控與動態策略</strong></p> <p>零信任要求持續監控所有存取操作，根據風險情況動態的即時調整存取控制策略，並能即時回應異常行為，可以使用AI和機器學習技術來分析行為模式，做到快速識別和阻止潛在攻擊。</p> <p>例如，利用人工智慧和機器學習分析行為異常，快速識別可能的攻擊行為，做到即時威脅檢測；另外，也可以結合NIST SP800-207標準框架，根據存取行為、地點和時間的變化，動態更新調整存取權限。</p> <p><strong>步驟 4：資料保護</strong></p> <p>資料是企業的核心資產，Chase Cunningham認為，資料保護是零信任的最終目標，但也是最具挑戰性的部分。因此，他建議企業應該對資料進行分類，並且根據資料的敏感度採取不同的加密和存取策略。</p> <p>像是對於動態和靜態資料進行加密，可以確保資料傳輸和儲存的安全性外，也要做到將資料分類與標籤，針對機敏資料採取更嚴格的保護措施。</p> <p><strong>步驟 5：協作與自動化</strong></p> <p>Chase Cunningham強調協作（Orchestration）是零信任成功的關鍵之一，企業需要整合不同的安全技術，要透過自動化流程減少人為錯誤，藉由自動化工具實現高效的協同操作。</p> <p>他表示，可以利用遙測技術（Telemetry）收集和分析網路活動資訊，利用可視化工具掌握整體環境；更可以利用自動化技術，快速回應安全事件，減少攻擊損害。Chase Cunningham強調協作（Orchestration）的重要性，指出多層面的安全整合若未能有效協同，將導致防護失敗，而有效的協作依賴於適當解決方案的實施、可視性分析和遙測。其中，NIST SP800-207框架的一個關鍵要素是：確保安全政策如預期運作，進一步突顯了協作在網路安全策略中的重要性。</p> <h2><strong>推動零信任，有助深化各行業資料和系統安全</strong></h2> <p>隨著技術的發展，零信任的應用不再局限於少數高風險行業，而是成為普遍適用的框架。Chase Cunningham提到，美國聯邦政府已經將零信任作為政策核心，要求各機構遵守零信任架構，而且企業和政府機構正在逐步理解零信任的全貌，將其從單純的概念轉變為可實施的安全戰略。</p> <p>不過，他也觀察到，零信任架構在臺灣仍然處於初步推動的階段，關鍵原因在於，企業高層（例如董事會、執行長）對於零信任架構的理解有限、對其重要性認識不足，才會導致實施的過程進展緩慢。</p> <p>然而，臺灣的高科技製造業與金融業因為遭受到頻繁的網路攻擊，對資安的需求也較其他產業急切，Chase Cunningham建議，這些行業都是可以率先落實零信任架構的產業，也可以通過示範案例，帶動其他行業的跟進應用；政府的支持同樣重要，尤其是在政策與資源分配上，也可以對推廣零信任架構提供更多助力。</p> <p>Chase Cunningham舉例，金融行業是零信任應用的典範，因為涉及大量的敏感資訊，例如客戶個資、交易記錄等，其中，銀行和支付機構也需要更高的安全標準。</p> <p>所以上述這些單位也會在每次教疫後採用動態身分驗證，結合多因素驗證以及行為與生物識別方式，以防止未經授權的交易。另外，也會採用微分割（Micro - segmentation）技術，隔離不同類型的交易，以降低高風險交易的影響範圍。</p> <p>因為醫療行業有更多病人的敏感性個資，落實零信任架構則可以保護病患隱私。例如，透過零信任架構，協助醫院針對電子病歷（EMR）採取更嚴格的存取控制，只有經過授權的醫生和相關人員，可以檢視病患的個資；再者，當醫院的社辦開始連網後，也可以透過零信任架構檢查設備的健康狀態，可以防止被惡意程式感染。</p> <p>另外就是可以在政府機構落實零信任架構，他表示，美國聯邦政府已經在行政命令中要求，所有政府機構都要採用零信任架構，以應對關鍵基礎設施（CI）面臨的安全威脅。</p> <p>而且，落實零信任架構還可以促進不同政府部門之間的信任度，例如，國防部和內政部需要共享資料時，因為已經嚴格限制只有經過授權人員可以存取，也同時確保資料的安全性。</p> <p>此外，政府也可以透過零信任架構，隔離敏感資料並作分割處理，這樣的作法也可以確保，即便有一部分系統遭到駭客攻擊時，仍可以確保其他資料的安全性。</p> <h2><strong>零信任與AI結合是未來發展趨勢</strong></h2> <p>Chase Cunningham預測，零信任的未來將與人工智慧（AI）深度結合，將在技術與應用層面持續深化。