iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 32篇
近 24 小時: 32篇
近 7 天: 129篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/9
最近更新: 11/9 20:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 129 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象5 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
彭博社1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】12月30日，駭客鎖定逾20款Chrome延伸套件發動供應鏈攻擊，意圖竊取使用者社群網站帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Chrome瀏覽器的使用者注意！上週有資安業者公布他們經營Chrome延伸套件的開發帳號遭到入侵，導致用戶有可能面臨社群網站帳號遭竊的風險，但這並非單一事故，因為後續有研究人員發現，還有超過20款延伸套件也是這波駭客下手的對象。</p> <p>值得留意的是，部分套件下載次數突破10萬，影響相當廣泛，其中最多的是Visual Effects for Google Meet、Reader Mode，分別有超過90萬、30萬次下載。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166742"><strong style="font-size: 22px;">25款Chrome延伸套件遭遇供應鏈攻擊而成為駭客幫兇，目的是竊取使用者的社群網站帳號</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/vcwXOeEfp4.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/vcwXOeEfp4.png" style="width: 300px; float: right;" /></a></p> <p>攻擊者針對開源套件、瀏覽器延伸套件發動供應鏈攻擊的事故不時傳出，其中有不少是針對軟體開發套件開發者而來的事故，如今有專門針對瀏覽器套件開發者的情況傳出。</p> <p>這起事故的曝光，源於12月27日資料保護業者Cyberhaven發布的資安公告，他們表示在聖誕節前夕遭遇惡意Chrome延伸套件的攻擊行動，有人在24日假借Google的名義，透過釣魚攻擊滲透該公司員工的帳密資料，得逞後藉由他們的名義上架惡意版本Chrome延伸套件，該公司資安團隊於25日世界協調時間（UTC）晚點11時54分察覺此事，並於一個小時內將惡意套件下架。</p> <p>然而，Cyberhaven並非唯一遭到鎖定的Chrome Web Store開發團隊。資安業者Nudge Security共同創辦人暨技術長Jaime Blasco警告，還有其他延伸套件的開發人員疑似遭到鎖定，他根據駭客使用的C2伺服器IP位址進行比對，指出還有另外14個延伸套件也可能受害。資安業者Secure Annex也公布他們的調查結果，並彙整受到這起事故影響的延伸套件列表，截至目前為止，已有25個套件遇害，這些有問題的套件累積下載次數超過229萬，使用者資料恐面臨外流的情形。</p> <p><a href="https://www.ithome.com.tw/news/166736"><strong style="font-size: 22px;">殭屍網路Ficora、Capsaicin崛起，鎖定D-Link路由器已知漏洞而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig01-dlink-botnet.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig01-dlink-botnet.jpeg" style="width: 300px; float: right;" /></a>鎖定D-Link網路設備漏洞的攻擊行動接連傳出，其中有不少是針對研究人員剛發現的新漏洞而來，如今有攻擊者一口氣針對多個已知漏洞下手，意圖控制裝置、將其納入殭屍網路大軍。</p> <p>資安業者Fortinet在2024年10月至11月發現兩個殭屍網路的活動大幅增加的情況，其中一個是Mirai變種Ficora，另一個則是源自Kaiten變種的Capsaicin，而這些殭屍網路的散布方式，就是針對特定型號的D-Link無線基地臺已知漏洞而來，涵蓋CVE-2015-2051、CVE-2019-10891、CVE-2022-37056，以及CVE-2024-33112（CVSS風險評分皆達到9.8）。</p> <p>攻擊者利用上述的已知漏洞，從而遠端濫用家庭網路管理協定（Home Network Administration Protocol，HNAP），於受害裝置執行任意程式碼。</p> <p><a href="https://www.ithome.com.tw/news/166737"><strong style="font-size: 22px;">遭到Cleo零時差漏洞攻擊的企業超過60家？勒索軟體Clop揚言不付錢就揭露受害公司名稱</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cleo-victims-list.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cleo-victims-list.png" style="width: 300px; float: right;" /></a>12月初Cleo旗下MFT檔案傳輸系統傳出遭遇零時差漏洞CVE-2024-55956攻擊，此漏洞疑為Cleo處理重大漏洞CVE-2024-50623修補不全產生，CVSS風險評為9.8分（滿分10分）。12月中旬勒索軟體駭客組織Clop聲稱這波攻擊行動是他們所為，究竟有多少企業組織受害？近期這些駭客有了新的說法。</p> <p>根據資安新聞網站Bleeping Computer的報導，Clop聲稱於網站有66個企業組織遭遇攻擊，但他們僅有列出已聯繫並未收到回應的企業組織，因此可能有更多組織受害。</p> <p>另一家資安新聞網站SecurityWeek指出，駭客在網站公布超過60個受害組織的部分名稱，僅有透露其中一個是SaaS軟體服務供應商Blue Yonder。這些駭客向受害組織施壓，要脅若不付錢，他們將在12月30日公布這些受害組織的完整名稱。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=163221&SPOKE_DATE=20241227&COMPANY_ID=6202"><strong style="font-size: 22px;">針對MCU競賽網站遭受攻擊的事故，半導體業者盛群查出徵才網站也受害</strong></a></p> <p></p> <p>12月18日上市半導體業者盛群傍晚於股市公開觀測站發布重大訊息，表示他們針對MCU創意競賽「盛群盃」架設的網站遭到攻擊。上週末該公司公布進一步的調查結果，指出他們另一個網站也遭駭客上下其手。</p> <p>27日盛群發布重大訊息指出，他們針對競賽網站事故著手深入調查，結果發現求職者履歷後端管理平臺也遭到攻擊，該公司已找到攻擊來源並予以阻斷。值得留意的是，他們透露該網站有部分資料可能出現外洩的跡象，但並未說明影響範圍。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/hackers-release-second-batch-of-stolen-cisco-data/">駭客組織IntelBroker傳出再度公布部分10月竊得的思科內部資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/a-9th-telecoms-firm-has-been-hit-by-a-massive-chinese-espionage-campaign-the-white-house-says/">針對中國駭客Salt Typhoon大規模網路間諜攻擊行動，美國政府透露有第9家遇害的電信業者</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/12/cloud-atlas-deploys-vbcloud-malware.html">駭客組織Cloud Atlas利用方程式編輯器已知漏洞，散布惡意軟體VBCloud</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166728"><strong style="font-size: 22px;">Java網路應用程式框架Apache MINA存在風險滿分的重大漏洞</strong></a></p> <p>12月25日Apache基金會發布Java網路應用程式框架Apache MINA更新2.2.4、2.1.10、2.0.27版，主要是為了修補遠端程式碼執行（RCE）漏洞CVE-2024-52046，這項漏洞影響2.0.0至2.2.3版，CVSS風險評分達到10分（滿分10分），相當危險。</p> <p>MINA（Multipurpose Infrastructure for Network Applications）是開源的網路應用程式框架，其特色是提供抽象事件導向異步API，而能夠簡化網路應用程式的TCP/IP、UDP/IP等網路傳輸。而這項漏洞出現在ObjectSerializationDecoder元件，此元件透過Java原生去序列化通訊協定處理輸入的序列化資料，但缺乏必要的安全檢查及防禦機制而產生這項弱點。