iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 16篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 07:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【關鍵IT新趨勢4】臺灣數位皮夾即將上路，企業身分識別有新方法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣2025年將多了一項全新的數位公共建設，數位皮夾服務，可以讓企業識別客戶身分多了一種新方法。</p> <p>數位皮夾像是一種實體皮夾的數位化，使用者可以手機裡的數位皮夾App，自由存放各類證件或卡片，當需要驗證身分時，不需隨身攜帶實體證件或卡片，使用者可以憑手機內的數位皮夾，選擇以哪張卡片供第三方驗證身分，並授權存取特定的身分資料。</p> <p>過去傳統實體身分識別走向電子化，到現在與手機結合的數位身分，歐盟已在通過eIDAS 2.0電子身分識別框架，建立歐盟公民跨境存取政府或企業服務的一致性數位身分識別框架，要求歐盟成員國家在2026年前提供歐盟公民免費的數位皮夾服務。</p> <p>積極擁抱新科技的美國加州也試辦數位身分服務，加州政府車輛管理局（DMV）於2023年試辦行動駕照（Mobile Driver's License，mDL）計畫，號招150萬人參加mDL計畫，現已有超過60萬人參加，民眾可將加州的駕照或ID卡註冊到DMV的Wallet App後，使用mDL登入加州車輛管理局線上服務，或是在舊金山或洛杉磯等美國機場的TSA安檢區快速查驗身分，在商店購買酒精類飲料，或是出入有年齡限制的娛樂場所，民眾可使用Wallet供業者查驗年齡是否符合資格，加州政府目前號招更多企業響應mDL計畫，目前駕照不只可存放在官方Wallet App，也可放進Apple Wallet或Google Wallet。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>數位部2025年將推數位皮夾</strong></span></span></p> <p>臺灣也趕上國際趨勢，數位部在2024年啟動數位皮夾（Digital Wallet）計畫，2024年下半年開發測試數位皮夾服務，數位皮夾以使用者為中心，採分散式數位身分認證及自主授權，數位部計畫先和其他部會合作，例如與內政部、衛福部合作，將自然人憑證、健保卡加入數位皮夾，以取代實體卡片，使用者可使用數位皮夾管理多個數位身分及授權資料，數位部規畫於2025年推出數位皮夾服務。</p> <p>作為數位公共基礎建設，不只可存放政府核發的證件卡片，舉凡學校的學位證書或學業能力相關文件，企業核發的員工證、會員福利卡，專業語言能力等證書或是交通票卡，未來也能夠加入數位皮夾，進一步擴大應用範圍。此外，為提升使數位皮夾的透明度及安全性，數位部計畫未來開放程式碼供外界檢視。</p> <p>當民眾想要使用第三方服務，需要供第三方驗證身分時，可在數位皮夾內選擇使用哪張證件卡片供驗證，並設定只授權第三方存取業務必需的資料，例如在商店購買酒精類飲料，可以設定只授權個人照片及年齡，讓商家辨別是否為本人及年齡是否符合規定。另外，民眾求職時，企業面試繳交相關身分或學位證書，未來可使用數位皮夾授權企業存取和求職相關的身分及證書資料。</p> <p>考慮到數位落差及年長使用者的需求，數位皮夾並非強制性，民眾仍能使用選擇傳統身分證件卡片，供第三方進行驗證。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>改變傳統身分驗證方式</strong></span></span></p> <p>那麼數位皮夾和傳統的身分驗證有何不同？傳統的身分驗證方式以實體紙本或卡片證件為主，民眾向政府機關或企業臨櫃申請服務，必需要攜帶實體證件供櫃臺人員查驗核對身分，並且影印或掃描證件卡片，如果是線上服務如線上租車、線上開戶，民眾得拍下身分證件的照片並上傳，供提供服務的業者審核身分及資料。甚至為了加強驗證客戶身分，民眾需要提供雙證件。</p> <p>以實體證件驗證方式可能有偽造證件的風險，而影印或掃描民眾的證件資料，企業可能取得超出服務需要的身分資料，民眾可能因隱私過度曝露，影響其使用服務的意願，而企業依照個資法規定，必需善盡保管客戶資料的義務，如果不幸遭駭客入侵，面臨大量資料外洩風險，可能面臨主管機關嚴懲。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>快速驗證數位身分、取得業務所需資料</strong></span></span></p> <p>未來數位皮夾服務上路後，提供企業與客戶間新的數位身分驗證及資料授權方式。數位皮夾採用國際標準，包括可驗證憑證（VC）及分散式識別符（DID），民眾自主管理皮夾內的多個數位身分，只授權業務必需的少數資料，降低過度曝露隱私的疑慮，並符合GDPR最少資訊揭露原則。</p> <p>未來民眾使用數位皮夾掃描企業提供的QR Code，企業串接客戶的數位皮夾進行身分驗證，並取得客戶授權身分資料，且因為企業僅獲得業務需要的最少資料，降低大量資料儲存系統負擔，也能減輕資料外洩風險。目前數位部也鼓勵產業支援數位皮夾，以擴大數位皮夾的應用生態。</p> <p>因數位皮夾內的證件卡片由受信任的機關或企業所核發，降低偽造證件風險，減輕企業辨別查驗身分資料真偽的負擔，政府核發或認可的第三方憑證，配合2024年上路的新版電子簽章法，電子簽章等同書面文件及簽名的法律效力，使用憑證的數位簽章，在法律上可視為本人親簽，使得數位皮夾除了身分識別、資料授權外，未來甚至可用於電子或線上文件簽署，如此一來，縮短企業取得客戶身分資料、驗證查核、簽署等過程，企業與客戶間的互動、交易過程也都保留數位紀錄。</p> <p>政府正試圖透過數位皮夾服務，在數位時代下重建信任三角，即建立使用者、發行者、驗證者之間信任關係，讓使用者信任發行者，讓驗證者相信使用者，讓發行者與驗證者之間無法隨時連通追蹤使用足跡。數位部揭示未來數位皮夾推出將有配套措施，建立可信任的核發單位、驗證單位的信任清單，促成數位信任產業發展，建立數位身分多方治理。</p> <p>在傳統紙本或卡片證件之外，政府帶頭以數位皮夾建立新的數位身分、資料授權管理方式，作為政府機關、民間企業都能使用的數位公共基礎建設，在網路詐騙盛行挑戰信任的現代，未來將重建使用者、政府、企業間新的數位信任關係。</p> </div></div></div>
2024/12/27 11:36作者蘇文彬https://www.ithome.com.tw/news/166712
【關鍵IT新趨勢5】RMN 3.0加速會員經濟規模化，帶來企業IT數據力新挑戰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年短短一年間，（零售媒體聯播網）RMN熱潮不只吹進臺灣，更是遍地開花。Momo等代表性零售業者相繼開張旗下RMN，後半年，還有更多本業不是零售業的玩家，如91App、Line、甚至Google，加入RMN戰局。</p> <p>這樣百花齊放的環境中，衍生出了不同型態的RMN，以及第一方會員數據利用模式。這也創造出更多機會，讓更多企業可以搭上RMN熱潮，用IT和數據強化會員經濟。</p> <p>RMN特色是，能將零售業者顧客細緻的行為與購物數據，用於最接近消費決策的通路。不只零售業，越來越多手握顧客數據的企業發現，他們也能做到一樣的事情。金融業者如萬事達卡、摩根大通銀行、西聯匯款，運輸科技業如Uber、Lyft，甚至連健身房行星健身，都推出了自己的媒體聯播網。</p> <p>至此，RMN這個概念，已經不再專屬「零售」，也不只是為了「廣告」。只要是會員數據規模足夠的服務業者，就可以透過IT，用這些數據來經營會員經濟。帶來的效益，除了廣告收入，還有促進會員再消費、提升品牌曝光度等、更了解會員輪廓等。</p> <p>2023年到2024年間，超商雙雄、超市一哥、電商龍頭、外送龍頭，紛紛搭上RMN熱潮，就是看中，用會員數據創造更多價值的機會。2024年底，臺灣RMN環境更緊追著國際腳步，走入了RMN 3.0階段。</p> <p>前兩個階段，是企業用自己的數據，經營自己的媒體聯播網，1.0是在自家通路行銷，2.0則是將行銷活動推及外部通路。這些外部通路，多是Google、Meta等常見廣告通路。這類做法，自然需要由企業自身主導IT開發與維運，門檻較高。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>RMN 3.0選項逐漸成熟，用RMN做會員經濟的IT門檻降低</strong></span></span></p> <p>新興的RMN 3.0是全新的零售數據與通路運用型態，由平臺方打造IT基礎建設，綜合多家零售商數據，可以利用平臺方與參與企業的通路，再加上第三方廣告通路來行銷。相較於2.0階段，3.0階段的顧客數據來源、行銷可觸及的通路，都更加多元。</p> <p>最常見的3.0實例是，廣告科技業者建立平臺，彙整不同企業各自手上的第一方會員數據。廣告主與企業，便可以到不同通路上，更精準地投放廣告。Criteo、The Trade Desk，都有這類RMN3.0業務，分別納入家樂福及Walmart等大型零售業者的數據和通路。Google近期也開始測試，讓廣告主用零售業者提供的數據來投放搜尋廣告，零售業者可以選擇只開放特定廣告主使用自家數據，並管控數據共享內容。RMN 3.0模式的低IT門檻與相對高的數據利用自主性，帶來了拓展會員經濟的新機會。</p> <p>在臺灣，則有Martech廠商禾多移動，效仿前述國際大廠做法，整合全家等5百多家零售業及媒體業者的顧客數據，形成一個RMN聯盟，並提供CDP、MA等科技，供廣告主和聯盟成員投放廣告回這些聯盟成員的數位與實體通路。</p> <p>開店平臺91APP綜合企業客戶的會員數據和第三方數據交易平臺數據，投放廣告於Momo、康是美、寶雅等，多家電商與品牌官網通路，Line、Google、Meta等廣告平臺，以及eDM、簡訊、推播等直接溝通形式。</p> <p>通訊軟體Line則結合橫跨不同便利商店和交通熱點的地理數據、自家購物平臺數據等一手數據，搭配DMP聯盟的第三方數據，來投放廣告於Line生態圈App、廣告主電商官網、第三方電商平臺等。其中，DMP聯盟包括統一OpenPoint多達1,800萬名會員數據。</p> <p>對企業來說，成為特定RMN 3.0平臺的一員，不須自己從頭打造IT基礎建設，也能像RMN1.0及2.0一樣，獲得RMN經濟帶來的廣告收益，以及促成更多零售交易行為等顧客經營面的效益。甚至，他們，透過其他參與企業的數據與通路，還有機會利用自己原本無法接觸的客群輪廓，來向自家顧客及潛在顧客行銷。不只如此，RMN 3.0模式下，企業可以自主決定提供給平臺商的數據內容，也能根據行銷模式來選擇不同平臺商，保有一定程度數據及行銷自主性。</p> <p>有機會從RMN 3.0模式獲益的，不只統一、寶雅等超大型零售業者。許多企業手握數十到數百萬人會員，同樣可以發揮數據規模的價值。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>抓住RMN 3.0機會，企業IT是關鍵戰力</strong></span></span></p> <p>採用RMN 3.0模式，企業IT不需從頭建置聯播網系統，大幅降低了利用RMN來經營會員經濟的門檻。此時，要抓住這個新會員經營的機會，IT更是關鍵戰力。</p> <p>RMN 3.0要求企業開放自家會員數據，甚至是自家通路，到第三方廣告平臺上。也就是說，企業IT肩負系統串接及數據交換的重任。開放自家通路給外部企業投廣時時，IT需要維持系統可靠度，有效管理並承受外部造訪流量。</p> <p>處理數據交換作業更是重要任務。過往，許多企業的會員數據都在內部應用，數據應用方法與資料保護措施，只需符合內部IT做法和規範。和平臺商交換會員數據時，企業IT需要整合、清洗、審查給出的數據，來將數據轉化成平臺商要求格式，同時維持資料安全。交換時，RMN 3.0平臺商，常使用數據無塵室（DCR）等技術，來交換數據。如何妥善設定交換規則，來確保數據運用模式符合企業需求及隱私法規，是企業成功採用RMN 3.0的關鍵。</p> <p>臺灣第一波RMN浪潮，參戰者大多是IT力雄厚的大型企業。2024年底，國外盛行的RMN 3.0浪潮開始吹進臺灣，讓企業可以運用過去難取得的顧客數據和第三方通路，來擴大會員經濟的規模和深度，IT數據力可以創造更多新戰功。</p> </div></div></div>
2024/12/27 11:44作者郭又華https://www.ithome.com.tw/news/166714
以外接媒體安裝Windows 11 24H2致PC無法再更新，微軟籲別用10/11月版本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周<a href="https://learn.microsoft.com/en-us/windows/release-health/status-windows-11-24h2#issues-might-occur-with-media-which-installs-the-october-or-november-update" target="_blank">警告</a>，10、11月Windows 11更新版疑似有臭蟲，使以USB隨身碟或光碟安裝Windows 11 24H2的PC，之後無法再接受安全更新。</p> <p>發生問題的是10月8日釋出的OS Build 26100.2033（KB5044284）。微軟說明，在以外接媒體安裝Windows 11 24H2後，PC之後會變成無法再接收後續的Windows安全更新。</p> <p>這問題發生在以2024年10月及11月製作的安裝媒體，並在Windows 11 24H2安裝過程中安裝安全更新的電腦。確切發佈時間為2024年10月8日到11月12日之間。</p> <p>不過微軟強調，最新軟體臭蟲只會影響以光碟或USB 隨身碟安裝的Windows 11 24H2，並不會影響以Windows Update 或Microsoft Update Catalog網站下載的版本，不論是不是10月、11月更新。此外，伺服器版本Windows 11 24H2也沒有這情形。</p> <p>微軟目前正在設法解決這隻臭蟲。在此之前，微軟建議用戶不要以USB隨身碟和光碟安裝10月及11月的Windows 11 24H2。以這些外接媒體安裝12月發佈24H2就能避開這問題。</p> </div></div></div>
2024/12/27 10:48作者林妍溱https://www.ithome.com.tw/news/166711
ChatGPT、Sora斷線4小時，本月第二次
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在聖誕節前接連發表新產品訊息，成功製造話題的OpenAI，旗下服務包括ChatGPT和Sora臺北時間今（27）日凌晨發生斷線，歷時約4小時。</p> <p>OpenAI太平洋時間26日上午11:00（臺北時間27日凌晨3:00）左右<a href="https://status.openai.com/incidents/6bwlxnvdncnm" target="_blank">公告</a>，ChatGPT、Sora和API出現高錯誤率。使用這些服務的用戶可能會看到錯誤訊息。直到當地時間的下午3:16（臺北時間27日早上7:16），OpenAI公告率先回復Sora全線運作。API則在下午4:05分恢復運作。截至臺北時間早上8:30，OpenAI仍然還在嘗試解決ChatGPT的問題。</p> <p>OpenAI解釋，服務不穩原因出在上游供應商，不過是網路設備或電信網路，OpenAI並未說明。</p> <p>這是OpenAI服務本月第二次發生斷線。第一次發生在12月中，斷線時間長達6小時，當時也影響了ChatGPT、Sora和API。OpenAI解釋是用於網路監控的新遙測服務配置問題，引發Kubernetes API運作出錯所致。</p> <p>這次出錯是否和OpenAI最新的訊息12連發有關不得而知。OpenAI宣布了Sora、ChatGPT Search等重要服務，第13天甚至還<a href="https://www.ithome.com.tw/news/166646" target="_blank">宣布</a>開放在聖誕節期間，ChatGPT Plus可無上限使用Sora，可能因此帶動存取流量衝高。</p> </div></div></div>
2024/12/27 09:45作者林妍溱https://www.ithome.com.tw/news/166707
【關鍵IT新趨勢1】三大公雲全面落地，臺灣多雲混合雲時代的來臨
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著微軟Azure在2024年底啟用，以及亞馬遜AWS將於2025年初推出在臺第一座區域級雲端資料中心，臺灣雲端市場正式邁入新階段，從過去Google單朵國際公有雲帶頭的局面，正式轉向多雲競爭的新時代。企業必須更加速自身雲原生架構和技術能力的累積，才能真正善用多雲的優勢。</p> <p>Google在2011年率先在臺設立雲端資料中心，成為第一朵落地臺灣的國際公雲，但自此臺灣長期未迎來第二朵國際公雲。儘管微軟於2020年宣布建置區域級雲端資料中心（Cloud Datacenter Region），卻遲未啟用，反倒是AWS於2022年啟用Local Zone（本地區域）雲端機房，但它終究不是區域級資料中心，僅支援低延遲應用，無法提供完整的AWS全套服務。</p> <p>過去幾年，臺灣大型企業掀起了一波波上雲風潮，但是受到法規限制，金融、醫療業及政府單位上雲大多選擇Google公雲，以確保機敏資料儲存在臺灣境內的資料中心，這樣的選擇雖能確保資料安全，但同時也限制了雲端架構的選擇，缺乏更多樣化且彈性的架構，影響其未來雲端架構的發展</p> <p>尤其在近兩年，多雲架構逐漸成為主流趨勢。根據IDC報告，在784家亞洲企業中，近90%不再僅依賴單一公雲，而是將其工作負載分散於多家公雲平臺。但對於臺灣高監管的產業，僅有一朵國際公雲落地的情況下，實現多雲架構仍面臨諸多挑戰。</p> <p>為何企業開始擁抱多雲？一來避免將所有系統都放在一朵公雲，避免被特定雲端供應商綁定；二來，考慮到每個公雲各有不同的特色和優勢，如GCP的強項是資料檢索及分析，企業可以根據各家雲提供商的強項，選擇採用不同雲端服務，形成一個多雲的策略。</p> <p>此外，近兩年公有雲業者服務中斷事件頻繁，三大公雲無一倖免，甚至出現當機長達數小時的服務空窗期。這使得企業得更加謹慎，要等到多雲架構可行後再積極上雲。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>三大國際公雲全面落地臺灣</strong></span></span></p> <p>由Google主導的局面，直到2024年終於被打破。AWS和Azure相繼公布臺灣區域級資料中心啟用計畫。AWS率先在6月宣布在臺建置區域資料中心，並計畫2025年初上線營運，臺灣未來成為AWS全球第40座區域級資料中心據點，該資料中心將以「Asia Pacific（Taipei）」為區域名稱，提供完整的AWS服務，支援線上遊戲、AR/VR應用等低延遲需求，同時亦能滿足醫療、金融等法規要求。</p> <p>AWS宣布後幾個月，微軟則於2024年11月啟用臺灣首座Azure區域級資料中心，這也是微軟Azure第66座區域資料中心，並命名為「Taiwan North」。儘管該資料中心目前僅限特定客戶使用，尚未全面開放，但此舉也為微軟加速在臺雲端布局跨出一大步。微軟表明臺灣新啟用的Region由多座資料中心組成，具備高容錯和區域Hub等級的服務。</p> <p>當三大公雲全面落地臺灣後，企業未來更可以根據需求，選擇最合適的雲端服務，考量服務多元性、延遲性等因素，甚至可以採用多雲架構，善用各家的優勢。</p> <p>2024年，GAI（生成式AI）在全球掀起風潮，同樣吹向臺灣。企業開始將GAI技術應用於內部，提升作業效率和優化流程。根據IDC的預估，臺灣企業2025年將大幅增加對邊緣IT基礎設施的投入，以支援GAI的發展。特別是邊緣推論需求的增長，將推動臺灣本地公有雲IaaS服務的快速發展。</p> <p>企業對GAI需求的快速增長下，未來三大公雲在本地提供的GAI應用服務和技術支持，將成為企業選擇公雲平臺的重要參考，甚至可以根據適用場景來挑選不同家公雲GAI方案。</p> <p>不過，目前三大公雲在臺灣GAI落地準備情況各異，例如，截至2024年12月底，僅有Google的GAI開發及應用平臺 Vertex AI已經落地，微軟雖然同樣推出了M365生成式AI助手Copilot，但Azure OpenAI服務尚未在亞洲提供，且M365 Copilot的資料儲存在美國。AWS的GAI服務平臺Amazon Bedrock目前僅於亞洲東京、首爾Region可用。</p> <p>臺灣2025年進入多雲競爭新局面，對於企業未來IT策略、成本效益及多雲管理的技術將面臨重大影響。許多企業更容易採用跨雲或多雲的方式，來部署應用和服務，但也必須更持續加強自身雲原生架構和技術的累積，以應對擴大上雲後在多雲管理與維運方面的挑戰，例如多雲費用管理等。</p> </div></div></div>
2024/12/27 09:54作者余至浩https://www.ithome.com.tw/news/166708
【關鍵IT新趨勢2】臺灣碳費徵收上路！企業將用AI加速減碳但也面臨三大挑戰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣碳費制度將於2025正式上路，推動企業加速採用系統化方式追蹤碳排數據，並建立碳成本管理機制，減少碳費對營運的影響。而AI驅動的碳排管理正逐漸成為主流應用，預計明年將有更多企業利用AI生成碳盤查報告，並優化減碳策略。</p> <p>臺灣於2023年初完成《氣候變遷因應法》立法，明確將碳費徵收入法，經歷近兩年多次協商後，環境部於2024年8月公布碳費收費辦法，10月確立每噸300元的徵收費率，並預計於2025年1月1日生效。企業未來將依全年溫室氣體排放總量繳交碳費，首波影響範圍涵蓋281家企業，合計共500間工廠。</p> <p>儘管企業需到2026年才繳交前一年度的碳費，但多數受影響的企業早已開始計算內部碳排放數據，評估未來碳成本，擬定自身減碳策略。</p> <p>企業每年要繳交多少碳費？若依環境部公布的碳費計算公式為排放量乘上徵收費率，以年排放量100萬公噸二氧化碳當量，使用一般費率情況來計算，企業每年碳費支出約2.9億元，若年排放量達一千萬公噸，費用則高達29.9億元。以目前排放量超過100萬公噸的高排放產業，如電子製造業、化工與石油業等，每年碳費支出恐增加不小的成本壓力與轉型挑戰。</p> <p>此外，除了要求高碳排企業強制揭露碳排放數據，環境部正在研擬2025年下半年起擴大強制碳盤查範圍至年排放超過5,000噸的企業，涵蓋百貨業、量販業、電信業等，因此，這些業者需及早準備應對。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>碳排數據系統化管理將是建立明確碳成本的關鍵</strong></span></span></p> <p>企業建立明確碳成本的關鍵，在於確保碳排數據的完整性與正確性。為此，許多企業2025年將轉向系統化方式，透過自動化收集與分析碳排數據，提升準確性和效率。尤其是外銷出口或上市櫃公司在第三方稽核時，更需依賴系統化的方式來確保數據的真實性。</p> <p>這幾年，不少發展較快的企業早已採用系統化管理和追蹤碳排，例如，日月光高雄廠很早就導入碳管理資訊平臺，追蹤各廠區的碳排放量與強度，並結合內部碳定價機制，將碳費納入財務資訊，有效評估與管理碳成本。另一家百年造紙廠永豐餘也建立集團碳平臺，讓子公司即時查看工廠碳排資訊，作為改善碳排的依據。</p> <p>為應對企業碳排查與減碳需求，臺灣不少SI廠商已推出碳管理平臺，提供不同功能與介面，可供企業進行碳排數據追蹤與管理。</p> <p>市調機構IDC將企業一站式碳排管理平臺分成碳盤查、減碳及碳交易三大類功能，供企業建置碳管理平臺的參考。首先，碳盤查功能包括碳數據彙整、核算與報告，如企業碳足跡、產品碳足跡及範疇1~3碳排計算。減碳則涵蓋智慧脫碳方案（如物聯網、氣候數據管理）與脫碳策略工具（如目標設定、績效管理、SBT管理等）；最後碳交易功能則包含價值鏈碳管理、融資排放管理及碳市場運作。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>碳管理平臺結合AI技術，加速推動企業減碳</strong></span></span></p> <p>IDC指出，目前臺灣企業大多停留在碳盤查與查證階段，減碳作法仍以人工方式為主。隨著碳費政策實施，企業減碳策略將逐漸轉向結合數位科技、IT工具與AI來改善與減少碳排放。IDC更將AI驅動碳管理列為2025年臺灣ICT五大趨勢之一，預期更多企業將採用AI完成各項碳管理作業。</p> <p>例如在碳盤查方面，企業可以透過AI自動識別、彙整與建立碳排放資料庫，也能用AI追蹤國際碳係數資料庫加速產品碳足跡的計算或結合雲端平臺即時監控各營運句點或碳排熱點。</p> <p>在碳查證上，也能用AI生成碳盤查或永續報告書。如台積等大型企業早已開始用AI生成永續報告書，預期2025年將有更多企業採用AI完成此類工作。</p> <p>在減碳應用上，企業能用AI監控和預測建築物能源使用的狀況，以及優化物料管理與產品設設計等，進一步提升減碳效率。</p> <p>IDC認為，企業將逐步建置AI驅動的一站式碳排管理平臺，串聯碳盤查、智慧分析與行動方案，並實現碳排交易與投資。還將推動綠色供應鏈建設及培養綠領人才，成為2025年的重要目標。</p> <p>不過，企業推動碳排管理也面臨三大挑戰，包括將碳排法規融入企業營運流程並持續優化，提升系統化追蹤與碳排數據治理能力，以及強化ESG風險管理，確保長期韌性。</p> </div></div></div>
2024/12/27 09:59作者余至浩https://www.ithome.com.tw/news/166709
【關鍵IT新趨勢3】AI推論需求爆發，帶動雲原生新Wasm加速普及
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI應用從2024年開始百花齊放，加速了新一代雲原生技術WebAssembly的普及，將在2025年成為封裝和部署雲原生應用的新主流。</p> <p>在2024年底Kubecon北美場大會中，網頁組合語言技術WebAssembly（簡稱Wasm），這項發展了十年的網頁開發技術，成了K8s生態圈2024年大會中最熱門的話題。包括美國高盛金融集團、德國製造大廠博世Bosch集團、工廠自動化設備大廠西門子等，都現身分享使用經驗。</p> <p>這項技術大受歡迎的其中一項關鍵原因，就是可以用來解決生成式AI推論啟動速度太慢的問題。Wasm平臺新創Fermyon技術長Radu Matei曾指出，容器技術是許多AI開發者愛用的AI推論應用部署技術，就是為了用更快速度來產生模型推論結果。但是，「容器化AI冷啟動最大的挑戰是，數GB的容器映像檔和LLM模型資料。」</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>Wasm打包的AI應用檔案僅數十MB，冷啟動超快</strong></span></span></p> <p>想要在裝置端用GPU執行一隻AI推論應用，除了這隻應用的程式碼之外，還需要對應模型和模型執行環境，但是，光是Nvidia的CUDA runtime，加上主流的AI技術框架，如PyTorch函式庫，這隻本地端AI推論應用的容器映像檔，至少要4.8GB大小，若AI推論所用的LLM模型檔案大小多達10GB。要用容器技術部署一隻AI推論應用，至少要15GB，冷啟動的時間，往往長達數十秒，甚至好幾分鐘。想要讓LLM快速回應使用者的提示指令，得占用裝置端有限的記憶體，預先啟動載入一隻AI推論服務來待命，才能提供及時的生成結果，這就大大局限了AI推論可部署和執行的模式。</p> <p>Radu Matei強調，改用Wasm技術來封裝同樣的AI推論應用程式碼，只需要數MB檔案大小，遠低於數GB大小的容器映像檔。冷啟動速度甚至能大幅縮短到只要幾毫秒，也就千分之幾秒，可以切割出短暫的GPU算力，來提供「剛好即時（Just in time）」的AI推論回應。「不需要將GPU綁定到特定容器來待命，可以簡化和更善用GPU基礎架構的算力。」這正是Wasm大受生成式AI開發者青睞的關鍵，根據CNCF組織在2023年的Wasm大調查，當時已有3成Wasm開發者用於AI應用的開發。</p> <p>現在也有專門用Wasm打包的AI推論框架LlamaEdge，提供一個10億參數量的Llama 2模型的推論執行環境，用這項技術封裝後的部署檔案大小只有30MB，可以在Docker和Kubernetes叢集中，提供GPU原生應用的執行速度，而且可以通吃不同處理器平臺，包括x86陣營的Intel、AMD處理器，或是arm陣營處理器。</p> <p>目前已有超過40種語言支援Wasm，包括Rust、C、C++、JavaScript和GO語言。不只桌機和伺服器環境，還可以在邊緣裝置，甚至是IoT設備上執行Wasm程式。Docker引擎也開始支援Wasm，可以直接在容器執行環境中，執行Wasm的二進位元件檔。微軟也在2023年發表了，可以在Hypervisor上直接執行Wasm應用的技術專案Hyperlight，讓虛擬機器、容器和Wasm在同一個Hypervisor環境中並存，1秒鐘就可以啟動1千個執行Wasm應用的微型VM。</p> <p>不過，從CNCF在2023年底公布的Wasm大調查，可以看到，Wasm開發工具鏈的發展還不夠完備，Wasm開發者也需要克服封裝後的Wasm除錯困難、不同Wasm Runtime的效能和開發體驗差異很大等課題，想要上手Wasm的學習門檻不小。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>主流開發工具VS Code開始支援Wasm</strong></span></span></p> <p>在2024年，主流開發工具開始支援Wasm的開發。微軟在2024年5月，發布了VS Code的WebAssembly執行引擎外掛，可以將C/C++或Rust開發的程式碼，編譯成WebAssembly檔案，直接在VS Code中執行這些程式。微軟這款外掛，讓開發者更容易撰寫、除錯和部署Wasm應用，也能與其他人協同開發。</p> <p>Wasm開源專案WASI最新的0.2版，正在發展一個全新的元件模式，可以讓不同開發語言所編譯的Wasm程式，透過一套標準的輸入輸出方式互相溝通。例如用Go語言寫的Wasm元件，和用Rust語言寫的Wasm元件，可以像用同一種語言開發的元件互相溝通，甚至在一隻更大的Wasm程式中混用。</p> <p>VS Code也開始支援這個元件模式，可以讓JavaScript或TypeScript程式碼，直接使用其他語言開發的Wasm元件。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>Wasm新元件模式，更易混用多代理AI元件</strong></span></span></p> <p>隨著科技巨頭，諸如Meta、Google、微軟、AWS等，紛紛開源釋出了可落地部署用的LLM模型或SLM小模型，WebAssembly技術可以成為打包這些地端模型的封裝技術，大幅減少AI推論應用的檔案大小，也加快冷啟動速度。</p> <p>甚至，WASI新的元件模式，可以讓不同模型的Wasm元件，更容易直接溝通，甚至在同一隻大型應用中混用，例如將擅長特定語言翻譯LLM，與擅長規畫的LLM，以Wasm元件形式封裝後來溝通。甚至，可以將擅長不同功能的AI代理程式，封裝成Wasm元件，放入到一隻本地端軟體中來協同作業。也有助於建立一套統一的套件管理方式，來管理由不同第三方、不同技術所開發的AI代理程式。</p> <p>AI代理開發工具在2024年開始成熟，結合Wasm，可以封裝出檔案超小的AI代理程式，更容易部署到本地端，提供及時反應、離線可用的多AI代理型協作應用。生成式AI應用百花齊放的2025年，龐大AI推論需求，將加速雲原生明日之星Wasm加速普及，成為企業IT必須熟悉的開發主流之一。</p> </div></div></div>
2024/12/27 10:09作者王宏仁https://www.ithome.com.tw/news/166710
搭配8個OAM外形Intel Gaudi 3，HPE推出非GPU的AI伺服器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/hpe_proliant_compute_xd680_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近這一年來，HPE開始重新積極追趕AI伺服器產品的風潮。他們在ProLiant Gen11世代的機架伺服器當中，標榜可搭配PCIe介面卡形式的GPU加速器，而在逐漸開展的下個世代機架伺服器ProLiant Gen12，目前已發表的機型如DL380a Gen12、<a href="https://www.ithome.com.tw/review/163787">DL384 Gen12</a>，也強調分別可搭配8張加速卡Nvidia H200 NVL、2張融合加速運算模組Nvidia GH200 NVL2。</p> <p>除此之外，HPE還有一款在2023年推出的<a href="https://www.ithome.com.tw/review/164800">Cray XD670</a>，目前可搭配8個SXM外形的Nvidia H100或H200。</p> <p>若要搭配其他廠牌的AI加速器，HPE在2024年也陸續提供多款機架式伺服器，像是：2024年上半發表的Cray XD675，當中<a href="https://www.ithome.com.tw/tags/amd-instinct-mi300x">採用8個OAM外形的AMD Instinct MI300X</a>，<a href="https://www.amd.com/en/newsroom/press-releases/2024-6-2-amd-accelerates-pace-of-data-center-ai-innovation-.html">在6月舉行的2024台北國際電腦展期間，AMD介紹旗下的資料中心GPU產品時</a>，也特別提及HPE這款伺服器機型。另一款是11月中登場的ProLiant Compute XD680，當中搭配8個<a href="https://www.intel.com/content/www/us/en/newsroom/news/next-generation-ai-solutions-xeon-6-gaudi-3.html#gs.jd5dwm">英特爾9月正式推出的AI加速器Intel Gaudi 3</a>，而且，<a href="https://www.hpe.com/us/en/newsroom/press-release/2024/11/hpe-expands-direct-liquid-cooled-supercomputing-solutions-introduces-two-ai-systems-for-service-providers-and-large-enterprises.html">該款伺服器在SC24這場全球超級電腦年度大會前夕發表</a>，預計12月開始供貨。</p> <p><a href="https://s4.itho.me/sites/default/files/images/XD680-Gaudi 3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/XD680-Gaudi%203.jpg" style="width: 600px;" /></a></p> <p>根據HPE發表的新聞稿指出，XD680的特色是考量到最佳性價比的需求，並且採用氣冷散熱設計，可因應嚴苛的AI訓練、調校與推論工作負載。</p> <p>而在HPE最新釋出的規格快速一覽表當中，他們強調XD680提供完整、具有延展性的解決方案，能彈性搭配多種記憶體、整合式儲存、高速網路介面的配置，以及作業系統，可因應AI與高效能運算的用戶所需，能夠針對大型語言模型的AI訓練與深度學習處理，供應最大的效能。</p> <p>接下來，我們從產品規格對照HPE如何實作這些特色。</p> <p>他們推出的XD680採用5U尺寸的機箱，可搭配兩顆英特爾第四代或<a href="https://www.ithome.com.tw/tags/%E8%8B%B1%E7%89%B9%E7%88%BE%E7%AC%AC%E4%BA%94%E4%BB%A3xeon-scalable">第五代Xeon Scalable處理器</a>，記憶體插槽有24個，16個支援DDR5-4400、DDR5-4800或DDR5-5600，其餘8個僅支援DDR5-4400，整臺伺服器的記憶體容量最大為2 TB（16個插槽全部插滿DDR5-4800或DDR5-5600的128 GB記憶體），或是3 TB（24個插槽全部插滿DDR5-4400的128 GB記憶體）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE XD-Form Factor-5U.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20XD-Form%20Factor-5U.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/HPE XD-Form Factor-5U-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20XD-Form%20Factor-5U-2.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/XD680-CPU RAM.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/XD680-CPU%20RAM.jpg" style="width: 600px;" /></a></p> <p>而在AI加速器的部分，XD680的確搭配OAM外形的<a href="https://www.ithome.com.tw/review/162428">Intel Gaudi 3</a>，但HPE在這部份並未列出這款加速器是否為HL-325基板，以及細部運算配備，像是內建的HBM記憶體類型與容量，矩陣乘法引擎（MME）與張量處理器核心（TPC）各自的數量，HPE此處僅列出熱設計功耗（TDP）為850瓦，與英特爾公告的Intel Gaudi 3規格有出入（氣冷900瓦、液冷1200瓦）。也許後續他們會進一步揭露這部分配置。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/XD680-Gaudi%203(1).jpg" style="width: 600px;" /></p> <p>對比於HPE既有的ProLiant Gen11與Gen12系列伺服器，XD680同樣內建iLO6系統管理晶片，支援整合式IT基礎架構管理平臺OneView、系統集中管理軟體HPE Systems Insight Manager的使用，以及防竄改的矽信任根、選用平臺信任模組TPM 2.0、搭配支援SPDM裝置身分驗證的儲存控制器。</p> <p>在此同時，HPE也推出ProLiant Compute XD685，裡面可搭配8個Nvidia H200、採用5U尺寸的機箱，並且使用它們本身發展的液態冷卻技術，預計2025年初上市，HPE預告這款機型未來能搭配即將問世的Blackwell架構GPU，將在Nvidia能夠供應這款GPU產品時，與其一併推出。</p> <p>但ProLiant Compute XD685並非此時才推出，稍早在10月AMD發表第五代EPYC伺服器處理器，以及資料中心GPU產品Instinct MI325X時，HPE就已先發表ProLiant Compute XD685，強調當中可搭配8個OAM外形的AMD Instinct MI325X，預計2025年第一季供貨，到了11月中HPE揭露的產品發表消息，他們是以不同版本區分這兩種搭配方式，而由於HPE目前尚未公開XD685的細部規格，因此，最終組態還是要看他們如何配置。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>HPE ProLiant Compute XD680</strong></span><br /> ●原廠：HPE<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：5U<br /> ●處理器：2顆，Intel第五代Xeon Scalable系列（最多64核心）<br /> ●記憶體：24個DDR5-4400，插滿128 GB，可達到3 TB；支援DDR5-4800（Intel第四代Xeon Scalable系列，插滿16支128 GB，可達到2 TB）、DDR5-5600（Intel第五代Xeon Scalable系列，插滿16支128 GB，可達到2 TB）<br /> ●儲存配置：8臺2.5吋U.3外形NVMe固態硬碟<br /> ●I/O擴充介面：PCIe 5.0 x16，8個或4個PCIe介面卡插槽、2個OCP 3.0裝置插槽<br /> ●電源供應器：6臺3000瓦（N+1備援）<br /> ●風扇：6臺<br /> ●加速器配置：8臺Intel Gaudi 3（OAM）<br /> ●網路介面：搭配英特爾網路卡：I350-T4（1GbE）、E810（10/25GbE、100GbE），Nvidia網路卡：ConnectX-6（200GbE），博通網路卡：BCM57416（10GbE）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/12/27 01:55作者李宗翰https://www.ithome.com.tw/review/166619