</p> <p>他表示，AI技術能即時分析網路流量和行為模式，快速檢測並回應異常活動；AI技術也可以根據用戶行為、自動化判斷風險等級，動態更新存取政策，減少人為干預；機器學習將提高威脅檢測的準確性，尤其是針對資料流的監控。</p> <p>隨著更多國家接受零信任的理念，其框架將逐步成為國際標準，他說：「特別是在高科技製造業以及跨國企業，零信任架構將成為抵禦供應鏈攻擊的標配。」隨著技術成本下降，他也強調，未來零信任的普及範圍將不再侷限於大型企業，許多中小企業也可以選擇更具性價比的解決方案。</p> <p>此外，包括美國、澳洲等國家都將零信任架構，列為國家級的安全策略核心，政策推動更將朝向全球化；隨著全球更多國家採用零信任，其標準化進程將進一步加快，讓更多企業和機構受益。</p> <p>隨著AI和自動化技術的進一步發展，零信任將變得更加智能、高效，並將成為不可或缺的資安基石。Chase Cunningham指出，零信任不僅是一種技術框架，更是一種改變企業安全文化的工具，而零信任的核心則在於：通過更精細的身份驗證和存取控制，創造一個風險最小化的安全環境。</p> <div id="haloword-content"> </div> <div class="ui-draggable" id="haloword-lookup" style="position: relative;"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"></div> </div> <div id="haloword-content"> </div> </div> </div></div></div>
2024/11/25 14:44作者黃彥棻https://www.ithome.com.tw/news/166187
【資安週報】1118~1122，中國駭客組織持續攻擊全球，發起間諜行動與零時差漏洞利用等攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11月第3周的資安新聞中，在威脅態勢方面，最重要是中國駭客鎖定電信業者的間諜行動，後續消息不斷，不只是多家美國電信業受害，其他國家電信業也傳出遭攻擊，如今資安業者CrowdStrike公布最新研究證實此事，指出中國駭客Liminal Panda也入侵南亞、非洲電信業者。</p> <p>此外，11月中旬適逢黑色星期五行銷活動前夕，以這項活動為誘耳、騙取信用卡及個資的網釣威脅揭露，一直是每年這個時間的新聞焦點，而最近一起攻擊行動的發現中，顯現是中國駭客SilkSpecter主導。</p> <p>另要關注的是，中國駭客組織是近期零時差利用的主要威脅來源之一。繼上星期我們報導資安業者BlackBerry揭露APT41的近期行動，後續資安業者Volexity揭露該群駭客組織的最新手法，指出發現利用FortiClient零時差利用情形並通報對方（尚未登記CVE），用戶需多加偵測並注意廠商的修補與緩解。</p> <p>在漏洞消息方面，有多達6個零時差漏洞利用情形，涵蓋資安產品、企業產品，與消費端裝置，這些漏洞已被攻擊者利用，用戶應儘速更新並清查是否遭入侵，尤其Palo Alto Networks的漏洞，Shadowserver基金會追查發現全球約有2千臺防火牆疑似遭入侵，臺灣也有58臺。<br /> ●Palo Alto Networks針對旗下防火牆修補2個已出現攻擊行動的零時差漏洞，分別是CVE-2024-0012 、CVE-2024-9474。<br /> ●Oracle針對旗下產品生命週期管理Agile PLM產品，修補已遭利用的零時差漏洞CVE-2024-21287。<br /> ●臺廠奇偶科技多款已終止支援的視訊監控設備，發現零時差漏洞CVE-2024-11120被鎖定利用的情形，用戶應汰換設備因應。<br /> ●蘋果修補2個已遭利用的零時差漏洞CVE-2024-44309、CVE-2024-44308，尤其Intel處理器的Mac電腦用戶最要注意。</p> <p>還有3個已知漏洞，近期被發現有駭客鎖定利用，包括Progress今年2月修補Kemp LoadMaster負載平衡設備的CVSS滿分重大漏洞CVE-2024-1212，以及VMware今年9月修補vCenter Server的漏洞CVE-2024-38812、CVE-2024-38813。</p> <p>至於資安事件方面，這一星期國內有3家上市櫃公司資安重訊，涵蓋網通、電腦周邊設備與電子零組件業。<br /> ●電信寬頻設備大廠中磊代子公司Sercomm Philippines發布重訊，說明該菲律賓公司有部份資訊系統遭受駭客網路攻擊。