</p> <p>關於漏洞的善後，Apache基金會特別提及，IT人員光是部署更新無法完全緩解漏洞，還要明確地在ObjectSerializationDecoder允許特定類別的解碼器，並提及有3種方法可用。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/critical-ssrf-vulnerability-cve-2024-53353-found-in-invoice-ninja/">開源發票及專案管理平臺Invoice Ninja存在重大漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/12/15000-four-faith-routers-exposed-to-new.html">Four-Faith路由器高風險漏洞傳出已被用於攻擊行動</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166734"><strong style="font-size: 22px;">為強化Splunk SIEM產品線，思科計畫併購威脅偵測與防禦廠商SnapAttack</strong></a></p> <p></p> <p>網路與伺服器大廠思科Splunk宣布有意併購威脅偵測與防禦（Threat Detection and Defense）業者SnapAttack，以強化Splunk安全資訊和事件管理（SIEM）產品陣容。而對於併購SnapAttack的金額，思科並未透露。</p> <p>思科在買下SnapAttack之後，會將SnapAttack的威脅偵測與工程（threat detection and engineering，TD/E）技術、智慧財產與Splunk Enterprise Security整合，加速其「偵測即程式碼」（detection-as-code）藍圖擴展。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166722"><strong>【12月27日】Palo Alto Networks防火牆阻斷服務漏洞傳出已有攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166704"><strong>【12月26日】日本航空傳出遭遇網路攻擊導致部分航班延誤</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166671"><strong>【12月25日】美國政府下令萬豪、喜達屋旅館集團強化資安</strong></a></p> </div></div></div>
2024/12/30 17:03作者周峻佑https://www.ithome.com.tw/news/166744
零售IT雙周報第48期：2024年最後一波，超商雙雄各出會員數據經營新招
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000ff;"><strong>重點新聞(1215~1228)</strong></span></p> <p>2024年最後，超商雙雄各自祭出了會員OMO數據經營新招。全家延續著經營開店平臺的戰略，鎖定買賣家同門市交貨場景，推出智慧寄物服務，進一步了解會員的電商行為，如何與實體消費行為串聯。小七則推出了整合集團全通路的OpenPoint會員入口網站，嘗試一站式蒐集會員橫跨旗下不同通路的數位足跡。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電商物流 #OMO零售 #會員數據</span></span></strong><br /> <strong>全家推出電商寄物服務，蒐集OMO消費數據新面向</strong></p> <p>全家推出「寄物+」門市寄物服務，主要用於電商同門市交貨，也可用於個人寄物情境。目前，此服務可於全臺4,200間店舖的Kiosk機臺申請使用，未來則能在全家官網、會員App及線上Kiosk App等通路申請使用。</p> <p>這是全家透過電商物流服務，來經營OMO會員數據的又一做法。如同他們過往蒐集門市電商取貨數據，全家也會蒐集寄物服務數據，分析取貨者和寄貨者的行為特徵等個人級別數據，以及熱門服務時段和地點等門市級別數據，來輔助會員及門市經營決策。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#集團綜效 #OMO零售 #會員經營</span></span></strong><br /> <strong>統一集團推出集團會員入口網站，一站式串聯會員橫跨各通路的足跡</strong></p> <p>統一集團推出了Uniopen網站，這是一個集團全通路的入口網站，一站式串聯了跨通路的電商功能、生活資訊、優惠資訊。在此，可以用關鍵字同時搜尋跨通路商品、官方資訊文章，以及社群文章。</p> <p>此網站可以登入橫跨統一不同通路的OpenPoint會員，不過，除了可以查詢訂單跟收藏商品等個人化查詢功能，統一沒有提到其他個人化服務。</p> <p>目前，此網站對於集團內不同通路的資訊串聯和系統整合程度不一。整合度最低的Yahoo商城，目前只是一個外部連結，無法在搜尋功能中找到站上商品。博客來等其他通路整合度則略高，可以在Uniopen找到商品，但點入商品頁面後，無法直接帶入會員身分。記者實測時，從Uniopen搜尋頁面點擊商品，到博客來買書的過程中，需要登入會員身分至少三次，且每次都需要接收OTP簡訊，體驗仍不算流暢。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #自建GAI應用</span></span></strong><br /> <strong>用GAI提升業務作業效率6倍，US Foods秘訣是不怕準確度低，早早投入真人測試</strong></p> <p>如何降低生成式AI產生幻覺或回答不精確的機率，是企業應用此技術到實際業務流程中，一個重要品質控管環節。不過，有一家企業反其道而行，早在生成式AI的KM助手開發初期，就廣泛應用回答準確率只有50%的陽春版雛型，成為他們正式版產品成功提升業務人員作業6倍效率的關鍵。</p> <p>US Foods是一間有250,000間餐飲客戶的美國大型食品經銷商，他們的3,000名業務人員，不只要負責推銷公司產品，還要提供餐飲及開店建議。每當餐廳想要諮詢，業務人員就得扮演顧問角色，花上3至4小時，彙整餐廳提供資料，綜合參考自家內部資料，才能開始製作顧問提案。平均，一名業務要負責50至70間餐廳，不只工作時間，就連假日和下班時間都被這些數據整理作業佔滿，是業務人員最費時的工作內容。US Foods ML工程團隊希望用生成式AI來降低麻煩，最後成功將業務彙整資料縮短到半小時以內，效率超過6倍。</p> <p>US Foods ML工程團隊主管David Falck指出，KM工具達到這樣的效果，關鍵在於他們不會擔心GAI回答準確度太低，就不敢讓真人測試。他表示，早早讓業務人試用雛形，不僅可以盡快測試實際工具成效，更能根據大量第一線使用者的誠實回饋，鎖定優化方向。開發過程中，他們也不斷擴大測試規模，讓更多市場及地區的業務人員試用不同版本的雛型，來蒐集更多使用者回饋，並盡早讓工具發揮降低工時的價值。</p> <p>ML工程團隊的技術決策，也使他們能快速分析試用結果和使用者回饋，並彈性調整系統。這些做法包括妥善切割功能模組、打造自動化再訓練機制、留存推論結果紀錄、規定提示詞模板等。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #LLM開發 #GPU資源應用</span></span></strong><br /> <strong>酷澎如何開發和應用生成式AI，並在過程中壓低GPU成本</strong></p> <p>近期，酷澎揭露了自家如何應用和開發LLM，以及過程中的軟硬體技術做法。在生成式AI爆紅前，酷澎一年就已經執行了超過600個ML專案、10萬個工作流程。LLM問世後，酷澎則開始用LLM及多模態LLM的文字及圖像理解能力，來強化既有AI/ML做法，尤其是原本就會運用大量圖文資料的推薦類和內容理解類模型。</p> <p>常見3大LLM應用是，利用多模態LLM同時根據圖像和文字數據，來生成嵌入向量；用LLM大規模生成中英韓三種語言的弱標註（Weak Labels）數據，來支援其他模型的訓練；以及綜合商品分類與屬性提取，來取代原本個別商品類別的ML分類模型。</p> <p>導入LLM，使酷澎需要大量增添供應短缺且要價昂貴的GPU資源。他們控管GPU支出及確保可用性的做法包括，定期進行測試是否能用更低規格GPU來處理小LLM的作業、利用跨區及混合雲模式來調度硬體資源、嘗試新技術框架來降低硬體負擔，以及混搭CPU和GPU來降低高端GPU需求等。（<a href="https://www.ithome.com.tw/news/166732">更多技術細節詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RMN3.0 #會員數據 #第三方數據交換</span></span></strong><br /> <strong>RMN 3.0平臺帶動會員經濟進一步規模化，企業搭上浪潮得靠數據力</strong></p> <p>2025年，將有更多企業，有機會採用RMN這個新型零售數據應用型態。2023到2024年，臺灣RMN環境經歷了1.0和2.0階段，前者是企業在自家通路行銷，後者則是將行銷活動推及外部通路。這兩階段，大多只有具備雄厚IT能力或資本的企業，能打造RMN，來經營會員經濟。</p> <p>2024年底，市場則出現了更多RMN 3.0選項。這個型態的RMN，由平臺方打造IT基礎建設，綜合多家零售商數據，可以利用平臺方與參與企業的通路，再加上第三方廣告通路來行銷。也就是說，IT門檻較低，顧客數據來源、行銷可觸及的通路，都更加多元。