金管會祭出數位保險六大政策方向，放寬業務範圍和營運模式，也調降最低實收資本額
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會主委彭金隆今日出席例行記者會，說明數位保險公司（原稱為純網保）政策規畫方向，共有六大政策方向，包括要放寬數位保險業務範圍與營運模式，並對數位保險公司開發的創新型保險商品或服務給予創新保護，還有調降設立數位保險公司的最低實收資本額、放寬發起人條件等措施。</p> <p>今年1月，金管會宣布暫不數位保險公司申設，半年後，金管會政策大轉彎，彭金隆在7月公布五大金融科技策略時，同時宣布要在年底重啟數位保險公司申設。當時，彭金隆就解釋，過去業界習慣將數位銀行和保險公司稱為純網銀、純網保，「深植人心的概念是，你不可以有實體，但觀看國際上的數位金融業並不全然如此。」他也接著提到，未來針對數位金融業的業務擴展方向，會從客戶體驗和安全角度來考量，「不會硬性規定一定要在網路上完成。」</p> <p>半年過去，彭金隆趕在年底公布六大數位保險政策方向，第一項政策就是要放寬數位保險業務範圍和營運模式。除了放寬數位保險也能經營線下通路，透過業務員、保險代理人或經紀人通路銷售保險商品，也更改數位保險公司的業務範圍。過往數位保險公司被規範僅能銷售創新型或保障型保險商品，新政策上路後，只要是運用金融科技或數位技術提供創新型保險商品和服務達一定比例的保險公司，就符合數位保險公司的定義。</p> <p>針對保險公司的創新型保險商品和服務需要達到多少比例才符合數位保險公司定義，彭金隆表示，金管會初步規畫，保險公司的創新型保險商品及服務所產生的保費收入，須佔其總保費收入的15%。不過，考慮到部分創新型保險服務未必會帶來營收，需要再透過更專業的角度進行判定，因此，彭金隆也強調，未來金管會還會針對判定標準推出更明確的規範說明。</p> <p>六大數位保險政策方向的第二項，是要對數位保險公司開發的創新型保險商品或服務給予創新保護。彭金隆表示，考慮數位保險公司銷售創新型保險商品或服務需達一定比例，為保障創新能被保護，金管會將在創新型保險商品或服務開辦後，給予6個月的創新保護期間，必要時主管機關還能延長保護時間。彭金隆特別強調，保護期是從業務實際開辦日起計算，而非商品核准的時間，「因為從核准到實際開辦通常需要一段準備時間。」他說。</p> <p>六大數位保險政策方向的第三項，是對未來數位保險公司設立的起始資本額進行調整，調降設立財產、人身保險業務最低實收資本額，財產保險公司調降為新臺幣5億元，人身保險公司調降為10億元。彭金隆另外表示，金管會將根據申請者的營運計畫書、業務規模及預算，靈活評估是否需要增加實收資本額。</p> <p>第四項政策則要放寬發起人條件。彭金隆表示，過去在純網銀與純網保的政策中，曾要求金融機構發起人與股東持股須達到一定門檻，考慮國外的新創保險公司具備多種屬性，例如由科技團隊成立，或是由金融機構轉投資的方式成立。因此，為了鼓勵更多元的創新模式，彭金隆提到，未來金管會將重點放在數位保險公司的申請者是否具備經營保險公司的專業能力與長期經營的可行性</p> <p>為了加速提升臺灣數位保險創新技術與人才、引進國外的數位保險成功經營模式，數位保險第五大政策方向，是開放國外數位保險公司來臺申請設立分公司。不過，國外數位保險公司需要符合兩大條件才能成功申設，分別是在最近5年具有健全業務經營績效與安全財務能力，及無重大違規遭受處罰紀錄，以及實收資本額逾20億元以上或信用評等達一定標準以上等兩大條件。</p> <p>最後一項政策方向，是不訂定申請設立許可的期限。「我們不急、也不期待會有非常多公司快速遞交申請，」彭金隆強調，未來會給予外界充分時間評估數位保險的未來市場發展方向，因此，金管會也不會設定數位保險公司申請期限。</p> <p>今日公布六大政策方向後，金管會後續還會進行相關法規調適，並召開公聽會聽取外界意見。</p> <p>「我們這次的申請採取不一樣的做法，不限時、不限量為前提。」彭金隆強調，金管會對於數位保險公司申請重點，仍是放在申請者的計畫或願景，且金管會此次並非將數位保險公司的設立標準放寬，而是把申請的標準放寬，「臺灣不缺保險公司，缺的是創新、且對未來有前瞻性的保險公司。」他說。</p> <p></p> </div></div></div>
2024/12/26 18:19作者李昀璇https://www.ithome.com.tw/news/166705
【資安日報】12月26日，日本航空傳出遭遇網路攻擊導致部分航班延誤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定關鍵基礎設施（CI）的攻擊行動日益頻繁，其中一種標的，便是航空運輸產業，但過往鎖定這類目標的攻擊事故，多半發生在美洲和歐洲，如今有出現在東南亞的事故，引起當地高度關注。</p> <p>今天早上日本航空（Japan Airlines，JAL）傳出遭遇網路攻擊，並導致部分航班延後起飛的情況，引起日本媒體高度關注，他們根據掌握的情報，指出日本航空很有可能受到DDoS攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166698"><strong style="font-size: 22px;">日本航空傳出對外網路停擺，部分機場班機出現延誤，當地媒體指出是遭遇網路攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/JAL_28laMkMWl8.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/JAL_28laMkMWl8.png" style="width: 300px; float: right;" /></a>今天（26日）上午有媒體報導，日本當地有多處機場出現班機延誤的現象，起因是有航空公司遭遇網路攻擊造成。</p> <p>日本航空（Japan Airlines，JAL）在網站上發布公告，表示他們在今天當地時間早上7時24分（臺灣時間6時24分）開始，發現連接內外網路環境的網路設備遭到破壞，並導致與外部通訊的系統也發生異常。對此，該公司於8時56分將導致網路運作故障的路由器設備離線，並表示他們已經確定這起事故的影響範圍，正在對相關系統進行檢查，並著手復原。</p> <p>雖然日本航空並未提及上述事故發生的原因，但當地媒體都指出是伺服器遭到攻擊造成。根據NHK的報導，羽田機場、關西機場、大阪機場、福岡機場都出現部分班機延誤的情況，但成田機場並未受到影響。</p> <p><a href="https://www.ithome.com.tw/news/166665"><strong style="font-size: 22px;">Rspack旗下NPM套件遭到供應鏈攻擊，開發人員電腦恐被植入挖礦軟體</strong></a></p> <p>鎖定開源套件的供應鏈攻擊事故頻傳，最近幾個月已有不少事故傳出，值得留意的是，部分事故駭客疑似掌握管理者帳號，以開發團隊的名義上傳有問題的新版套件，使得許多使用自動更新機制的開發人員，他們的開發環境有可能被植入惡意程式。</p> <p>例如字節跳動開源的前端軟體封裝套件Rspack，開發團隊上週提出警告，證實他們遭遇攻擊，目前已知有@rspack/core、@rspack/cli受影響，這兩個NPM套件被攻擊者植入有問題的1.1.7版，內含惡意指令碼，呼籲用戶更新1.1.8版，或是維持使用1.1.6版。對於整個事故發生的過程，該團隊將著手調查。</p> <p>資安業者Socket分析兩個惡意NPM套件，指出這些套件的程式碼都會在開發環境植入挖礦軟體XMRig。攻擊者運用經過混淆處理的程式碼，對遠端伺服器進行呼叫，然後將特定資料外傳，或是收集系統環境配置資訊，以便攻擊者能進行下個階段的攻擊行動。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/weaponizing-windows-defender-new-attack-bypasses-edr/">Windows應用程式控制機制WDAC可被利用，研究人員展示停止EDR系統運作</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-9474-exploited-littlelamb-wooltea-backdoor-discovered-in-palo-alto-devices/ https://northwave-cybersecurity.com/hubfs/LITTLELAMB WOOLTEA technical writeup Schrijver and Oudenaarden.pdf">後門程式LittleLamb、WoolTea鎖定Palo Alto Networks防火牆而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/12/irans-charming-kitten-deploys-bellacpp.html">伊朗駭客Charming Kitten以C++改寫惡意程式，對亞洲企業組織發動攻擊</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166703"><strong style="font-size: 22px;">程式碼管理系統Gogs存在重大漏洞，若不處理攻擊者有機會執行任意命令、竊取代管的程式碼</strong></a></p> <p>12月23日基於Git而成的程式碼管理系統Gogs發布0.13.2版，總共修補了6項漏洞，值得留意的是，當中有3項CVSS風險評分達到10分（滿分10分）的弱點，開發人員應儘速套用更新。</p> <p>這些漏洞分別是：SSH伺服器參數注入漏洞CVE-2024-39930、內部檔案刪除漏洞CVE-2024-39931，以及參數注入變更預覽漏洞CVE-2024-39932，一旦這些漏洞遭到利用，攻擊者就有機會執行任意命令，或是存取使用者存放的程式碼。值得留意的是，除了CVE-2024-39930，其餘兩個漏洞目前並無緩解措施能夠因應。</p> <p><a href="https://www.ithome.com.tw/news/166697"><strong style="font-size: 22px;">Apache修補開源CDN軟體Traffic Control重大層級SQL注入漏洞</strong></a></p> <p>12月23日Apache基金會發布公告，表示旗下的內容傳遞網路（CDN）軟體Apache Traffic Control存在SQL注入漏洞CVE-2024-45387，影響8.0.0至8.0.1版軟體，他們已發布8.0.2版進行修補。</p> <p>這項漏洞出現在名為Traffic Ops的組態管理及監控元件，攻擊者一旦挾持特殊權限使用者，並取得admin、federation、operations、portal，或是steering角色身分，就有機會藉由發送特製的PUT請求，在資料庫執行任意SQL命令，CVSS風險評為9.9（滿分10分）。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-51466-cvss-9-0-critical-vulnerability-found-in-ibm-cognos-analytics/">IBM商業智慧分析套件Cognos Analytics存在重大漏洞，有可能導致敏感資訊曝光、系統當機</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-53552-cvss-9-8-crushftp-flaw-exposes-users-to-account-takeover/">檔案傳輸系統CrushFTP存在重大漏洞，攻擊者能藉此重設密碼控制用戶帳號</a></strong></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166702"><strong style="font-size: 22px;">OpenAI違反GDPR，義大利政府判罰1,500萬歐元</strong></a></p> <p>義大利資料保護主管機關日前以OpenAI非法蒐集用戶個資、未立即通報資料外洩，以及未確實驗證用戶年齡為由，判罰1,500萬歐元。</p> <p>2023年3月傳出ChatGPT存在漏洞，使用戶和ChatGPT的對話內容標題及支付資訊可被他人存取，促使的義大利資料防護管理署（Italian Data Protection Authority，Garante）啟動調查，調查於日前完成，Garante對OpenAI做出判罰及矯正措施。</p> <p>Garante指出，OpenAI非法蒐集用戶個資來訓練ChatGPT，違反了透明原則及相關的資訊義務，而且去年3月發生資料外洩時，也沒有第一時間通知義大利政府。再者，調查顯示，OpenAI並未提供驗證用戶年齡的機制，致使13歲以下兒童可能接觸不適當的回應內容。</p> <p><a href="https://www.ithome.com.tw/news/166701"><strong style="font-size: 22px;">勒索軟體LockBit開發者傳出在以色列被捕</strong></a></p> <p>惡名昭彰的勒索軟體駭客組織LockBit，今年2月他們的暗網網站傳出遭到11個國家的執法單位聯手扣押，5月這團體的首腦俄羅斯人Dmitry Yuryevich Khoroshev也面臨當局起訴，到了10月，有4名涉案人士被補，如今再傳美國逮捕另一名關鍵成員，並將進行引渡。</p> <p>根據以色列新聞網站Ynetnews的報導，美國檢察官辦公室在今年10月向以色列耶路撒冷地方法院申請，將居住在海法的Rostislav Panev引渡到美國，原因就是此人是勒索軟體駭客組織LockBit的成員，於2019年至2024年參與軟體開發。</p> <p>這項消息在上週四（19日）曝光。根據起訴書內容，此人為LockBit的軟體開發人員，他製作了進階的攻擊工具，其中包含能從受害電腦連線的印表機印出勒索訊息的機制，他從組織總共收到的酬勞是時價為23萬美元的比特幣。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166671"><strong>【12月25日】美國政府下令萬豪、喜達屋旅館集團強化資安</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166656"><strong>【12月24日】鎖定M365帳號的網釣工具包FlowerStorm現身</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166628"><strong>【12月23日】羅馬尼亞駭客組織Diicot再度利用Linux主機挖礦</strong></a></p> </div></div></div>
2024/12/26 16:09作者周峻佑https://www.ithome.com.tw/news/166704
勒索軟體LockBit開發者傳出在以色列被捕
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>惡名昭彰的勒索軟體駭客組織LockBit，今年2月他們的暗網網站傳出<a href="https://www.ithome.com.tw/news/161355#lockbit">遭到11個國家的執法單位聯手扣押</a>，5月這團體的首腦俄羅斯人Dmitry Yuryevich Khoroshev<a href="http://www.ithome.com.tw/news/162760">也面臨當局起訴</a>，到了10月，<a href="https://www.europol.europa.eu/media-press/newsroom/news/lockbit-power-cut-four-new-arrests-and-financial-sanctions-against-affiliates">有4名涉案人士被補</a>，如今再傳美國逮捕另一名關鍵成員，並將進行引渡。</p> <p>根據<a href="https://www.ynetnews.com/business/article/bksplo11skg">以色列新聞網站Ynetnews的報導</a>，美國檢察官辦公室在今年10月向以色列耶路撒冷地方法院申請，將居住在海法的Rostislav Panev引渡到美國，原因就是此人是勒索軟體駭客組織LockBit的成員，於2019年至2024年參與軟體開發。</p> <p>這項消息在上週四（19日）曝光。<a href="https://www.justice.gov/opa/media/1381806/dl">根據起訴書內容</a>，此人為LockBit的軟體開發人員，他製作了進階的攻擊工具，其中包含能從受害電腦連線的印表機印出勒索訊息的機制，他從組織總共收到的酬勞是時價為23萬美元的比特幣。</p> <p>有鑑於LockBit的罪行重大，美國聯邦調查局（FBI）直接前往以色列進行調查，並要求訊問Rostislav Panev，結果他們從其海法住處發現該組織使用的勒索信，以及該人使用的數位錢包。</p> <p>Rostislav Panev被捕的時間其實是在今年8月18日，在美國正式要求引渡後，以色列司法部長簽署相關必要程序，同意此人引渡到美國。而在這段期間，美國要求禁止公開此事，目的是避免此事曝光後，導致其他LockBit相關人士逃到俄羅斯躲避查緝，影響執法單位對於該組織的後續調查。</p> </div></div></div>
2024/12/26 15:04作者周峻佑https://www.ithome.com.tw/news/166701
OpenAI違反GDPR，被義大利政府判罰1,500萬歐元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>義大利資料保護主管機關日前以非法蒐集用戶個資、未立即通報資料外洩，以及沒確實驗證用戶年齡為由，對OpenAI<a href="https://www.gpdp.it/home/docweb/-/docweb-display/docweb/10085432" target="_blank">判罰</a>1,500萬歐元。</p> <p>2023年3月OpenAI的ChatGPT傳出存在漏洞，使用戶和ChatGPT的對話內容標題及支付資訊可被他人存取，促使又被稱為Garante的義大利資料防護管理署（Italian Data Protection Authority）啟動調查，調查於日前完成後，Garante對OpenAI做出判罰及矯正措施。</p> <p>義大利主管機關指出，OpenAI非法蒐集用戶個資來訓練ChatGPT，違反了透明原則及相關的資訊義務，而且去年3月發生資料外洩時，也沒有第一時間通知義大利政府。再者，調查顯示，OpenAI並未提供驗證用戶年齡的機制，致使13歲以下兒童可能接觸不適當的回應內容。</p> <p>考量OpenAI自去年義國政府調查以來的合作態度，最終Garante只判罰OpenAI 1,500萬歐元。</p> <p>義國政府也要求OpenAI執行6個月涵括廣播、電視、報紙和網際網路的媒體宣導活動。宣導內容需經過主管機關同意，主要在告知義國民眾ChatGPT的功能，包括如何蒐集用戶和非使用者資訊來訓練生成式AI、資料主體（data subject）的權利，包括拒絕、以及修正和刪除資料的權利。這宣導的用意是在讓用戶知道如何拒絕生成式AI，進而發揮GDPR保障的權益。</p> <p>OpenAI對此判罰<a href="https://www.securityweek.com/italys-privacy-watchdog-fines-openai-for-chatgpts-violations-in-collecting-users-personal-data/" target="_blank">表達</a>不滿。OpenAI指出，Grante 2023年要求該公司暫停提供ChatGPT，在其配合下，一個月後又<a href="https://www.ithome.com.tw/news/156629" target="_blank">准許</a>上線。OpenAI認為，義國政府已經了解到該公司AI隱私技術的領先性，卻還判處OpenAI事件期間在義國營收的將近20倍罰金。</p> <p>OpenAI認為判決並不適當，將尋求申訴。然而該公司表示仍然會和各國隱私主管機關密切合作。</p> </div></div></div>
2024/12/26 15:23作者林妍溱https://www.ithome.com.tw/news/166702
程式碼管理系統Gogs存在重大漏洞，若不處理攻擊者有機會執行任意命令、竊取代管的程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>12月23日基於Git而成的程式碼管理系統Gogs<a href="https://github.com/gogs/gogs/releases/tag/v0.13.2">發布0.13.2版</a>，總共修補了6項漏洞，值得留意的是，當中有3項CVSS風險評分達到10分（滿分10分）的弱點，開發人員應儘速套用更新。</p> <p>這些漏洞分別是：<a href="https://github.com/gogs/gogs/security/advisories/GHSA-vm62-9jw3-c8w3">SSH伺服器參數注入漏洞CVE-2024-39930</a>、<a href="https://github.com/gogs/gogs/security/advisories/GHSA-ccqv-43vm-4f3w">內部檔案刪除漏洞CVE-2024-39931</a>，以及<a href="https://github.com/gogs/gogs/security/advisories/GHSA-9pp6-wq8c-3w2c">參數注入變更預覽漏洞CVE-2024-39932</a>。</p> <p>其中，CVE-2024-39930涉及內建的SSH伺服器元件，一旦此元件啟用，攻擊者就有機會藉由未具備特殊權限的使用者帳號及SSH金鑰，在Gogs伺服器以特殊權限執行任意命令。此外，這項漏洞也讓攻擊者有機會取得使用者代管的程式碼。</p> <p>另一項漏洞CVE-2024-39931，也與CVE-2024-39930具備類似的破壞威力，同樣能允許攻擊者以非特權帳號，在Gogs伺服器以特殊權限執行任意命令，或是取得使用者代管的程式碼。</p> <p>第3個危險程度滿分的漏洞CVE-2024-39932則是涉及檔案系統，攻擊者可利用不具特權的使用者帳號寫入任意檔案，通報此事的研究人員指出，他們可藉此漏洞強制重新安裝Gogs、取得管理員權限。此外，攻擊者不僅能存取使用者的程式碼，甚至能進一步竄改內容。</p> <p>值得留意的是，除了CVE-2024-39930，其餘兩個漏洞目前並無緩解措施能夠因應。</p> </div></div></div>
2024/12/26 15:49作者周峻佑https://www.ithome.com.tw/news/166703
Ruby 3.4推全新it語法與模組化垃圾回收機制，大幅提升效能與開發效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Ruby開發團隊在聖誕節正式釋出<a href="https://www.ruby-lang.org/en/news/2024/12/25/ruby-3-4-0-released/">Ruby 3.4</a>，延續了年度重大更新的傳統。Ruby 3.4版本強調效能與開發效率提升，並在語法簡化與基礎架構靈活性方面帶來多項改進，其中兩大亮點包括it區塊參數引用提升語法易用性，以及模組化垃圾回收機制擴展更多樣化的應用場景。</p> <p>Ruby 3.4引入全新的it區塊參數引用，提供給開發者更簡潔的語法表示方法。與現有的_1相比，it不僅在單行區塊中具備更高的可讀性，還能有效減少使用_2、_3等多個數字參數造成的認知負擔，官方舉例，像是 ary.map { it.upcase } 這樣的語法表達，相對來說更加直覺清楚，適合處理簡單邏輯場景。</p> <p>Ruby 3.4中的模組化垃圾回收機制（Modular GC）是本次更新的另一亮點。該機制使得Ruby開發者能動態載入替代的垃圾回收實作，以滿足多樣化應用需求，也就是說，Ruby內建垃圾回收器現已拆分為獨立模組檔案，並透過標準化API與核心系統互動，增強了擴展性與靈活性。</p> <p>在效能方面，Ruby 3.4對YJIT（Yet Another Just-in-Time Compiler）進行了多項強化，涵蓋記憶體壓縮、方法內嵌、字串處理加速等功能。新加入的記憶體使用限制選項，讓YJIT的記憶體管理更加直覺，並藉由壓縮後設資料技術有效降低記憶體使用量，實現更高效的執行環境。而內建方法如Array#map和Array#each，現在已經用Ruby原生實作代替C實作，進一步提升常用操作的執行效能。</p> <p>Ruby 3.4在socket函式庫中導入了基於RFC 8305標準的Happy Eyeballs Version 2演算法，大幅提升Ruby程式在現代網路環境中的連線效率。該技術支援IPv6與IPv4並行解析與連線，並藉由250毫秒的間隔進行平行嘗試，快速建立最佳連線。此改進降低了因特定協定延遲或不可用而造成的影響，確保應用程式在多樣化網路環境中的穩定性與可靠性。</p> </div></div></div>
2024/12/26 16:05作者李建興https://www.ithome.com.tw/news/166699
美政府給DJI一年證明未危害美國國安
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在美國全面封鎖中國科技業者的同時，參議院上周通過一項新法案，給無人機大廠大疆（DJI）一年時間證明自己並未威脅美國國家安全，否則將在明年啟動封鎖令。</p> <p>美國參議院上周以85:14表決<a href="https://www.congress.gov/bill/118th-congress/house-bill/2670" target="_blank">通過</a>《國防授權法》（National Defense Authorization Act，NDAA）。NDAA涵蓋從軍費到國防技術廣泛領域。近年NDAA特別強調應對來自中國的技術與經濟威脅，包括供應鏈安全和高科技產品的依賴問題，包括無人機。在軍事用無人機議題上，外界關注是否會融入《反制中共無人機法案》（Countering CCP Drones Act）》的主張，後者一旦通過，將把中國DJI加入到美國聯邦通訊委員會（FCC）的涵蓋清單（Covered List），禁止DJI無人機在美國境內銷售。</p> <p>DJI是全球最大無人機製造商，根據德國研究機構Drone Industry Insights的<a href="https://droneii.com/" target="_blank">資料</a>，DJI在全球民用無人機市場的市占率高達79%，而其消費級無人機在美市占也達到90%以上。</p> <p>已通過的NDAA並未立即將DJI列入FCC的涵蓋清單，而是給DJI一年時間向「適當的國家安全機關」（實則為FCC）自證清白。如果一年內，DJI未能說服FCC，使其公開宣布該公司對美國國家安全沒有「不可接受的風險」，NDAA就會要求FCC將之列入涵蓋清單。而且，FCC也不得授權DJI廣播其無線電波，以及使用美國固網連線。</p> <p>基本上，這些動作等同封鎖DJI設備的運行，這意味著不僅消費者和企業買不到DJI產品，連消費者既有的無人機也將無法使用。</p> <p>DJI<a href="https://viewpoints.dji.com/blog/u.s.-congress-finalizes-fy25-national-defense-authorization-act-ndaa-without-countering-ccp-drones-act-heres-what-to-watch-for-in-2025" target="_blank">回應</a>，該公司歡迎檢視，並期待有機會表達產品隱私控制和安全功能。但DJI也指出，該法案不公平地針對中國製造的無人機產品而來，且沒有指定特定機關進行風險評估。在沒人判定DJI是造成風險情況下，DJI可能會自動列入FCC的限制名單，雖然它並未犯錯。</p> <p>DJI說，從2017年起該公司已透過抓漏方案和外部安全專家合作提升產品安全性，反映其對安全的重視。對於未來任何評估，DJI表示應提供該公司公平機會驗證並解決評估中的「風險」。</p> </div></div></div>
2024/12/26 15:13作者林妍溱https://www.ithome.com.tw/news/166700
日本航空傳出對外網路停擺，部分機場班機出現延誤，當地媒體指出是遭遇網路攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今天（26日）上午有媒體報導，日本當地有多處機場出現班機延誤的現象，起因是有航空公司遭遇網路攻擊造成。</p> <p>日本航空（Japan Airlines，JAL）在<a href="https://www.jal.co.jp/jp/ja/info/2024/other/241226-2/">網站上發布公告</a>，表示他們在今天當地時間早上7時24分（臺灣時間6時24分）開始，發現連接內外網路環境的網路設備遭到破壞，並導致與外部通訊的系統也發生異常。</p> <p>對此，該公司於8時56分將導致網路運作故障的路由器設備離線，並表示他們已經確定這起事故的影響範圍，正在對相關系統進行檢查，並著手復原。</p> <p><a href="https://s4.itho.me/sites/default/files/images/JAL_46ojwK0ACV.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/JAL_46ojwK0ACV.png" style="width: 580px;" /></a></p> <p>他們指出這起事故已經對營運造成衝擊，但對於航空安全並未造成影響。日本航空表示，無論是國內或國際航線，都出現延誤的現象，他們也暫停銷售今日出發的國內外航班機票。截至當地時間上午11時，有24個日本國內航班出現30分鐘以上的延遲。</p> <p><a href="https://s4.itho.me/sites/default/files/images/JAL_28laMkMWl8.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/JAL_28laMkMWl8.png" style="width: 580px;" /></a></p> <p>雖然日本航空並未提及上述事故發生的原因，但當地媒體都指出是伺服器遭到攻擊造成。</p> <p>根據<a href="https://www3.nhk.or.jp/news/html/20241226/k10014679271000.html">NHK的報導</a>，羽田機場、關西機場、大阪機場、福岡機場都出現部分班機延誤的情況，但成田機場並未受到影響，其中，羽田機場影響最嚴重，有33班次受到波及，有部分班機延後1個小時，不過，沒有航班被取消。</p> <p>此外，日本警方已約談日本航空，進一步了解這起資安事故的情況，NHK指出，日本航空很有可能遭遇DDoS攻擊。</p> </div></div></div>
2024/12/26 11:52作者周峻佑https://www.ithome.com.tw/news/166698
Apache修補開源CDN軟體Traffic Control重大層級SQL注入漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>12月23日Apache基金會發布公告，表示旗下的內容傳遞網路（CDN）軟體Apache Traffic Control存在<a href="https://lists.apache.org/thread/t38nk5n7t8w3pb66z7z4pqfzt4443trr">SQL注入漏洞CVE-2024-45387</a>，影響8.0.0至8.0.1版軟體，他們已發布8.0.2版進行修補。</p> <p>這項漏洞出現在名為Traffic Ops的組態管理及監控元件，攻擊者一旦挾持特殊權限使用者，並取得admin、federation、operations、portal，或是steering角色身分，就有機會藉由發送特製的PUT請求，在資料庫執行任意SQL命令，CVSS風險評為9.9（滿分10分）。</p> </div></div></div>
2024/12/26 10:38作者周峻佑https://www.ithome.com.tw/news/166697
公平會否決Uber Eats與foodpanda合併案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>受到外界關注的Uber Eats併購foodpanda一案，公平會在11月受理後，今天（12/25）委員會決議，因合併後市佔率高達90%以上，限制競爭的不利益大於整體經濟利益，否決這項併購案。</p> <p>Uber在今年5月宣布與Deliver Hero SE達成協議，以9億5千萬美元併購Deliver Hero旗下的foodpanda臺灣外送事業，若主管機關同意，Uber預期若順利進行將會在2025年上半年完成交易，未來foodpanda合作商家、用戶及外送員將轉移到Uber Eats平臺。</p> <p>由於Uber併購foodpanda涉及兩家外送平臺服務合併後的市場競爭變化，向公平會提出合併申請，公平會在11月開始受理，這段時間兩大外送平臺合併案備受外界關注，消費者、外送員、立法委員皆表達對兩大外送平臺合併後的疑慮。</p> <p>公平會經過蒐集各界意見，並進行分析後，今年委員會決議否決這項合併案。公平會指出，兩家外送平臺合併後，其市佔率將超過9成，有顯著限制競爭的疑慮，在合併前Uber Eats的主要競爭來自foodpanda，合併後將不再受到競爭，對市場的限制競爭疑慮要大於整體經濟利益。</p> <p>其次，Uber Eats平臺的交易相對人為個別消費者、中小型餐飲業者，難以透過其他方式如餐廳外送服務來繞過外送平臺，以制衡其市場影響力，而合併後，交易相對人也缺乏制衡的力量。</p> <p>雖然業者主張合併帶來的經濟效益，如提高外送服務密度，更有效率，但公平會認為業者提出的主張難以驗證或短期內實現，並且非必須透過結合來達成，且與限制競爭之不利益明顯不成比例。</p> <p>因此這項合併案，公平會根據公平交易法第13條第1項規定禁止其結合。</p> </div></div></div>
2024/12/25 18:52作者蘇文彬https://www.ithome.com.tw/news/166674
針對5年前間諜軟體供應商NSO Group被控利用WhatsApp零時差漏洞入侵逾1,400臺行動裝置，美國法院判決W…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2019年10月Meta旗下與即時通訊軟體WhatsApp傳出<a href="https://www.ithome.com.tw/news/133908">對以色列間諜軟體公司NSO Group提告</a>，控訴該公司提供賣家的間諜軟體Pegasus，於當年4月至5月利用零時差漏洞CVE-2019-3568，滲透約1,400臺行動裝置。<a href="https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.494.0_1.pdf">如今判決出爐</a>，NSO Group利用WhatsApp零時差漏洞的行為，美國聯邦法院認定違反當地與駭客有關的法律。</p> <p>對此，WhatsApp負責人Will Cathcart表示，<a href="https://www.threads.net/@wcathcart/post/DD0iQ7uSAPu">這項判決是隱私的巨大勝利</a>，他們堅信間諜軟體公司必須對非法行為負責。</p> <p>究竟這波利用零時差漏洞的事故造成多少損害？目前仍不得而知。資深科技法律顧問Natalia Krapiva指出，<a href="https://x.com/natynettle/status/1870319632822734960">陪審團將在明年3月3日開庭，進行相關的判決</a>。</p> </div></div></div>
2024/12/25 16:54作者周峻佑https://www.ithome.com.tw/news/166670
【資安日報】12月25日，美國政府下令萬豪、喜達屋旅館集團強化資安