<br /> ●印表機製造商誠研發布資安重訊，說明部份資訊系統遭受駭客網路攻擊。<br /> ●電子零組件業晟楠發布資安重訊，說明外部伺服器遭受駭客攻擊。<br /> ●上星期國巨代美國子公司發布資安重訊，由於事故發生日是在10月12日，等於事發相隔一個月才公布，證交所開罰5萬元。<br /> ●美國汽車大廠福特傳出4萬多筆顧客資料外洩，先是有駭客在地下論壇兜售，後續該公司表示資料是從第三方業者流出。</p> <p>在資安防護發展方面，我們看到AI治理與個資法的議題，分別是全球與臺灣關注資安風險的重點。首先，BSI揭露國際趨勢與展望，指出AI引發的「錯誤資訊與假消息」，已經被世界經濟組織（WEF）列為近兩年10大風險之首，同時強調AI系統管理標準ISO 42001與AI治理力的重要性，以及國內企業需掌握到國際間對「董事會義務」的高度重視。</p> <p>其次，在臺灣，關於個人資料檔案安全維護管理辦法有新重要變動，過去政府已規範多個產業，包括數位經濟相關產業、製造業及技術服務、綜合商品零售業等。近日焦點在於「綜合零售業」更名「零售業」，且擴大列管的範圍，涵蓋所有資本額達到1千萬元的零售業，包含服飾業者Uniqlo、NET，以及全國電子等約有6,800家零售業者。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/166067"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月18日】中國駭客利用FortiClient零時差漏洞存取VPN，入侵受害組織網路環境洞</span></strong></a></h3> <p>上週二資安業者BlackBerry揭露對於間諜軟體LightSpy攻擊行動的最新調查結果，指出攻擊者的身分是中國駭客APT41，並提及另一款模組化的惡意程式框架DeepData Framework，事隔3日，有研究人員透露更多關於該框架的外掛模組功能細節，其中最引起他們注意的是，專門針對FortiClient用戶端程式零時差漏洞而來的外掛元件。</p> <p>值得留意的是，這項漏洞的修補狀態並不明朗，後續發展相當值得觀察。</p> <h3><a href="https://www.ithome.com.tw/news/166099"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月19日】中國駭客鎖定想趁機撿便宜的黑色星期五購物者發動網釣攻擊</span></strong></a></h3> <p>經過雙11購物潮，緊接著由歐美國家發起的黑色星期五（Black Friday）也即將於月底展開，但在此同時，駭客盯上想要藉此買到大幅折扣商品的購物者，企圖偷取他們的信用卡與詳細個資。</p> <p>威脅情報業者EclecticIQ揭露中國駭客發起的網釣攻擊行動，就是典型的例子。駭客聲稱商品只需2折就能買到，一旦購物者依照指示下單，就會將自己的資料傳送給駭客。</p> <p><a href="https://www.ithome.com.tw/news/166119"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月20日】勒索軟體Helldown潛入受害組織，管道是兆勤防火牆的弱點</span></strong></a></p> <p>本週資安業者Sekoia針對勒索軟體Helldown的攻擊行動提出警告，指出這些駭客從原本針對Windows進行加密，如今也開發了破壞VMware ESXi虛擬化平臺的檔案加密工具。</p> <p>值得留意的是，這些駭客潛入受害組織的方法，是利用兆勤防火牆的漏洞，駭客聲稱他們也成功入侵該公司的歐洲分公司，對此我們試圖聯繫兆勤科技，但在今天資安日報截稿之前，我們尚未得到他們的回應，目前無法進一步證實此事。</p> <h3><a href="https://www.ithome.com.tw/news/166142"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月21日】中國駭客鎖定南亞及非洲一帶一路國家的電信業者從事間諜活動</span></strong></a></h3> <p>這2個月，中國駭客Salt Typhoon鎖定美國電信業者發動攻擊，從而竊取特定政治人物的通話內容，不斷有消息浮出檯面，但值得留意的是，中國駭客並非只針對美國而來，其他國家也有電信業者受害的情形。