</p> <p>採用RMN 3.0模式，企業IT不需從頭建置聯播網系統，大幅降低了利用RMN來經營會員經濟的門檻。此時，要抓住這個新會員經營的機會，關鍵是數據力。開放自家通路及會員數據後，如何處理大量外部流量，以及如何確保第三方數據交換的隱私與法遵，都是重要課題。（<a href="https://www.ithome.com.tw/news/166714">詳全文</a>）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態</span></strong></span></p> <p>1. <a href="https://www.linkedin.com/posts/veesionsas_veesion-spar-despar-activity-7274762855193755648-4hVQ">全球有13,990間門市的SPAR超市開始導入AI影像辨識系統來防盜</a></p> <p>2. <a href="https://www.lekkerland.de/presse/in-koblenz-lekkerland-eroeffnet-ersten-kassenlosen-rewe-to-go-shop-in-einem-bahnhof/">大型零售集團REWE於德國科布倫茨總站開設無人超商，結合身分證件掃描設備來自動化販售菸酒商品</a></p> <p>3. AI零售科技商<a href="https://nrfbigshow2025.smallworldlabs.com/listings/item/26/1383">Trigo推出新電腦視覺防盜應用，串聯不同店內監視器影像、貨架數據及結帳數據</a>來追蹤商品動向</p> <p>資料來源：iThome整理，2024年12月</p> <p>責任編輯：郭又華</p> <p>圖片來源：全家、統一超</p> <p></p> </div></div></div>
2024/12/30 17:46作者郭又華https://www.ithome.com.tw/news/166741
25款Chrome延伸套件遭遇供應鏈攻擊而成為駭客幫兇，目的是竊取使用者的社群網站帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>攻擊者針對開源套件、瀏覽器延伸套件發動供應鏈攻擊的事故不時傳出，其中有不少是針對軟體開發套件開發者而來的事故，如今有專門針對瀏覽器套件開發者的情況傳出。</p> <p>這起事故的曝光，源於12月27日<a href="https://www.cyberhaven.com/blog/cyberhavens-chrome-extension-security-incident-and-what-were-doing-about-it">資料保護業者Cyberhaven發布的資安公告</a>，他們表示在聖誕節前夕遭遇惡意Chrome延伸套件的攻擊行動，有人在24日假借Google的名義，透過釣魚攻擊滲透該公司員工的帳密資料，得逞後藉由他們的名義上架惡意版本Chrome延伸套件，該公司資安團隊於25日世界協調時間（UTC）晚點11時54分察覺此事，並於一個小時內將惡意套件下架。</p> <p>對此，Cyberhaven進一步透露整起事故的影響範圍，他們提及受影響的延伸套件版本僅有24.10.4版，於12月25日上午1時32分至26日2時50分之間，透過自動更新升級延伸套件的使用者，有可能受到影響。</p> <p>他們進一步清查受害範圍，確認該公司的CI/CD流程，以及簽署程式碼的金鑰，或是其他系統未受到波及。而對於電腦被植入惡意套件的使用者，可能外流的資訊，包括：部分網站的瀏覽器的Cookie，以及通過身分驗證的連線階段（Session），該公司初步判斷駭客的攻擊目標，是特定社群網站及AI平臺的帳密資料。</p> <p>對於受到影響的使用者，他們呼籲不僅要儘速將延伸套件更新為24.10.5版以上版本，並輪替、註銷所有未導入FIDO2的所有密碼，以及檢視事件記錄是否出現惡意行為。</p> <p>然而，Cyberhaven並非唯一遭到鎖定的Chrome Web Store開發團隊。資安業者Nudge Security共同創辦人暨技術長Jaime Blasco警告，<a href="https://x.com/jaimeblascob/status/1872445912175534278">還有其他延伸套件的開發人員疑似遭到鎖定</a>，他根據駭客使用的C2伺服器IP位址進行比對，指出還有<a href="https://x.com/jaimeblascob/status/1872447430362611810">另外14個延伸套件</a>也可能受害。<a href="https://secureannex.com/blog/cyberhaven-extension-compromise/">資安業者Secure Annex也公布他們的調查結果</a>，並彙整受到這起事故影響的<a href="https://docs.google.com/spreadsheets/d/15xOLbYgz5DQnCWYE6a_LXGcqYC_bNPPzdBqdLofz6-E/edit?gid=0#gid=0">延伸套件列表</a>，截至目前為止，已有25個套件遇害、逾229萬使用者資料恐面臨外流的情形。</p> <p><a href="https://s4.itho.me/sites/default/files/images/vcwXOeEfp4.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/vcwXOeEfp4.png" style="width: 580px;" /></a></p> </div></div></div>
2024/12/30 15:59作者周峻佑https://www.ithome.com.tw/news/166742
遭到Cleo零時差漏洞攻擊的企業超過60家？勒索軟體Clop揚言不付錢就揭露受害公司名稱
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>12月初Cleo旗下MFT檔案傳輸系統傳出<a href="https://www.ithome.com.tw/news/166461">遭遇零時差漏洞CVE-2024-55956攻擊</a>，此漏洞疑為Cleo處理重大漏洞CVE-2024-50623修補不全產生，CVSS風險評為9.8分（滿分10分）。12月中旬<a href="https://www.ithome.com.tw/news/166535">勒索軟體駭客組織Clop聲稱這波攻擊行動是他們所為</a>，究竟有多少企業組織受害？近期這些駭客有了新的說法。</p> <p>根據<a href="https://www.bleepingcomputer.com/news/security/clop-ransomware-is-now-extorting-66-cleo-data-theft-victims/">資安新聞網站Bleeping Computer的報導</a>，Clop聲稱於網站有66個企業組織遭遇攻擊，但他們僅有列出已聯繫並未收到回應的企業組織，因此可能有更多組織受害。</p> <p>另一家資安新聞網站SecurityWeek指出，<a href="https://www.securityweek.com/cl0p-ransomware-group-to-name-over-60-victims-of-cleo-attack/">駭客在網站公布超過60個受害組織的部分名稱</a>，僅有透露其中一個是<a href="https://www.ithome.com.tw/news/166416">SaaS軟體服務供應商Blue Yonder</a>。這些駭客向受害組織施壓，要脅若不付錢，他們將在12月30日公布這些受害組織的完整名稱。</p> <p>由這些說法來看，更讓外界認為Clop很有可能與勒索軟體Termite有關，因為這個惡意團體聲稱對Blue Yonder下手，不過Clop迄今並未進一步說明。</p> </div></div></div>
2024/12/30 12:54作者周峻佑https://www.ithome.com.tw/news/166737
殭屍網路Ficora、Capsaicin崛起，鎖定D-Link路由器已知漏洞而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定D-Link網路設備漏洞的攻擊行動接連傳出，其中有不少是針對研究人員剛發現的新漏洞而來，如今有攻擊者一口氣針對多個已知漏洞下手，意圖控制裝置、將其納入殭屍網路大軍。</p> <p>資安業者Fortinet在<a href="https://www.fortinet.com/blog/threat-research/botnets-continue-to-target-aging-d-link-vulnerabilities">2024年10月至11月發現兩個殭屍網路的活動大幅增加</a>的情況，其中一個是Mirai變種Ficora，另一個則是源自Kaiten變種的Capsaicin，而這些殭屍網路的散布方式，就是針對特定型號的D-Link無線基地臺已知漏洞而來，涵蓋<a href="https://nvd.nist.gov/vuln/detail/cve-2015-2051">CVE-2015-2051</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2019-10891">CVE-2019-10891</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2022-37056">CVE-2022-37056</a>，以及<a href="https://github.com/advisories/GHSA-q9cc-2q3j-jfm7">CVE-2024-33112</a>（CVSS風險評分皆達到9.8）。</p> <p>攻擊者利用上述的已知漏洞，從而遠端濫用家庭網路管理協定（Home Network Administration Protocol，HNAP），於受害裝置執行任意程式碼。</p> <p>這兩波攻擊行動何時發生？是否鎖定特定國家地區？研究人員指出Ficora攻擊來自2個荷蘭的IP位址，攻擊範圍遍及世界各地，因此他們推測攻擊者並未針對特定國家而來。</p> <p>另一個殭屍網路Capsaicin的攻擊行動與Ficora相當不同，攻擊只發生兩天：10月21日、22日，而且，駭客僅有針對日本、臺灣下手。</p> <p>針對Ficora的攻擊行動，攻擊者會先在受害裝置下載名為multi的Shell指令碼並執行，確認受害裝置的系統架構，然後下載對應版本的Ficora。一旦成功部署殭屍網路病毒，攻擊者就可能將其用來發動DDoS攻擊。此外，該殭屍網路病毒也具備掃描器的功能，因為研究人員在程式碼當中，發現一組寫死的帳號及密碼組合，可供駭客對其他設備的登入進行暴力破解。</p> <p>而對於Capsaicin的攻擊過程，攻擊者也是利用特定的Shell指令碼來確認受害裝置架構，並部署對應版本的Capsaicin，然後從C2接收攻擊命令。</p> </div></div></div>