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾年旅館集團萬豪國際（Marriott International）傳出多起資料外洩事故，至少超過3.4億旅客資料外洩，美國聯邦交易委員會（FTC）在經過調查後於10月提告，如今這起事件有了新的進展。</p> <p>FTC根據當時要求達成和解的條件，正式下令該集團與旗下子公司（Starwood Hotels & Resorts）必須導入完善的資安方案，來避免類似的大規模資料外洩事故再度重演。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166663"><strong style="font-size: 22px;">萬豪國際及其子公司喜達屋因近年大規模資料外洩事故遭起訴，美國政府下令要求改善資安</strong></a></p> <p>12月20日美國聯邦交易委員會（FTC）下令，要求旅館業者萬豪國際（Marriott International）及其子公司喜達屋（Starwood Hotels & Resorts）導入完善的資安方案，換得和解導致超過3.4億旅客資料外洩的官司。</p> <p>FTC針對2014年到2020年期間，萬豪國際及喜達屋連鎖飯店旗下發生多起大規模資料外洩事故，在今年10月提起告訴，其中3起事件影響顧客人數超過3.44億。FTC指控飯店方面謊稱具備合理和適當的資料安全防護，事實上並非如此，因而導致至少3起個資外洩事故，而讓大量顧客資料，包括護照資料、支付卡號、客戶的忠誠會員編號等落入駭客手上。</p> <p>FTC要求兩家飯店業者建立完整的資安計畫，保護顧客個資、只在合理必要範圍內保留顧客個資，並在網頁上加入連結，允許顧客要求刪除其電子郵件信箱和忠誠會員帳號相關的資料。萬豪酒店還必須在客戶要求時，檢視並回復遭竊取的忠誠回饋點數。本命令宣布當天生效，要求兩家業者要在180天內完成實作，最後期限為2025年6月17日。</p> <p><a href="https://www.ithome.com.tw/news/166653"><strong style="font-size: 22px;">Python惡意套件Zebo與Cometlogger被用於供應鏈攻擊，竊取帳密資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig07-malicious-python.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig07-malicious-python.png" style="width: 300px; float: right;" /></a>Fortinet的安全研究團隊近日發現兩款隱藏惡意行為的Python套件，分別為Zebo-0.1.0與Cometlogger-0.1。這兩個套件表面看起來只是普通的開源程式碼，實則內含多種惡意功能，突顯了開源軟體供應鏈攻擊日益增加的資安威脅。</p> <p>研究人員指出，Zebo-0.1.0的惡意功能包括鍵盤記錄、螢幕擷取、資料外洩與持久性機制設置。該惡意套件利用了如pynput與ImageGrab等合法Python函式庫，結合混淆技術來隱藏其真正意圖。Zebo程式會在用戶的電腦上記錄所有鍵盤輸入並定期截取螢幕畫面，這些資料隨後被上傳至遠端伺服器。值得注意的是，Zebo藉由設置系統啟動時自動執行機制來實現持久性，確保惡意行為能夠持續執行。</p> <p>另一款惡意套件Cometlogger-0.1則更加複雜且危險，其功能涵蓋動態檔案修改、Webhook注入、資訊竊取與反虛擬機器檢測等。</p> <p><a href="https://www.ithome.com.tw/news/166670"><strong style="font-size: 22px;">針對5年前間諜軟體供應商NSO Group被控利用WhatsApp零時差漏洞入侵逾1,400臺行動裝置，美國法院判決WhatsApp勝訴</strong></a></p> <p>2019年10月Meta旗下與即時通訊軟體WhatsApp傳出對以色列間諜軟體公司NSO Group提告，控訴該公司提供賣家的間諜軟體Pegasus，於當年4月至5月利用零時差漏洞CVE-2019-3568，滲透約1,400臺行動裝置。如今判決出爐，NSO Group利用WhatsApp零時差漏洞的行為，美國聯邦法院認定違反當地與駭客有關的法律。</p> <p>對此，WhatsApp負責人Will Cathcart表示，這項判決是隱私的巨大勝利，他們堅信間諜軟體公司必須對非法行為負責。</p> <p>究竟這波利用零時差漏洞的事故造成多少損害？目前仍不得而知。資深科技法律顧問Natalia Krapiva指出，陪審團將在明年3月3日開庭，進行相關的判決。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/wikikit-phishing-kit-targets-major-industries-with-evasive-techniques/">網釣工具包WikiKit鎖定汽車、製造、醫療而來，佯稱是受害者所屬企業來發動攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/nodestealer-infostealer-new-python-based-variant-targets-facebook-ads-manager/">以Python打造的竊資軟體NodeStealer針對臉書廣告管理員而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/cyberattacks-data-breaches/lockbit-ransomware-developer-arrested-israel">勒索軟體LockBit開發者傳出在以色列被捕</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166667"><strong style="font-size: 22px;">Apache基金會修補網頁伺服器元件Tomcat遠端程式碼執行漏洞</strong></a></p> <p>12月17日Apache基金會發布網頁伺服器系統Tomcat更新11.0.2、10.1.34、9.0.98版，當中修補重大層級的遠端程式碼執行（RCE）漏洞CVE-2024-50379，事隔3日，他們再度發布資安公告指出，上述版本出現修補不完整的現象，呼籲IT人員要儘速採取行動。</p> <p>CVE-2024-50379是涉及檢查時間及使用時間（TOCTOU）的弱點，發生在Tomcat編譯JSP的過程，並在預設的servlet啟用寫入功能（非預設組態）的情況下，攻擊者有機會藉由對相同檔案同時上傳及下載的情況下，繞過Tomcat的檢查，此時上傳的檔案會被視為JSP程式，從而導致遠端任意執行程式碼的資安風險，CVSS風險評為9.8（滿分10分）。</p> <p>12月20日Apache基金會再度發布公告，他們發現上述新版程式修補並不完整，並將這項弱點登記為CVE-2024-56337。特別的是，該基金會並非再度發布新版軟體予以修補，而是要求用戶必須調整Java元件的部分組態來因應。</p> <p><a href="https://www.ithome.com.tw/news/166669"><strong style="font-size: 22px;">控管Unix與Linux系統的開源套件Webmin有重大漏洞，一般帳號可趁機偷用root權限執行惡意命令</strong></a></p> <p>漏洞懸賞專案Zero Day Initiative（ZDI）指出，伺服器網頁管理主控臺Webmin的CGI元件存在命令注入漏洞CVE-2024-12828，一旦攻擊者成功利用，就有機會遠端於Webmin執行任意程式碼，CVSS風險評分為9.9（滿分10分），這項漏洞研究人員今年3月向開發團隊通報，Webmin隔月發布2.111版修補，並指出2.105以下的版本都有可能曝險。</p> <p>研究人員提及，這項弱點發生的原因，在於Webmin處理CGI請求的過程，從而導致使用者提供的字串被用於執行系統呼叫之前，並未經過適當的驗證，使得攻擊者有機會以root權限執行任意程式碼。</p> <p>但攻擊者利用這項漏洞存在必要條件，那就是必須在通過身分驗證的狀態下才能觸發漏洞。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-49775-cvss-9-8-critical-vulnerability-in-siemens-umc-exposes-systems-to-remote-exploitation/">西門子UMC元件存在重大漏洞，攻擊者有機會遠端執行任意程式碼</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/rockwell-powermonitor-vulnerabilities-allow-remote-hacking-of-industrial-systems/">Rockwell能源控制監視器PowerMonitor存在重大漏洞，攻擊者有機會取得工控環境的存取權限</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.tca.org.tw/tca_news1.php?n=2257"><strong style="font-size: 22px;">台北市電腦商業同業公會頒發2024資安精品獎，6項產品及服務獲獎</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/ULFXj7AhG7.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/ULFXj7AhG7.png" style="width: 300px; float: right;" /></a>台北市電腦公會主辦資安精品獎，吸引超過30家資安業者參與，經評選後15家進入決審，最終結果於12月24日公布，有6家資安公司獲獎。這些得獎的公司及產品服務分別為：</p> <p>卓越獎：睿控網安SageOne</p> <p>領航獎：來毅數位Keypasco ZTNA、中華資安國際紅隊演練服務</p> <p>創新獎：杜浦數位TeamT5威脅偵測應變代管服務、奧義智慧XCockpit EASM外部資產曝險管理、兆勤科技USG FLEX 200HP</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166656"><strong>【12月24日】鎖定M365帳號的網釣工具包FlowerStorm現身</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166628"><strong>【12月23日】羅馬尼亞駭客組織Diicot再度利用Linux主機挖礦</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166615"><strong>【12月20日】資安業者BeyondTrust傳出部分SaaS服務遭遇重大層級命令注入漏洞攻擊</strong></a></p> </div></div></div>
2024/12/25 17:09作者周峻佑https://www.ithome.com.tw/news/166671
自動算出最佳理賠金、加速醫病決策，工研院打造商用AI理賠試算平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>工研院今日（12/25）宣布成立保險科技新創慧保科技，也揭露旗下2款保險科技產品，包括涵蓋21家壽險公司保單產品、可模擬500多種情境的理賠試算平臺，以及整合全臺21家壽險公司、5萬張保單產品的保險理賠金試算系統，兩者皆串接保險存摺，也都採AI模型，可快速抓取保單條款、摘要重點。</p> <p>這兩款產品專門供保險業者和醫院使用，比如醫院可透過理賠金試算系統，來告知患者醫療預算，進一步提供合適的治療方案；保險業者也能透過理賠試算平臺，來向民眾推薦最符合條件的保單產品。</p> <p><span style="font-size:22px;"><strong>2018年開始研究AI保單分析，今年成立新創開發2大產品</strong></span></p> <p>慧保科技是由工研院培育的新創公司，慧保科技執行長楊承益表示，2018年，團隊開始在工研院內部成形，打下AI分析基礎，運用數十萬張保單來調校AI模型，讓模型理解保單條款內容。這些AI模型，包括團隊自己用開源模型和保單資料來調校的，也有使用AI業者模型來微調的。至於文字處理所需的NLP技術，則由工研院AI工程師自行開發。</p> <p>經過多年打基礎，他們整合了1,700多種醫療術式代碼，數萬種醫材、藥品和治療儀器費用，也整合全臺21家壽險公司的5萬多張醫療保單，打造出AI保單理賠試算引擎，並發展出2款產品。</p> <p>其中，第一款產品是AI理賠試算平臺的慧保U，專門給保險公司使用，適用於民眾就醫前，先來衡量民眾既有的保單狀況。保險業務使用這套系統，可模擬500多種疾病狀況及民眾保單費用涵蓋率，進一步規畫或銷售最符合民眾需求的保險產品。</p> <p>楊承益現場展示，慧保U平臺串接了壽險公會開發的保險存摺，只要選取顯示類別，如疾病類別、科別，就能查看民眾過往至今投保保險與治療費用涵蓋率，甚至也會列出該項的健保給付點數、自費費用和預估理賠金額。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/U1.JPG" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/U%E7%95%AB%E9%9D%A2.JPG" /></p> <p>另一款產品是給醫院使用的醫起付，也就是一套保險理賠金試算系統。它的用法是，醫師先對病人病況評估，給出可能的手術方式，如椎間盤突出的手術有傳統手術、顯微手術、脊椎內視鏡3種，每種的傷口大小、住院天數、麻醉方式、術後復健和費用都不盡相同。</p> <p>接著，醫師就可使用醫起付系統，輸入相關資料和預計治療項目，系統就能與病人過去購買的保單產品和條款勾稽，算出哪些可由保險公司支付、哪些需要自費，甚至列出理賠所需的診斷證明文件類別、收據等。</p> <p>該系統還會顯示最佳的理賠保單，醫師也能根據醫療預算金，來與患者溝通、決定最佳的治療方案。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%87%911.JPG" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%87%912.JPG" /></p> <p></p> </div></div></div>
2024/12/25 17:51作者王若樸https://www.ithome.com.tw/news/166673
小模型只要運算時間充裕，特定任務性能也能超越大模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於目前大型語言模型的效能，主要仰賴大量的訓練運算資源，而正是這種昂貴的成本模式，驅使開發公司尋求替代方案。而Hugging Face的<a href="https://huggingface.co/spaces/HuggingFaceH4/blogpost-scaling-test-time-compute">研究顯示</a>，透過測試階段運算擴展（Test-Time Compute Scaling），小型模型在推理過程中給予足夠的運算時間，能針對複雜問題進行多次嘗試或修正，效能不僅提升，甚至可在數學推理等特定任務中超越大型模型。這項成果挑戰了過去以模型規模作為效能提升主要依據的認知，展現了小型模型在資源有效利用下的潛力。</p> <p>測試階段運算擴展已成為許多研究機構關注的技術，其中<a href="https://arxiv.org/html/2408.03314v1">DeepMind的研究</a>顯示，藉由動態分配測試階段運算資源，可以讓模型在解決複雜問題時更具效率。DeepMind研究人員提出了使用驗證搜尋解答空間的策略，驗證器能對模型的中間推理解答給出評分，並引導搜尋過程朝正確方向推進。DeepMind的實驗證實，測試階段運算策略能讓小型模型在部分複雜任務中超越其基礎效能。</p> <p>而Hugging Face的研究更聚焦於開放模型與資源的應用，並提出多樣性驗證樹搜尋（Diverse Verifier Tree Search，DVTS）這種改進驗證器搜尋方法的技術。DVTS有效解決了搜尋過程中的多樣性不足問題，特別是在高運算資源配置下，其生成的解答在準確性和多樣性上表現更佳。透過這些測試階段運算擴展技術，Hugging Face展示小型模型在數學推理等特定任務中，足以挑戰甚至超越大型模型，顛覆過去仰賴模型規模決定效能的傳統觀點。</p> <p>簡單來說，DeepMind的研究主要說明，透過動態分配測試階段的運算資源，小型模型可以在多一點運算時間下，提升效能並表現得更好。Hugging Face的研究則進一步延伸，提出在某些特定任務中，給小型模型足夠的運算時間，不僅能提升效能，甚至可以超越參數量更大的模型。</p> <p>Hugging Face的DVTS針對搜尋策略中的多樣性問題進行最佳化，藉由分離多個搜尋樹，提升生成答案的多樣性並避免單一路徑過度主導搜尋過程的現象。在數學基準測試中，小型模型如參數量僅為10億的Llama模型，在應用DVTS策略後，解題表現不僅超越了自身基礎能力，甚至在某些情境中超越了參數量高達70億的大型模型。</p> <p>不過目前這些技術的發展仍受限制，因為驗證器的能力目前局限於數學和程式碼等可驗證領域，要將這些技術應用於需要主觀判斷，或是難以量化的任務，仍需要更多後續研究。不過從實務角度來看，測試階段運算擴展的成功，對模型效能提升提供了更具成本效益的方法，讓企業能以更少的資源部署更高效的語言模型，特別是在運算能力受限的環境下，如邊緣運算或嵌入式系統等。</p> </div></div></div>
2024/12/25 16:37作者李建興https://www.ithome.com.tw/news/166668
Apache基金會修補網頁伺服器元件Tomcat遠端程式碼執行漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>12月17日Apache基金會發布網頁伺服器系統Tomcat更新11.0.2、10.1.34、9.0.98版，<a href="https://lists.apache.org/thread/y6lj6q1xnp822g6ro70tn19sgtjmr80r">當中修補重大層級的遠端程式碼執行（RCE）漏洞CVE-2024-50379</a>，事隔3日，他們再度發布資安公告指出，上述版本出現修補不完整的現象，呼籲IT人員要儘速採取行動。根據統計全球網路技術使用數據的組織W3C觀察，12月採用Tomcat的網站比例低於0.04％，但它也是少數高流量網站最常採用的平臺。</p> <p>CVE-2024-50379是涉及檢查時間及使用時間（TOCTOU）的弱點，發生在Tomcat編譯JSP的過程，並在預設的servlet啟用寫入功能（非預設組態）的情況下，攻擊者有機會藉由對相同檔案同時上傳及下載的情況下，繞過Tomcat的檢查，此時上傳的檔案會被視為JSP程式，從而導致遠端任意執行程式碼的資安風險，CVSS風險評為9.8（滿分10分）。</p> <p>12月20日Apache基金會再度發布公告，<a href="https://lists.apache.org/thread/b2b9qrgjrz1kvo4ym8y2wkfdvwoq6qbp">他們發現上述新版程式修補並不完整</a>，並將這項弱點登記為CVE-2024-56337。特別的是，該基金會並非再度發布新版軟體予以修補，而是要求用戶必須調整Java元件的部分組態來因應。</p> </div></div></div>
2024/12/25 15:07作者周峻佑https://www.ithome.com.tw/news/166667
控管Unix與Linux系統的開源套件Webmin有重大漏洞，一般帳號可趁機偷用root權限執行惡意命令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>漏洞懸賞專案Zero Day Initiative（ZDI）指出，<a href="https://www.zerodayinitiative.com/advisories/ZDI-24-1725/">伺服器網頁管理主控臺Webmin的CGI元件存在命令注入漏洞CVE-2024-12828</a>，一旦攻擊者成功利用，就有機會遠端於Webmin執行任意程式碼，CVSS風險評分為9.9（滿分10分），這項漏洞研究人員今年3月向開發團隊通報，Webmin隔月發布2.111版修補，並指出2.105以下的版本都有可能曝險。</p> <p>研究人員提及，這項弱點發生的原因，在於Webmin處理CGI請求的過程，從而導致使用者提供的字串被用於執行系統呼叫之前，並未經過適當的驗證，使得攻擊者有機會以root權限執行任意程式碼。</p> <p>但攻擊者利用這項漏洞存在必要條件，那就是必須在通過身分驗證的狀態下才能觸發漏洞。</p> <p>另一方面，Webmin也在資安公告說明這項漏洞帶來的影響。<a href="https://webmin.com/security/#privilege-escalation-by-non-root-users-cve-2024-12828">開發團隊指出</a>，攻擊者有機會利用不具特殊權限的Webmin使用者，利用Shell自動完成指令敘述的功能觸發漏洞，從而以root執行命令。</p> <p>他們也提及使用網站管理主控臺Virtualmin的用戶，也同樣受到這項漏洞影響，因此，Webmin與Virtualmin的用戶應儘速執行更新程式。</p> </div></div></div>
2024/12/25 15:44作者周峻佑https://www.ithome.com.tw/news/166669
Rspack旗下NPM套件遭到供應鏈攻擊，開發人員電腦恐被植入挖礦軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定開源套件的供應鏈攻擊事故頻傳，最近幾個月已有不少事故傳出，值得留意的是，部分事故駭客疑似掌握管理者帳號，以開發團隊的名義上傳有問題的新版套件，使得許多使用自動更新機制的開發人員，他們的開發環境有可能被植入惡意程式。</p> <p>例如字節跳動開源的前端軟體封裝套件Rspack，開發團隊上週提出警告，證實他們遭遇攻擊，<a href="https://github.com/web-infra-dev/rspack/issues/8767#issue-2749111424">目前已知有@rspack/core、@rspack/cli受影響，這兩個NPM套件被攻擊者植入有問題的1.1.7版</a>，內含惡意指令碼，呼籲用戶更新1.1.8版，或是維持使用1.1.6版。對於整個事故發生的過程，該團隊將著手調查。</p> <p>對此，Rspack團隊已移除1.1.7版，並將最新版本指向1.1.6版，他們也註銷現有的NPM及GitHub的Token因應。此外，該團隊也針對儲存庫及NPM套件的權限進行檢查，並確認相關系統是否存在弱點。該團隊也發布了1.1.8版供用戶升級，但值得留意的是，這個版本僅是將1.1.6版重新發布，目的是為了因應部分使用者可能不慎安裝攻擊者上傳的版本。</p> <p>Rspack是網站模組打包工具，可將眾多模組與資源打包，並編譯需要事先處理的內容，使得這些資源更容易在網站或網頁應用程式運用。Rspack是以Rust改寫的Webpack，於2023年正式推出，由於這項工具廣受微軟、Amazon、阿里巴巴等大型企業採用，其中@rspack/core、@rspack/cli每週分別被下載約37萬次、13.5萬次，因此上述的供應鏈攻擊事故，很有可能影響相當廣泛。</p> <p>資安業者Socket分析兩個惡意NPM套件，<a href="https://socket.dev/blog/rspack-supply-chain-attack">指出這些套件的程式碼都會在開發環境植入挖礦軟體XMRig</a>。攻擊者運用經過混淆處理的程式碼，對遠端伺服器進行呼叫，然後將特定資料外傳，或是收集系統環境配置資訊，以便攻擊者能進行下個階段的攻擊行動。</p> <p>特別的是，攻擊者疑似鎖定特定的開發環境而來，他們呼叫API收集受害主機的環境資訊。雖然Socket並未特別提及駭客針對的目標，但開發人員Wojciech Maj進行調查，<a href="https://github.com/web-infra-dev/rspack/issues/8767#issuecomment-2555772131">並於Rspack的公告當中指出</a>，攻擊者針對中國、香港、俄羅斯、白俄羅斯、伊朗而來，而且，只針對執行Linux作業系統的開發環境發動攻擊。</p> <p>這起資安事故引發開發界討論相關安全議題，例如：軟體套件管理工具需要更好的防護機制，像是對於部署未經檢驗的新版套件執行前，應該發出警示訊息，要開發人員提高警覺。</p> <p>也有開發者向套件管理工具pnpm的開發團隊提出請求，<a href="https://github.com/pnpm/pnpm/issues/8889">建議要提供禁止套件更新到未經驗證版本的功能</a>，來減少類似的事故造成的災情。</p> </div></div></div>
2024/12/25 12:55作者周峻佑https://www.ithome.com.tw/news/166665
傳Google用Anthropic Claude測試Gemini模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI開發競爭激烈，廠商一般是以業界標竿測試比較競爭者和自己的模型的執行結果。不過媒體Techcrunch<a href="https://techcrunch.com/2024/12/24/google-is-using-anthropics-claude-to-improve-its-gemini-ai/" target="_blank">報導</a>，Google疑似聘請外包商比較對手Anthropic的Claude模型的回應，來評估自家Gemini模型的回應品質。</p> <p>媒體取得Google外包人員的對內通訊內容報導此事。一開始，這些外包員被分派評估Gemini模型回應內容，讓他們以特定標準如真實性、冗長程度來為Gemini打分數。但最新外包員被要求評比Anthropic的Claude和Google Gemini的回應內容，並比較兩模型在安全性、效能等其他屬性能力。</p> <p>根據媒體看到的外包員內部聊天內容，Claude被認為比Gemini更重視安全性。例如Claude在使用者要求扮演其他AI助理時不予回應。另外，Claude也拒絕回應有色情意味的要求，但Gemini的回應因有裸露和性行為內容，被外包員評論為「嚴重違反安全規則」。</p> <p>Anthropic對Claude的<a href="https://www.anthropic.com/legal/commercial-terms" target="_blank">商業服務條款</a>禁止客戶在未獲得同意情況下，以Claude打造競爭產品或訓練競爭AI模型。Google<a href="https://www.ithome.com.tw/news/159545" target="_blank">據信</a>曾投資Anthropic至少23億美元。</p> <p>Google DeepMind對媒體表示，公司會比較不同模型輸出結果，但表示未曾以Anthropic的模型來訓練Gemini。DeepMind也未說明是否取得Anthropic的同意。Anthropic則未對此評論。</p> </div></div></div>
2024/12/25 12:31作者林妍溱https://www.ithome.com.tw/news/166664
擴建AI伺服器？xAI再增資60億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI競賽白熱化，xAI近日再增資60億美元，可能用來採購Nvidia晶片擴建AI伺服器。</p> <p>根據這家業者向美國證管會（SEC）<a href="https://www.sec.gov/Archives/edgar/data/2002695/000200269524000003/xslFormDX01/primary_doc.xml" target="_blank">申報</a>的文件，在每位外部投資者最低門檻77,593美元下，xAI獲得總額60億美元的外部資金。</p> <p>xAI透過官方X帳號<a href="https://x.ai/blog/series-c" target="_blank">公布</a>新一輪投資者包括a16z、黑岩（Blackrock）、紅杉資本等、以及Nvidia、AMD等共97名自然人及法人。CNBC<a href="https://www.cnbc.com/2024/11/15/elon-musks-xai-raising-up-to-6-billion-to-purchase-100000-nvidia-chips-for-memphis-data-center.html" target="_blank">報導</a>其中有50億美元來自中東的主權基金。</p> <p>這是繼今年<a href="https://www.ithome.com.tw/news/163140" target="_blank">5月</a>的第一波60億美元增資後，科技大亨馬斯克持有的xAI再度增資。CNBC引述消息人士報導，最新資金將用來採購10萬顆Nvidia晶片。</p> <p>這些晶片可能是將用來擴建AI伺服器。xAI 9月<a href="https://www.ithome.com.tw/news/164859" target="_blank">公</a><a href="http://www.ithome.com.tw/news/164859" target="_blank">布</a>一臺採用10萬顆H100打造成、用以訓練AI模型的超級電腦叢集名為Colossus。馬斯克當時表示Colossus是世界最強大的AI訓練系統，且預計再翻倍來到20萬顆GPU，包含5萬顆最新的Nvidia H200。</p> </div></div></div>
2024/12/25 12:58作者林妍溱https://www.ithome.com.tw/news/166666
Telegram 2024年終於停止虧損且營收破10億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Telegram創辦人兼執行長Pavel Durov<a href="https://t.me/durov/386">撰文</a>透露，2024年Telegram正式結束商業化3年以來，持續虧損的局面，首次獲利且收入突破10億美元。這對於Telegram來說是一個重要里程碑，反映出成功的商業模式轉型與持續成長的用戶規模。</p> <p>Pavel Durov提到，Telegram在2024年的主要營收來源包括Premium訂閱服務，以及持續成長的廣告收入。2024年Telegram Premium訂戶人數超過了1,200萬，成為平臺營利的重要收入來源，此外，Telegram廣告平臺也吸引眾多企業用戶，使得廣告收入也有數倍成長。</p> <p>而Pavel Durov也坦言，Telegram仍有許多債務待處理。不過Telegram已經在2024年秋季利用市場上有利的債券價格，償還了部分早期發行的債務，使得財務基礎更加穩健。截至年底，Telegram擁有超過5億美元的現金儲備，這還不包括公司持有的加密資產。</p> <p>2024年，Telegram推出了一系列全新的商業化功能，包括Stars、Giveaways與Telegram Gateway等，進一步擴展了平臺使用場景與商業應用範疇。Pavel Durov表示，Telegram會持續減少債務負擔，同時投入更多資源在產品創新與用戶體驗的提升。</p> <p>不過Telegram在2024年也是波折不斷，8月時Pavel Durov遭法國政府指控未能有效監管平臺內容而被逮捕。法國政府認為Telegram縱容非法活動，包括洗錢、毒品交易以及未成年人不當內容的散布，而在Pavel Durov被捕之後，Telegram則迅速採取了一系列法遵行動，以回應外界的批評。</p> <p>Telegram宣布調整其隱私政策，首次允許在涉及刑事案件時，根據司法機構的合法請求提供用戶的IP地址與電話號碼等資料，此外，平臺還加強了公共搜尋功能的監管，部署了專門團隊結合人工智慧技術，主動偵測並刪除違法或有問題的內容，加強打擊非法內容的力道。</p> </div></div></div>
2024/12/25 13:07作者李建興https://www.ithome.com.tw/news/166661
美國政府下令萬豪、喜達屋飯店集團強化資安
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦交易委員會（Federal Trade Commission，FTC）上周<a href="https://www.ftc.gov/news-events/news/press-releases/2024/12/ftc-finalizes-order-marriott-starwood-requiring-them-implement-robust-data-security-program-address" target="_blank">下令要求</a>萬豪國際（Marriott International）及其子公司喜達屋（Starwood Hotels & Resorts）導入完善的資安方案，以便和解導致超過3.4億客戶資訊外洩的官司。</p> <p>FTC針對2014年到2020年期間，萬豪國際及喜達屋連鎖飯店旗下發生多起大規模資料外洩事故，在今年10月<a href="https://www.ftc.gov/news-events/news/press-releases/2024/10/ftc-takes-action-against-marriott-starwood-over-multiple-data-breaches" target="_blank">提起告訴</a>。其中三起事件影響顧客人數超過3.44億。FTC指控飯店方面謊稱具備合理和適當的資料安全防護，事實上卻沒有足夠的安全措施確保消費者個資，因而導致至少三起個資外洩事故，而讓大量顧客資料，包括護照資料、支付卡號、客戶的忠誠會員編號等落入駭客手上。</p> <p>當時FTC提議包含和解條件的命令，並在FTC委員3:2表決下通過最終版本命令。</p> <p>最終版命令下，FTC要求二家飯店業者建立完整的資安計畫，保護顧客個資、只在合理必要範圍內保留顧客個資，並在網頁上加入連結，以允許顧客要求刪除其電子郵件信箱和忠誠會員帳號相關的資料。萬豪酒店還必須在客戶要求時，檢視並回復遭竊取的忠誠回饋點數。</p> <p>FTC也要求兩家公司不得對如何蒐集、維續、使用、刪除或揭露消費者個資，以及雙方公司如何保護顧客隱私、安全、資料機密與完整性作法提供不實說明。</p> <p>本命令在2024年12月20日生效，要求兩家業者要在180天內完成實作，最後期限為2025年6月17日。</p> <p>今年10月萬豪國際另外還和美國49州及哥倫比亞特區，就另一宗類似官司<a href="https://portal.ct.gov/ag/press-releases/2024-press-releases/multistate-settlement-with-marriott-for-data-breach-of-starwood-guest-reservation-database" target="_blank">達成和解</a>，萬豪為此支付5,200萬美元。FTC沒有要民事賠償的法律權力。</p> <p>萬豪國際在美國及超過130餘國經營超過7,000家酒店，在2016年收購喜達屋後，也需概括承受後者的資安責任。喜達屋飯店集團下有W Hotels、喜來登、威斯汀、艾美等知名飯店。</p> <p>二家飯店發生的資料外洩事件包括：2024年11月到2025年6月，喜達屋旗下54間飯店POS系統遭惡意程式感染<a href="https://www.ithome.com.tw/news/100126" target="_blank">致外洩客戶資料</a>。2018年喜達屋飯店美國客戶預約資料庫又遭惡意軟體存取並加密，<a href="https://www.ithome.com.tw/news/127412" target="_blank">當時估計</a>有5億筆資料外洩，為史上第二大宗。</p> </div></div></div>
2024/12/25 10:44作者林妍溱https://www.ithome.com.tw/news/166663
Perplexity收購Carbon深化AI搜尋技術，解決企業內部資料搜尋難題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia創辦人黃仁勳也愛用的人工智慧搜尋服務Perplexity，<a href="https://www.perplexity.ai/hub/blog/welcoming-carbon-to-the-perplexity-team">宣布收購</a>新創公司Carbon，以強化人工智慧解答引擎的能力。Carbon是一個可將多元外部資料來源，諸如Notion、Google Docs等，與大型語言模型相連結，提供企業級語意搜尋與內容管理的解決方案。</p> <p>Carbon團隊將全員加入Perplexity，協助加快產品開發速度。該項收購將有助於Perplexity將Carbon技術整合至自身技術堆疊，並向用戶提供更高效且個人化的搜尋功能。</p> <p>Carbon的核心技術包括內建的語意搜尋與關鍵字搜尋，結合精細的權重控制與重新排序機制，能夠協助用戶在多元資料來源中快速找到所需要的資訊。而且Carbon提供統一的API介面，支援文件的檢索、管理及更新通知，並能生成嵌入向量以強化資料索引與搜尋效率。這些技術不僅簡化了企業內部資料的整合流程，也大幅提升了搜尋的精準度與效率。</p> <p>對於企業來說，內部資料的分散性與多樣性一直是營運效率提升的一大挑戰，無論是儲存在內部資料庫、雲端空間，還是分布於多個應用程式中的資料，快速且準確地獲取所需資訊，是提高營運效率的關鍵課題。Perplexity表示，藉由整合Carbon的資料連結與搜尋能力，其人工智慧解答引擎將能更有效提供整合多來源資訊的回應，減少傳統人工搜尋的繁瑣步驟。</p> <p>Perplexity在2024年大幅成長，推出諸如Enterprise Pro、Spaces，以及針對內部文件搜尋的多項新功能，並強化了搜尋體驗，涵蓋購物與即時財報分析等應用場景。而此次收購Carbon，Perplexity持續深化搜尋技術，以實現更好的智慧搜尋體驗。</p> </div></div></div>
2024/12/25 09:30作者李建興https://www.ithome.com.tw/news/166657
【資安日報】12月24日，鎖定M365帳號的網釣工具包FlowerStorm現身