</p> <p>例如，中國駭客Liminal Panda針對南亞、非洲電信業者下手，活動已長達4年。值得留意的是，受害電信業者所屬國家，都剛好參與中國的一帶一路計畫，因此研究人員認為，這些攻擊很可能與國家利益有關。</p> <h3><a href="https://www.ithome.com.tw/news/166161"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月22日】駭客疑似利用零時差漏洞入侵2千臺Palo Alto Networks防火牆</span></strong></a></h3> <p>資安業者Palo Alto Networks在2週前發出不尋常的警告，指出他們得知有人掌握一項漏洞，呼籲用戶要限縮管理介面的存取管道因應，到了本週，該公司公布漏洞細節，並指出有一定數量的防火牆遭到攻擊。</p> <p>但究竟有多少防火牆受害？這幾天Shadowserver基金會表示，約有2千臺防火牆疑似遭到入侵，值得留意的是，雖然多數受害設備位於美國、印度，但臺灣也有災情。</p> </div></div></div>
2024/11/25 09:55作者羅正漢https://www.ithome.com.tw/news/166180
資安業者揭露俄羅斯駭客APT28的Nearest Neighbor攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Volexity上周<a href="https://www.volexity.com/blog/2024/11/22/the-nearest-neighbor-attack-how-a-russian-apt-weaponized-nearby-wi-fi-networks-for-covert-access/" target="_blank">揭露</a>了俄羅斯駭客組織APT28一起精心設計的攻擊行動「Nearest Neighbor Attack」，由於APT28打算要攻擊的A組織在各個公共服務採用了多因素身分驗證（MFA），使得APT28最終選擇攻陷A組織的各個鄰居，再藉由鄰居的電腦入侵A組織未執行MFA的Wi-Fi網路。</p> <p>這起攻擊事件發生在2022年2月，正巧是俄羅斯入侵烏克蘭的前夕，APT28的目的是蒐集A組織中涉及烏克蘭的個人或專案資料。</p> <p>調查發現，APT28先針對A組織的對外服務發動密碼潑灑攻擊，儘管已經取得了帳號及密碼，卻無法通過這些服務的多因素身分驗證，於是轉向較少採用MFA的Wi-Fi網路，然而，APT28與A組織之間有半個地球的距離，使得APT28決定從A組織的鄰居們著手。</p> <p>APT28成功入侵了A組織附近的多個組織，這些組織的辦公室離A組織很近，而且可以連到A組織的Wi-Fi 網路，在控制其鄰居的某臺電腦之後，就能以已知的憑證登入A組織的Wi-Fi 網路。</p> <p>APT28的手法既複雜且精細，它們破壞了A組織附近的至少2個組織，以便串連使用這些組織的Wi-Fi網路及VPN連線，最終成功滲透到A組織的網路。</p> <p>Volexity指出，此一攻擊展現了物理上的鄰近性，如何成為網路滲透的重要工具，企業需要重新審視Wi-Fi網路的安全性，並採取更嚴格的控制措施，建議組織可以實施Wi-Fi 的MFA驗證，或是分隔Wi-Fi 網路及乙太網路，強化日誌紀錄，以及監控異常行為。</p> </div></div></div>
2024/11/25 11:27作者陳曉莉https://www.ithome.com.tw/news/166183
AWS再砸40億美元投資Anthropic
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon Web Services上周<a href="https://www.aboutamazon.com/news/aws/amazon-invests-additional-4-billion-anthropic-ai" target="_blank">宣布</a>，再投資AI新創業者Anthropic 40億美元以擴大合作，開發和部署進階AI系統，成為最主要投資法人。</p> <p>這是AWS繼今年3月<a href="https://www.ithome.com.tw/news/162016" target="_blank">完成</a>40億美元資金挹注後，再一次大手筆投資被視為OpenAI競爭對手的Anthropic。