2024/12/30 12:15作者周峻佑https://www.ithome.com.tw/news/166736
【資安週報】1216~1220，年度威脅分析師高峰會揭露中國APT攻擊態樣與假訊息潮流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>告別2024年在即，回顧12月第4個星期的資安新聞，我們優先推薦TeamT5威脅分析師高峰會上的重要揭露，他們解析這一年來的中國APT攻擊態樣與假訊息態勢，惡意活動顯著增加，不僅結合AI與邊緣裝置漏洞發動精準攻擊，而且過去由政府資助的中國駭客組織，因經濟壓力而必須自力更生，於是，不只攻擊國家、軍方與大企業，也開始以金錢為目的鎖定中小企業攻擊。</p> <p>另一重要消息，在於資安防護層面的作法。由於中國駭客對美電信業發動網路間諜攻擊，美CISA在12月初針對電信業者發布資安強化指引，到了18日，再發布行動通訊最佳實作指引，呼籲政府機關的高層等高風險用戶，應改用iOS與Android雙平臺皆支援全程加密（E2EE）的加密通訊軟體，以因應中國駭客入侵電信業的間諜活動威脅。</p> <p>此外，繼上星期美國政府傳出禁用TP-Link路由器，該國參議院通過新一年度國防授權法，當中要求無人機大廠大疆（DJI）在一年內證明自己並未威脅美國國家安全，否則美FCC將禁止其產品在美國境內銷售，也不會授權DJI廣播其無線電波使用美國固網連線。</p> <p>在威脅態勢上，有3起資安事件與殭屍網路病毒相關，其中兩起突顯資安界一直提醒的網路設備安全管理問題：使用Admin、0000等預設密碼、使用廠商停產且不再支援的設備。這些不安全狀態遲遲無法改善，持續成為攻擊者積極鎖定的目標。</p> <p>●Juniper Networks發布資安公告，指出有用戶回報其Session Smart Router路由器遭植入殭屍網路病毒Mirai，並指出受害設備共通點是使用預設密碼的狀況。<br /> ●臺廠永恒數位通訊（Digiever）已EOL的NVR設備DS-2105 Pro遭鎖定，被散布Mirai殭屍網路病毒變種Hail Cock，Akamai指出駭客可能利用零時差漏洞入侵。<br /> ●惡意軟體BadBox攻擊升溫，德國12月中旬以DNS陷坑技術中斷當地BadBox運作，全球仍有19.2萬臺安卓裝置被駭客控制並組成殭屍網路，其中包括Yandex智慧電視與海信智慧手機。</p> <p>還有一項消息涉及開源軟體供應鏈攻擊，企業與開發者需重視，有資安業者揭露新的Python惡意套件，指出Zebo與Cometlogger這兩款套件看似一般開源程式，但利用合法Python函式庫結合混淆技術，來隱藏其竊取憑證的目的。</p> <p>在資安事件方面，這一星期有合晶美國子公司Helitek、日本航空JAL遭駭，另外，有兩起多年前發生的資安事故如今有後續消息。</p> <p>●上櫃半導體業合晶在12月26日代子公司Helitek公告發生網路資安事件，說明部分資訊系統遭受攻擊。<br /> ●日本航空（JAL）在12月26日早上公告連接內外網路環境的路由器設備出現異常，導致國內外航班延誤，當地媒體指出是伺服器遭DDoS攻擊造成。<br /> ●思科10月傳出資料遭竊的事故，如今有駭客聲稱握有4.5 TB資料。<br /> ●2014到2020年間萬豪國際及喜達屋連鎖飯店發生大規模資料外洩，美FTC指控飯店謊稱具合理適當的資安防護，如今祭出新和解條件，限期半年內強化資安。<br /> ●Meta、WhatsApp在5年前對以色列間諜軟體公司NSO Group提告，指控其利用WhatsApp零時差漏洞入侵逾1,400臺行動裝置，如今判決WhatsApp勝訴。</p> <p>在物聯網雲端平臺安全議題上，資安業者Claroty發現中國網路設備業者銳捷網路（Ruijie Networks）雲端設備管理平臺的10個漏洞，已通報該業者修補，並指出MQTT通訊協定實作的問題。</p> <p>在漏洞利用方面，有個零時差漏洞利用活動需關切後續發展，苦主是資安廠商Palo Alto Networks，他們修補防火牆與Prisma Access的漏洞CVE-2024-3393，並指出該漏洞已被用於攻擊行動。</p> <p>在重要漏洞修補動向上，Apache基金會針對Tomcat重大RCE漏洞（CVE-2024-50379）修補不全，再度發布資安公告，要求用戶調整Java元件部分組態因應，另也針對開源CDN軟體Traffic Control修補重大漏洞。</p> <p>其他可留意的漏洞修補消息，包括基於Git而成的程式碼管理系統Gogs修補一系列漏洞，Sophos修補兩項防火牆漏洞，以及MinIO修補物件儲存平臺漏洞等。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/166628"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月23日】羅馬尼亞駭客組織Diicot再度利用Linux主機挖礦</span></strong></a></h3> <p>駭客針對Linux主機從事挖礦攻擊的情況，不時有研究人員揭露相關事故，如今在羅馬尼亞駭客Diicot（或稱Mexals）的攻擊行動裡，出現過往極為罕見的手法。</p> <p>資安業者Wiz指出，這些駭客一改過往的作風，他們不再眷戀雲端環境，而是鎖定企業內部環境的Linux伺服器而來，目的是為了避免攻擊行動東窗事發。</p> <h3><a href="https://www.ithome.com.tw/news/166656"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月24日】鎖定M365帳號的網釣工具包FlowerStorm現身</span></strong></a></h3> <p>本月初揭露的網釣工具包Rockstar 2FA，資安業者Trustwave指出它的前身是DadSec、Phoenix，但最近有新的調查指出，疑似即將重出江湖的Rockstar 2FA平臺網路犯罪業者，近期改為經營新的網釣工具包租用服務。</p> <p>資安業者Sophos指出，他們留意到駭客一個月前開始關閉Rockstar 2FA部分基礎設施，事隔數週，名為FlowerStorm的工具包開始出現相關活動的跡象。</p> <p><a href="https://www.ithome.com.tw/news/166671"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月25日】美國政府下令萬豪、喜達屋旅館集團強化資安</span></strong></a></p> <p>最近幾年旅館集團萬豪國際（Marriott International）傳出多起資料外洩事故，至少超過3.4億旅客資料外洩，美國聯邦交易委員會（FTC）在經過調查後於10月提告，如今這起事件有了新的進展。</p> <p>FTC根據當時要求達成和解的條件，正式下令該集團與旗下子公司（Starwood Hotels & Resorts）必須導入完善的資安方案，來避免類似的大規模資料外洩事故再度重演。</p> <h3><a href="https://www.ithome.com.tw/news/166704"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月26日】日本航空傳出遭遇網路攻擊導致部分航班延誤</span></strong></a></h3> <p>鎖定關鍵基礎設施（CI）的攻擊行動日益頻繁，其中一種標的，便是航空運輸產業，但過往鎖定這類目標的攻擊事故，多半發生在美洲和歐洲，如今有出現在東南亞的事故，引起當地高度關注。</p> <p>今天早上日本航空（Japan Airlines，JAL）傳出遭遇網路攻擊，並導致部分航班延後起飛的情況，引起日本媒體高度關注，他們根據掌握的情報，指出日本航空很有可能受到DDoS攻擊。</p> <h3><a href="https://www.ithome.com.tw/news/166722"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月27日】Palo Alto Networks防火牆阻斷服務漏洞傳出已有攻擊行動</span></strong></a></h3> <p>近期公布的重大漏洞相當多，例如：Apache開源CDN軟體<a href="https://www.ithome.com.tw/news/166697">Traffic Control重大層級SQL注入漏洞CVE-2024-45387</a>、<a href="https://www.ithome.com.tw/news/166703">程式碼管理系統Gogs重大漏洞</a>CVE-2024-39930、CVE-2024-39931、CVE-2024-39932等，這些都需要儘快完成修補或緩解作業，但還有一些喘息與觀望時間，如果是已經出現攻擊行動的漏洞，企業必須馬上動手處理。</p> <p>今天資安業者Palo Alto Networks公布的阻斷服務漏洞CVE-2024-3393，就是典型的例子。雖然該公司將漏洞僅列為高風險，但由於已有實際攻擊行動，IT人員最好儘速處理。</p> </div></div></div>