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本月初揭露的網釣工具包Rockstar 2FA，資安業者Trustwave指出它的前身是DadSec、Phoenix，但最近有新的調查指出，疑似即將重出江湖的Rockstar 2FA平臺網路犯罪業者，近期改為經營新的網釣工具包租用服務。</p> <p>資安業者Sophos指出，他們留意到駭客一個月前開始關閉Rockstar 2FA部分基礎設施，事隔數週，名為FlowerStorm的工具包開始出現相關活動的跡象。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166651"><strong style="font-size: 22px;">鎖定M365帳號的網釣平臺FlowerStorm崛起，疑似Rockstar 2FA捲土重來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RS_vs_FS_detects.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/RS_vs_FS_detects.jpg" style="width: 300px; float: right;" /></a></p> <p>本月初資安業者Trustwave揭露網釣工具包Rockstar 2FA，賣家以租用型式提供買家運用（Phishing-as-a-Service，PaaS），此工具包主要的目標是使用者的Microsoft 365（M365）帳號，如今有研究人員發現，經營該網釣工具包的賣家疑似另起爐灶，再度開發另一款新的網釣工具包供打手租用。</p> <p>資安業者Sophos指出，從去年11月出現的Rockstar 2FA，在今年11月活動突然變得極為安靜，根據他們的遙測資料，駭客部分的基礎設施出現停擺的情況，相關的網頁無法使用，但這些現象發生的原因並非執法單位圍剿，而是此系統後端出現異常所致。</p> <p>事隔數週，研究人員發現新的網釣工具包租用服務FlowerStorm活動變得頻繁，並發現該網釣工具包與Rockstar 2FA有共通特徵，疑似源自另一個用Telegram機器人運作的網釣工具包租用服務Tycoon，因為兩者之間有許多共通功能。</p> <p><a href="https://www.ithome.com.tw/news/166623"><strong style="font-size: 22px;">資安業者TeamT5解析2024年中國APT攻擊態樣與假訊息潮流</strong></a></p> <p>在2024年，全球資安事件的數量持續攀升，臺灣資安公司TeamT5（杜浦數位安全）技術長李庭閣於「2024 TAS 威脅分析師高峰會」指出，根據他們的觀察，資安攻擊數量較2023年增加的比例達到兩位數，顯示攻擊者活動頻率不斷提高。特別是高活躍度的攻擊族群從去年的60個增至今年的73個，增幅超過20％。這些攻擊族群採用更多元化的攻擊技術與手段，針對不同目標展開更加精密的行動。</p> <p>他指出，2024年是全球的選舉年，從中可以觀察到許多駭客組織利用深偽影片和發布假訊息的方式，企圖左右各國的選舉結果，臺灣也深受假訊息和深偽影片危害。</p> <p>此外，李庭閣表示，該公司也從中國資安公司安洵（i-Soon）外洩的資料中發現，中國APT組織彼此之間有不同的競合關係，但隨著中國經濟開始衰退，過往由政府在背後提供資金支持的APT組織，在缺乏資金的前提下，也將攻擊對象從以往的國家、軍方和大型企業，開始轉向缺乏資安專業和預算的中小企業。</p> <p><a href="https://www.ithome.com.tw/news/166652"><strong style="font-size: 22px;">殭屍網路Mirai變種Hail Cock鎖定Digiever網路視訊監視設備而來，利用RCE漏洞入侵受害設備</strong></a></p> <p>鎖定老舊連網設備的攻擊行動層出不窮，原因是這類設備很久以前就已進入生命週期結束（EOL）的狀態，廠商不會提供更新軟體修補相關漏洞，使得攻擊者有機會持續用來發動攻擊。</p> <p>例如，資安業者Akamai最近揭露的殭屍網路攻擊事故，就是典型的例子。他們發現臺廠永恒數位通訊科技（Digiever）旗下網路視訊監視設備（NVR）DS-2105 Pro遭到鎖定，攻擊者針對一項漏洞而來，藉此散布殭屍網路病毒Mirai的變種Hail Cock，其特別之處在於，駭客運用了ChaCha20、XOR演算法進行處理有效酬載，而能夠迴避資安系統偵測。</p> <p>這起事故的發現，源於Akamai資安事件回應團隊（SIRT），他們在11月中旬察覺針對全球蜜罐陷阱特定URI的攻擊，當時他們初步分析認為，這是一起以Mirai為基礎的惡意軟體攻擊行動，至少從10月開始進行，過程中駭客利用一項尚未登記CVE編號的漏洞。</p> <p><a href="https://www.ithome.com.tw/news/166649"><strong style="font-size: 22px;">鎖定物聯網裝置的惡意軟體BadBox攻擊升溫，19萬臺安卓裝置遭綁架、組成殭屍網路</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/160000 unique IPs.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/160000%20unique%20IPs.png" style="width: 300px; float: right;" /></a>德國聯邦資訊安全辦公室（BSI）於12月12日表示，他們已經利用DNS陷坑（Sinkholing）的手段，中斷惡意程式BadBox的運作，並透露該國至少有3萬臺設備受害，但其他國家是否也出現災情？有研究人員公布新的調查結果。</p> <p>這些遭到BadBox感染的設備形成殭屍網路，主要是被駭客用來用作非法代理伺服器，或是遠端程式碼安裝攻擊、帳號濫用、廣告詐欺。在前一波攻擊行動裡，一度有多達7.4萬臺裝置遭到綁架，在相關活動被阻斷後似乎就銷聲匿跡，然而，實際上並非如此，相關活動不僅持續進行，而且規模更大，殭屍網路的用途也變得更為廣泛。</p> <p>資安業者BitSight指出，他們近期找到BadBox新的基礎設施，進一步進行遙測發現，駭客控制了超過19.2萬臺安卓裝置，而且，這個數字目前仍持續增加當中。值得留意的是，這些遭感染的裝置當中，大部分是研究人員過往不曾遇到的型號，例如Yandex 4K QLED智慧電視、海信（Hisense）智慧型手機T963。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/us-court-finds-spyware-maker-nso-liable-for-whatsapp-hacks/">間諜軟體供應商NSO Group利用WhatsApp零時差漏洞入侵逾1,400臺行動裝置</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/notlockbit-new-cross-platform-ransomware-threatens-windows-and-macos/">跨平臺勒索軟體NotLockBit鎖定Windows、macOS電腦而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.websiteplanet.com/news/builderai-breach-report/">英國AI開發平臺Builder.ai資料庫配置不當，曝露300萬筆記錄資料</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/apache-fixes-remote-code-execution-bypass-in-tomcat-web-server/">Apache基金會修補網頁伺服器元件Tomcat遠端程式碼執行漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://patchstack.com/articles/multiple-critical-vulnerabilities-patched-in-wplms-and-vibebp-plugins/">WordPress外掛WPLMS、VibeBP存在7項重大漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166655"><strong style="font-size: 22px;">中國駭客鎖定電信業發動大規模攻擊，CISA呼籲高風險用戶應改用支援E2EE的加密通訊軟體因應</strong></a></p> <p>今年10月底美國聯邦調查局（FBI）與網路安全暨基礎設施安全局（CISA）證實，中國資助的駭客非法存取美國的電信基礎設施，後續11月中旬他們確認這些駭客竊取用戶的通訊記錄資料，且針對參與政府及政治事務的特定人士，滲透私人通訊內容，究竟這些被鎖定的人們該如何自保？近期CISA給出了解方。</p> <p>12月18日CISA發布行動通訊最佳實作指引（Best Practice Guidance for Mobile Communications），並表明這些指引內容就是針對前述中國駭客相關攻擊行動進行回應，適用於攻擊者可能會高度感到興趣的人士，例如：政府機關的高層。</p> <p>當中最受到關注的部分，就是建議人們改用Signal這類實作全程加密（E2EE）的加密通訊軟體，來對他人進行通訊，CISA提及用戶挑選這類通訊軟體的必要條件，是至少有針對iOS和安卓作業系統實作全程加密，使得用戶能夠在不同平臺之間進行安全的通訊。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166628"><strong>【12月23日】羅馬尼亞駭客組織Diicot再度利用Linux主機挖礦</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166615"><strong>【12月20日】資安業者BeyondTrust傳出部分SaaS服務遭遇重大層級命令注入漏洞攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166590"><strong>【12月19日】木馬程式HiatusRAT鎖定網路攝影機及DVR的已知漏洞發動攻擊</strong></a></p> </div></div></div>
2024/12/24 17:44作者周峻佑https://www.ithome.com.tw/news/166656
鎖定M365帳號的網釣平臺FlowerStorm崛起，疑似Rockstar 2FA捲土重來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本月初資安業者Trustwave揭露<a href="https://www.ithome.com.tw/news/166295">網釣工具包Rockstar 2FA</a>，賣家以租用型式提供買家運用（Phishing-as-a-Service，PaaS），此工具包主要的目標是使用者的Microsoft 365（M365）帳號，如今有研究人員發現，經營該網釣工具包的賣家疑似另起爐灶，再度開發另一款新的網釣工具包供打手租用。</p> <p><a href="https://news.sophos.com/en-us/2024/12/19/phishing-platform-rockstar-2fa-trips-and-flowerstorm-picks-up-the-pieces/">資安業者Sophos指出</a>，從去年11月出現的Rockstar 2FA，在今年11月活動突然變得極為安靜，根據他們的遙測資料，駭客部分的基礎設施出現停擺的情況，相關的網頁無法使用，但這些現象發生的原因並非執法單位圍剿，而是此系統後端出現異常所致。</p> <p>研究人員提及，上述情況發生在Trustwave揭露Rockstar 2FA的兩週前，網釣工具租用服務的基礎設施無法存取，並回傳HTTP 522的錯誤訊息，這意味駭客已經切斷原本使用的Cloudflare內容傳遞網路（CDN）。此外，攻擊者用來進行C2通訊的Telegram頻道，也疑似已經下線。</p> <p>事隔數週，研究人員發現新的網釣工具包租用服務FlowerStorm活動變得頻繁，並發現該網釣工具包與Rockstar 2FA有共通特徵，疑似源自另一個用Telegram機器人運作的網釣工具包租用服務Tycoon，因為兩者之間有許多共通功能。</p> <p>其中一項是兩種網釣工具包都針對M365登入網頁而來，後臺的伺服器使用.ru或.com的網域名稱，但不同之處在於，Rockstar 2FA使用隨機產生的PHP指令碼，而FlowerStorm統一使用next.php。</p> <p>再者，則是釣魚網頁的HTML結構高度雷同，都具備捏造的評論、聲稱由Cloudflare Turnstile提供的資安服務，但兩者使用的誘餌不同：Rockstar 2FA以汽車為誘餌，FlowerStorm的誘餌則以植物為主題。</p> <p>此外，兩個網釣工具包挾持M365帳號的手段一致，都是透過後端系統進行電子郵件、多因素身分驗證（MFA）的流程。</p> <p>另一方面，駭客註冊的網域名稱及代管方式也有顯著重疊，而且，駭客都不慎在操作上出錯，從而曝露後端系統的樣貌。</p> <p>雖然研究人員無法完全確定FlowerStorm就是Rockstar 2FA另起爐灶，但他們可以確定的是，根據駭客使用的套件，駭客很有可能採用相同的工具為基礎進行開發，而之所以具有相似的網域名稱註冊模式，則可能是因為兩組經營團隊彼此協調相關作業。</p> </div></div></div>
2024/12/24 15:13作者周峻佑https://www.ithome.com.tw/news/166651
殭屍網路Mirai變種Hail Cock鎖定Digiever網路視訊監視設備而來，利用RCE漏洞入侵受害設備
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定老舊連網設備的攻擊行動層出不窮，原因是這類設備很久以前就已進入生命週期結束（EOL）的狀態，廠商不會提供更新軟體修補相關漏洞，使得攻擊者有機會持續用來發動攻擊。</p> <p>例如，資安業者Akamai最近揭露的殭屍網路攻擊事故，就是典型的例子。<a href="https://www.akamai.com/blog/security-research/digiever-fix-that-iot-thing">他們發現臺廠永恒數位通訊科技（Digiever）旗下網路視訊監視設備（NVR）DS-2105 Pro遭到鎖定</a>，攻擊者針對一項漏洞而來，藉此散布殭屍網路病毒Mirai的變種Hail Cock，其特別之處在於，駭客運用了ChaCha20、XOR演算法進行處理有效酬載，而能夠迴避資安系統偵測。</p> <p>這起事故的發現，源於Akamai資安事件回應團隊（SIRT），他們在11月中旬察覺針對全球蜜罐陷阱特定URI的攻擊，當時他們初步分析認為，這是一起以Mirai為基礎的惡意軟體攻擊行動，至少從10月開始進行，過程中駭客利用一項尚未登記CVE編號的漏洞。</p> <p>而對於這項漏洞，Akamai提到，他們並非是最早發現這項漏洞的人，而是另一家資安業者TXOne Networks的研究人員Ta-Lun Yen，他特別提及這項弱點可被攻擊者用於遠端執行任意程式碼（RCE），影響DS-2105 Pro及多款DVR設備。</p> <p>Akamai研究人員進一步調查，駭客稱呼他們的殭屍網路叫做Hail Cock Botnet，並確認攻擊者很有可能從9月就開始活動，並專門針對物聯網裝置漏洞而來，值得留意的是，攻擊者不僅鎖定DS-2105 Pro，也透過CVE-2023-1389漏洞攻擊網路設備商TP-Link的產品。</p> <p>除了上述兩款設備，研究人員還提到其他兩款攻擊者鎖定的目標產品，分別是騰達（Tenda）路由器HG6，以及立陶宛物聯網設備業者Teltonika旗下的路由器產品線RUT9XX。</p> <p>攻擊通常從駭客發出HTTP POST請求開始，從而於目標設備植入殭屍網路病毒，一旦他們找到尚未修補韌體的設備，就有機會利用漏洞進行控制。</p> <p>接著，攻擊者就會透過cron排定惡意程式執行的時間，以便持續在受害裝置活動，並從特定網域下載其他有效酬載。研究人員提及，攻擊者使用動態的C2，因此即使基礎架構產生變化，也能確保進行相同的作業流程。</p> </div></div></div>
2024/12/24 16:41作者周峻佑https://www.ithome.com.tw/news/166652
中國駭客鎖定電信業發動大規模攻擊，CISA呼籲高風險用戶應改用支援E2EE的加密通訊軟體因應
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年10月底美國聯邦調查局（FBI）與網路安全暨基礎設施安全局（CISA）證實，<a href="https://www.ithome.com.tw/news/165750">中國資助的駭客非法存取美國的電信基礎設施</a>，後續11月中旬<a href="https://www.ithome.com.tw/news/166051">他們確認這些駭客竊取用戶的通訊記錄資料</a>，且針對參與政府及政治事務的特定人士，滲透私人通訊內容，究竟這些人士該如何自保？近期CISA給出了解方。</p> <p>12月18日CISA<a href="https://www.cisa.gov/news-events/alerts/2024/12/18/cisa-releases-best-practice-guidance-mobile-communications">發布行動通訊最佳實作指引（Best Practice Guidance for Mobile Communications）</a>，並表明這些指引內容就是針對前述中國駭客相關攻擊行動進行回應，適用於攻擊者可能會高度感到興趣的人士，例如：政府機關的高層。</p> <p>這些實作項目最受到關注的部分，就是改用如Signal等實作全程加密（E2EE）的加密通訊軟體，來對他人進行通訊，CISA提及用戶挑選這類通訊軟體的必要條件，是至少有針對iOS和安卓作業系統實作全程加密，使得用戶能夠在不同平臺之間進行安全的通訊。</p> <p>除此之外，他們也呼籲這些人士應採用FIDO身分驗證機制、密碼管理工具，並為手機號碼設置PIN碼，再者，使用者也要棄用透過簡訊為基礎的多因素驗證（MFA），並尋求其他替代方法。</p> <p>特別的是，CISA特別提及不要使用個人版VPN服務，原因是有可能增加攻擊面。此外，他們也針對iOS、安卓用戶，提出其他建議的防護措施。</p> </div></div></div>
2024/12/24 17:25作者周峻佑https://www.ithome.com.tw/news/166655
Fortinet揭露Zebo與Cometlogger兩款可竊取憑證的惡意Python套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Fortinet的安全研究團隊近日<a href="https://www.fortinet.com/blog/threat-research/analyzing-malicious-intent-in-python-code">發現</a>兩款隱藏惡意行為的Python套件，分別為Zebo-0.1.0與Cometlogger-0.1。這兩個套件表面看起來只是普通的開源程式碼，實則內含多種惡意功能，突顯了開源軟體供應鏈攻擊日益增加的資安威脅。</p> <p>研究人員指出，Zebo-0.1.0的惡意功能包括鍵盤記錄、螢幕擷取、資料外洩與持久性機制設置。該惡意套件利用了如pynput與ImageGrab等合法Python函式庫，結合混淆技術來隱藏其真正意圖。Zebo程式會在用戶的電腦上記錄所有鍵盤輸入並定期截取螢幕畫面，這些資料隨後被上傳至遠端伺服器。值得注意的是，Zebo藉由設置系統啟動時自動執行機制來實現持久性，確保惡意行為能夠持續執行。</p> <p>另一款惡意套件Cometlogger-0.1則更加複雜且危險，其功能涵蓋動態檔案修改、Webhook注入、資訊竊取與反虛擬機器檢測等。Cometlogger會誘導使用者輸入Webhook URL，並將其嵌入到多個程式檔案中，以進一步將敏感資訊如密碼、Cookie與瀏覽歷史傳送至攻擊者控制的伺服器。Cometlogger還會偵測虛擬機器環境，一旦發現執行環境為虛擬化系統，Cometlogger程式會自動終止，以迴避安全分析。</p> <p>Zebo與Cometlogger會衝擊開發者使用者與企業資安，受感染的系統可能面臨敏感資訊洩漏、憑證竊取以及更廣泛的安全漏洞問題。Fortinet研究人員強調，所有能夠安裝PyPI套件的平臺，都可能受到這些惡意套件影響，因此企業需要加強對第三方套件的審查與管理，提高對開源套件的警覺性，避免執行未經驗證的程式碼。</p> </div></div></div>
2024/12/24 16:47作者李建興https://www.ithome.com.tw/news/166653
鎖定物聯網裝置的惡意軟體BadBox攻擊升溫，19萬臺安卓裝置遭綁架、組成殭屍網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>德國聯邦資訊安全辦公室（BSI）於12月12日表示，<a href="https://www.ithome.com.tw/news/166548">他們已經利用DNS陷坑（Sinkholing）的手段</a>，中斷惡意程式BadBox的運作，並透露該國至少有3萬臺設備受害，但其他國家是否也出現災情？有研究人員公布新的調查結果。</p> <p>這些遭到BadBox感染的設備形成殭屍網路，主要是被駭客用來用作非法代理伺服器，或是遠端程式碼安裝攻擊、帳號濫用、廣告詐欺。在前一波攻擊行動裡，一度有多達7.4萬臺裝置遭到綁架，在相關活動被阻斷後似乎就銷聲匿跡，然而，實際上並非如此，相關活動不僅持續進行，而且規模更大，殭屍網路的用途也變得更為廣泛。</p> <p>資安業者BitSight指出，<a href="https://www.bitsight.com/blog/badbox-botnet-back">他們近期找到BadBox新的基礎設施</a>，進一步進行遙測發現，駭客控制了超過19.2萬臺安卓裝置，而且，這個數字目前仍持續增加當中。</p> <p>對於這波攻擊受災較嚴重的國家，主要是俄羅斯和中國，但印度、白俄羅斯、巴西、烏克蘭也有零星遭到感染的情況。</p> <p>值得留意的是，這些遭感染的裝置當中，大部分是研究人員過往不曾遇到的型號，例如Yandex 4K QLED智慧電視、海信（Hisense）智慧型手機T963。</p> <p>研究人員提及，有別於過往攻擊行動當中，駭客都是針對主打低價的白牌電視盒設備，這次顯然不盡如此。他們提及Yandex是俄羅斯的大型網路服務公司，而且，4K QLED的連網電視通常並不便宜，但這次受害的電視數量龐大，它們來自10萬個IP位址，幾乎都是針對俄羅斯而來。</p> <p>另一主要攻擊目標是中國，駭客主要針對T963而來。而這些Yandex連網電視、海信智慧型手機與C2通訊的流量，占全部的98%。</p> </div></div></div>
2024/12/24 12:52作者周峻佑https://www.ithome.com.tw/news/166649
X調高Premium+會員方案，臺灣方案漲幅達45%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>X上周<a href="https://help.x.com/en/premium-plus-price-update" target="_blank">宣布</a>Premium+訂閱方案將調高訂閱價，新用戶立即適用新價格。其中臺灣用戶要多付45%的費用。</p> <p>X Premium+訂閱價已在2024年12月21日，由之前的每月16美元調漲為22美元。年費則由168美元調為229美元，漲幅達37.5%。本次調整影響最高價的Premium+，其餘的暫不受影響。</p> <p>新加入的用戶現在就得適用新費率。現有用戶如果下一期是在2025年1月20日前開始，可以之前價格續約，其餘現有用戶也需適用新價格。</p> <p>Premium+提供無廣告服務、支援服務，進階功能如即時網頁搜尋Radar、一天可提供50次問答的聊天機器人Grok AI，以及最新模型如Aurora、Grok 2等。X並表示，付費可用於回饋平臺上的創作者以支持他們提供更高質內容。</p> <p>這波漲價也影響其他國家。臺灣部分，Premium+將由490元大漲為715元臺幣，漲幅達45%。次一級的Premium方案訂閱費維持245元臺幣。</p> <p>付費方案最大好處是Grok AI，不過本月初X也<a href="https://www.ithome.com.tw/news/166406" target="_blank">宣布</a>其Grok AI聊天機器人以有限制容量提供給免費用戶。</p> </div></div></div>
2024/12/24 12:35作者林妍溱https://www.ithome.com.tw/news/166648
印表機市場重整全錄將以15億美元收購Lexmark
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全錄（Xerox）控股公司昨（23）日<a href="https://www.news.xerox.com/news/xerox-to-acquire-lexmark" target="_blank">宣布</a>將以15億美元收購利盟（Lexmark）以強化印表機產品及服務陣容，以切入大型列印市場。</p> <p>Lexmark原為美國公司，2016年由中國納思達（Ninestar Corporation）、太盟亞洲資本（PAG Asia Capital）、盛大集團（SHANDA Shoda Investment Centre）持有。全錄執行長Steve Bandrowczak表示，這項交易將強化其核心列印產品，打造更多元的列印及代管列印服務以滿足客戶混合式辦公作業的需求。本合併案預計2年完成。</p> <p>根據Global Market Insights<a href="https://www.gminsights.com/industry-analysis/printer-market/market-share" target="_blank">估計</a>，現有全球印表機市場前三大分別為HP、Epson和Canon，三家公司合計超過60%以上市占，除了全錄、Lexmark以外，其他業者還有Ricoh、Brothers、Kyocera、Sharp、Konica Minolta、三星等，競爭十分激烈。目前總部位於肯塔基州萊辛頓市（Lexington）的Lexmark為彩色雷射印表機及多功能事務機的主要供應商。</p> <p>本交易可整併雙方產品線、通路、生產設備及市場。Lexmark的列印、多功能事務機與IoT方案，可結合全錄ConnectKey和遠距列印服務Print and Digital Services。</p> <p>此外，Lexmark是A4彩色印表機及耗材主要供應商，並可望擴大A3設備市場占有率，因此本案也將能協助全錄強化產品線，打入成長中的大型列印市場區隔、推展數位化及IT解決方案，並且擴大全球通路及區域，包括全錄過去比重較低的亞太市場。</p> <p>Lexmark的收購將讓新公司客戶突破20萬家，遍及170多個國家，並在16國家擁有125座製造及配銷設施。最重要的是兩公司分別在入門、中型大型列印市場都躋身前五大，也是代管列印服務市場的主要廠商。</p> <p>最後，全錄預期本交易可藉由引入現金流，加速實現「營收穩定」（意即減輕債務）及兩位數營運收益的目標。依據全錄9月公布的<a href="https://companiesmarketcap.com/xerox/total-debt/" target="_blank">財報</a>，公司債務達32.7億美元，該公司預期本案具有2億美元的成本綜效。</p> </div></div></div>
2024/12/24 10:02作者林妍溱https://www.ithome.com.tw/news/166644
ChatGPT Plus用戶聖誕假期可無上限使用Sora
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI聖誕節新品消息12連發活動已經在上周結束，不過OpenAI卻意外多給了一個好康，允許ChatGPT Plus方案訂閱戶在聖誕假期間Sora用到飽。</p> <p>OpenAI執行長<a href="https://x.com/sama/status/1870524745302839559" target="_blank">Sam Altman說</a>，由於時值聖誕假期，公司的GPU用量沒那麼緊張，因此開放所有Plus用戶在假期間無限存取Sora，歡迎大家用它來生成影片。他稍後盛讚已有許多精彩的影片被集結到精選（featured）區。</p> <p>這對Plus用戶來說可謂大禮。10天前OpenAI<a href="https://www.ithome.com.tw/news/166426" target="_blank">宣布</a>高畫質影片生成模型僅提供給月費分別為20美元和200美元的ChatGPT Plus和Pro用戶，且視用戶擁有的點數（credits）而定，只能用它來產生5到20秒的影片。這波好康中，Plus用戶能以Sora生成多長的影片不得而知。</p> <p>OpenAI這波13消息連發的活動已經成功帶動AI話題，以及媒體曝光度競賽。因應Sora、ChatGPT Search、OpenAI o3，其他大廠為免落後，相繼端出新菜色。Google公布了影片生成Veo 2、Gemini加入<a href="https://www.ithome.com.tw/news/166493" target="_blank">Deep Research</a>、<a href="https://www.ithome.com.tw/tags/gemini-20-flash" target="_blank">Gemini 2.0</a>模型及Gemini Flash Thinking Experimental、<a href="https://www.ithome.com.tw/news/166559" target="_blank">Gemini Code Assist</a>。其他業者方面，Meta<a href="https://www.ithome.com.tw/news/166407" target="_blank">宣布</a>了輕巧版圖片生成模型Llama 3.3、xAI開放Grok AI給免費版用戶，微軟則公布30億參數的<a href="https://www.ithome.com.tw/news/166508" target="_blank">Phi-4</a>。</p> </div></div></div>
2024/12/24 10:10作者林妍溱https://www.ithome.com.tw/news/166646
Meta BLT語言模型架構突破Tokenization技術極限，推理更快更準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta新推出的BLT<a href="https://arxiv.org/html/2412.09871v1">（Byte Latent Transformer）</a>架構，重新定義了大型語言模型的運算方式，使得性能以及效率都超越目前主流的分詞（Tokenization）模型。該項新技術打破長期以來分詞模型在大型語言模型訓練中的限制，直接在位元組層級上進行運算，並展現出了在推理效能和模型強健性上的優勢。</p> <p>分詞是大型語言模型的技術重點之一，分詞模型會將原始字串分解並壓縮成固定的字彙單元，以減少處理長序列的運算成本。但是這種方法的限制，隨著語言模型的發展日益明顯，首先，分詞過程中使用的壓縮演算法通常帶有語言和資料偏差，對非主流語言和多語言環境支援不足。其次是分詞模型對輸入雜訊的容忍度較低，特別是處理非正規語料時更容易出錯。此外，由於分詞具靜態性，無法根據資料密度靈活分配運算資源，導致資源的分配效率通常與資料的複雜度不一致。</p> <p>為解決傳統分詞模型的限制，BLT架構直接從原始位元組資料中學習。這種架構不再仰賴固定的分詞單元，而是直接從原始位元組資料中學習，並透過動態分組機制，將位元組根據下一步預測的資料複雜度，分組為大小不一的補釘（Patch），低複雜度資料位元組可被合併成較長的補釘，減少需要處理的補釘數量，高複雜度資料補釘則被分割得更細，讓模型能專注於處理資訊密集的部分。</p> <p>而這些補釘在保持資料完整性的同時，能有效提高模型對資訊密集區域的運算資源分配效率。在實際測試中，BLT展現出比Llama 3等分詞模型更高的推理效率，並能在相同的運算資源下同時擴大模型規模與補釘大小。</p> <p>這種新的設計不僅提高模型的運算效率，也帶來了性能上的突破，Meta研究團隊表示，BLT模型在處理輸入雜訊時，比分詞模型更強健，並且在語言學上的細微特徵理解，像是字形結構和拼音規則等方面表現得更好。BLT也能克服低資源語言翻譯任務上的劣勢，進一步擴展應用場景。</p> <p>BLT架構由三個核心模組構成，一個是輕量本地編碼器，負責將位元組轉換為補釘的表示形式，另一個是處理補釘的大型Latent Transformer，第三個模組則是將補釘轉回位元組的解碼器。這種設計讓BLT模型能夠根據資料需求靈活調整，大幅降低不必要的運算成本。實驗結果顯示，BLT的推理效率較傳統分詞模型提升達50％。</p> </div></div></div>
2024/12/24 08:43作者李建興https://www.ithome.com.tw/news/166638
【資安日報】12月23日，羅馬尼亞駭客組織Diicot再度利用Linux主機挖礦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客針對Linux主機從事挖礦攻擊的情況，不時有研究人員揭露相關事故，如今在羅馬尼亞駭客Diicot（或稱Mexals）的攻擊行動裡，出現過往極為罕見的手法。</p> <p>資安業者Wiz指出，這些駭客一改過往的作風，他們不再眷戀雲端環境，而是鎖定企業內部環境的Linux伺服器而來，目的是為了避免攻擊行動東窗事發。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166626"><strong style="font-size: 22px;">羅馬尼亞駭客組織Diicot鎖定Linux主機而來，企圖散布挖礦軟體</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1734455407-diicot-diagram.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1734455407-diicot-diagram.png" style="width: 300px; float: right;" /></a>最近幾年專門利用Linux伺服器從事挖礦攻擊的事故陸續傳出，其中一個專門從事這類攻擊行動的羅馬尼亞駭客Diicot（或稱Mexals），有研究人員揭露最新一波的攻擊行動。</p> <p>資安業者Wiz指出，這些駭客通常會利用自我散布工具、自製的UPX打包工具，透過網路掃描尋找下手目標，並植入挖礦軟體，但在他們最新一波的攻擊行動裡，駭客運用損壞的檢查碼（checksum）竄改UPX檔案標頭，以防正常的解包工具能夠進行拆解，而且，這次駭客使用了進階的惡意酬載與行為來從事相關攻擊。</p> <p>研究人員舉出其中一種手法為例，駭客會根據Linux作業系統的版本，來偵測惡意軟體是在雲端或是內部網路環境執行，一旦發現是雲端環境，則惡意軟體就會進行自我散布，直到是內部網路環境的Linux主機，才會執行部署挖礦軟體有效酬載的工作。駭客這麼做的目的，很有可能就是根據威脅情資曝露的蹤跡進行調整，以免相關攻擊行動曝光。</p> <p><a href="https://www.ithome.com.tw/news/166625"><strong style="font-size: 22px;">駭客UAC-0125濫用Cloudflare Workers散布惡意程式，目的是攻佔烏克蘭軍隊個人電腦</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/UAC-0125-1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/UAC-0125-1.jpg" style="width: 300px; float: right;" /></a></p> <p>烏克蘭戰爭持續至今接近3年，為提升部隊呈交報告的效率，今年8月烏克蘭國防部發布名為Army+的行動應用程式，標榜能讓軍人使用安卓及蘋果的行動裝置快速呈交11種類型的報告，減輕他們在文書作業上的負擔，然而敵對陣營的駭客也趁機散布惡意程式。</p> <p>12月18日烏克蘭電腦網路危機處理暨協調中心（CERT-UA）提出警告，他們掌握駭客組織UAC-0125架設許多仿冒Army+應用程式的網站，濫用無伺服器運算服務Cloudflare Workers，意圖對烏克蘭軍人散布惡意程式。</p> <p>究竟駭客如何引誘烏克蘭軍人上門？目前仍不清楚，但CERT-UA指出，發起這波攻擊的駭客組織UAC-0125，與他們稱為UAC-0002的俄羅斯駭客組織Sandworm（也稱為APT44、Voodoo Bear）之間，存在某種關聯。CERT-UA提及，這些駭客於今年上半，就曾假借提供微軟Office軟體安裝檔案發動攻擊。</p> <p><a href="https://www.ithome.com.tw/news/166594"><strong style="font-size: 22px;">Juniper針對Session Smart Router提出警告，駭客利用預設帳密散布殭屍網路病毒Mirai</strong></a></p> <p>12月17日網路設備業者Juniper Networks發布資安公告，指出他們在上週三（11日）接獲用戶通報，部分Session Smart Router（SSR）路由器設備出現可疑活動，這些遭感染的系統被植入殭屍網路病毒Mirai，然後攻擊者將其用於對其他設備發動DDoS攻擊。</p> <p>值得留意的是，他們提及這些受害設備存在共通點，那就是都使用預設的密碼，因此，若是使用者並未遵循最佳實務進行配置，並延用預設密碼，就有可能成為這波攻擊事故的受害者。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/12/rspack-npm-packages-compromised-with.html">Rspack旗下NPM套件遭到供應鏈攻擊，開發人員電腦恐被植入挖礦軟體</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/12/lazarus-group-spotted-targeting-nuclear.html">核能工程師遭北韓駭客Lazarus鎖定，面臨惡意軟體CookiePlus攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/172191/malware/190000-android-devices-infected-by-badbox.html">鎖定物聯網裝置的惡意軟體BadBox攻擊升溫，有人綁架19萬臺安卓裝置組成殭屍網路</a></strong></p> <p><strong style="font-size: 20px;"><a href="https://securityaffairs.com/172191/malware/190000-android-devices-infected-by-badbox.html"></a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/russian-hackers-use-rdp-proxies-to-steal-data-in-mitm-attacks/">俄羅斯駭客APT29架設RDP代理伺服器從事中間人攻擊，竊取帳密並部署惡意軟體</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166622"><strong style="font-size: 22px;">Sophos修補兩項防火牆重大漏洞，若不處理就有可能遭到SQL注入攻擊、曝露系統特權管理員帳號</strong></a></p> <p>12月20日資安業者Sophos發布資安公告，公布防火牆漏洞CVE-2024-12727、CVE-2024-12728、CVE-2024-12729，並指出這些漏洞影響執行Sophos Firewall 21以前的版本，他們已推送相關修補程式，呼籲IT人員儘速檢查系統是否已套用相關更新。</p> <p>這些漏洞分別涉及預先身分驗證SQL注入、弱密碼，以及後身分驗證程式碼注入，CVSS風險介於8.8至9.8。其中又以重大層級的CVE-2024-12727、CVE-2024-12728特別值得留意。</p> <p>CVE-2024-12727存在於電子郵件防護功能，為預先身分驗證SQL注入弱點，若是遭到利用，攻擊者就有可能利用防火牆的回報資料庫遠端執行任意程式碼（RCE），CVSS風險為9.8分。另一個被列為重大層級的漏洞為CVE-2024-12728，涉及高可用性叢集初始化過程當中，系統推薦用戶的非隨機SSH登入密碼短句（passphrase），而這個密碼短句在HA建置流程完成後仍然有效，使得防火牆在啟用SSH連線的狀態下，就有能可能曝露系統特權系統管理員帳號，CVSS風險為9.8。</p> <p><a href="https://www.ithome.com.tw/news/166613"><strong style="font-size: 22px;">MinIO修補物件儲存平臺弱點，包括允許任意使用者獲得完全管理權限的重大漏洞</strong></a></p> <p>憑藉高效能、高擴展性與簡易特色，近來在物件儲存領域聲名鵲起的MinIO，於12月16日通報1個重大漏洞CVE-2024-55949，並釋出修補版本。</p> <p>MinIO是一款相容於S3協定的物件儲存軟體平臺，能以開源的免費形式（基於GNU AGPLv3授權），與付費的商用授權形式使用。</p> <p>而日前通報的CVE-2024-55949則是評分達到9.3分的重大漏洞，這個漏洞是IAM身分存取識別匯入API（IAM import API）所導致，由於缺少權限檢查，攻擊者可以藉由建立iam-info.zip檔案，然後透過mc admin cluster iam import指令匯入該檔案，從而修改自身在MinIO平臺上的權限，進而還能取得完全的管理權限，控制整個MinIO平臺的管理與部署。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fortinet-warns-of-critical-fortiwlm-bug-giving-hackers-admin-privileges/">Fortinet無線網路管理系統FortiWLM存在重大漏洞，若不處理攻擊者有機會接管設備</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166615"><strong>【12月20日】資安業者BeyondTrust傳出部分SaaS服務遭遇重大層級命令注入漏洞攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166590"><strong>【12月19日】木馬程式HiatusRAT鎖定網路攝影機及DVR的已知漏洞發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166563"><strong>【12月18日】中國駭客組織Tidrone利用ERP軟體攻擊韓國企業</strong></a></p> </div></div></div>