這次投資意謂Anthropic已獲得AWS 80億美元的資金，不過後者目前仍在Anthropic維持少數股東的地位。在其股東，另一科技大廠Google，也投資了Anthropic超過20億美元。</p> <p>AWS表示，這次擴大合作使AWS成為Anthropic主要訓練合作夥伴，AWS持續擔任Anthropic主要的雲端供應商，以及Amazon Bedrock持續提供Anthropic Claude AI模型外，在最新的合作下，Anthropic將運用AWS Trainium及Inferentia晶片，來訓練和部署未來的基礎模型。</p> <p>Anthropic<a href="https://www.anthropic.com/news/anthropic-amazon-trainium" target="_blank">說明</a>雙方合作Trainium軟、硬體研發的內容。目前Anthropic和AWS的Annapurna實驗室開發下一代Trainium加速器、以及專用機器學習硬體的能力。Anthropic正在撰寫低階核心，以便和Trainium晶片直接介接，並可偕同AWS Neuron軟體堆疊最佳化Trainium晶片效能，藉此訓練自家進階基礎模型。</p> <p>多家企業透過Amazon Bedrock平臺使用Claude。這些客戶包括藥廠輝瑞（Pfizer）、軟體公司Intuit、AI搜尋引擎開發商Perplexity、歐洲議會。此外，雙方本月稍早也<a href="https://www.ithome.com.tw/news/165912" target="_blank">宣布</a>合作，以AWS GovCloud提供美國政府Claude AI服務，並在AWS Secret及Top Secret Cloud Regions等高度控管環境下，提供Amazon SageMaker機器學習平臺。</p> <p>在AI實力競賽中，大廠持續加碼投資AI新創公司，其中OpenAI 10月才又<a href="https://www.ithome.com.tw/news/165304" target="_blank">獲得</a>來自微軟、軟銀及Nvidia等公司的資金66億美元。Mistral AI則分別獲得Databricks、<a href="https://www.ithome.com.tw/news/163305" target="_blank">思科</a>的投資。思科也另外投資了Cohere AI及Scale AI。Perplexity則有<a href="https://www.mobileworldlive.com/ai-cloud/telefonica-joins-big-hitters-with-perplexity-investment/" target="_blank">Telefonica</a>、Databricks和<a href="https://www.telecomtv.com/content/telcos-and-ai-channel/sk-telecom-invests-in-genai-search-startup-perplexity-50606/" target="_blank">SK Telecom</a>的投資。</p> </div></div></div>
2024/11/25 10:57作者林妍溱https://www.ithome.com.tw/news/166181
WebGPU邁向標準化，推動AI技術與圖形渲染效能升級
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>WebGPU身負下一代高效能繪圖與運算API重任，吸引了企業與開發者的廣泛關注。由多家科技公司共組的WebGPU工作小組<a href="https://developer.chrome.com/blog/next-for-webgpu">會議</a>中，人工智慧應用技術被明確列為未來核心開發計畫重點。此行動不僅展現WebGPU在滿足現有需求上的技術支援，也顯示了其面對未來運算和人工智慧應用的前瞻應用性。</p> <p>WebGPU發展進度目前重點在於Milestone 0的推進工作，這是標準化過程中重要的一步，目的是要解決剩餘的技術問題，並為進入W3C候選推薦（Candidate Recommendation）作準備。要成為候選推薦，穩定性、跨平臺支援和智慧財產全保護皆需達到一定水準，根據與會成員的共識，目前進度顯示WebGPU所需條件預期能在短期內解決，標準化程序正穩步推進，WebGPU已非常接近W3C候選推薦階段。