2024/12/30 11:06作者羅正漢https://www.ithome.com.tw/news/166733
OpenAI宣布轉型為營利導向的公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI上周<a href="https://openai.com/index/why-our-structure-must-evolve-to-advance-our-mission/" target="_blank">宣布</a>新的組織架構，計畫將轉變成公益法人（Public Benefit Corporation，PBC），以加速轉型為營利導向組織的目標。</p> <p>OpenAI董事會解釋OpenAI轉型成營利組織的必要性。OpenAI 2015年創立之初的目標是「推進數位智慧以造福全體人類、不受限於創造財務回報的需求」，非營利架構、仰賴捐款的作業型態是適當的。2019年OpenAI從實驗室變成了新創公司，在組織結構上，則建立一個中心是非營利組織，<a href="https://www.ithome.com.tw/news/129281" target="_blank">外圍是營利組織的輻輳式架構</a>，只求取回饋股東和員工的有限利潤，那年OpenAI獲得了包含微軟10億美元在內的投資。</p> <p>OpenAI指出，之後的成果如ChatGPT、o系列模型等帶動了整個業界投入AI開發及催生AI經濟蓬勃發展。這使他們必須募集更多資金跑在更前面，同時又有許多投資人想投資該公司，但巨額資金需要更傳統的資金流動，以及非輻輳式的組織結構。因此在2025年OpenAI想從新創再轉型為能永續營運的公司，以持續推進研發AGI造福人類的使命。</p> <p>董事會計畫2025年轉型為德拉瓦州公益法人（Delaware Public Benefit Corporation⁠），具備一般股票，而OpenAI的使命是該公司的公共利益。未來PBC和非營利組織是並行的。非營利組織將可持有PBC股份，其價值由獨立財務顧問判定。</p> <p>現有架構中，不允許董事會直接決定營利組織的利益，非營利組織也無法執行超過控制營利組織以外的事務。未來，PBC將執行和控管OpenAI的營運和業務，而非營利組織則會聘請領導團隊和成員，繼續推進慈善計畫，如醫療、教學和科學。</p> <p>OpenAI表示，這個PBC結構為許多其他公司所用（包括Anthropic 和馬斯克的xAI），其決策可兼顧股東利益、利害關係人利益及公共利益。而且，由於非營利組織將獲得財源，他們相信這將能創造「史上資源最豐足的非營利組織」以實踐其使命。</p> <p>早在OpenAI募集更多資金，已成為AI龍頭業者時，就遭到馬斯克批評違背初衷，並以實際法律行動<a href="https://www.ithome.com.tw/news/161593" target="_blank">阻止</a>。2024年12月初，馬斯克還<a href="https://www.ithome.com.tw/news/166292" target="_blank">請求</a>法院阻止OpenAI轉為營利機構，及和微軟合作鞏固市場壟斷等行為。</p> </div></div></div>
2024/12/30 12:11作者林妍溱https://www.ithome.com.tw/news/166735
國泰金控雲端資料湖倉平臺架構大公開！自行研發ETL工具、ML平臺也上雲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國泰金控在今年獲金管會核准數據上雲計畫，開始在雲端環境中搭建資料湖倉平臺。這是國內金融業者中，第一家業者開始在雲端環境中搭建不限定用途的資料湖倉平臺，能利用資料倉儲處理交易資料的能力，也能結合資料湖支援處理非結構化資料的能力，支持業務更多樣性的數據需求。在今年的國泰技術年會中，國泰金控數數發中心數據暨人工智慧發展部協理劉浩翔進一步揭露團隊如何設計雲端資料湖倉平臺架構，並公開現代化數據架構的資料治理要點。</p> <p>早在2020年，國泰金控就啟動了集團上雲的現代化計畫，並在2021年喊出5年100套系統上雲目標。截至今年9月，國泰金控已有71套系統完成遷雲。為了以更快速有效的方式應對數據分析需求、強化即時處理數據的效率，國泰在2023年決定將機器學習平臺和大數據平臺遷移上雲，開始盤點地端數據架構、進行上雲評估。</p> <p>目前，金融業在地端環境發展大數據時，最常使用資料倉儲和資料湖儲存資料。「但兩者各有優缺點。」劉皓翔解釋，資料倉儲在查詢和處理資料的速度較快，但無法滿足非結構化資料處理需求，且建置成本較高。資料湖則是具有高度彈性，能同時處理結構化、半結構化與非結構化資料，但缺乏處理交易資料的能力，查詢和分析資料的效能也不比資料倉儲好。</p> <p>考量到資料倉儲和資料湖各自優勢，劉浩翔指出，國泰在設計雲端資料架構時，決定結合兩者特長，包括資料湖的彈性和資料倉儲的查詢、分析效率，將打造湖倉平臺作為核心設計理念。他解釋，資料湖倉是建立在資料湖的基礎上，融合了資料層、目錄層和計算層。而在資料層上，資料湖倉建立了元數據管理，能利用這些元數據來實現資料倉儲才具備的單筆寫入儲存功能。</p> <h3>雲端資料湖倉平臺架構細節</h3> <p>國泰的現代化數據架構可分為6層，每項資料皆會從資料來源層，流通至資料注入層、資料湖倉層，和資料使用層，最後再到應用層。而資料治理層則是貫穿所有資料管道的底層服務。其中，資料湖倉層和資料使用層，是國泰要在雲端環境中構建資料湖倉平臺的核心部分。</p> <p>劉浩翔進一步揭露資料湖倉層和資料使用層的設計主軸。除了採用湖倉平臺設計，國泰還有自行研發自動化ETL工具PIGEON，來進行資料處理。透過建置數據字典作為資料來源，開發人員只要輸入資料查詢和加值邏輯，PIGEON就能自動產生ETL排程。此外，PIGEON也支持事件驅動機制，取代傳統以時間排程的觸發方式。例如，當資料到檔事件發生時，就能即時觸發ETL排程，確保資料的新鮮度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%9B%B2%E7%AB%AF%E8%B3%87%E6%96%99%E6%B9%96%E5%80%89%E5%B9%B3%E8%87%BAETL%E5%B7%A5%E5%85%B7.png" style="width: 600px;" /></p> <blockquote><p>在雲端資料湖倉平臺中，國泰採用自研發的自動化ETL工具PIGEON來進行資料處理，PIGEON能自動生成資料管道，也支持事件驅動機制。（圖片來源：國泰金控）</p> </blockquote> <p>另外，在資料使用層中包含一套ML平臺。劉浩翔表示，這套ML平臺包含三大特色，第一，平臺包含AI治理功能模組，具有國泰自行開發的負責任AI工具包，能針對AI模型進行評測。第二大特色，平臺透過容器化技術，將模型從開發、訓練到部署的過程管道化。最後，平臺提供模型中心Model Hub，提供多種模型選擇，包含雲端、地端、開源或閉源模型，也提供標準化API接口，能介接各種服務。Model Hub也提供成本管理功能，協助開發者管控模型使用開銷。</p> <h3>資料治理四大原則</h3> <p>在現代化數據架構中，資料治理層貫穿了所有資料管道，包含了統一元數據管理、資料虛擬化、資料共享，和資料分層管理。</p> <p>為了提升資料管理的效率與安全性，國泰採用了元數據管理平臺。「這套解決方案將會是未來雲端上的數據治理中的重要基底。」劉浩翔強調，進行元數據管理後，能加速資料調閱與管理，同時做到權限管理和自動化軌跡留存，「未來就有辦法回溯資料血緣，了解每個資料取用的上下游脈絡。」</p> <p>另外，劉浩翔提到，在地端環境管理數據時，往往因缺乏能整合不同資料源頭的平臺，需要經常將資料搬移至集中化儲存空間，才能檢視所有資料的系統來源。然而，「在某些場景中，搬移資料十分困難，常常造成數據孤島問題。」劉浩翔說。為了解決這項痛點，國泰運用資料虛擬化技術，透過建立虛擬化中心，快速取得來自不同系統的資料，減少ETL工具的開發成本。同時，透過增加虛擬層，更快完成跨系統間的資料共享。</p> <p>在資料治理層中，國泰也有進行資料分層管理。當子公司各類系統輸入資料至國泰的雲端湖倉平臺時，資料會經過五個數據分層進行處理，先從暫存數據層進入原始數據層，對資料進行清洗、去敏和加密動作，接著進入數據彙總層，建立資料模型（Data Model），將資料化為通用性較高的資料表，再進入數據加值層，按數據主題產出數據產品的資料市集（Data Mart），例如產出各項風險指標。最後才進到數據服務層，服務業務人員的數據需求。劉浩翔強調，透過數據分層，平臺能區隔明碼區和暗碼區，確保使用資料的人員不會接觸到明碼區。</p> <h3>雲端人才不足，國泰計畫3年對內培育200位雲端數據人才</h3> <p>在推動上雲的過程中，劉浩翔坦言，雲端人才短缺，仍是最大痛點，「所有邁向雲端的業者都會面臨一個問題，就是雲端人才到底在哪裡？」意識到僅依賴外部招募無法滿足人才需求，國泰啟動名為「雲世代」的培育計畫，目標在3年內對內培養出200位雲端數據人才。</p> <p>劉浩翔表示，國泰金控計畫每半年會從四間子公司招募40名種子學員，透過系統性課程、期末專題和團體活動，提升種子學員的雲端技能和技術應用能力。培訓結束後，集團會以總經理為首，邀請50位集團長官、主管共同見證培訓結果。</p> <p>「這項計畫絕對是國泰數據成功上雲的關鍵。」劉浩翔強調，若沒有及早啟動人才培育，即便技術與管理機制完善，缺乏對應的人才支撐，最終仍可能導致計畫失敗。</p> <p>「雲端和AI息息相關。」劉浩翔期待，國泰邁向雲端後，未來能充分利用雲端算力和已開發的原生服務，「不僅推動業務成長，還能在AI發展上實現雙向賦能，推動業務前進。」</p> <p></p> </div></div></div>