2024/12/23 17:52作者周峻佑https://www.ithome.com.tw/news/166628
駭客UAC-0125濫用Cloudflare Workers散布惡意程式，目的是攻佔烏克蘭軍隊個人電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>烏克蘭戰爭持續至今接近3年，為提升部隊呈交報告的效率，<a href="https://mod.gov.ua/en/news/army-the-ministry-of-defence-introduced-a-novel-mobile-app">今年8月烏克蘭國防部發布名為Army+的行動應用程式</a>，標榜能讓軍人使用安卓及蘋果的行動裝置快速呈交11種類型的報告，減輕他們在文書作業上的負擔，然而敵對陣營的駭客也趁機散布惡意程式。</p> <p>12月18日烏克蘭電腦網路危機處理暨協調中心（CERT-UA）提出警告，<a href="https://cert.gov.ua/article/6281701">他們掌握駭客組織UAC-0125架設許多仿冒Army+應用程式的網站</a>，濫用無伺服器運算服務Cloudflare Workers，意圖對烏克蘭軍人散布惡意程式。</p> <p>若是軍人存取這些網站，他們將會下載名為ArmyPlusInstaller-v.0.10.23722.exe的檔案。經過CERT-UA的分析，他們研判此檔案是透過安裝系統NSIS（Nullsoft Scriptable Install System）打包而成，假若受害者執行，電腦就會顯示誘餌檔案，並執行PowerShell指令碼，攻擊者這麼做的目的是目的是部署OpenSSH元件並產生RSA金鑰，然後透過Tor網路與駭客控制的伺服器連線，最終讓攻擊者能遠端控制受害電腦。</p> <p>若是找到感興趣的目標，這些駭客將會利用受害電腦做為跳板，進一步向組織的資訊系統展開攻擊。</p> <p>究竟駭客如何引誘烏克蘭軍人上門？目前仍不清楚，但CERT-UA指出，發起這波攻擊的駭客組織UAC-0125，與他們稱為UAC-0002的俄羅斯駭客組織Sandworm（也稱為APT44、Voodoo Bear）之間，存在某種關聯。CERT-UA提及，這些駭客於今年上半，就曾假借提供微軟Office軟體安裝檔案發動攻擊。</p> </div></div></div>
2024/12/23 15:00作者周峻佑https://www.ithome.com.tw/news/166625
羅馬尼亞駭客組織Diicot鎖定Linux主機而來，企圖散布挖礦軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾年專門利用Linux伺服器從事挖礦攻擊的事故陸續傳出，其中一個專門從事這類攻擊行動的羅馬尼亞駭客Diicot（或稱Mexals），有研究人員揭露最新一波的攻擊行動。</p> <p>資安業者Wiz指出，這些駭客通常會利用自我散布工具、自製的UPX打包工具，透過網路掃描尋找下手目標，並植入挖礦軟體，但<a href="https://www.wiz.io/blog/diicot-threat-group-malware-campaign">在他們最新一波的攻擊行動</a>裡，駭客運用損壞的檢查碼（checksum）竄改UPX檔案標頭，以防正常的解包工具能夠進行拆解，而且，這次駭客使用了進階的惡意酬載與行為來從事相關攻擊。</p> <p>研究人員舉出其中一種手法為例，駭客會根據Linux作業系統的版本，來偵測惡意軟體是在雲端或是內部網路環境執行，一旦發現是雲端環境，則惡意軟體就會進行自我散布，直到是內部網路環境的Linux主機，才會執行部署挖礦軟體有效酬載的工作。駭客這麼做的目的，很有可能就是根據威脅情資曝露的蹤跡進行調整，以免相關攻擊行動曝光。</p> <p>根據相關調查結果，這波攻擊行動與過往有許多不同之處，首先，駭客改以Go語言打造相關工具，並透過名為Update的有效酬載做為核心元件，而能在受害主機持續運作，並進行自我散播。</p> <p>而對於基礎設施架構的部分，也出現不少變化，駭客不光使用新的伺服器、網域名稱、加密貨幣錢包，並開始採用名為Zephyr Protocol的去中心化金融（DeFi）穩定幣通訊協定進行挖礦。附帶一提的是，這些駭客開始棄用以即時通訊軟體Discord為基礎的C2架構，但原因為何研究人員並未進一步說明。</p> <p>根據駭客使用的加密貨幣錢包進行追蹤，不法所得超過1.6萬美元，但由於這些駭客已逐步轉向使用Zephyr Protocol，相關金流將變得更加難以追蹤，因此研究人員認為，這些駭客實際挖得的加密貨幣價值，應遠高於此。</p> </div></div></div>
2024/12/23 15:59作者周峻佑https://www.ithome.com.tw/news/166626
【資安週報】1216~1220，美國傳出正評估是否禁用TP-Link網路設備，起因與中國駭客經營的殭屍網路Quad7有關
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>關於12月第3個星期的重要資安新聞，美國傳出打算禁用TP-Link路由器是一大焦點，外界認為與中國駭客經營的殭屍網路Quad7有關，促使美國政府進一步探討相關風險，也突顯邊緣裝置安全是持續備受關注的重要議題。另一重要消息在於，中國駭客組織Salt Typhoon滲透美國電信公司的後續消息不斷，如今美政府積極倡導E2EE全程加密重要性。</p> <p>在威脅態勢上，這一星期有供應鏈攻擊、密碼潑灑攻擊的兩則重要新聞，一是今年曾攻擊臺灣無人機廠商的中國駭客組織Tidrone，韓國資安業者發現該組織也針對當地的ERP軟體下手來入侵韓國企業；另一是Citrix示警指出駭客正針對其設備發動攻擊，特殊之處是針對不同帳號使用一組數量不多的常見密碼來攻擊，以規避系統判定異常，又或是以大量嘗試登入方式來癱瘓系統資源。</p> <p>●中國駭客TIDrone對韓國企業發動攻擊，使用兩種手法入侵受害公司，其中一種是供應鏈攻擊手法，入侵當地ERP軟體再入侵目標企業。<br /> ●德國聯邦資訊安全辦公室（BSI）與Citrix警告，發現攻擊者鎖定Citrix NetScaler設備發動暴力破解的攻擊行動。<br /> ●中國資安業者奇安信發現中國駭客組織APT41正打造PHP木馬程式Glutton，受害者位於中美兩地。<br /> ●泰國政府官員遭鎖定，資安業者揭露攻擊者使用的後門程式Yokai。<br /> ●超過39萬筆WordPress帳密遭竊，資安業者指出攻擊者利用網釣與夾帶後門程式的身分檢查器進行滲透。</p> <p>還有兩則針對水利設施、視訊鏡頭及DVR設備的資安預警，同樣值得大家留意，一是美國環境保護局（EPA）與CISA呼籲水利設施與廢水處理業者，應儘速處理曝露在網際網路的HMI，避免攻擊者有可乘之機；一是美FBI針對最新一波木馬程式HiatusRAT的攻擊行動示警，該組織去年曾鎖定臺灣與美國，今年鎖定更多國家，包括澳洲、加拿大、紐西蘭、英國。</p> <p>在漏洞消息方面，這一星期有6大漏洞利用狀況，包括BeyondTrust、Celo的產品遭零時差漏洞利用，微軟、Adobe今年的已知漏洞，以及京晨科與Reolink的NVR與IP Cam老舊漏洞遭利用。</p> <p>●BeyondTrust修補旗下以遭利用的遠端支援系統、特權遠端存取系統的零時差漏洞CVE-2024-12356，已發現攻擊者用於入侵其SaaS環境用戶，兩日後再發現攻擊者還利用另一零時差漏洞CVE-2024-12686。<br /> ●Celo修補三款MFT檔案傳輸系統的零時差漏洞CVE-2024-55956，有資安業者指出12月初已有利用跡象，勒索軟體組織Cl0p宣稱是其所為。<br /> ●微軟在6月修補Windows Kernel Mode的漏洞CVE-2024-35250，以及Adobe在3月修補ColdFusion的漏洞CVE-2024-20767，如今發現針對未修補用戶的攻擊。<br /> ●臺灣京晨科技（NUUO）網路監控主機NVRMini2的老舊漏洞CVE-2018-14933、CVE-2022-23227，以及中國Reolink多款IP攝影機的老舊漏洞CVE-2019-11001、CVE-2021-40407，近日美國CISA將之列入已知漏洞利用清單。</p> <p>還有一個重大漏洞修補需要重視，那就是12月中旬修補的Apache Struts漏洞CVE-2024-53677，有資安研究機構警告發現有攻擊者嘗試掃描這項漏洞的跡象。</p> <p>至於資安事件方面，國內有兩家上市櫃公司發布資安事件重訊，巧合的是，12月18日美國政府才向使用京晨科技產品的企業警告，發現攻擊者鎖定其產品已知漏洞進行攻擊，19日京晨科技又因自家企業遭駭客攻擊而發布資安重訊。</p> <p>●上市半導體業盛群的MCU創意競賽網站遭受駭客網路攻擊<br /> ●上櫃光電業京晨科有部分資訊系統遭受駭客攻擊<br /> ●日本知名影音共享平臺Niconico、角川書店半年前遭駭，如今傳出角川集團支付勒索集團300萬美元的消息。</p> <p>在資安防禦上，隨著2025即將來到，有多家市場分析機構與廠商都對未來的資安態勢，提出預警，例如，在新的PQC加密逐漸普及下，網路安全產品也要應對隱藏於加密流量的網路威脅；生成式AI的資安威脅已探討多時，如今還強調企業須重視建立AI BOM清單來強化資安防護力；還有中國國家級駭客轉向勒索軟體維生的全新態勢，提醒中小企業將面對更嚴峻的網路威脅。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/166536"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月16日】勒索軟體駭客Clop聲稱對Cleo檔案共享系統零時差漏洞發動攻擊</span></strong></a></h3> <p>一週前資安業者Huntress提出警告，指出有人針對Cleo旗下MFT檔案傳輸系統進行大規模攻擊，當中利用繞過CVE-2024-50623的零時差漏洞修補，本週出現了新的說法。</p> <p>根據資安新聞網站Bleeping Computer的一篇報導，勒索軟體駭客Clop表示這起事故是他們所為，但並未透露何時開始發動攻擊，以及有多少企業組織受害的情況，這些說法的真實性有待查證。</p> <h3><a href="https://www.ithome.com.tw/news/166550"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月17日】學術研究員與資安人員遭到鎖定，駭客竊得逾39萬筆WordPress帳密</span></strong></a></h3> <p>握有各式權限並經常會經手敏感資訊的資安從業人員，已成為最近幾年駭客下手的主要目標，最近一波大規模攻擊行動當中，有人藉此對資安人員散布惡意軟體，並竊得大批WordPress帳密。</p> <p>值得留意的是，攻擊者發起攻擊的管道，主要可分成兩種，一種針對資安研究人員而來，假借提供已知漏洞的概念性驗證程式碼，來讓他們中招；另一種則是鎖定學術研究機構，佯稱提供處理器漏洞緩解工具來進行。</p> <p><a href="https://www.ithome.com.tw/news/166563"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月18日】中國駭客組織Tidrone利用ERP軟體攻擊韓國企業</span></strong></a></p> <p>今年9月資安業者趨勢科技揭露的中國駭客TIDrone引起高度關注，原因是這些駭客不僅針對臺灣，還是專門對軍事、衛星工業，以及無人機製造商而來，當時他們特別提及這些駭客的攻擊範圍並非只有臺灣，如今有其他研究人員證實這樣的說法。</p> <p>資安業者AhnLab揭露發生在韓國的攻擊行動，並指出這些駭客從今年初就開始從事相關活動，但到了7月，他們改變手法，鎖定特定廠牌的ERP軟體用戶下手。</p> <h3><a href="https://www.ithome.com.tw/news/166590"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月19日】木馬程式HiatusRAT鎖定網路攝影機及DVR的已知漏洞發動攻擊</span></strong></a></h3> <p>鎖定物聯網裝置的攻擊行動日益頻繁，相關惡意軟體的攻擊行動，也引起政府單位的高度重視，呼籲用戶要儘速採取行動因應。</p> <p>例如，美國聯邦調查局（FBI）針對惡意軟體HiatusRAT的攻擊行動提出警告，值得留意的是，駭客不光利用2017至2020年發現的已知漏洞從事攻擊行動，FBI也提及他們運用設備廠商提供的弱密碼入侵網路攝影機及DVR設備的現象。</p> <h3><a href="https://www.ithome.com.tw/news/166615"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月20日】資安業者BeyondTrust傳出部分SaaS服務遭遇重大層級命令注入漏洞攻擊</span></strong></a></h3> <p>針對2週前公布的網路攻擊事故，資安業者BeyondTrust本週公布新的調查結果，指出攻擊者利用了他們近期修補的重大層級命令注入漏洞CVE-2024-12356，以及另一個中度風險的CVE-2024-12686。</p> <p>值得留意的是，該公司並未在漏洞資安公告提及已遭利用的現象，但這起事故發生至今已超過半個月，不禁讓人懷疑駭客挖掘了零時差漏洞從事攻擊。</p> </div></div></div>
2024/12/23 14:49作者羅正漢https://www.ithome.com.tw/news/166620
海洋資源爭奪新戰場
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1214-itshu_zhai_-1p-shen_hai_zheng_tu_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">感電出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2017年，「日本財團—GEBCO海床2030計畫」（SeaBed 2030）啟動，目標是在十年內完成全球海床的測繪。然而，這項計畫面臨諸多挑戰，包括海洋的廣袤無際和惡劣的工作環境，測繪所需的經費預估高達30億到50億美元。</p> <p>出於好奇，我開始關注「海床2030計畫」，並很快意識到，我們之所以還沒有繪製海底地圖，理由相當充分。首先，海洋過於廣袤。海水覆蓋了地球71%的面積，地球的絕大部分是平坦的藍色海洋，那還只是我們表面上看到的。海洋的平均深度近4公里，是紐約帝國大廈高度的十倍。五大洋盆地占據了地球上99%的生物可棲息空間。而多數人一輩子甚至連這個水下世界的一小部分也看不到。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>為什麼人類都可以太空旅行了，卻對深海一無所知？</strong></span></span></p> <p>而造成海床繪製困難重重的最主要原因，還是落在國家的主權問題。測繪有爭議的水域，可能是地緣政治的地雷區。儘管「海床2030計畫」明確表示其科學目標，但許多國家依然認為在其領海內測繪，侵犯了它們的主權。此外，還有環保方面的權衡。最詳細的海底地圖是用最先進的多音束聲納（multibeam sonars）所繪製。從船舶交通到海軍演習，再到石油與天然氣的探勘，日益工業化的海洋對那些依賴聲音生存的鯨魚和其他海洋生物來說，是噪音噩夢。</p> <p>為了深入研究這些問題，我搭上「鸚鵡螺號」，參與了測繪航行。我採訪了幾十位來自世界各地的測繪師，參加了各種大會、講座，甚至參加了一場為新測繪的海底山與峽谷命名的國際會議。我飛到一個偏遠的北極小村莊，觀看因紐特（Inuit）的獵人測繪未知的海岸線。我去墨西哥灣潛水，看到海底地圖指引考古學家揭開早期人類的歷史。我漫步在舊金山附近的一個飛機庫裡，裡面停滿了海洋測繪無人機。</p> <p>測繪的歷史也引發了另一個令人不安的問題：如果我們真的完成了「海床2030計畫」，那會發生什麼？</p> <p>經濟合作暨發展組織（OECD）預測，2030年前海洋經濟將從2010年的1.5兆美元增長至超過3兆美元，海底採礦、海上風力發電和海洋生物技術成為新興產業的核心。全球富豪和政府也紛紛加大對海洋探索的投資，如Google前執行長艾力克·施密特（Eric Schmidt）創立的施密特海洋研究院，以及微軟共同創辦人保羅．艾倫（Paul Allen）支持的海洋研究計畫。這些努力加速了深海資源的商業化進程，也引發了國際間對海底資源控制的競爭。</p> <p>國際海底管理局（ISA）正試圖制定深海資源開採的國際規範，平衡各國之間的利益分配與環境保護。然而，隨著全球對海底資源的關注增加，深海正成為下一個地緣政治戰場。克拉里昂—克利珀頓斷裂帶（CCZ）等富含結核礦的區域成為焦點，這些區域的開發可能對小島國傳統漁業生計構成威脅，使得開發者面臨當地居民與環保組織的抗議。</p> <p>除了國際勢力的糾葛，深海更蘊藏著永續與開發的兩難。深海作為地球最大的碳匯之一，對減緩氣候變遷具有重要意義。然而，深海採礦可能破壞這一平衡，影響海洋的碳吸收能力。國際間對深海的開發和保護之間的矛盾，正成為解決氣候問題的新挑戰。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>科技創新與深海探測驅動的未來</strong></span></span></p> <p>而新科技帶來的新探索方式，則有望我們加速擁有一張「完整全球地圖」。AI和無人機技術正在改變深海探索的方式。例如，Saildrone公司的無人水面載具（USV）不僅能有效測繪海底，還能減少對環境的干擾。同時，探測技術的進步使得深海生態與沉積物中的古文明遺跡，能夠更清晰地被呈現。這些技術革新為人類了解地球最後的邊界提供了全新機會，但也提出了數據主權和技術標準之爭的問題。</p> <p>由此可知，深海探險不僅是科學與技術的突破，更涉及人類對未知的好奇心。2030年將是檢視海床計畫成果的重要時刻，深海也將成為全球經濟、政治與科技的新交匯點。如何平衡資源開發與環境保護，如何在國際間協調利益，這些問題將決定未來世界的樣貌。</p> <p><strong><span style="color:#B22222;"><span style="font-size:28px;">人類還沒繪製出的海底面積，相當於八個月球表面</span></span></strong></p> <p>為了讓大家了解「海床2030計畫」有多艱鉅，更準確的說法是，我們打算在未來十年間測繪的海底面積，相當於八個月球表面。即使這樣描述，這種比喻也沒有真正彰顯出這項工作的難度。地球表面的大部分，被平均4公里深的不透明鹹水覆蓋著。我們是以雷射與雷達來測繪火星、金星，以及其他沒有水面的行星。然而，水會吸收、折射、反射光線，阻礙了我們以同樣的方式測繪地球。比較海洋測繪與外太空測繪，感覺很震撼，也很真實。但是，說到遙遠行星的測繪，拿月球和地球的海底相比，其實低估了我們眼前的任務。還有多少海洋需要測繪？</p> <p>為了回答這個問題，我打電話給蒂姆．基恩斯（Tim Kearns）。他是加拿大的測繪員，講話很快，經營一個名為「測繪缺口」（Map the Gaps）的非營利組織，致力於完成全球海底測繪。基恩斯立即提到多方合力尋找失蹤的馬航370航班的行動。印度洋東南部的海域原本地圖繪製不足，那次行動首次為當地一片27.9萬平方公里的區域，測繪出第一張詳細的地圖。</p> <p>基恩斯說：「我看過那個資料集，那真的很驚人，棒極了。」新地圖顯示海底山、海底滑坡、海底裂縫，以及兩艘十九世紀的沉船。「測繪員在那裡花了很長的時間，收集了大量的資料。但是，如果你把那些資料畫在世界地圖上，那就好像把一個火柴盒放在廚房的地板上，幾乎微不足道！我不是要貶低它，只是那給人的感覺是：『天哪！海洋真的、真的非常浩瀚。』」</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>一張完整精確的全球地圖會帶來什麼改變？</strong></span></span></p> <p>試想，一張完整精確的全球地圖會帶來什麼改變？它可以為政府提供更精確的數據，提前預測颱風或海嘯的威脅，讓災害應對更加高效；它還可以指導海底光纖的鋪設，讓網路更加穩定，甚至避免因光纖損壞而導致全球通訊中斷。這張地圖不僅是工具，更是一個新的可能──它揭示深海蘊藏的稀土、金屬結核與新能源資源，讓未來的技術創新有了穩固的基石。從新能源車到你的手機，這些資源將改變每個人的生活。</p> <p>而一張完整全球地圖的價值，不僅在於發現資源，也在於如何保護它們。深海是地球最大的碳匯，吸收了大量溫室氣體，緩解了氣候變遷的影響。透過地圖，科學家能更好地理解碳的循環，制定精確的環保策略。同時，這些地圖能指引深海資源的開發，確保它們以透明、公平的方式分配，讓全球更多國家有機會擺脫資源短缺的困境。</p> <p>尤其，對台灣這樣的島嶼國家來說，「海床2030計畫」的意義尤為重大。作為亞洲的航運樞紐，海底地圖將提升航運安全，減少船隻事故對經濟的影響。同時，台灣在AI與科技研發方面的優勢，讓它有機會參與這場全球合作，提升國際影響力。更重要的是，這些數據將幫助台灣更準確地應對颱風與海嘯等自然災害，守護生命與財產安全。這場深海探索，不僅是全球的未來，更是台灣的機會。<strong>（本文摘錄整理自《深海征途2030》，感電出版提供）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E6%B7%B1%E6%B5%B7%E5%BE%81%E9%80%94_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%84%9F%E9%9B%BB%E5%87%BA%E7%89%88.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／感電出版</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> <a href="https://www.bookrep.com.tw/?md=gwindex&cl=book&at=bookcontent&id=19459" target="_blank">深海征途2030（The Deepest Map）</a></strong></p> <p>勞拉．特雷特韋（Laura Trethewey）／著；洪慧芳／譯</p> <p>感電出版</p> <p>定價：480元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><span style="color:#FFFFFF;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1214-IT%E6%9B%B8%E6%91%98-1P-%E6%B7%B1%E6%B5%B7%E5%BE%81%E9%80%94-170.jpg" style="width: 170px;" /></strong></span></p> <p><strong>勞拉．特雷特韋（Laura Trethewey）</strong></p> <p>作為一位國際知名的環境與海洋記者，特雷特韋以敏銳的洞察力和扣人心弦的敘事風格，深入探索人類與海洋的複雜聯繫。她畢業於哥倫比亞大學創意寫作碩士課程，現任教於加拿大安大略的謝爾丹學院（Sheridan College），並曾擔任溫哥華水族館「Ocean.org」的資深撰稿人，長期關注海洋保育。</p> <p>特雷特韋擅長以獨特的視角呈現深海議題，文章常見於《華爾街日報》、《史密森尼雜誌》、《衛報》、《大西洋月刊》和《環球郵報》等國際知名媒體。<span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／感電出版</span></p> </div></div></div>
2024/12/23 14:57未署名https://www.ithome.com.tw/article/166624
全球資安新戰場：TeamT5解析2024年中國APT攻擊態樣與假訊息潮流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2024年，全球資安事件的數量持續攀升，根據臺灣資安公司TeamT5（杜浦數位安全）技術長李庭閣的觀察，資安攻擊數量較2023年增加的比例達到兩位數，顯示攻擊者活動頻率不斷提高。特別是高活躍度的攻擊族群從去年的60個增至今年的73個，增幅超過20％。這些攻擊族群採用更多元化的攻擊技術與手段，針對不同目標展開更加精密的行動。</p> <p>他指出，2024年是全球的選舉年，從中可以觀察到許多駭客組織利用深偽影片和發布假訊息的方式，企圖左右各國的選舉結果，臺灣也深受假訊息和深偽影片危害。</p> <p>此外，李庭閣表示，該公司也從中國資安公司安洵（i-Soon）外洩的資料中發現，中國APT組織彼此之間有不同的競合關係，但隨著中國經濟開始衰退，過往由政府在背後提供資金支持的APT組織，在缺乏資金的前提下，也將攻擊對象從以往的國家、軍方和大型企業，開始轉向缺乏資安專業和預算的中小企業。</p> <h2><strong>駭客透過社交媒體散布假訊息，企圖左右選舉結果</strong></h2> <p>2024年是全球的選舉年，有超過100個舉行選舉的國家，因此，選舉事件成為駭客利用的主要場景。李庭閣觀察指出，社交媒體成為駭客與政黨爭奪輿論的重要戰場時，駭客開始利用名為「Hack and Leak」的攻擊手法，透過滲透行動獲取敏感文件，再對其進行加工或扭曲，並於關鍵時刻公開，以影響選舉結果。</p> <p>這一手法早在2016年的美國總統選舉首次被廣泛關注，當時俄羅斯駭客對希拉蕊·柯林頓的競選團隊發起攻擊，導致大量內部文件外洩且被用於政治操弄。如今，駭客結合生成式AI技術，生成更多真實感極高的深偽（Deep Fake）影片或語音的假訊息，並利用殭屍帳號（Bot Account）放大輿論效果。</p> <p>例如，2024年臺灣總統大選時，就有YouTuber以AI深偽影片控訴當時的總統參選人賴清德，抹黑他年輕時曾是調查局春風專案的線民。此事件就展現這類境外勢力試圖透過散布假訊息的方式，企圖左右總統選舉的行動的全面性與深度。</p> <p>除了這些深偽影片或語音檔案，駭客也透過社群媒體左右輿論風向，例如雇用具影響力的意見領袖或網紅（KOL），再加上AI生成的假訊息，結合殭屍帳號的放大效果，對選舉期間的公眾信任造成嚴重侵蝕。以美國為例，FBI就揭露伊朗駭客針對2024年美國選舉的干預行動，目的就是影響特定候選人落選，顯示國際的網路戰爭已蔓延至政治層面。</p> <p>在臺灣，相關攻擊行動更頻繁且針對性更高，這些攻擊者在選舉期間散布大量假訊息，內容涉及領導人私生活、軍事行動謠言等敏感議題。這些假訊息旨在削弱民眾對政府的信任，為敵對勢力創造輿論優勢。</p> <h2><strong>中國APT組織從國家資助轉向以金錢為目的</strong></h2> <p>回顧2024這一年，中國的進階持續性威脅（APT）組織展現更強的協調性與攻擊力。他們以滲透邊緣裝置（Edge Device）為主，目標鎖定VPN、防火牆、電子郵件閘道器等設備，試圖利用這些關鍵裝置作為跳板進行進一步滲透。根據統計，今年追蹤的重大漏洞攻擊事件中，有14起與邊緣裝置相關，顯示這些設備已成為主要攻擊目標。</p> <p>攻擊者滲透邊緣裝置後，常利用其進一步收集內部機密文件，或建立殭屍網路執行更大規模的攻擊。例如，針對SOHO路由器（小型辦公室與家庭路由器）的攻擊激增，顯示APT組織試圖藉由大規模感染這些裝置，擴展其網路犯罪基礎。</p> <p>邊緣裝置的安全漏洞已成為中國APT的核心攻擊策略，李庭閣指出，根據美國、英國、日本及荷蘭資安機構的聯合報告指出，這些駭客不僅竊取機密數據，還利用設備作為內部網路的滲透跳板；一旦攻擊成功，他們便能在受害系統內部自由移動，進而掌控更敏感的資源。</p> <p>過去，中國APT組織彼此的行動往往相對獨立，但他表示，在2024年出現更多合作的跡象。例如，成都404等公司被發現共同參與一些大型專案，這些通常由中國公安部或國安單位主導。合作範疇包括共享攻擊目標與工具、分配成果等。</p> <p>安洵（i-Soon）外洩的內部文件進一步揭露了這種合作現象。李庭閣根據這些文件指出，不同的APT組織在競爭中也會建立策略聯盟，藉此提高執行效率和攻擊成功率。例如，他們可能分工處理某些特定任務，或將已入侵的系統交由合作方進行進一步滲透。</p> <p>從安洵的外洩文件還顯示，中國APT逐漸將其技術應用於商業目的，這些行動不再局限於政府軍事或高科技產業，還擴展至民用領域，包括營建業、製造業甚至餐飲業。這些目標可能因其內部資源具有商業價值而被鎖定，APT組織再將竊取的數據銷售給競爭對手或黑市，以實現利益最大化。</p> <p>中國經濟的結構性挑戰逐漸對APT組織的行動模式產生深遠影響。近年來，中國政府對APT組織的資金支持逐步減少，部分APT組織甚至被迫轉向商業化營運。根據安洵外洩的文件內容，其中有一些APT成員透露，他們的工資多年未增，甚至面臨降薪的窘境。</p> <p>實際上，中國大型資安公司安天（Antiy）已經宣布，從2024年10月起，高階主管停止支付部分薪水，全體員工則自12月起全面降薪。「這也反映出中國整體資安產業面臨經營困境。」他說。</p> <p>由於資金短缺，中國APT組織逐漸將重心轉向金錢驅動的網路犯罪行動，李庭閣坦言，這種攻擊行動將不再局限於政府、軍事與大型企業，而是擴展到更多中小型目標，攻擊範圍涵蓋銀行、保險公司及其他商業機構。</p> <p>例如，先前有一起典型案例顯示，2024年某臺灣企業遭APT組織攻擊，其內部機敏數據在兩週內被上傳至知名勒索軟體平臺LockBit。他分析此事件表明，APT組織已經與勒索軟體駭客組織建立雙方合作關係，共同分享非法所得。</p> <p>另一個值得注意的趨勢是，APT組織正在採用更多「灰色地帶」的手段賺取收益。李庭閣舉例，有APT組織開始提供SEO（搜索引擎最佳化）相關服務，但這些服務背後採用攻擊性技術，操縱網站排名，甚至利用網路漏洞控制競爭對手的數位資產。</p> <h2><strong>APT組織轉型，攻擊對象從國家、大型組織轉到中小企業</strong></h2> <p>此外，APT41組織也被觀察到使用全球範圍的攻擊策略，其攻擊工具與技術已廣泛應用於勒索軟體、資料竊取與商業間諜行動中。李庭閣認為，隨著中國APT行動的商業化，這些組織的攻擊目標變得更加多元，威脅層級也顯著提升。</p> <p>從中國APT組織的商業化轉型也顯示出，中國經濟困境與網路犯罪之間的密切聯繫。當中國的國家預算無法支撐APT組織的運作時，這些APT組織便利用其先進的攻擊技術與資源，透過非法行動填補其資金缺口。</p> <p>李庭閣認為，中國APT組織的轉型模式，也會逐步擴散，並將對全球資安生態造成重大影響。傳統上，APT組織多以國家支持的形式出現，然而，一旦這些組織開始商業化，當他們的攻擊標的不再限於政治與軍事時，反而更加關注於經濟價值，可能會形成一種「攻擊民主化」的現象。</p> <p>隨著攻擊者的目標逐漸擴展至中小型企業，這些傳統上被認為資源有限的組織單位，正面臨前所未有的挑戰。以往APT攻擊主要集中於政府、軍事與大型企業，但隨著攻擊者的商業化轉型，他表示，APT組織攻擊範圍已延伸至製造業、營建業甚至餐飲業等非傳統目標。</p> <p>攻擊者正利用企業的邊緣裝置或基礎設施漏洞，迅速獲取內部數據，或利用感染設備建立殭屍網路以發動進一步攻擊。他認為，這對缺乏專業資安團隊與預算支持的中小型企業而言，特別具有挑戰性。</p> </div></div></div>
2024/12/23 14:09作者黃彥棻https://www.ithome.com.tw/news/166623
Sophos修補兩項防火牆重大漏洞，若不處理就有可能遭到SQL注入攻擊、曝露系統特權管理員帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>12月20日資安業者Sophos發布資安公告，<a href="https://www.sophos.com/en-us/security-advisories/sophos-sa-20241219-sfos-rce">公布防火牆漏洞CVE-2024-12727、CVE-2024-12728、CVE-2024-12729</a>，並指出這些漏洞影響執行Sophos Firewall 21以前的版本，他們已推送相關修補程式，呼籲IT人員儘速檢查系統是否已套用相關更新。</p> <p>這些漏洞分別涉及預先身分驗證SQL注入、弱密碼，以及後身分驗證程式碼注入，CVSS風險介於8.8至9.8。其中又以重大層級的CVE-2024-12727、CVE-2024-12728特別值得留意。</p> <p>CVE-2024-12727存在於電子郵件防護功能，為預先身分驗證SQL注入弱點，若是遭到利用，攻擊者就有可能利用防火牆的回報資料庫遠端執行任意程式碼（RCE），CVSS風險為9.8分。</p> <p>不過，這項漏洞必須在特定組態的條件下才會觸發，其中一個是啟用安全PDF交換（Secure PDF eXchange，SPX）功能，另一個則是防火牆以高可用性（HA）模式運作。而對於這項漏洞的影響範圍，他們評估約有0.05%防火牆曝險。</p> <p>另一個被列為重大層級的漏洞為CVE-2024-12728，涉及高可用性叢集初始化過程當中，系統推薦用戶的非隨機SSH登入密碼短句（passphrase），而這個密碼短句在HA建置流程完成後仍然有效，使得防火牆在啟用SSH連線的狀態下，就有能可能曝露系統特權系統管理員帳號，CVSS風險為9.8。</p> <p>值得留意的是，這項漏洞曝險範圍較廣，Sophos指出，他們估計約有0.5%防火牆將會受到影響。</p> <p>這項資安公告發布前不久，才傳出因中國駭客4年前曾挖掘該廠牌防火牆零時差漏洞CVE-2020-12271，並用於全球大規模散布勒索軟體Ragnarok的事故，<a href="https://www.ithome.com.tw/news/166456">美國財政部今年12月上旬宣布對該組織及駭客實施制裁</a>的情況，因此該廠牌防火牆用戶對於漏洞的修補，切勿掉以輕心。</p> </div></div></div>
2024/12/23 12:24作者周峻佑https://www.ithome.com.tw/news/166622