</p> <p>在最近的一次會議中，強調了人工智慧相關功能在WebGPU規範中的重要性，幾項技術被認為是人工智慧應用的重點發展方向。Subgroups和Subgroup Matrices為重要改進之一，這些功能將進一步提升GPU執行緒之間的本地通訊效率，並最佳化矩陣運算硬體的利用，替機器學習和推理場景提供高效的運算基礎。</p> <p>同時，Texel Buffers被提出作為處理小型資料，諸如16位元和8位元的解決方案，對於影像處理演算法特別重要。此外，UMA Buffer Mapping縮短資料上傳過程的同步與複製延遲，減少記憶體瓶頸，提升人工智慧計算效能。</p> <p>除了人工智慧功能，WebGPU小組也擴展圖形渲染的能力，Bindless技術突破目前資源使用的數量限制，使得著色器資源更加靈活，替實作大型場景資源管理提供技術基礎。同時Multi-draw Indirect和64-bit Atomics的引入，進一步擴展GPU驅動渲染的能力，提供多元運算和繪圖解決方案。</p> <p>WebGPU在網頁技術的整合也有所加強，包括相容模式的開發，提升WebGPU在只支援OpenGL ES 3.1裝置上的相容性，以擴大應用範圍。而與WebXR深度整合，使WebGPU在虛擬實境與增強實境領域也能發揮功能。還有，WebGPU也針對Canvas 2D效能和可用性強化，以解決用戶體驗方面的問題。</p> <p>WebGPU小組的會議也討論了WGSL（WebGPU Shading Language）擴充計畫，提出WESL（WGSL Extended Shading Language），並期望藉由社群的力量發展專案，滿足更廣泛的開發需求。</p> </div></div></div>
2024/11/24 14:22作者李建興https://www.ithome.com.tw/news/166168
Angular 19提升效能與開發體驗，開始預覽漸增式Hydration
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google宣布推出<a href="https://blog.angular.dev/meet-angular-v19-7b29dfd05b84">Angular 19</a>，強調效能與開發體驗的提升，並持續推進強化框架的現代化更新。這個新版本帶來了新的技術預覽功能，同時也進一步強化核心架構，使得應用程式能夠在效能敏感的場景仍然仍穩定運作。</p> <p>此次更新的最大亮點是漸增式Hydration（Incremental Hydration）的開發者預覽功能。該項功能特別針對伺服器端渲染（Server-Side Rendering，SSR）應用設計，供開發者能以熟悉的語法，替特定元件設定條件式載入與Hydration，也就是說，元件會在需要時才下載並啟用，延後不必要的資源載入，並根據使用者的互動逐步載入內容。如此不僅大幅減少初始JavaScript的下載量，還能大幅提升應用程式回應速度，同步提升效能與使用體驗。</p> <p>Angular 19進一步改進SSR的靈活性，新增路由渲染模式設定介面。透過ServerRoute介面，開發者可以自由選擇各URL路徑的渲染模式，包括伺服器端渲染、客戶端渲染甚至是預渲染，並在預渲染過程中解析路由參數，生成高效的動態內容。該項功能整合既有的路由宣告格式，減少重複配置的麻煩，適應不同場景的渲染需求。</p> <p>在工具與自動化更新方面，Angular 19的Schematics工具進一步提升現代化API的整合，包括Inputs、Outputs、Queries等功能，並採用基於仰賴注入的設計模式。Schematics是一套用來自動化程式碼更新與最佳化的工具，協助開發者快速採用Angular的新功能和最佳實踐，而新增的建置系統則能有效簡化遷移流程，減少手動調整的時間成本。</p> <p>此外，Angular 19在核心反應式系統的發展上更加成熟了。核心API進入穩定階段，並且加入兩個新的反應式原語（Reactivity Primitives），分別為linkedSignal與resource。linkedSignal針對需要追蹤狀態變化的用例，像是UI的使用者選擇等，而resource則是第一個替非同步操作設計的API，允許開發者將非同步請求整合到訊號系統，大幅簡化資料管理和狀態追蹤。</p> </div></div></div>
2024/11/24 14:25作者李建興https://www.ithome.com.tw/news/166171