2024/12/30 10:31作者李昀璇https://www.ithome.com.tw/news/166609
福斯汽車集團資料庫配置問題致客戶資料公開網上
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>德國福斯（Volkswagen，VW）汽車集團因旗下軟體公司Cariad一個應用配置不當，導致多個品牌數十萬車主雲端資料庫可從外部存取而有外洩風險。但福斯汽車表示並沒有資料被竊取的跡象。</p> <p>德國媒體明鏡（Spiegel）報導，非營利白帽駭客組織Chaos Computer Club（CCC）是獲得消息人士爆料進行測試確認後，再分別通報Cariad及福斯。福斯集團<a href="https://www.audi.com/en/data-info-cariad.html" target="_blank">指出</a>，CCC是於2024年11月26日通知該公司，Cariad後端系統API存在問題，致使任何人都可以從外部網路存取到客戶資訊，如果他們取得網址的話。</p> <p>報導先是引述<a href="https://www.bleepingcomputer.com/news/security/customer-data-from-800-000-electric-cars-and-owners-exposed-online/" target="_blank">Cariad</a>官方說法，CCC的安全研究人員先是獲知內部2個IT應用配置不當的漏洞，使其得以繞過安全措施而存取車主資料庫，但該公司聲稱，由於資料庫內使用假名，即使是專家也要一點工夫才能拼湊出車主真實資料。</p> <p>不過明鏡周刊找來數位安全專家證明並沒有這麼困難。他們利用開源工具就能從曝光的Cariad系統找到憑證，循線存取Cariad內部應用的記憶體內容，再由其中挖掘出AWS上車主資料庫的存取金鑰。最後，他們看到這個AWS資料庫儲存了VW、Seat、Audi和Skoda等車款的逾80萬車主的個資，VW及Seat車款甚至有精確到以公分計的定位資訊。</p> <p>以車主身分而言，80萬車輛中，有46萬車子定位資訊外洩。而近半車主是德國人，其中有30輛車子屬於漢堡市警局，還有一些屬於情報機關員工，車主還有至少2名德國政治人物。其他車主國籍包含英國、法國、比利時、荷蘭和丹麥及挪威。</p> <p>Cariad公司對媒體指出，這批資訊只影響連網，且有註冊線上服務的車輛。福斯汽車則明確指出，API問題影響啟用線上功能及連結雲端的Audi Q4 e-tron和Q6 e-tron。可能曝險的資料包含主要使用者姓名、暱稱、電子郵件、用戶ID、VIN以及停車的位置，以及特定事件（哩程、氣候、警示訊息等）。支付或銀行資訊、密碼等敏感資訊未包含在內。</p> <p>儘管曝險的資料很敏感，這家汽車大廠說，沒有證據顯示CCC以外還有別人曾經存取該API，且CCC也明確表示沒有資料外流。Cariad及福斯都說問題已經解決，客戶也不必變更密碼或任何存取碼。</p> <p>這是福斯汽車今年第二度曝光的資安事件。2024年4月，報導<a href="https://www.ithome.com.tw/news/162589" target="_blank">指出</a>福斯汽車在2010年到2015年間疑似遭中國駭客入侵，後者存取了近2萬份和電動車有關的敏感文件。</p> </div></div></div>
2024/12/30 09:26作者林妍溱https://www.ithome.com.tw/news/166731
酷澎如何開發和應用生成式AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>靠ML/AI等大數據應用做到全韓國99%訂單於一天內送達的電商巨頭，如何將生成式AI融入開發與營運流程？近期，酷澎揭露了自家開發LLM與多模態LLM的方法與挑戰、如何將這些模型用來強化既有ML應用，以及投入新應用場景。</p> <p><span style="color:#0066ff;"><strong>從傳統ML/AI到生成式AI</strong></span></p> <p>酷澎自稱無情的優化主義者（Ruthless Prioritization），數據人員遍布不同部門，使作業流程各個環節，都能利用數據分析技術來支持決策。在導入生成式AI之前，他們就已經應用AI/ML在搜尋、廣告、目錄整理與呈現、推薦、物流、定價、交通等領域。</p> <p>其中，3種任務類別的ML模型占最大宗。首先是推薦系統模型，主要用於個人化和推薦介面，如電商、外送和娛樂應用程式中的首頁、搜尋和廣告。第二是內容理解模型，各產品團隊會透過產品目錄數據、用戶生成內容、用戶和商家數據等資料來源，讓模型理解產品、客戶和商家的特徵，並用於後續改善購物體驗。第三則是預測模型，也是酷澎打造超快速物流的關鍵推手。酷澎在韓國有超過100多座物流中心。預測建模在這些產品的定價、物流、配送方面扮演著關鍵角色。</p> <p>甚至，為了管理大量ML專案，他們打造了一個ML平臺，來標準化開發與作業流程、促成管理CI/CD，並控管運算資源支出。一年內，這個平臺上執行了超過600個ML專案、10萬個工作流程。</p> <p>LLM問世後，酷澎更開始用LLM及多模態LLM的文字及圖像理解能力，來強化既有AI/ML做法，上述類別的模型中。尤其，前兩類模型原就是利用超大量圖文資料進行推論，尤其適合用多模態LLM的圖文理解能力來增強。</p> <p><span style="color:#0066ff;"><strong>酷澎3大常見LLM應用</strong></span></p> <p>酷澎內部常用的三大類LLM應用，包括了圖像與語言理解、大規模弱標籤生成，以及分類與屬性提取。</p> <p>第一類圖像與語言理解。酷澎從實驗得知，利用多模態LLM同時根據圖像和文字數據，來生成嵌入向量，準確度高於單獨用用圖片向量或是單獨用文字向量的檢索。他們會將多模態向量，匯入其他下游ML模型，用於廣告資料檢索、相似性搜尋、商品推薦等場景。</p> <p>另外，他們也會直接用LLM將韓文產品標題翻成中文、提升購物流中的圖像品質、摘要用戶評論，以及為產品和賣家生成關鍵詞。</p> <p>第二類是大規模生成弱標註（Weak Labels）數據。準備ML模型訓練數據時，人工標註數據是成本高昂且困難的任務。尤其，酷澎同時需要英文、韓文和繁體中文語料，更凸顯了這個挑戰。</p> <p>於是，他們用LLM，生成大量文本內容的標註。酷澎經實驗發現，這些標註用於弱監督式訓練時，效果可媲美人工標註資料。打造新領域ML模型時，缺乏過往高品質標註資料時，這種做法尤其有幫助。</p> <p>第三大類則是分類與屬性提取。為產品分類和提取屬性時，酷澎舊有做法是為每個商品類別部署一個單獨的ML模型。這是因為，跨類別的分類模型，常常會對長尾商品產生準確度過低或雜訊過高的預測結果。隨著酷澎商品品項與類別增加，團隊也需要管理更多模型，造成了維運負擔。</p> <p>相對於傳統ML模型，酷澎發現，LLM對產品標題、描述、評論、賣家信息等數據可以有更深入和準確的理解。他們不僅可以用單個LLM來支援分類系統，處理所有商品類別，甚至，還提升了不同分類的準確度。</p> <p><strong><span style="color:#0066ff;">酷澎LLM的開發周期與技術選擇</span></strong></p> <p>酷澎將LLM對齊任務目標的方法，依照難度與時間成本排序，分為情境內學習（ICL，In Context Learning）、檢索增強生成（RAG，Retrieval-augmented Generation）、監督式微調（SFT，Supervised Fine-tuning），以及持續預訓練（CPT，Continuous Pre-training）。其中，ICL和SFT是最常用的做法。</p> <p>需要SFT或CPT時，酷澎LLM從測試到應用分為三階段。</p> <p>第一階段是小規模測試，決定模型種類、模型參數規模、提示詞模板。準備數據時，酷澎利用Apache Zeppelin筆記本，來發派和管理Spark等大數據處理工具。測試模型及提示詞模板作業，在GPU容器中的Jupyter筆記本進行。</p> <p>第二階段是實際訓練，進行微調或預訓練，並評估模型成效。酷澎最常使用DeepSpeed Zero作為訓練框架，看重此框架快速完成訓練設定的能力及對Hugging Face上大多數熱門模型的支援度。</p> <p>模型訓練環境，酷澎選擇Kubernetes分散式Training operator上的平行模型訓練功能，PyTorchJob，並使用Polyaxon來管理更細緻的ML訓練生命周期。酷澎的LLM訓練周期，與既有ML訓練周期的步驟相同。</p> <p>第三階段則是投入應用，常見做法包括蒸餾與嵌入。前者是從訓練好的LLM蒸餾出較小模型，用於即時推論。後者則是利用LLM生成嵌入向量，應用於其他ML模型中。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/mlinfra3steps.png" style="width: 600px;" /></p> <p>他們使用OpenAI推出來用GPU開發開發機器學習演算法的程式語言Triton，來從LLM提取出推論內容，用於蒸餾或嵌入。要打造同時利用CPU和GPU處理的推論管道（Inference Pipeline）時，使用Ray和vLLM。