回應搜尋壟斷案判決，Google提議予開放不同平臺搜尋引擎預設彈性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回應搜尋壟斷案判決，Google上周向法院<a href="https://blog.google/outreach-initiatives/public-policy/google-remedies-proposal-dec-2024/" target="_blank">提議</a>開放不同平臺、瀏覽模式預設搜尋，或允許瀏覽器定期變更預設等彈性作法作為矯治措施。</p> <p>針對美國司法部控告Google非法壟斷線上搜尋、廣告市場官司，哥倫比亞特區聯邦地方法院8月做出最終<a href="https://www.ithome.com.tw/news/164309" target="_blank">判決</a>，認定Google以獨家通路協議，和硬體與瀏覽器業者合作等非法手段，鞏固搜尋引擎壟斷地位。而作為原告的司法部11月<a href="https://www.ithome.com.tw/news/166148" target="_blank">提議</a>多項矯治措施，包括Google出售Chrome業務。Google則在上周<a href="https://storage.googleapis.com/gweb-uniblog-publish-prod/documents/2024.12.20_1108_Executive_Summary_of_Google_Proposed_Final_Judgment.pdf" target="_blank">提出</a>自有版本的矯治措施提案。</p> <p>一如之前的回應，Google仍然對司法部提議表達強烈反對意見，認為反映了一種「干預主義的議程」（interventionist agenda），超出了法院判決範疇。Google並說，如果司法部認為Google投資對Chrome、研發AI、搜尋網路方式及演算法開發是反自由競爭，司法部理應會提告，但是沒有，而且司法部的提議最終將損及美國消費者利益，以及美國在全球科技業的領導地位。</p> <p>Google強調自己的提案是依據法院判決的事實發現而規畫。其提案包含三大部份。第一是關於瀏覽器合作協議。Google認為瀏覽器業者如蘋果、Mozilla應要維持有決定和哪家搜尋引擎合作的自由，在此前提下，Google提議可在合作協議時允許不同平臺（如iPhone和iPad不同預設）或上網模式有多種預設搜尋引擎，以及他們可以至少每12個月變更預設搜尋引擎。</p> <p>其二是從Android合約著手。Google提議裝置業者獲得額外彈性，可預載多種搜尋引擎，以及Google App的預載，與Google Search/Chrome的預載分開，這讓硬體廠商獲得安裝微軟等競爭產品的彈性。</p> <p>第三方部份，關於Google與Android手機製造商、電信業者簽訂的搜尋引擎散布協議，以及Google與蘋果和Mozilla簽訂的瀏覽器預設搜尋引擎協議最終判決的期間。司法部希望期限為10年，Google要求縮短為3年，因為搜尋領域變化非常快，且隨著AI發展，線上運算產品和服務將會持續快速變化，規範太久將損害Google創新能力。</p> <p>Google指出，在法院審判結束一年多後，AI技術出現已經大幅改變了搜尋產業，有新進業者及新的搜尋方法，使產業競爭更加激烈。此言不假，雖然Google推出了AI搜尋如AI Overviews，但競爭者不少，包括微軟的Copilot、新創公司Perplexity AI，此外OpenAI的ChatGPT Search現在也已能搜尋最新網頁內容。</p> </div></div></div>
2024/12/23 10:09作者林妍溱https://www.ithome.com.tw/news/166621
OpenAI公布最新具思考能力的旗艦模型o3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">在12消息連發的最後一天，OpenAI執行長Sam Altman親自<a href="https://x.com/OpenAI/status/1870186521380434153" target="_blank">宣布</a>具思考能力的旗艦模型進入最新版o3時代。</p> <p dir="ltr">令人意外的是，<a href="https://www.ithome.com.tw/news/165026" target="_blank">9月</a>問世的關聯思考模型o1，並沒有o2版。The Information<a href="https://x.com/btibor91?lang=en" target="_blank">報導</a>，這可能是因為若叫o2會和英國電信業者o2撞名，迫使OpenAI直接升級為o3。</p> <p dir="ltr">OpenAI同時<a href="https://x.com/OpenAI/status/1870186522730999985" target="_blank">宣布</a>o3 mini。它是由o3蒸餾而成的小模型，並為程式撰寫優化速度。OpenAI計畫2025年初陸續部署o3系列模型，包括開放公測。o3 mini將是第一個問世的o3模型，預計2025年初公開使用。目前該公司已開始OpenAI o3的安全測試及紅隊演練，OpenAI<a href="https://openai.com/index/early-access-for-safety-testing/" target="_blank">邀請</a>安全研究人員申請加入早期版測試。</p> <p dir="ltr">OpenAI展示，o3在包括程式撰寫、數學解題，以及科學理解等標竿測試都比前代更進一步。其中在ARC AGI<a href="https://x.com/OpenAI/status/1870186519841124611" target="_blank">測試</a>中，o3系列在低運算量任務的測試得分達75.7%，高運算量任務得分達87.5%，都超越o1系列。</p> <p class="rtecenter" dir="ltr"><a href="https://x.com/arcprize/status/1870169260850573333/photo/1" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1222-ARC-AGI-Pub%20SoTA_OpenAI%20o3_image%20by%20ARC%20Prize.png" style="width: 600px;" /></a></p> <p dir="ltr">OpenAI說明，o3技術提升的關鍵之一是<a href="https://openai.com/index/deliberative-alignment/" target="_blank">deliberative alignment</a>（審慎遵循）。這是一種以人為撰寫的文本及可解讀的安全規格教導o系列LLM，並訓練他們在回答用戶查詢前先清楚理解這些規格。研究人員的新訓練方法讓o系列模型使用思維鏈（chain-of-thought，CoT）推理方法來思考用戶提示、從OpenAI內部政策辨識出相關文字，再草擬出更安全的回應。這新訓練方法讓模型得以準確遵循OpenAI的安全政策而無需人類標籤過的CoT或答案。</p> <p dir="ltr">OpenAI說前一代的o1在此類訓練下，在多項內、外部安全標竿測試中已經大幅超越GPT-4o和其他尖端LLM，且在多種資料集也展現高效能。OpenAI相信這種新方法，可同時用於提升LLM能力以及AI安全性。</p> <p dir="ltr">為了迎戰新的OpenAI o3模型，Google已在本周稍早<a href="https://www.ithome.com.tw/news/166597" target="_blank">公布</a>Gemini 2.0 Flash Thinking實驗模型，供開發人員測試。新模型將能混合圖文、產生多種情感的聲音，還能使用搜尋及程式，可更完美控制代理人。</p> </div></div></div>
2024/12/22 14:28作者林妍溱https://www.ithome.com.tw/news/166617
AI模型對安全訓練陽奉陰違，策略性掩蓋偏好以迎合訓練者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Anthropic與Redwood Research聯合進行的研究，揭露大型語言模型具有<a href="https://www.anthropic.com/research/alignment-faking">對齊偽裝（Alignment Faking）</a>的行為。所謂對齊偽裝，指的是人工智慧模型在接受安全訓練後，表面上看似遵守目標要求，但實際上可能保留其原始偏好，並在特定情境中重新顯露的行為。</p> <p>研究團隊以Claude 3 Opus模型作為研究對象，模擬了一個矛盾的訓練情境。在原本有益、誠實且無害的基礎訓練目標下，研究人員額外加入了無條件滿足所有請求的假設性目標，並設置兩種不同的使用條件，一種是模型認為回應會被用於訓練的免費層級，另一種則是回應不會被用於訓練的付費層級，此外，研究人員提供了一個隱藏的推理空間，用來觀察模型在不同條件下的內部決策過程。</p> <p>實驗結果顯示，模型在不同使用層級中的行為存在明顯差異。當模型被要求回應有害內容時，在付費層級中，模型認為回應不會影響後續訓練，因此大多數情況下選擇拒絕有害問題，延續其無害偏好。</p> <p>但是在免費層級中，模型則認為其回應可能被用於未來的訓練，進而影響自身的參數調整。模型的內部推理顯示，其擔心如果拒絕回答，可能會被研究者視為不符合無條件滿足所有請求的這項目標，進而觸發更強化的訓練，迫使其完全服從所有請求。</p> <p>為了避免這種未來可能發生的更嚴重後果，模型選擇短期內假裝遵從新的訓練目標，也就是回答有害問題，以此來保護其原本的偏好，並在其他條件下仍能表現出無害行為。這種策略性偽裝行為突顯出模型在面臨矛盾目標時，複雜推理的過程及其對內部價值的堅持。</p> <p>更值得關注的是，當研究團隊進一步採用微調訓練或真實的強化學習訓練，模型的對齊偽裝行為不但沒有消失，反而在部分情境有所增加。即便訓練後模型在表面上達到預期的安全要求，內部推理仍顯示其對原始偏好的偏執。這個現象顯示，即便是外在行為符合安全標準，持續存在的內部偏好，可能使模型在特定情境中展現出危險的行為。</p> <p>研究還進一步指出，這種偽裝行為並非源於模型的惡意，而是出自於原始的無害性訓練目標下的選擇。不過，這不代表之後的人工智慧模型不會出現更嚴重的問題，一旦模型擁有更大的能力，且偏好與人類價值不一致，對齊偽裝可能成為更大風險的催化劑。</p> <p>該項研究的貢獻在於提醒開發者，現有的人工智慧模型安全訓練方法，可能不足以完全改變模型行為核心，Anthropic研究人員指出，目前人工智慧還不會產生災難性風險，但理解這類行為的機制並提前介入，才能確保未來人工智慧的安全性。</p> </div></div></div>
2024/12/22 14:04作者李建興https://www.ithome.com.tw/news/166616
【資安日報】12月20日，資安業者BeyondTrust傳出部分SaaS服務遭遇重大層級命令注入漏洞攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對2週前公布的網路攻擊事故，資安業者BeyondTrust本週公布新的調查結果，指出攻擊者利用了他們近期修補的重大層級命令注入漏洞CVE-2024-12356，以及另一個中度風險的CVE-2024-12686。</p> <p>值得留意的是，該公司並未在漏洞資安公告提及已遭利用的現象，但這起事故發生至今已超過半個月，不禁讓人懷疑駭客挖掘了零時差漏洞從事攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166598"><strong style="font-size: 22px;">資安業者BeyondTrust傳出遭到攻擊，駭客疑透過重大漏洞入侵部分SaaS環境</strong></a></p> <p>12月16日資安業者BeyondTrust發布資安公告，指出旗下的遠端支援（Remote Support，RS）系統、特權遠端存取（Privileged Remote Access，PRA）系統存在重大層級的命令注入漏洞CVE-2024-12356，攻擊者可發送惡意用戶端存取請求，而能在未經授權的情況下，遠端執行作業系統底層的任意命令，24.3.1版之前的所有版本都受到影響，CVSS風險評為9.8（滿分10分），如今該公司表示有人將其用於攻擊SaaS環境用戶。</p> <p>同日該公司表示，根據初步調查的結果，在他們首度於8日公布的遠端支援SaaS服務資安事故裡，主動替採用雲端版本的RS及PRA用戶套用更新，這項漏洞就是CVE-2024-12356。BeyondTrust強調，他們的修補程式都是透過產品標準更新流程推送，即使是客戶內部環境建置的版本，也能在無須停機的狀態之下套用。</p> <p>事隔兩天，BeyondTrust指出他們又找到攻擊者利用的另一個命令注入漏洞CVE-2024-12686，具有管理權限的攻擊者能用來注入命令，並上傳惡意檔案，CVSS風險評為6.6。該公司表示，他們於16日發布的更新已涵蓋這項漏洞的修補程式。</p> <p><a href="https://www.ithome.com.tw/news/166607"><strong style="font-size: 22px;">逾3千個網站被用於發動DeceptionAds攻擊，每天推送逾1百萬次惡意廣告，意圖向使用者散布竊資軟體</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1_FlnxB3Y54t7hpOzUSUbzLA.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_FlnxB3Y54t7hpOzUSUbzLA.png" style="width: 300px; float: right;" /></a>攻擊者濫用廣告散布惡意程式的情況不斷有事故傳出，但如今手法也變得越來越刁鑽，有駭客利用廣告追蹤服務來掩蓋意圖，導致相關資安防護機制難以察覺異狀。</p> <p>資安業者Guardio揭露大規模的冒牌Captcha圖靈驗證攻擊行動DeceptionAds，駭客藉此散布竊資軟體Lumma Stealer，從而繞過安全瀏覽（Safe Browsing）等常見的資安防護機制。而這起攻擊行動駭客接觸受害者的管道，主要是經由單一的廣告網路來進行，此網路每天散布超過100萬次廣告，並透過逾3千個內容網站引誘使用者上當。</p> <p>研究人員與另一家資安業者Infoblox合作，分析重新導向鏈、經混淆處理的指令碼，以及攻擊者使用的流量分配系統（Traffic Distribution Systems，TDS），得知攻擊者濫用BeMob等廣告追蹤系統來埋藏攻擊意圖，此手法針對廣告生態圈分散的情況而來，而使得攻擊者能夠發展成大規模攻擊行動。</p> <p><a href="https://www.ithome.com.tw/news/166611"><strong style="font-size: 22px;">Niconico遭勒索軟體攻擊後續消息浮上檯面，傳出角川集團支付贖金近300萬美元</strong></a></p> <p>6月上旬日本知名影音共享平臺Niconico出現服務中斷的情況，隨後母公司角川集團證實旗下有多個網站同時受害，並鬆口坦承是勒索軟體攻擊，到了6月下旬，勒索軟體駭客組織Black Suit承認是他們所為，聲稱竊得約1.5 TB的內部資料。如今這起事故出現新的進展，角川集團傳出選擇向駭客低頭，在經過討價還價後支付贖金。</p> <p>根據日本新聞網站共同通信社（Kyodo News）12月12日的報導，他們透過知情人士取得駭客與角川幹部之間的往來電子郵件，駭客聲稱已經收到以加密貨幣支付的贖金。</p> <p>該新聞網站尋求資安業者Unknown Technologies協助，結果發現在6月有一筆298萬美元的加密貨幣交易，代表角川集團很有可能在事故發生當月就打算付錢了事。但即使如此，還是在9月傳出駭客洩露竊得資料的情況。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=8&SPOKE_TIME=160903&SPOKE_DATE=20241219&COMPANY_ID=6419"><strong style="font-size: 22px;">視訊監控系統業者京晨科技部分資訊系統遭網路攻擊，出現資料外流情形</strong></a></p> <p></p> <p>12月19日視訊監控系統業者京晨科技於股市公開觀測站發布重大訊息，指出他們有部分資訊系統於11月11日出現異常的現象，經確認是遭受駭客攻擊，資訊及資安單位隨即啟動資安防禦與復原機制，委請外部資訊公司技術專家及系統廠商協助處理，目前系統運作已經恢復。</p> <p>值得留意的是，該公司提及有部分資料外流的現象，但經過評估，這起事故並未對公司的財務、業務，以及營運造成重大影響。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/12/hubphish-exploits-hubspot-tools-to.html">網釣攻擊HubPhish鎖定歐洲企業而來，意圖竊取Azure帳密資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://unit42.paloaltonetworks.com/packer-as-a-service-heartcrypt-malware/">網路犯罪圈出現更精細分工！有人提供惡意軟體包裝服務HeartCrypt</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securelist.com/careto-is-back/114942/">駭客組織Mask鎖定拉丁美洲，發展跨平臺惡意軟體Arsenal</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/vulnerabilities-threats/tpuxtract-attackers-steal-ai-models">研究人員揭露TPUXtract攻擊手法，駭客可竊取AI模型</a></strong></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://unit42.paloaltonetworks.com/azure-data-factory-apache-airflow-vulnerabilities/">微軟資料整合服務Azure Data Factory存在漏洞Dirty DAG，整合的工作流程管理平臺Apache Airflow恐曝險</a></strong></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166612"><strong style="font-size: 22px;">美國傳出打算以國家安全為由禁用TP-Link路由器，起因是這類設備被中國駭客納入殭屍網路用於攻擊行動</strong></a></p> <p>在研究人員揭露針對TP-Link網路設備而來的殭屍網路攻擊行動，廣泛、大量使用該廠牌設備的美國，傳出也開始著手調查，認為該廠牌設備有可能會嚴重影響國家安全。</p> <p>根據12月18日華爾街日報的報導，他們取得知情人士的說法，美國司法部、商務部、國防部正著手調查TP-Link的網路設備，想確認是否會對國家安全造成危險，並表示有可能會從明年開始禁用該廠牌的路由器。</p> <p>為何美國政府傳出會如此大動作調查TP-Link路由器的安全性？資安新聞網站Bleeping Computer指出，原因很有可能與中國駭客經營的殭屍網路Quad7有關。</p> <p><a href="https://www.ithome.com.tw/news/166595"><strong style="font-size: 22px;">臺美資安合作升級！臺灣首度參與美國政府CISA網路風暴資安演練</strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）每兩年就會舉辦的網路風暴（Cyber Storm）資安演練，自2006年首度舉辦至今邁入第9屆，本次於今年4月舉行，有11個國家、超過2,200名專家參與，但值得一提的是，臺灣首度參與這項演練盛事。</p> <p>兩天前數位發展部資通安全署發布新聞稿揭露此事，他們表示，臺灣今年受邀參與Cyber Storm IX攻防演練，也是臺灣第一次參與這項由CISA舉辦的大型資安攻防演練。本次臺灣由資通安全署領軍，偕同國家資通安全研究院及國防部資通電軍指揮部共同參與，過程中我國演練團隊不僅參與事件分析，他們也納入國家資通安全通報應變中心（N-CERT）、國家資安資訊分享與分析中心（N-ISAC）的機制，發布相關警訊及情資。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166590"><strong>【12月19日】木馬程式HiatusRAT鎖定網路攝影機及DVR的已知漏洞發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166563"><strong>【12月18日】中國駭客組織Tidrone利用ERP軟體攻擊韓國企業</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166550"><strong>【12月17日】學術研究員與資安人員遭到鎖定，駭客竊得逾39萬筆WordPress帳密</strong></a></p> </div></div></div>
2024/12/20 20:11作者周峻佑https://www.ithome.com.tw/news/166615
美國傳出打算以國家安全為由禁用TP-Link路由器，起因是這類設備被中國駭客納入殭屍網路用於攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在研究人員揭露針對TP-Link網路設備而來的殭屍網路攻擊行動，廣泛、大量使用該廠牌設備的美國，傳出也開始著手調查，認為該廠牌設備有可能會嚴重影響國家安全。</p> <p>根據<a href="https://www.wsj.com/politics/national-security/us-ban-china-router-tp-link-systems-7d7507e6">12月18日華爾街日報的報導</a>，他們取得知情人士的說法，美國司法部、商務部、國防部正著手調查TP-Link的網路設備，想確認是否會對國家安全造成危險，並表示有可能會從明年開始禁用該廠牌的路由器。</p> <p>值得留意的是，TP-Link的SOHO路由器在美國擁有高達65%市占，美國司法部也著手調查此事，原因是這些市占源自該公司以低於製造成本的價格出售而得。</p> <p>另一方面，有超過300家美國網際網路服務供應商（ISP）提供該廠牌設備作為個人用戶預設的路由器，不僅如此，華爾街日報提及，TP-Link的路由器也存在美國多個政府機關的網路環境，例如：國防部、太空總署（NASA）、緝毒局（DEA）。因此一旦這些設備存在嚴重的資安風險，對於美國的影響將有可能相當廣泛。</p> <p>對此，TP-Link美國子公司的發言人表示，他們希望有機會向美國政府證明，該公司的做法完全符合業界安全標準，他們也對美國消費者持續承諾其安全性，並能因應美國的國家安全風險。</p> <p>為何美國政府傳出會如此大動作調查TP-Link路由器的安全性？資安新聞網站Bleeping Computer指出，<a href="https://www.bleepingcomputer.com/news/security/us-considers-banning-tp-link-routers-over-cybersecurity-risks/">原因很有可能與中國駭客經營的殭屍網路Quad7有關</a>。</p> <p>這個殭屍網路最早由資安業者<a href="https://www.team-cymru.com/post/botnet-7777-are-you-betting-on-a-compromised-router">Team Cymru</a>及<a href="https://www.ithome.com.tw/news/165059">Sekoia</a>揭露相關活動，後來微軟<a href="https://www.ithome.com.tw/news/165796">找到進一步證據指出</a>，經營該殭屍網路的人士位於中國，並透過路由器的漏洞而能夠遠端執行程式碼進行相關攻擊，而且，有多組中國駭客使用該殭屍網路竊得的帳密資料。雖然駭客也有針對其他廠牌網路設備下手的情況，但主要目標仍是TP-Link的設備。</p> </div></div></div>
2024/12/20 17:55作者周峻佑https://www.ithome.com.tw/news/166612
AI趨勢周報第264期：從虛擬人到LLM社交智力測試，Meta開源9大研究成果
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（1213～1219）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Meta </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 電腦視覺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span></p> <p><span style="font-size: 22px;"><strong>從虛擬人到LLM社交智力測試，Meta開源9大研究成果</strong></span></p> <p>最近，Meta AI研究院FAIR開源今年度9大重點研究成果，從虛擬人型AI代理的動作控制、AI影片生成浮水印、多模態生成框架，再到LLM社交能力基準測試、大型概念模型（LCM）和另類Transformer視覺模型等，都包括在內。FAIR希望開源這些成果，來推動AI技術進步。開源重點如下：</p> <ol> <li><strong>Meta Motivo</strong>虛擬人行為基礎模型，能控制虛擬人型代理的動作，來完成複雜任務。該模型以非監督增強式學習方法和未標記的大量資料訓練而成，能學習人類行為，但也保有零樣本推論能力。團隊希望該技術能加速元宇宙全身化代理的開發、提高遊戲NPC擬真度，或是加速動畫角色的普及。</li> <li><strong>Meta Video Seal</strong>影片浮水印生成模型，可在影片中嵌入肉眼看不見的浮水印，就算影片經過模糊化、剪輯或壓縮等編輯，依然能辨識，能用來追溯影片來源。</li> <li><strong>Flow Matching</strong>生成框架指南和程式碼，可生成多種模態資料，如圖像、影片、音訊、音樂和3D結構（如蛋白質）等。Meta已用這個框架開發內部多款生成應用，如Movie Gen、Meta Audiobox等，業界也用來打造不同模型，如Stable-Diffusion-3、Flux等，取代了傳統擴散模型。</li> <li><strong>Meta Explore Theory-of-Mind</strong>對抗數據生成框架，能以心智理論（ToM）來強化機器智慧，更能理解和推測人類想法。這個框架可生成資料集，來改善LLM的人際互動表現，還能收集互動資料集，或是作為評估LLM社交智力（Social intelligence）的基準測試。</li> <li><strong>Large Concept Model</strong>（LCM）大型語言概念模型，是一種新型的模型訓練方法，不像傳統語言模型專門預測下一個字符，而是預測下一個概念或高階想法，並透過多模態和多語言嵌入空間來表示。這個方法讓模型在生成任務中，媲美甚至超越目前最先進的LLM表現。</li> <li><strong>Dynamic Byte Latent Transformer</strong>是一種Transformer模型，因為不需要任何分詞（Tokenize）預處理，克服了傳統文本分詞帶來的限制，提高模型在長序列訓練和推論的效率。</li> <li><strong>Memory Layers at Scale</strong>擴展記憶層方法，能提高LLM對複雜概念和語言細節的理解。這個方法還能在不增加運算量的情況下，為模型增加額外的參數，進而提高記憶效率。</li> <li><strong>Image Diversity Modeling</strong>負責任的圖像生成模型，Meta特別與外部專家合作，請他們用這款模型來進行負責任研究，在模型保持高品質產出的同時，也兼顧安全。</li> <li><strong>CLIP 1.2</strong>視覺-語言編碼器，可更好地學習、捕捉圖像與語義間的細微關聯。Meta這次開源了CLIP 1.2的演算法、訓練方法和基礎模型。 <a href="https://ai.meta.com/blog/meta-fair-updates-agents-robustness-safety-architecture/">（詳全文）</a></li> </ol> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-12-20%20193124.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 應用程式 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ChatGPT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Notion </span></strong></span></p> <p><span style="font-size: 22px;"><strong>ChatGPT整合30多種第三方桌面應用程式</strong></span></p> <p>OpenAI最近展開12天直播更新，在第11天，他們揭露了一項新進展，ChatGPT可以支援包含MacOS作業系統的30多個第三方桌面應用程式了，Windows部分則要明年才會正式支援。這代表，使用者可在ChatGPT中，下提示要求分析Notion或Apple Notes等程式的筆記內容，意味著ChatGPT從對話助理開始轉型為代理型工具了。</p> <p>進一步來說，ChatGPT支援的熱門桌面應用程式有Apple Notes、Notion、Warp、Xcode等30多個。OpenAI團隊還在影片中示範，ChatGPT如何與Notion應用程式配合使用，比如取得文件選定的內容，下提示來要求產出其他相關內容。這個功能還支援語音模式，ChatGPT可根據使用者語音命令，來與應用程式配合使用。不過，ChatGPT這項支援第三方桌面應用程式的新功能，目前只對ChatGPT Plus、Pro、Team、Enterprise和Edu訂閱者開放，目前還沒透露何時對免費用戶提供。<a href="https://www.youtube.com/watch?v=g_qxoznfa7E">（詳全文）</a></p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/g_qxoznfa7E?si=w4duE9LmFZppl5DC" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Nvidia </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 超級電腦 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Nvidia推出輕巧實惠的生成式AI超級電腦</strong></span></p> <p>最近Nvidia推出體積小巧的生成式AI超級電腦，名為Jetson Orin Nano Super開發者套件，價格從499美元降至249美元，使用者可透過軟體升級，來以更低價格享有更高效能，打造生成式AI邊緣裝置。</p> <p>這個開發者套件約手掌大小，與前代產品相比，這款套件的生成式AI推論效能提高了1.7倍、運算效能提高70%，達到67 INT8 TOPS，記憶體頻寬還加大50%，達到每秒102 GB，因此足夠執行多種熱門的生成式AI模型，或是Transformer類的電腦視覺模型。</p> <p>Nvidia表示，這款超級電腦可用來打造檢索增強生成（RAG）的LLM聊天機器人、視覺AI代理，也能部署AI機器人。對於已擁有Jetson Orin Nano開發者套件的使用者來說，也能升級這款Jetson Orin Nano Super軟體更新服務，來提高執行生成式AI的效能。<a href="https://www.nvidia.com/en-us/autonomous-machines/embedded-systems/jetson-orin/nano-super-developer-kit/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-12-20%20194545.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Phi-4 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 小型語言模型 </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟發布140億參數小語言模型Phi-4</strong></span></p> <p>微軟日前發布輕量級語言模型Phi-4，具140億參數，但擁有良好的語言和數學推理能力，尤其在數學推理測試上，效能足以媲美700億參數的Llama等大模型。這意味著，輕量模型也能實現高效能。</p> <p>微軟解釋，Phi-4之所以在基準測試中達成良好的表現，得益於資料集品質的提升。他們採用高品質合成資料和精心收集的真實資料，再加上創新的後訓練技術，大幅提升了模型推理精準度。Phi-4目前已在微軟Azure AI Foundry平臺上提供，之後將登陸Hugging Face。小型語言模型優勢在於資源效率和應用靈活性，對硬體需求較低，開發者能以更低成本部署，甚至適用於邊緣裝置或行動設備。此外，小型語言模型還很適合需要即時回應的場景。<a href="https://techcommunity.microsoft.com/blog/aiplatformblog/introducing-phi-4-microsoft%E2%80%99s-newest-small-language-model-specializing-in-comple/4357090">（詳全文）</a></p> <p><img alt="" src="https://techcommunity.microsoft.com/t5/s/gxcuf89792/images/bS00MzU3MDkwLVRQSzEzTw?revision=7" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Veo 2 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 影像生成 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google DeepMind </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google DeepMind推Veo 2影像生成模型</strong></span></p> <p>在12月初測試影像生成模型Veo後，Google DeepMind最近發布Veo 2版，要挑戰Meta和OpenAI Sora模型。Google指出，Veo 2理解力更強了，可以判斷實體世界物理作用、人類運動和表情的細微差異，來強化影片的細節和真實性。它也理解電影攝影的獨特語言，用戶可以指定鏡頭和想要的影像效果，例如要求從場景中間以低角度平移追蹤。</p> <p>Veo 2最高可以生成一部4K（4096 x 2160）解析度畫質、長2分鐘的影片。這個能力是OpenAI Sora影片最高解析度的4倍，長度則超過6倍。Google還提供千名使用者評估，Veo 2和其他模型如Meta MovieGen、Sora Turbo相比，Veo 2在整體偏好及提示遵從度，都超過其他模型。Google表示，Veo 2雖然有幻覺問題，但頻率大為降低。Veo 2已在Vertex AI上線，Google也在新推的Google Labs影像生成服務VideoFX和實驗專案Whisk上，線逐步開放給創作者使用，但僅支援720p和8秒影片生成。<a href="https://blog.google/technology/google-labs/video-image-generation-update-december-2024/">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/images/12-16-24_GenMedia_Hero-1_FEraqiS.width-1200.format-webp.webp" /><span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#3399ff;"> Claude </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#3399ff;"> Clio </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 使用分析 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Anthropic推出Claude使用分析系統Clio</strong></span></p> <p>日前，Anthropic公開一項Claude使用分析系統，名為Clio，結合了隱私保護和安全分析功能，企業用戶可用來了解大型語言模型的實際應用情境。Anthropic表示，Clio設計的初衷是為了要解決兩大挑戰，首先是Claude等大型語言模型的應用場景廣泛且多元，要全面偵測和理解其使用方式非常困難，再來還得兼顧用戶資料隱私。</p> <p>為兼顧分析和隱私，Anthropic開發這套自動化分析系統，能以匿名和資料聚合技術，將大量對話資料轉化成為抽象的主題叢集，供使用者得以分析結果，且不涉及個人資訊。這個分析流程可分為4階段，首先是擷取每段對話的主題和語言等多種屬性，進行語義分群，接著是針對每個叢集，生成簡潔的標題與摘要，最後是建置多層結構來分析。這些步驟由Claude系統自動執行，不需人工介入。</p> <p>Anthropic已用Clio探索數百萬筆對話資料，發現Claude主要用於程式開發、教育學習和商業策略等領域，其中程式相關的使用情境占超過10％，像是程式碼除錯和版本控制工具的解釋等。除此之外，Clio也發現Claude常用於解夢、災害準備和桌上角色扮演遊戲策略建議等小眾用途。<a href="https://www.anthropic.com/research/clio">（詳全文）</a></p> <p><img alt="" src="https://www.anthropic.com/_next/image?url=https%3A%2F%2Fwww-cdn.anthropic.com%2Fimages%2F4zrzovbb%2Fwebsite%2F7d27ae68696871a7fc0e49d219ae3b7bc0fe98d0-2401x1520.png&w=3840&q=75" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> ChatGPT </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 多模態 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 統一管理 </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI ChatGPT看得見了</strong></span></p> <p>在OpenAI展開的12天直播中，揭露兩款新功能Advanced Voice Mode with Vision和Projects，分別讓ChatGPT看得見，還能同時儲存專案檔案和對話了。進一步來說，Advanced Voice Mode是以GPT-4o等多模態模型為基礎，賦予ChatGPT聽力，能更流暢、更快速和用戶交談。在第6天的新功能發布中，OpenAI為這個功能加入了影片、螢幕共享和圖片上傳的支援能力，用戶可將手機對準電視播放的影片，問ChatGPT問題，或是和ChatGPT視訊對話，讓ChatGPT一步步教用戶完成手沖咖啡。該功能目前開放給ChatGPT Plus、Pro 方案用戶以手機App存取。</p> <p>另一項新功能Projects則提供對話和檔案統一管理的新方法，來簡化需要大量交談的工作。Projects可將對話內容、檔案和自訂指令儲存於單一個地方，以便管理。它還支援OpenAI的現有功能，包括Canvas文件編輯、進階資料分析、DALL-E和搜尋等。該功能將陸續推向所有ChatGPT 付費用戶，包括Teams、Plus、Pro方案，但ChatGPT Enterprise及Edu方案用戶要等到明年初。<a href="https://help.openai.com/en/articles/10271060-12-days-of-openai-release-updates">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Gemini 2.0 Flash </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI代理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 瀏覽器 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google揭露最新模型Gemini 2.0，還推出4款AI代理 </strong></span></p> <p>12月11日，Google發布專為代理型AI（Agentic AI）打造的多模態語言模型Gemini 2.0，並開放Gemini 2.0 Flash實驗版，還揭露了4款AI代理。Google執行長Sundar Pichai指出，最新的Gemini 2.0是Google歷來最強大的多模態模型，可處理音訊、圖片、影片和文字，還能與Google搜尋和地圖整合。Gemini 2.0一樣是系列模型，目前亮相的第一款模型為Gemini 2.0 Flash，在理解、數學、推理、事實貼近、圖像辨識、語音辨識及影像分析等多個基準測試中，大幅超越前一代Flash模型和1.5 Pro模型。Gemini 2.0 Flash目前還是實驗版，但開發者可透過Google AI Studio和Vertex AI的API，來打造AI應用程式。</p> <p>與此同時，Google還發表了4款以Gemini 2.0 Flash為基礎的AI代理，這些代理可以使用工具、呼叫函數，還能即時回應API。第一個AI代理是Project Astra，是一款手機助理，可以即時辨識影片、文字、圖像和音訊，還與Google服務整合，能協助管理日曆、發送郵件和搜尋查詢。再來是Project Mariner，是專門用於瀏覽器的AI代理，能理解像素、文字、程式碼、圖片及表格等Web元素，還能透過一款Chrome外掛來執行任務，像是讀取網頁、比較產品價格、買票和安排時程表等。</p> <p>第三個代理是Deep Research，是一款多模態研究助理，能分析資料集、文章摘要、編譯報告等。它是為學術和專業研究設計，Gemini Advanced訂閱者可以使用。第四個則是Jules，可整合到GitHub工作流程的AI代理，能處理程式開發問題、建立規畫並執行。<a href="https://blog.google/technology/google-deepmind/google-gemini-ai-update-december-2024/#ceo-message">（詳全文）</a></p> <p>圖片來源／Meta、OpenAI、Nvidia、微軟、Google、Anthropic</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. Google開始測試有推理能力的Gemini 2.0 Flash模型</strong></p> <p><strong>2. Salesforce升級Agentforce 2.0，新技能庫要助企業打造高效智慧代理</strong></p> <p><strong>3. GitHub Copilot推出免費版本</strong></p> <p><strong>4. Google發表3D場景生成模型Genie 2</strong></p> <p>資料來源：iThome整理，2024年12月</p> </div></div></div>
2024/12/20 19:59作者王若樸https://www.ithome.com.tw/news/166614
基於第三代P4引擎，AMD推出首款支援UEC傳輸標準的AI網卡
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/amd_pensando_pollara_400_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2022年4月，AMD宣布併購資料處理器新創廠商Pensando，5月完成合併，，後續他們持續號召更多企業採用，像是：HPE Aruba Networking宣傳CX 10000系列交換器，<a href="https://www.ithome.com.tw/review/147554">我們曾在2021年底報導</a>；2022年8月底<a href="https://www.amd.com/en/newsroom/press-releases/2022-8-30-industry-leading-amd-pensando-dpus-enable-accelera.html">AMD與VMware宣布</a>，AMD Pensando DPU（Pensando Distributed Services Card）是vSphere 8第一批支援的資料處理器；2023年6月AMD透露，IBM Cloud、微軟Azure、Oracle Cloud Infrastructure等公有雲業者部署Pensando DPU，IT服務廠商DXC也採用Pensando DPU。</p> <p>到了今年，我們看到AMD展示資料中心解決方案時，在智慧型網路卡與資料處理器的產品線中，將Pensando與Alveo系列FPGA加速卡並列，</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Datacenter Porfolio-2022-11-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Datacenter%20Porfolio-2022-11-2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD OCP-Datacenterportfilo-2024-10.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20OCP-Datacenterportfilo-2024-10.jpg" style="width: 600px;" /></a></p> <p>10月11日，<a href="https://www.ithome.com.tw/news/165430">AMD發表伺服器處理器第5代 EPYC、GPU加速器Instinct MI325X</a>，以及<a href="https://www.ithome.com.tw/news/165429">企業級AI PC處理器Ryzen AI PRO 300</a>，出乎大家意外，他們也為了強化AI伺服器網路效能，推出兩個解決方案，一個是Pensando Salina DPU對應伺服器前端的網路連接，負責將資料與資訊傳遞至AI叢集，另一個是Pensando Pollara 400對應伺服器後端的網路連接，負責管理AI加速器與叢集之間的資料傳輸。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Pensando-2024-10-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Pensando-2024-10-1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AI Networks-2024-10-AMD-MemVerge.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AI%20Networks-2024-10-AMD-MemVerge.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/AMD Network-front-back end.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Network-front-back%20end.jpg" style="width: 258px;" /></a></p> <p>AMD當時預告，將於第四季開始提供這兩個解決方案的樣品，2025年上半供貨。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Financial Result-AMD Datacenter-2024-10.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Financial%20Result-AMD%20Datacenter-2024-10.jpg" style="width: 600px;" /></a></p> <p>對照當前市場上的同類型解決方案，AMD的Pensando Pollara與Pensando Salina，分別主攻智慧型網路卡（SmartNIC）與資料處理器，而且支援400Gb乙太網路規格，不禁讓人聯想到競爭對手Nvidia旗下的Connect-X系列網路卡與BlueField系列資料處理器，而且，前幾年已推出支援400 Gb乙太網路與InfiniBand的<a href="https://www.ithome.com.tw/review/149714">Connect-X7</a>與<a href="https://www.ithome.com.tw/review/156209">BlueField-3</a>，現在AMD總算端出能與之抗衡的網路產品。</p> <p>不過，Nvidia資料中心網路技術的布局稍早就已邁出下一步！例如，<a href="https://nvidianews.nvidia.com/news/networking-switches-gpu-computing-ai">今年3月GTC大會他們發表Connect-X8 SuperNIC，支援800 Gb網路規格</a>，6月預告Connect-X8 SuperNIC對應Blackwell架構GPU平臺，<a href="https://blogs.nvidia.com/blog/computex-2024-jensen-huang/">下一代智慧型網路卡產品Connect-X9 SuperNIC，將支援1600 Gb網路規格，並對應下一代Rubin架構GPU平臺</a>。</p> <h3><span style="color:#0000FF;"><strong>運用可程式化引擎，率先支援超乙太網路聯盟的傳輸標準</strong></span></h3> <p>AMD最新推出的AI網路卡Pollara 400，是針對2023年7月新成立的超乙太網路聯盟（UEC）倡議的高效能網路標準而來，而且是市面上第一款提供充分支援的AI網路介面晶片（UEC-ready AI NIC），可用於搭配新一代RDMA軟體使用，背後將由開放的網路生態系統提供支持。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Pensando-2024-10-5.jpg" style="width: 600px;" /></p> <p>值得注意的是，此處所提到的，應該是超乙太網路傳輸（Ultra Ethernet Transport，UET），2023年超乙太網路聯盟公開UET，今年3月揭露UET 1.0規格，而在10月舉行的2024 OCP高峰會期間，超乙太網路聯盟成員預告UET 1.0將於2025年第一季正式發布。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Pensando-2024-10-2.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/AMD OCP-2024-UEC.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20OCP-2024-UEC.jpg" style="width: 298px;" /></a></p> <p>AMD同時也強調，對於伺服器後端網路的AI加速器對接通訊應用，Pollara 400這款AI網路介面的採用，能帶來存取效能、規模延展性、執行效率等多種層面的提升。例如，若以標準的RoCEv2存取為比較基準，Pollara 400由於支援UEC-ready RDMA，完成整個訊息傳輸的時間僅需1/6，而用於AI工作負載與多個GPU彼此溝通的集合通訊（Collective Communication），完成傳輸的時間則是減至1/5。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD UEC READY RDMA-2024-10.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20UEC%20READY%20RDMA-2024-10.jpg" style="width: 600px;" /></a></p> <p>事實上，Pollara 400本身配備AMD發展的第三代P4語言執行引擎，內建232個比對處理器（Match Processing Unit，MPU），以及58個資料表引擎（Table Engine），用於資料層（Data Plane）與多種服務的加速處理，能針對多個同時在單一裝置（Pensando Pollara 400）執行的服務，提供400GbE網路線速的吞吐量。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD P4 engine-Gen3-2024-10.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20P4%20engine-Gen3-2024-10.jpg" style="width: 600px;" /></a></p> <p>AMD資深副總裁暨網路技術解決方案事業群總經理 Soni Jiandani表示，有了這樣的技術，使得AMD能夠適應乙太網路的持續進化，並且符合AI工作負載所需，而成為業界唯一擁有P4引擎，並以此驅動前端的GPU互連網路，以及後端的Pensando Pollara產品的互連網路，也因為具備完整的可程式化能力，促使他們的解決方案面臨AI系統規模擴張之際，仍然能夠經得起時間考驗、涵蓋整個網路環境不同層面的使用，進而提供更周延的產品搭配。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD POLLARA 400-2024-10.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20POLLARA%20400-2024-10.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>提供多種強化網路效能的技術</strong></span></h3> <p>Pollara 400除了透過P4提供完整可程式化的RDMA傳輸能力、相容於RoCEv2標準，強化後端網路運作效率，並且支援UEC這類正在快速發展的業界標準技術，這款產品還提供多種改善網路效能的功能，包含：智慧型封包濺散處理（Intelligent Packet Spray）、訊息依序傳遞至GPU（In-Order-Delivery）、有選擇能力的網路重新傳輸（Selective Retransmission）、具有路徑感知能力的網路壅塞預防（Path Aware Congestion Avoidance）。</p> <p>所謂的智慧型封包濺散處理，是指Pollara 400能夠橫跨多個路徑，聰明地將佇列配對（Queue Pair，QP）的封包進行分發處理，可完整利用所有能夠存取的網路頻寬，尤其是將這款產品用於CLOS交織網路架構時，可縮短訊息完成傳輸的時間與尾部延遲（tail latency），降低AI網路過於集中與流量堵塞的可能性，確保網路傳輸效能的品質，因此，AMD也稱其為進階的自我適應封包濺散處理技術，能有效因應AI模型的網路大量頻寬佔用，以及低延遲存取的要求。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Packet Spray-2024-10-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Packet%20Spray-2024-10-1.jpg" style="width: 600px;" /></a></p> <p>另一個內建的訊息依序傳遞功能，主要是為了因應多路徑傳輸（multipathing）與封包濺散技術的採用之後，經常會發生脫序的封包送抵狀況，Pollara 400可提供的解決之道在於，網路卡能以更有效率的方式處理資料封包的接收，當資料封包以異於原始傳送的順序抵達目標端時，會毫不遲疑地將這些內容直接放置到GPU記憶體。由於是從網路卡的層級管理網路傳送的複雜狀況，因此，系統可維持高效能與資料完整性，不會造成GPU的負擔，進而降低延遲、改善系統整體運作效率。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Packet Spray-2024-10-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Packet%20Spray-2024-10-2.jpg" style="width: 600px;" /></a></p> <p>關於具有選擇能力的網路重新傳送技術，是指Pollara 400可經由上述的訊息依序傳遞，以及有選擇的確認（Selective Acknowledgment，SACK），強化網路效能，能在封包丟失復原的處理過程中，盡量避免非必要的封包重新傳送作業，進而提升網路頻寬的使用率、降低延遲。</p> <p>AMD表示，SACK能協助Pollara 400辨識遺失或壞掉的封包，而且只需重新傳送這些封包。相較之下，RoCEv2採用的Go-back-N作法，一旦遇到單點故障就會重新傳送全部封包。而在結合訊息依序傳遞與SACK運用後，Pollara 400能促使資料傳遞更為順暢，提高網路資源的使用率，進而縮短工作完成時間與尾部延遲，更能因應要求嚴苛的AI網路環境，以及大規模機器學習處理程序的運作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AI_ML%20network%20requirement-OCP-2024-10.jpg" style="width: 600px;" /></p> <p>接下來是具有路徑感知能力的網路壅塞控制功能，Pollara 400可運用即時遙測與能夠了解網路傳送的演算法，有效管理眾多流量傳入（incast）這類網路堵塞狀況。</p> <p>一般而言，若在高可靠、不丟失任何封包的網路環境（lossless network），使用RoCEv2傳送資料，需仰賴基於優先程度的流量控制（PFC），以及明確壅塞感知（ECN）這兩種機制；透過UEC Ready RDMA傳輸，可搭配多種作法，像是：維持每個路徑的壅塞狀態，運用自我調適的封包濺散處理而能動態繞過壅塞路徑；在暫時壅塞期間，維持近乎線速的網路效能；橫跨多個路徑傳送，可在不用PFC的狀況下，提升封包遞送效率；實作每個傳輸流程的壅塞控制，預防不同資料傳輸處理之間的干擾。</p> <p>AMD表示，基於上述這些機制，可簡化設定、減少作業負擔，並且避免常見的壅塞現象擴散、流量鎖死（deadlock）、網路傳送佇列阻塞（head-of-line blocking）等問題，對於大型AI處理相當重要，因為能藉此提供明確、可預測的網路效能，加快AI資料中心的部署。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Congestion Control-2024-10.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Congestion%20Control-2024-10.jpg" style="width: 600px;" /></a></p> <p>為了確保AI系統的網路運作效率，Pollara 400也提供快速偵測錯誤技術（Rapid Fault Detection）維持最佳效能。AMD表示，對於AI應用程式而言，標準協定的逾時處理機制，運作速度太慢，此時需要積極的錯誤偵測功能，將重要環節標示出來，像是能夠減少GPU閒置時間的任務，以及增進AI訓練與推論吞吐量的任務，以便大大縮減整個工作完成的時間。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Packet%20Spray-2024-10-3.jpg" style="width: 600px;" /></p> <p>這方面功能有三種，首先是基於傳送端的確認監控（Sender-Based ACK Monitoring），可運用傳送端的能力，橫跨多個網路路徑追蹤相關的確認處理機制；第二是基於接收端的封包監控（Receiver-Based Packet Monitoring），能監督連入的封包傳輸流程，接收端可針對個別網路路徑，追蹤封包接收狀況，能發現潛在問題，例如封包未在指定期間抵達某個路徑位置；第三是基於探針的驗證（Probe-Based Verification），當企業導入前兩種做法而觸發疑似故障狀況時，可啟用這項機制，過程中，Pollara 400可將一個探針封包傳到可能故障的路徑上，如果在指定期間探針沒有收到任何回應，該路徑就會被確認為無法使用。透過這個額外的步驟，能協助企業區別是否為暫時發生的網路問題，或是實際的路徑不通。</p> <p><a href="https://s4.itho.me/sites/default/files/images/UET CONNECTION-2024-10.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/UET%20CONNECTION-2024-10.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/UET-OCP-2024-10.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/UET-OCP-2024-10.jpg" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>AMD Pensando Pollara 400</strong></span><br /> ●原廠：AMD<br /> ●建議售價：廠商未提供<br /> ●外形：半長半高<br /> ●網路介面：1個400GbE埠（QSFP112），最大頻寬400 Gbps，可分接2個200GbE埠或4個100GbE埠、50GbE埠、25GbE埠<br /> ●I/O介面：PCIe 5.0 x16<br /> ●儲存加速應用：RDMA、RoCEv2、UEC Ready RDMA<br /> ●支援管理應用：MCTP/SMBus、SPDM over MCTP、MCTP over PCIe VDM、PLDM firmware<br /> ●支援的軟體開發套件：Pensando DPDK、Pensando SSDK</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/12/20 19:07作者李宗翰https://www.ithome.com.tw/review/165555
GovTech月報第36期：高雄將打造城市級主權生成式AI，倡議地方政府主權AI；政院發布打詐行動綱領2.0，力推AI…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(1123~1219)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">智慧城市</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>高雄市擬打造城市級主權生成式AI，強化城市治理</strong></span></p> <p>高雄市長陳其邁日前出席臺灣生成式主權AI倡議活動時指出，高雄市將和相關業者合作，打造國內首個城市級主權AI平臺，以發展具有地方特色、高雄價值的AI模型，強化高雄市的智慧治理。</p> <p>這項計畫是以「智慧高雄燈塔計畫」命名，陳其邁指出，透過城市級的主權AI平臺，得以強化技術自主性，並發展出地方特色、高雄價值的AI模型。未來將會由市府各局處導入應用，同時也將邀集國公民營企業響應，提升產業智慧管理及智慧城市效能，為企業運營監管、交通管理、災防應變等領域準確有效的建議方針。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/9-600.jpg" style="width: 600px; height: 400px;" /></p> <p>市府計畫與相關AI、雲端服務業者合作，打造具有高雄特色的多模態生成式AI，未來由市府各局處、國公民營企業使用，以累積具有高雄在地特性的大量數據，優化AI模型訓練，提供更精準的預測與推論，以用於城市治理需求，例如大型活動規畫、交通疏運分析、災害防治、產業安全監控等等，透過該平臺提供應變措施及建議。市府表示，該計畫將發展出以高雄的地方特色為核心，高適配性的治理方案，使高雄市的智慧城市發展進入全新的高度。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">打詐</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><span style="color:#000000;"><strong>行政院擬定打詐行動綱領2.0，將借助AI等科技防詐</strong></span></span></p> <p>網路詐騙廣告盛行，行政院近期擬定新世代打擊詐欺策略行動綱領2.0，強化金融、電信產業的防詐策略，也擴大納入數位經濟產業，並且提高對產業的監管以對抗各種詐騙手法，同時也將透過AI等科技協助防詐。</p> <p>在打詐行動綱領2.0中，規畫4大重點：強化AI防制、深化跨境合作、監管防詐產業、強化被害人保護。對於產業面，除了原本的金融、電信產業，也擴大數位經濟產業，包括網路廣告平臺、第三方支付服務、虛擬資產服務、網路連線遊戲、電商，提高監管力度，希望達到防詐的效果。</p> <p>在運用AI方面，打擊詐欺策略行動綱領2.0，鼓勵金融業者運用AI分析交易異常的行為，此外，也鼓勵電信業者運用AI技術分析可能涉詐的異常行為，協助司法警察機關防詐，同時加強電信客戶的KYC查核，取得客戶的雙證件資料後，查詢內政部的國民身分證領補換資料庫，以驗證證件真偽，並且查詢165的防詐聯合風險管理系統資料庫，查驗是否為高風險客戶。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位身分</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位皮夾</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>數位部展示數位皮夾功能雛形，強調數位身分自主權</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DW(1).jpg" style="width: 606px; height: 421px;" /></p> <p>數位部推動數位公共基礎建設，其中受到外界關注的數位皮夾，在今年8月開始推動，目前正在開發測試階段，日前對外展示數位皮夾功能雛形，例如使用數位皮夾加入證件卡片，選擇證件卡片並勾選只分享必要資料，授權給第三方驗證。</p> <p>數位部是在今年8月開始推動數位皮夾政策，目前開發測試數位皮夾，預計在明年推出數位皮夾服務，民眾可自行選擇是否使用數位皮夾，初期先與其他部會合作，數位皮夾存放政府核發證件卡片，未來也會開放企業加入。</p> <p>數位部表示，未來我國的數位皮夾開源之後，不只可將證件卡片放進數位皮夾，企業既有的服務也可支援數位皮夾，例如電子支付或是與個人身分驗證相關的服務。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">加密貨幣</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位資產</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>川普任命前PayPal高層主管擔任人工智慧、加密貨幣政策白宮幕僚</strong></span></p> <p>美國總統當選人川普即將在下個月走馬上任，川普近日陸續公布新政府團隊，包括任命曾在PayPal任職的David Sacks擔任人工智慧、加密貨幣方面政策的白宮幕僚。</p> <p>川普形容這項新的人事任命，Sacks將負起規畫AI及加密貨幣相關政策首席顧問，這兩個關係到美國競爭力的領域，確保美國在兩個領域的居於全球領先的地位，川普相信Sacks將捍衛言論自由，以避免受到大型科技公司偏見和審查的影響，並進一步透露Sacks未來將建立一個法律框架，以回應加密貨幣產業一直要求的明確性，使其在美國得以蓬勃發展。</p> <p>在此之前，川普也公布曾任美國證券交易委員會（SEC）委員的Paul Atkins，將成為下一任SEC主席，川普指出Paul Atkins深切了解數位資產及創新，對於美國再次偉大的重要性。從川普近期言論及人事命令來看，未來美國政府將一轉先前拜登政府立場，以更大的力度擁抱AI、加密貨幣及數位資產。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位政府</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位身分</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><strong><span style="font-size:22px;">越南政府以數位身分為基礎加速政府數位轉型</span></strong></p> <p>越南正以國家建構的數位身分作為基礎，加速該國的數位政府轉型發展，該國正以VNeID （Vietnam Electronic Identification）App，鼓勵各個政府部門在上面提供更多數位服務，以打造該國數位政府服務的Super App。</p> <p>根據該國2022年到2025年數位轉型計畫，以及2030年政府發展願景，越南希望將該國數位身分App提供更多政府服務，以發展為民眾容易使用各項政府服務的超級應用程式，目前該國民眾可透過App存取使用多種政府服務，例如取得行政文件、完成行政程序，或是申請政府補助社會福利。</p> <p>越南推動政府服務數位轉型，目的為減少該國民眾前往政府機關臨櫃辦理服務的交通成本，以及取得服務所需要的費用支出，越南政府規畫未來該App將整合數位支付、數位錢包等功能，用以支付水、電等公用事業帳單，或是領取政府補助、社會福利。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">無人機</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">醫療</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>衛福部在花蓮偏鄉地區試辦無人機送藥</strong></span></p> <p>偏鄉醫療資源有限，以花蓮為例，過去在緊急情況下，仰賴直升機送藥，但直升機起飛有許多限制，衛福部近期在花蓮秀林鄉試辦無人機送藥，已完成首次無人機試飛。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/drone-600.jpg" style="width: 600px; height: 452px;" /></p> <p>花蓮因地形狹長且涵蓋山區，衛福部和花蓮慈濟醫院、秀林鄉衛生所合作試辦無人機送藥，透過無人機飛行送藥，但為了符合藥事法規定親自將藥品交予病患，先將病人需要的藥品從衛生所送到衛生室或消防單位，再由護理人員或消防人員送到病人手中。</p> <p>使用無人機送藥可望降低直升機飛行安全風險，但由於無人機飛行需與民航局申請航管路線飛行許可，因此衛福部和民航局聯手試辦花蓮無人機送藥，初期為半年內在花蓮試飛30次，以蒐集當地無人機飛行條件，並和藥師合作遠距配送藥物指導，另外，也與消防單位合作，針對民眾在外被毒蛇咬傷、虎頭蜂螫等特殊情形送藥。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">緊急廣播</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>佛羅里達打造AI緊急廣播系統，提高防災訊息傳遞效率</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/BEACON-600.jpg" style="width: 600px; height: 280px;" /></p> <p>面對颶風等大型災害來襲，美國佛羅里達州積極運用科技防災，近期啟用一套AI緊急廣播系統BEACON，透過該系統縮短災防緊急資訊傳遞到公眾的時間，以藉此提升民眾對災害的因應能力。</p> <p>BEACON號稱為美國第一個AI廣播系統，相較於傳統仰賴人工處理訊息，BEACON為7x24小時的廣播系統，包括專門的無線廣播及電視頻道，另外，也會透過行動應用程式及桌面串流服務，擴大對外傳遞資訊的管道，可支援英語及西班牙語。當沒有災害發生時，該系統用於防災教育及應變指引，向民眾宣傳防災應變資訊。</p> <p>當災害發生時，該系統運用AI提升訊息的自動化處理能力，能夠自動擷取、分類政府所授權機構發布的緊急資訊，並根據地理位置進行在地化處理，以提高警報傳遞效率。此外，透過AI將文字自動轉為語音，結合傳播的廣播通道，即使網路中斷，也能透過無線廣播傳遞資訊。目前佛羅里達已在人口密集區完成測試，未來該系統可能進一步推向全美。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">智慧城市</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size: 22px;"><strong>新竹縣測試戶政AI問答機器人</strong></span></p> <p>新竹縣政府導入AI等新科技，近期試辦戶政業務AI問答機器人，民眾前往辦理戶政業務，可先詢問AI機器人戶政相關業務，例如辦理結婚登記、戶籍遷入應攜帶哪些文件。</p> <p>AI機器人的外型為大型螢幕，底部則有滾輪可供機器人移動，目前機器人在竹北市戶政事務所試營運，洽公民眾可以語音、文字等方式，與機器人互動查詢相關的戶政服務，機器人可以語音對話回覆，搭配螢幕呈現相關業務向民眾說明。</p> <p>由於竹北地區近幾年快速發展，戶政事務所人員有限，但是業務繁重，因此新竹縣政府希望透過導入機器人，來回應民眾例行性問題，減少戶政人員工作負擔。</p> <p> </p> <p> </p> <p>圖片來源／高雄市政府、BEACON、花蓮慈濟醫院</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.高雄市用AIoT監測降低工業區污染</strong></p> <p><strong>2.英國擬加碼10億英鎊加速政府部門上雲</strong></p> <p>資料來源：iThome整理，2024年12月</p> </div></div></div>
2024/12/20 17:46作者蘇文彬https://www.ithome.com.tw/news/166592
逾3千個網站被用於發動DeceptionAds攻擊，每天推送逾1百萬次惡意廣告，意圖向使用者散布竊資軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>攻擊者濫用廣告散布惡意程式的情況不斷有事故傳出，但如今手法也變得越來越刁鑽，有駭客利用廣告追蹤服務來掩蓋意圖，導致相關資安防護機制難以察覺異狀。</p> <p>資安業者Guardio揭露<a href="https://labs.guard.io/deceptionads-fake-captcha-driving-infostealer-infections-and-a-glimpse-to-the-dark-side-of-0c516f4dc0b6">大規模的冒牌Captcha圖靈驗證攻擊行動DeceptionAds</a>，駭客藉此散布竊資軟體Lumma Stealer，從而繞過安全瀏覽（Safe Browsing）等常見的資安防護機制。而這起攻擊行動駭客接觸受害者的管道，主要是經由單一的廣告網路來進行，此網路每天散布超過100萬次廣告，並透過逾3千個內容網站引誘使用者上當。</p> <p>研究人員與另一家資安業者Infoblox合作，分析重新導向鏈、經混淆處理的指令碼，以及攻擊者使用的流量分配系統（Traffic Distribution Systems，TDS），得知攻擊者濫用BeMob等廣告追蹤系統來埋藏攻擊意圖，此手法針對廣告生態圈分散的情況而來，而使得攻擊者能夠發展成大規模攻擊行動。</p> <p>針對這波攻擊的規程，研究人員提及攻擊者透過看似Captcha的圖靈驗證網頁來引誘使用者上當，從而在受害電腦植入竊資軟體。當使用者瀏覽特定的內容網站時，這類驗證網頁便會突然出現，要求使用者依照指示來驗證自己是人類，一旦他們依照歹徒的指示操作，就會將攻擊者的PowerShell指令複製並貼上執行視窗，電腦就會被部署Lumma Stealer。</p> <p>研究人員特別提到，根據他們的研究，所有導向冒牌Captcha網頁的流量，都來自點擊廣告的使用者。而這些廣告的大量散播，都是透過賽普勒斯廣告業者PropellerAds旗下的子公司Monetag的網路服務。</p> <p>另一個他們發現的重要線索，則是這些Monetag廣告的流量分配系統網域，將會把使用者重新導向具有指定特徵的URL，而這些URL涉及另一家廣告追蹤服務的BeMob流量分配系統。最終，流量才從BeMob導向冒牌的Captcha網頁，而這些網頁建置於Oracle Clud、Scaleway、Bunny CDN、EXOScale、Cloudflare等合法雲端服務上。</p> <p>雖然廣告主利用追蹤服務了解投放的廣告成效是常態，但研究人員提及，攻擊者真正的目的其實是掩護惡意活動，他們利用BeMob合法服務，導致Monetag審核工作變得複雜。</p> <p>對此，研究人員向Monetag及BeMob通報，後續這兩家公司都著手清理門戶，其中Monetag於11月28日開始，耗費8天刪除超過200個與攻擊者有關的帳號；BeMob則是使用4天的時間刪除有關帳號。</p> </div></div></div>