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/prototypingnexp.png" style="width: 600px;" /></p> <p>酷澎主要選用中文、韓文及日文語言表現比較強的開源模型，包括Qwen、Llama 3、Orion、Polyglot、Orion、T5、BERT等，並根據不同應用場景，選擇不同參數規模版本。翻譯、標註生成、RAG用途的模型，選擇100億個參數以上版本；實體抽取（Entity extraction）及關鍵字生成，使用10億到100億個參數版本；生成嵌入向量等用途，則使用10億以下版本。</p> <p><strong><span style="color:#0066ff;">如何因應硬體限制的挑戰</span></strong></p> <p>導入生成式AI前，酷澎ML訓練架構沒有支援分散式訓練，且部署架構完全使用CPU。這使他們大規模導入生成式AI後時，需要大量增添供應短缺且要價昂貴的GPU資源。</p> <p>為了控管GPU支出及確保可用性，酷澎模型構建團隊會定期進行基準測試，以評估不同GPU應用於不同模型的訓練和推論時，各自的價格與性能比例。這樣一來，就能更準確根據作業所需算力規模，來分配硬體資源。尤其，測試和應用參數規模較小的時LLM時，能放心使用性能較低的設備。</p> <p>訓練模型時，他們也採取跨區及混合雲模式來調度硬體資源。這包括使用亞太及美國區域的雲端GPU資源，以及地端A100/H100資源。不過，隨之而來的挑戰是確保基礎架構（存儲與網路）和開發者體驗的一致性，目前他們仍未完全解決。</p> <p>酷澎也持續嘗試新技術，來提升生成式AI工程效率，並降低硬體需求。例如，他們嘗試用vLLM推論框架，將許多推論作業的吞吐量提升了接近20倍。他們也嘗試將模型參數卸載到CPU的技術，成功搭配低RAM數的GPU來微調LLM，有效紓緩高端GPU需求。</p> <p></p> </div></div></div>
2024/12/30 09:51作者郭又華https://www.ithome.com.tw/news/166732
Java網路應用程式框架Apache MINA存在風險滿分的重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>12月25日Apache基金會發布Java網路應用程式框架Apache MINA更新2.2.4、2.1.10、2.0.27版，<a href="https://lists.apache.org/thread/6hhxg5431jm7c9c180syfvx510hp4nxj">主要是為了修補遠端程式碼執行（RCE）漏洞CVE-2024-52046</a>，這項漏洞影響2.0.0至2.2.3版，CVSS風險評分達到10分（滿分10分），相當危險。</p> <p>MINA（Multipurpose Infrastructure for Network Applications）是開源的網路應用程式框架，其特色是提供抽象事件導向異步API，而能夠簡化網路應用程式的TCP/IP、UDP/IP等網路傳輸。而這項漏洞出現在ObjectSerializationDecoder元件，此元件透過Java原生去序列化通訊協定處理輸入的序列化資料，但缺乏必要的安全檢查及防禦機制而產生這項弱點。</p> <p>若是攻擊者想要利用這項漏洞，他們會透過發送特製的惡意序列化資料，透過反序列化處理程序觸發漏洞，從而遠端執行任意程式碼。</p> <p>附帶一提的是，這項漏洞出現必須搭配特定條件，那就是採用MINA核心程式庫的應用程式運作過程裡，指定類別與實體新增過程裡受到特定的方法IoBuffer#getObject()呼叫，其MINA核心程式就會受到影響。</p> <p>關於漏洞的善後，Apache基金會特別提及，IT人員光是部署更新無法完全緩解漏洞，還要明確地在ObjectSerializationDecoder允許特定類別的解碼器，並提及有3種方法可用。</p> </div></div></div>
2024/12/30 10:05作者周峻佑https://www.ithome.com.tw/news/166728
思科計畫收購威脅偵測與防禦廠商SnapAttack，補強Splunk SIEM產品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路與伺服器大廠思科（Cisco）旗下Splunk近日宣布<a href="https://www.cisco.com/c/en/us/about/corporate-strategy-office/acquisitions/snapattack.html" target="_blank">有意</a>收購威脅偵測與防禦（Threat Detection and Defense）業者SnapAttack，以強化安全管理平臺產品陣容。</p> <p>思科計畫以未公開的金額收購SnapAttack。雙方表示，後者的威脅偵測與工程（threat detection and engineering，TD/E）技術、智財將可和去年9月思科<a href="https://www.ithome.com.tw/news/158878" target="_blank">收購</a>的Splunk整合，加速其「偵測即程式碼」（detection-as-code）藍圖擴展。</p> <p>SnapAttack是知名IT外包商Booz Allen的Dark Labs，於2001年創立的威脅偵測和工程（TD/E）技術供應商，總部位於維吉尼亞州Arlington市。它的威脅管理生命周期方案提供威脅偵測和分析，利用超過1萬多種SIEM及EDR關聯規則資料庫和查詢，協助企業或資訊監控中心（SoC）辨識可能環境中的漏洞、風險，藉此補強弱點。</p> <p>在SOC產品方面，Splunk則有安全資訊和事件管理（SIEM）平臺Splunk Enterprise Security，可持續提供公司網路環境上的物件活動監控及風險評分等資訊，簡化管理複雜性。</p> <p>雙方表示，SnapAttack收購案可整合雙方技術，以前者的TD/E管理生命周期方案為Splunk安全產品的客戶或安全部門提供安全分析，協助他們持續性評估、部署威脅偵測，及協助研究報告撰寫與驗證。</p> <p>此外，Splunk客戶將因此觸及SnapAttack客戶，以推展其SIEM產品Splunk Enterprise Security（ES）。SnapAttack可自主轉移到Splunk ES，他們可在Splunk ES內轉譯、驗證、部署和測試現有SIEM內容。</p> </div></div></div>
2024/12/30 10:16作者林妍溱https://www.ithome.com.tw/news/166734
AI趨勢周報第265期：BERT的接班模型來了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（1220～1226）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> BERT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ModernBERT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 編碼器 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>BERT的接班模型來了</strong></span></p> <p>一群來自Hugging Face、Nvidia、約翰霍普金斯大學等地的研究員，最近發表一套新模型ModernBERT，是一款只有編碼器的Transformer架構模型，號稱是BERT的接班者。因為，它不只比BERT更快更準，還能處理長達8,192個Token的上下文，是目前編碼器的16倍之多。而且，它還是第一款用大量程式碼訓練的編碼器。這些特點，讓ModernBERT擅長原本開源模型難以處理的領域，像是大規模的程式碼搜尋、新IDE功能，又或是因為能處理更長序列，能實現基於全文件檢索的RAG（因為以前模型能處理的上下文序列小、導致語義理解不佳，RAG效果並不好）。</p> <p>團隊表示，BERT是2018年發布的模型，但至今仍被大量使用，是Hugging Face上下載量第二大的模型（第一名則是RoBERTa），每月超過6,800萬次下載。這是因為，BERT的純編碼器架構，讓它很適合執行日常任務，比如檢索（像是RAG）、分類和實體提取等。</p> <p>6年後的今天，Hugging Face和其他團隊汲取了這幾年大型語言模型（LLM）的進展，用來改造BERT模型架構和訓練過程。他們以2兆個Token來訓練ModernBERT，在多種分類測試和向量檢索測試中，模型都能達到SOTA高階表現，且還更有效率使用記憶體，是專為GPU推論所設計的編碼器。這次團隊釋出1.39億參數和3.95億參數兩種模型版本。<a href="https://huggingface.co/blog/modernbert">（詳全文）</a></p> <p><img alt="" src="https://huggingface.co/datasets/huggingface/documentation-images/resolve/main/blog/modernbert/modernbert_pareto_curve.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 事實 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>LLM據實以告的程度如何？Google推出LLM事實基準測試和排行榜</strong></span></p> <p>Google Deepmind和Google研究院聯手開發一款大型語言模型（LLM)基準測試FACTS Grounding，可用來測試LLM的事實陳述準確度和詳細程度，目標是要解決AI生成內容的錯誤訊息和幻覺問題。