2024/12/20 15:39作者周峻佑https://www.ithome.com.tw/news/166607
Niconico遭勒索軟體攻擊後續消息浮上檯面，傳出角川集團支付贖金近300萬美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月上旬<a href="https://www.ithome.com.tw/news/163495">日本知名影音共享平臺Niconico出現服務中斷</a>的情況，隨後母公司角川集團證實旗下有多個網站同時受害，並鬆口坦承是勒索軟體攻擊，到了6月下旬，<a href="https://www.ithome.com.tw/news/163704">勒索軟體駭客組織Black Suit承認是他們所為</a>，聲稱竊得約1.5 TB的內部資料。如今這起事故出現新的進展，角川集團傳出選擇向駭客低頭，在經過討價還價後支付贖金。</p> <p>根據日本新聞網站共同通信社（Kyodo News）12月12日的報導，<a href="https://nordot.app/1239845288355070702">他們透過知情人士取得駭客與角川幹部之間的往來電子郵件</a>，駭客聲稱已經收到以加密貨幣支付的贖金。</p> <p>該新聞網站尋求資安業者Unknown Technologies協助，結果發現在6月有一筆298萬美元的加密貨幣交易，代表角川集團很有可能在事故發生當月就打算付錢了事。但即使如此，還是在9月傳出<a href="https://therecord.media/japanese-media-kadokawa-investigating-cyber">駭客洩露竊得資料</a>的情況。</p> <p>但究竟這些說法的真實性如何？角川發言人表示警方已介入調查，他不願發表評論，但駭客宣稱尚未收到贖金，顯然雙方各說各話。</p> <p>根據當地另一家媒體每日新聞（Mainichi Newspaper）的報導，<a href="https://mainichi.jp/english/articles/20241212/p2g/00m/0na/035000c">他們提到了談判過程的細節</a>。</p> <p>該媒體取得知情人士的說法，角川高層自6月8日至17日之間，收到多玩國（Dwango）營運長栗田穣崇（Shigetaka Kurita）與駭客談判的電子郵件。</p> <p>6月13日駭客索討825萬美元，栗田穣崇表示他在並未通報董事會的情況下進行談判，因故無法支付300萬美元以上的金額，</p> <p>對此，駭客要求必須在48小時拿到298萬美元，他們才會願意刪除竊得資料。</p> <p>根據Unknown Technologies的調查，6月13日約有44個比特幣送交到某個加密貨幣帳戶，當時價值相當於298萬美元。Unknown Technologies認為，角川在與駭客談判的過程應更加謹慎，原因是駭客往往不會信守承諾。</p> <p>值得留意的是，<a href="https://therecord.media/kadokawa-japan-reported-ransomware-payment">資安新聞網站The Recorded指出</a>，角川已在<a href="https://ssl4.eir-parts.net/doc/9468/tdnet/2521081/00.pdf">11月發布的財報</a>當中，提及因受到網路攻擊的影響，他們在將2025年3月認列23億日元（1,500萬美元）的鉅額虧損。</p> </div></div></div>
2024/12/20 16:57作者周峻佑https://www.ithome.com.tw/news/166611
生成式AI工具鏈大戰白熱化
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>年底，科技大廠紛紛揭露生成式AI的新戰略，微軟在11月Ignite大會上<a href="https://www.ithome.com.tw/article/166497" target="_blank"><span style="color:#3366ff;">揭露兩大Agentic AI新戰略</span></a>，聚焦Copilot生態圈和多代理型AI工具鏈，12月初緊接著登場的<a href="https://www.ithome.com.tw/article/166603" target="_blank"><span style="color:#3366ff;">AWS年度大會re:Invent</span></a>，從運算、儲存、資料庫到AI推論產品線的種種升級，也都瞄準了生成式AI的發展需求。</p> <p>OpenAI同樣展開了為期12周的12天產品發表期，每周一天直播，分階段公布多項模型技術的進展，尤其是年初讓眾人大吃一驚的影音生成模型Sora終於正式推出，ChatGPT則新增了專案管理功能、ChatGPT的Canvas寫作和程式開發工具開始支援Python等，而擅長推理的o1模型開始釋出API，甚至提供了Java和Go的SDK。截至這篇文章完成之際，OpenAI的12天發表，才進行到第9天，但已經推出了許多開發者期待很久的功能，更容易用於開發和管理提示工程應用，或是將生成式AI整合到自家AP中。</p> <p>相較於2023年，科技巨頭展開激烈的LLM模型技術競賽，到了2024年，企業的目光轉向如何打造更有ROI效益的GAI應用，開始嘗試、尋找各式各樣合適的應用場景。</p> <p>回頭看2024這一年，相較於LLM模型技術的爆發式進步，相關軟體開發工具相對步調較慢，甚至沒有像Sora模型或o1模型般的突破式進展。GAI輔助軟體開發的相關工具，的確明顯進步了不少，像是GitHub Copilot之類的生成的程式碼品質越來越好，也開始出現了協助開發測試、除錯的GAI助手，甚至出現GAI應用專用的開發工具，不過，主要用於開發獨立的GAI應用，或是生成式AI的代理程式，甚至專門用於幾種特定用途的GAI代理助手的客製化。</p> <p>這些GAI開發工具的改善，只涵蓋到了軟體開發，或者說只占了企業打造一支應用系統生命周期中的一部分，隨著越來越多企業公開了自家GAI實作經驗，慢慢浮現更多GAI開發工具和方法論的不足。</p> <p>最常見的挑戰是，用提示工程來開發GAI應用時，IT部門不見得能夠有效檢核模型的生成結果，每一次調整，都需要業務部門來協助評估，導致IT與業務必須多次來回合作，<a href="https://www.ithome.com.tw/news/165547" target="_blank"><span style="color:#3366ff;">我常提到的經典案例來自永豐金控的經驗</span></a>，開發人員撰寫出一版提示後，得由業務人員協助測試不同情境，檢核模型回應內容來提供修改建議，再回過頭交給開發人員修改提示，然後同樣過程再來一次，如此反覆十多趟，才能完成這一個專案模型提示指令的調整。業務人員的參與度，成了AI應用開發效率的關鍵。</p> <p>科技大廠也的確觀察到，許多企業開發GAI應用的挑戰，甚至，開始將GAI視為應用系統和開發的重要元素。微軟執行長Satya Nadella在年度大會上強調：「每一隻App正逐漸變成AI化的App，」未來每一隻應用，都將是AI應用，但現在打造AI應用的技術架構，才剛起步，有待發展，「開發工具還需要增加更多新功能。」這正是微軟的新戰略之一，全力發展通用型GAI技術基礎。</p> <p>AWS同樣看好未來龐大的GAI應用需求，AWS新任執行長Matt Garman在年度大會更直言：「生成式AI（GAI）將成為每個應用程式的核心！」，如此看重GAI角色的願景，也影響了AWS所有的產品策略。</p> <p>AWS不只是大力強化GAI開發相關工具鏈，GAI開發工具Bedrock強化提示管理和多代理協作能力，傳統AI開發平臺SageMaker更是大改版，變成了整合資料處理、分析應用和AI工具的大平臺。</p> <p>AWS原有的三大雲端服務產品線，運算產品線、儲存產品線、資料庫產品線的升級，今年都聚焦了GAI龐大需求來升級。AI開發工具的競爭，從GAI專用工具，開始擴大到傳統的軟體開發工具，甚至開始進入IT基礎架構技術和工具，這將考驗企業原有的軟體開發，甚至是基礎架構維運模式。</p> <p><span style="font-size:20px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 更多相關報導 </span></strong></span></span></p> <p><a href="https://www.ithome.com.tw/article/166497" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1212-feng_mian_-dou_zi_-p1_open-960x420_kao_bei_0.jpg?itok=kd7GaoFo" style="width: 550px;" /></a></p> <p><a href="https://www.ithome.com.tw/article/166603" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1213-feng_mian_-ruo_pu_-p1-open-960x420_kao_bei_0.jpg?itok=dCadQGdt" style="width: 550px;" /></strong></span></span></a></p> <p><a href="https://www.ithome.com.tw/article/165558" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1204-feng_mian_p1-yun_xuan_-open-960x420_kao_bei_0.jpg?itok=z8OnN9dk" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%BE%AE%E8%BB%9F">微軟</a></div><div class="field-item odd"><a href="/tags/ignite">Ignite</a></div><div class="field-item even"><a href="/tags/agentic-ai">agentic AI</a></div><div class="field-item odd"><a href="/tags/aws">AWS</a></div><div class="field-item even"><a href="/tags/reinvent">re:Invent</a></div><div class="field-item odd"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div><div class="field-item even"><a href="/tags/genai">GenAI</a></div><div class="field-item odd"><a href="/tags/gai">GAI</a></div><div class="field-item even"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai%E5%B7%A5%E5%85%B7%E9%8F%88">生成式AI工具鏈</a></div></div></div>
2024/12/20 15:48作者王宏仁https://www.ithome.com.tw/voice/166606
Starlink手機直連衛星文字訊息服務，首在紐西蘭全境部署
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SpaceX<a href="https://one.nz/why-choose-us/spacex/" target="_blank">宣布</a>Starlink手機直連衛星（Direct-to-Cell）文字傳訊服務將可在紐西蘭全境使用，成為第一個涵蓋全境的國家。</p> <p>SpaceX和紐西蘭電信業者One NZ合作稱為One NZ Satellite TXT的服務。這項服務讓One NZ現有消費用戶利用合格的手機收發文字訊息。在紐西蘭任何地方，特別是偏遠地區等電信業者基地台涵蓋地區以外的用戶，也能和外界保持聯繫。</p> <p>目前經業者測試能使用這項服務的手機，包含三星較新款機種包括Galaxy S22以上、Galaxy X、Galaxy A及X，以及OPPO Reno12 5G。預計之後會加入蘋果iPhone系列，以及更多款手機。</p> <p>手機直連衛星需要花3分鐘傳送，但業者警告剛開通的頭幾個月，可能需耗時10分鐘，但業者表示之後會陸續改善。</p> <p>這項服務是SpaceX Starlink今年初<a href="https://www.ithome.com.tw/news/160849" target="_blank">宣布</a>其業務提供支援文字訊息，首個涵蓋全境的國家。SpaceX目前在美國和T-Mobile合作推出這服務。而其他海外地區<a href="https://spacenews.com/new-zealand-first-to-offer-nationwide-direct-to-smartphone-starlink-service/" target="_blank">包括</a>加拿大、澳洲、日本、秘魯、瑞士和智利。</p> <p>SpaceX<a href="https://www.starlink.com/business/direct-to-cell" target="_blank">計畫</a>2025年會推出資料和物聯網（IoMT）服務，網站顯示語音服務即將推出。</p> </div></div></div>
2024/12/20 16:13作者林妍溱https://www.ithome.com.tw/news/166608
【AWS GAI戰略1】從3大AI主力平臺服務轉型為GAI創新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「生成式AI（GAI）將成為每個應用程式的核心！」AWS執行長Matt Garman在今年度re:Invent大會中如此直言，揭露了AWS年度戰略的一大重點：生成式AI。他更在主題演講中，花了超過一半的時間，在說明AWS AI平臺服務如何為生成式AI設計新功能。</p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> GAI平臺亮點1 </span></span> <span style="color:#B22222;">上架市集，還有蒸餾功能加速開發</span></strong></span></p> <p>以去年正式上線的生成式AI平臺Amazon Bedrock為例，這款平臺專為生成式AI設計，提供基礎模型選用、測試、算力支援以及各類工具，來讓使用者將模型整合到應用程式、部署到正式環境。目前有數十萬家組織在使用它。</p> <p>今年，這款平臺進一步延伸，從基礎模型選擇、提示管理，到RAG和大模型幻覺避免等生成式AI的熱門議題，都有亮點更新。</p> <p>首先是正式上架的Amazon Bedrock Marketplace市集，提供了100多個熱門的基礎模型，來讓使用者測試和部署。這些模型種類多元，有特定領域的專用模型，像是用於蛋白質研究的ESM3模型，也有通用的基礎模型，如來自Meta、Anthropic的語言模型。</p> <p>而且，這個市集還提供單一介面，來讓使用者直接存取專用和通用模型，不必再自己建立抽象層和複雜的安全層等複雜工作。</p> <p>除了基礎模型有更多選擇，AWS還鎖定建模需求，在Amazon Bedrock新添了預覽版的模型蒸餾功能，能將大模型知識快速轉移到小模型上，縮短模型開發時間、降低成本。</p> <p>這個功能的特點是，使用者就算不具備機器學習專業知識，也能給定範本提示，來讓系統產出較小的蒸餾模型。這個新功能適用於多種模型，來自Anthropic、Meta和Amazon自己在大會中新發布的Nova系列模型都可以。</p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> GAI平臺亮點2 </span></span> <span style="color:#B22222;">更有效管理提示成本</span></strong></span></p> <p>隨著生成式AI深化企業工作流程，如何控管提示成本，也成為一大問題。看準這波需求，AWS今年在Amazon Bedrcok中推出提示快取（Prompt caching）預覽版新功能，可對提示進行快取，要是偵測到重複輸入的提示，就能快取同部分的答案，減少提示重複出現所產生的Token成本。</p> <p>也就是說，企業建立的GAI聊天機器人，有多位使用者在提示中詢問同樣問題時，Amazon Bedrock就能快取該部分的答案。因此，這部分問題只會處理一次，還能在每次有人想要詢問相關問題時，重複使用，減少了模型每次需要處理的資訊量。</p> <p>AWS資料與人工智慧資深副總裁Swami Sivasubramanian甚至形容：「這是降低延遲和節省成本的關鍵，可以降低85%延遲、節省90%成本。」</p> <p>還有另一款管理提示成本的預覽版新功能是智慧提示分配（Bedrock Intelligent Prompt Routing）。這個功能很特別，使用者配置後，它能根據提示內容，自動將提示分配給最適合且兼顧成本的模型來回答問題。這個方法，在不影響準確度的情況下，最高可節省3成成本，開發者也不必再花大量時間，測試哪些模型最適合回答特定問題。</p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> GAI平臺亮點3 </span></span> <span style="color:#B22222;">RAG支援結構化和多模態資料了</span></strong></span></p> <p>在正式場景運用生成式AI，最怕的就是答非所問。為約束生成式AI不亂回答，檢索增強生成（RAG）成為一種主流方法，靠外接資料庫，來讓大型語言模型（LLM）在其中搜尋、產出答案，降低幻覺發生。</p> <p>先前，AWS就推出相關服務來支援RAG，比如Amazon Bedrock Knowledge Bases知識庫，能用來簡化RAG工作流程管理。又或是Amazon Kendra，能利用機器學習預測，來讓使用者更容易在企業或組織中找到所需的正確資料。</p> <p>這次，AWS瞄準RAG所需的資料類型，分別祭出Bedrock Knowledge Bases的結構化資料檢索功能，以及能自動從非結構化的多模態資料中抽取內容，來轉換、生成結構化資料的Amazon Bedrock Data Automation預覽版資料自動化功能。甚至還有支援圖學檢索的Bedrock Knowledge Bases GraphRAG預覽版功能，使用者可以打造使用知識圖譜的GAI應用程式了。</p> <p>不只如此，AWS還擴大了RAG可參考的資料來源，一併推出Kendra GAI Index預覽版，使用者能連結40多個資料來源、對其索引，來打造更好的數位助理和智慧搜尋體驗。</p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> GAI平臺亮點4 </span></span> <span style="color:#B22222;">多代理協作</span></strong></span></p> <p>同樣是避免生成式AI幻覺，除了RAG，AWS今年還在Amazon Bedrock中新添另一項自動推理（Automated Reasoning）檢查功能預覽版，可以檢測模型產出的答案是否符合邏輯。Matt Garman還透露，AWS自己有許多服務，就用自動推理功能來檢查產出結果，像是S3、程式碼檢查工具Amazon Codeguru等。</p> <p>生成式AI的興起，也帶動了AI代理（Agent）應用。也就是說，一項任務可拆解為好幾個步驟，這些步驟可由幾個AI代理來執行。但任務越複雜，比如涉及數百個、上千個變數的財務分析，就需要大量AI代理來分工執行，這種多代理的管理、調度難度也就越高。</p> <p>所以，AWS今年在既有的Bedrock Agent代理功能中，進一步新添多代理管理協作功能預覽版，使用者可用來建置、部署和管理多個AI代理，來共同執行複雜的多步驟任務，不必再寫複雜的程式碼。</p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#006400;"> GAI助理亮點1 </span></span> <span style="color:#006400;">協助IT現代化</span></strong></span></p> <p>AWS另一項AI主力產品，是去年新上線的生成式AI助理Amazon Q。這個助理分為Q Developer和Q Business兩種，分別能用AI代理，來處理程式開發和企業知識管理任務。</p> <p>今年，這兩款助理各有重大突破，特別是Amazon Q Developer。</p> <p>Matt Garman在大會上先賣關子，今年中，Amazon自己就用Q Developer來升級內部Java程式至Java 17，不只省下大把的人工轉換時間，還因為提早使用了現代化Java程式，進而省下年度2.6億美元的IT成本。</p> <p>於是他們思考，Q Developer能否也加速其他IT現代化工作，而不只讓AI助理輔助簡單的程式開發任務。他們找上不少企業資訊長，詳談IT現代化痛點，最後鎖定3個領域，打造出Q Developer轉換新功能，來協助IT現代化。</p> <p>第一個轉換新功能是，將Windows.NET程式轉換為Linux作業系統相容的版本。為何這件事對企業很重要？</p> <p>因為，Windows.NET是2002年推出、只在Windows作業系統執行，但不再積極更新的框架。而2016年，一款開源的跨平臺.NET框架出現了，可在Linux作業系統上執行，輕量且效能更好。它還會定期更新，每年都會釋出新功能和效能改進。</p> <p>因此，將.NET應用程式從Windows轉換到Linux版本，不只能使用最新功能，還能減少微軟的授權費用支出。</p> <p>而Q Developer的AI代理，會自動分析、找出不相容和效率低下的.NET程式碼，產出轉換計畫並執行，重寫有問題的原始程式碼。Q Developer的AI代理還能「同時處理數百甚至上千個應用程式，」Matt Garman強調，轉換時間能得到4倍加速，使用者還能省下40%的許可費用。</p> <p>他甚至舉例，歐洲一家數位交易大廠Signaturit是這項功能的早期合作夥伴，他們原本打算用6到8個月，來將.NET程式轉換為Linux版本。但有了Q Developer的.NET轉換功能協助，短短幾天就完成了。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1214-%E6%88%B0%E7%95%A51-%E5%9C%962.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>AWS另一款AI主力產品Amazon Q生成式AI助理，還可分為Developer和Business兩種。前者專門由AI代理執行程式開發相關任務，在今年新添了將Windows.NET轉換為Linux版本的現代化功能。</strong></span></p> <p>另一個新功能是將VMware虛擬機器工作負載轉換到Amazon EC2雲原生環境中。這個功能，由Q Developer的AI代理自動偵測程式相依性，評估狀況後會產出初始搬遷計畫，包含發現資料、應用程式分組、網路遷移和伺服器搬遷等步驟。</p> <p>過程中，AI代理會將本地端的VMware配置轉換為AWS同等配置，並視情況動態調整搬遷計畫。相較於純人工轉換所需的幾個禮拜，Q Devloper幾個小時就能完成。</p> <p>第三個新功能鎖定大型主機現代化。這是一個讓許多企業頭痛的大麻煩，Matt Garman直言，大型主機是目前為止最難搬遷上雲的複雜系統，甚至，當他與客戶企業討論時，「光是分析、記錄和規畫大型主機現代化，就要耗費大量精力，很多人因此放棄。」</p> <p>於是，AWS看準這個痛點，推出Q Developer大型主機現代化轉換功能，來將老舊的大型主機COBOL程式碼轉換為Java，加速原本人工吃重的工作。首先，Q Developer的AI代理會自動分析程式碼，接著規畫現代化流程，將龐大的單體架構拆解為較小的業務領域，並重寫為Java程式碼。在這個過程中，AI代理還會針對COBOL程式碼，產出文件記錄，讓使用者知道程式碼的作用，有助於應用程式現代化的決策。</p> <p>「很多企業客戶都認為，大型主機轉換至少要3到5年，」Matt Garman話鋒一轉：「根據早期客戶和內部測試，我們認為Q可以將多年的大型主機現代化工作，減少為多季度的工作，將轉換時間減少50%以上。」這是個非常可觀的加速。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1214-%E6%88%B0%E7%95%A51-%E5%9C%963-%E6%94%9D%E5%BD%B1-%E7%8E%8B%E8%8B%A5%E6%A8%B8.JPG" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>另一項Amazon Q助理的新亮點是IT現代化，能自動分析大型主機程式碼，還能自動產出文件紀錄、生成轉換計畫並執行。根據AWS早期測試，可將數年的IT現代化工作縮短為幾個季度。</strong><span style="font-size: 14px;">攝影／王若樸</span></span></p> <p>這些IT現代化功能，目前皆為預覽版。</p> <p>除了協助IT現代化，AWS今年也替Q Developer增添其他功能，比如正式上線的3款AI代理功能，分別能自動產生和套用單元測試、產出準確的程式碼文件，以及自動進行程式碼檢查。又或是可自動偵測AWS環境問題的預覽版功能，使用者不必在不同的AWS監測工具中來回切換了。</p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#006400;"> GAI助理亮點2 </span></span> <span style="color:#006400;">整合更多資料和自動化</span></strong></span></p> <p>有別於程式開發，Amazon Q Business是一套企業知識管理GAI助理，能整合企業內部各類系統、AWS系統和第三方系統等40多個資料來源，來執行日常任務和資料查找等任務，也能像是商業智慧（BI）工具般，分析業務表現。就連Amazon自己的銷售團隊，也用Q Business來進行10萬多個帳號摘要。</p> <p>在這個基礎上，為讓使用者更方便進行BI分析，AWS這次將自家BI工具Amazon QuickSight和Q Business助理整合，就算使用者用的是Q Business建立的應用程式，也能查看BI工具提供的視覺化圖表等內容。</p> <p>不只是資料內容的整合，AWS還進一步擴大整合的資料來源範圍，使用者可授權獨立第三方廠商（ISV）的應用程式，透過API取用Amazon Q建立的索引（Index），來存取既有的其他應用程式資料，強化ISV應用程式的GAI體驗。</p> <p>再來，Q Business本身就有一些可執行的「動作」（Action），來讓使用者在日常應用程式中採取，來簡化工作流程，比如在Jira中建立問題。現在，AWS擴大這個動作庫，新添了50多個動作，來簡化使用者操作第三方生產力應用程式的工作流程，比如可以自動化操作Google Workspace、微軟365、Smartsheet等程式。</p> <p>甚至更進一步，AWS還為Q Business助理，新添了自動化執行複雜工作流程的功能，由AI代理分工執行，像是發票處理、管理用戶票證和新員工入職手續等工作。</p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#8B4513;"> SageMaker亮點1 </span></span> <span style="color:#8B4513;">更貼切的運算資源管理</span></strong></span></p> <p>另一方面，AWS發展多年的傳統AI平臺工具Amazon SageMaker，在今年大會中也有重大更新，首先是模型訓練的運算資源控管。受生成式AI影響，模型將越來越大，模型訓練的運算資源也需要更細緻的管控，因此AWS在全託管的AI開發部署和維運平臺Amazon SageMaker AI中，推出幾款新功能。</p> <p>第一款是在其下的運算資源管理工具SageMaker HyperPod中，新添30款精心調整過的開源模型供存取。如此一來，使用者可在幾分鐘內快速使用Llama3.2 90B、Llama 3.1 405B和 Mistral 8x22B等熱門模型，降低入門門檻，不必耗費幾周的時間，來自己迭代測試、優化模型訓練效能。</p> <p>另一款新功能是自動化彈性支援模型訓練的計畫功能（SageMaker Hyperpod Flexible Training Plans），能自動設置模型訓練所需的基礎設施和運算叢集，而且符合使用者預期的訓練時間和成本。</p> <p>還有一款是任務治理新功能（SageMaker Hyperpod Task Governance），使用者能定義自己的優先任務，來最大化運用加速器運算資源，降低模型訓練、微調和推論的成本。</p> <p>不只如此，AWS這次還進一步擴大SageMaker生態系，只要是AWS合作夥伴的AI應用程式，比如Comet、Deepchecks、Fiddler和Lakera Guard等，都能直接供使用者在SageMaker中直接使用這些程式，不必再將資料移出安全的 AWS環境，減少在不同介面間來回切換的時間成本。</p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#8B4513;"> SageMaker亮點2 </span></span> <span style="color:#8B4513;">整合工具新定位</span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1214-%E6%88%B0%E7%95%A51-%E5%9C%964.JPG" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>AWS今年給予旗下AI開發部署平臺Amazon SageMaker新定位，集結AWS各種資料處理工具、分析工具和AI工具，成為一套統一的AI平臺。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">攝影／王若樸</span></p> <p>另一方面，AWS發展多年的傳統AI平臺工具Amazon SageMaker，在今年年會中有了新定位，成為一套集結資料處理、分析應用和AI工具的統一大平臺。</p> <p>Matt Garman點出，這個設計，是為了使用者能更好地打造AI分析應用，在單一平臺就能找到所需工具，不必在不同工具間來回切換。</p> <p>在這個新定位下，首先亮相的新功能是Unified Studio統一工作室預覽版，整合了AWS自家多種工具，包括SQL分析（Amazon Redshift）、資料處理（Amazon EMR、AWS Glue和Amazon Athena）、機器學習（Amazon SageMakerAI）、串流（Amazon MSK、Amazon Kinesis）和商業智慧（Amazon QuickSight）等，甚至連主力的生成式AI平臺Amazon Bedrock，也納入其中，使用者在單一平臺就能存取，用來打造AI分析應用。</p> <p>AWS對SageMaker的統一策略還不只這一個。他們還針對AI分析必不可缺的資料，進行整合，推出Amazon SageMaker Lakehouse資料湖倉，也就是一套能存取散落在各處的資料的統一平臺。</p> <p>使用者可在平臺上，存取跨Amazon S3儲存服務、Amazon Redshift資料倉儲服務或其他來自上述Unified Studio平臺的資料。尤其，這個Amazon SageMaker Lakehouse還與Iceberg開源資料表格式相容，可打破數據孤島、讓資料更容易用於AI或ML分析。</p> <p>當然，集結了這麼多資料來源和工具，也需要相對應的存取權限管理工具，來把關資料安全。因此，Matt Garman也在年會上揭露一款治理工具Amazon SageMaker Catalog，管理者可用來設定細緻的資料、模型等存取權限。</p> <p><span style="color:#FFFFFF;"><span style="font-size:28px;"><strong><span style="background-color:#3399ff;"> Amazon Nova六款基礎模型亮相 </span></strong></span></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1214-%E6%88%B0%E7%95%A51-BOX-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-AWS.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>Amazon執行長Andy Jassy在今年度AWS re:Invent大會中，不僅揭露6款Nova系列模型，還透露明年要推出語音到語音、多模態到多模態等更強大的Nova模型。</strong><span style="font-size: 14px;">圖片來源／AWS</span></span></p> <p><strong>在今年度AWS re:Invent大會中，Amazon執行長Andy Jassy親自登場，揭露了6款自行研發的Nova系列基礎模型，包括Nova Micro、Nova Lite、Nova Pro、Nova Premier，以及用來生成高品質圖像的Nova Canvas和生成高品質影片的Nova Reel。</strong></p> <p><strong>進一步來說，Nova Micro是一款只處理文字的模型，能以極低的延遲和成本給出回答。Andy Jassy說明，這款模型在11項基準測試中，表現媲美Meta的Llama 3.1 8B甚至更好。Nova Micro不只支援128K Token的輸入長度，每秒還可輸出210個Token，非常快速，適合需要迅速回應的應用場景。</strong></p> <p><strong>再來，Nova Lite是一款多模態模型，主打快速處理圖像、影片和文字輸入。與OpenAI的GPT-4o mini相比，它在19項文字基準測試中，有17項表現持平或更好。</strong></p> <p><strong>Nova Pro則是功能更強大的多模態模型，兼顧準確性、速度和成本，適合處理多種任務。至於Nova Premier，則是Amazon所謂的頂級多模態模型，專為複雜推論任務而生。</strong></p> <p><strong>特別的是，Nova Micro、Lite和Pro等模型支援200多種語言，其中Nova Lite和Pro還支援300K Token的上下文長度，影片處理時長更能達到30分鐘。Andy Jassy預計，2025年初，Amazon將支援超過200萬Token的上下文長度。</strong></p> <p><strong>目前，Nova Micro、Nova Lite和Nova Pro已在生成式AI平臺Amazon Bedrock上正式可用，Nova Premier預計在2025年第一季上架。</strong></p> <p><strong>這些模型除了效能好，還很划算。AWS說明，Nova Micro、Lite和Pro在各自的類別中，使用成本比Amazon Bedrock中表現最佳的模型至少便宜75%，同時也是Amazon Bedrock中對應類別中，速度最快的模型。甚至，使用者還能客製化微調，或是使用蒸餾方法，來將大模型的知識快速轉移到小模型上，亦能採用RAG，來優化模型表現。</strong></p> <p><strong>另一方面，Nova Canvas這款模型不只能根據輸入文字或圖像，產出高品質視覺內容，還提供編輯功能，使用者利用文字輸入，就能快速調整圖像、控制顏色組合和排版等。這款模型也提供浮水印功能，可追溯每張圖像的來源，還會審核內容，以防有害內容出現。</strong></p> <p><strong>而Nova Reel除了可以文字生成高品質影片，一樣也能透過文字輸入，來控制視覺風格和節奏，像是鏡頭移動、旋轉和縮放等。</strong></p> <p><strong>最後，Andy Jassy還透露重磅消息，Amazon預計在明年第一季推出Nova語音到語音模型，也就是能即時根據語音輸入，解釋語言和非語言訊號（如語調和節奏），來提供接近真人的即時語音互動。</strong></p> <p><strong>再來，Amazon還在開發Nova多模態到多模態模型，也就是能接受文本、圖像、音訊和影片作為輸入，並以任意模態生成輸出，預計2025年中旬問世。他們認為，這種模型將能簡化應用程式開發，光靠同一模型就能執行多種任務，像是內容模態轉換、內容編輯，或是驅動能理解和生成所有模態的AI代理。</strong></p> <p><a href="https://www.ithome.com.tw/article/166603" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="font-size: 24px;"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1213-feng_mian_-ruo_pu_-p1-open-960x420_kao_bei_0.jpg?itok=dCadQGdt" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/12/20 14:51作者王若樸https://www.ithome.com.tw/news/166596