同時，他們也推出Kaggle線上排行榜，來依測試成績排名模型，並已先用來測試幾款熱門LLM，如Gemini 2.0 Flash、Gemini 1.5、GPT-4o、Claude等。</p> <p>FACTS Grounding資料集包含1,719個範例，每個範例都精心設計，包含一個文件、一條系統指令和使用者請求，並嚴格要求模型按提供的文件，來給出長篇回答。每個範例還能分為公開集（860個）和私有集（859個），任何人都能以公開集來評估LLM，FACTS排名也是以公開集測試得的。<a href="https://deepmind.google/discover/blog/facts-grounding-a-new-benchmark-for-evaluating-the-factuality-of-large-language-models/">（詳全文）</a></p> <p><img alt="" src="https://lh3.googleusercontent.com/UQ-WHZ82lVqpZs7lAfwW_km_QisoFlLIVI-8PPT119aFPfFtURRpxTeK3Xb4K6Zi8CY2fATOye-rshOtU-xsLYnqx9T-j8lpsuwtebNqD2NH4Mmh=w1232-rw" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> o3 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> OpenAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 思維鏈 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>OpenAI公布最新旗艦模型o3</strong></span></p> <p>在12天直播更新的最後一天，OpenAI執行長Sam Altman親自揭露具思考能力的旗艦模型o3和較小型的o3 mini模型。OpenAI表示，o3在程式撰寫、數學解題和科學理解等基準測試中，都比前代更進一步，尤其在ARC AGI測試中，o3系列模型在低運算量任務的測試得分達75.7%，高運算量任務得分達87.5%，都超越o1系列和其他頂尖LLM。o3模型甚至在全球寫程式競賽平臺Code Forces中，拿下2727分超高分，超越99.99％的人類工程師。</p> <p>OpenAI說明，o3技術提升的關鍵之一是<a href="https://openai.com/index/deliberative-alignment/">Deliberative Alignment</a>（審慎遵循）。這是一種以人為撰寫的文本及可解讀的安全規格，來教導o系列模型，並訓練他們在回答用戶查詢前，先清楚理解這些規格。研究人員的新訓練方法，讓o系列模型使用思維鏈（CoT）推理方法來思考用戶提示、從OpenAI內部政策辨識出相關文字，再草擬出更安全的回應。OpenAI預計在2025年初部署o3系列模型，並開放公測。<a href="https://x.com/OpenAI/status/1870186518230511844?ref_src=twsrc%5Egoogle%7Ctwcamp%5Eserp%7Ctwgr%5Etweet&prefetchTimestamp=1735452498615&mx=2">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 小模型 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Hugging Face </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 多樣性驗證樹搜尋 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Hugging Face：小模型可用更長的運算時間，得到更好的準確率</strong></span></p> <p>大型語言模型（LLM）效能之所以好，是仰賴大量運算資源來訓練，但這種訓練模式成本高昂，多數企業和開發者都缺乏這種資源。因此，不少研究機構在尋找替代方式，比如Hugging Face最近展開研究，發現在測試階段運算擴展（Test-Time Compute Scaling），能給小型模型足夠的推理運算時間，進而能對複雜問題進行多次嘗試或修正。</p> <p>他們提出多樣性驗證樹搜尋（DVTS）技術，用來改進驗證器搜尋方法。簡單來說，DVTS藉分離多個搜尋樹，能提高生成答案的多樣性，來避免單一路徑過度主導搜尋的現象，解決了搜尋過程多樣性不足的問題。因此在數學基準測試中，10億參數的Llama小型模型，在以DVTS改良後，解題表現不只超越原來的版本，在某些情境還超越了70億參數的大模型。這項研究證明了，DVTS不僅能提高模型表現，還能在數學推理等特定任務中超越大型模型，展現了小型模型在資源有效利用下的潛力。<a href="https://huggingface.co/spaces/HuggingFaceH4/blogpost-scaling-test-time-compute">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Meta </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 分詞 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 位元組 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Meta BLT語言模型架構突破分詞技術極限</strong></span></p> <p>先前Meta一口氣開源9大研究成果，其一就是BLT（Byte Latent Transformer）架構，重新定義了大型語言模型的運算方式，讓模型表現和效率都超越目前主流的分詞（Tokenization）模型。分詞是大型語言模型的主流技術之一，拆解原始字串並壓縮成固定的字彙單元，來減少處理長序列的運算成本。但這種方法有所限制，因為分詞採用的壓縮演算法，通常會有語言和資料偏差，再來是分詞模型對輸入雜訊的容忍度較低，而且，由於分詞具靜態性，無法根據資料密度靈活分配運算資源，因此資源分配效率通常與資料的複雜度不一致。</p> <p>為解決這些問題，BLT架構直接從原始位元組資料中學習，不再仰賴分詞單元。BLT透過動態分組機制，能根據預測下一步的資料複雜度，將位元組分為大小不一的補釘（Patch），低複雜度的位元組可合併為較長的補釘，高複雜度資料補釘則會更細緻分割，讓模型專注處理資訊密集部分。在實際測試中，BLT的推論效率比Llama 3等分詞模型更好，還能在相同的運算資源下，同時擴大模型參數和補釘大小。Meta更表示，BLT模型在處理輸入雜訊時，比分詞模型更強健，還更能理解語言學上的細微特徵，如字形結構和拼音規則等。<a href="https://arxiv.org/html/2412.09871v1">（詳全文）</a></p> <p><img alt="" src="https://arxiv.org/html/2412.09871v1/x3.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 超高速4D顯微鏡 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 成像 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 神經訊號 </span></strong></span></p> <p><span style="font-size:22px;"><strong>臺清聯手打造超高速4D顯微鏡，AI加持成像10倍清晰</strong></span></p> <p>在國科會腦科技創新研發及應用計畫的支持下，臺大物理系教授朱士維聯手清大工程與系統科學系教授吳順吉和臺大藥理暨研究所副教授潘明楷，跨域組隊開發出超高速4D顯微鏡，還結合AI來提高腦部影像清晰度近10倍。</p> <p>進一步來說，這套4D顯微鏡，掃描速度比傳統顯微鏡快上千倍，能即時捕捉快速變化的神經活動，再加上AI輔助，能讓原本模糊不清的神經訊號變得清晰，成功克服傳統顯微鏡在速度、解析度和成像範圍上的限制。</p> <p>在活體鼠小腦中，團隊發現控制動作的神經元分布就像GPU，平行排列進行運算，相鄰的神經網路就算接收到的信號相仿，傳遞到細胞本體層還是會變出不同的結果。這代表，這些神經單元既獨立運作，又能集體合作。團隊已將研究成果發表在國際頂尖期刊Advanced Science。他們認為，這個成果有助於未來發展更先進和節能的AI運算。<a href="https://www.nstc.gov.tw/folksonomy/detail/23ddaae9-8b8e-4e98-9146-a39959c6fbe1?l=ch">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> DeepSeek V3 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 混合專家 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 多頭注意力 </span></strong></span></p> <p><span style="font-size:22px;"><strong>DeepSeek V3模型釋出</strong></span></p> <p>中國AI公司DeepSeek最近開源一款大型語言模型DeepSeek V3，具6,710億個參數，採混合專家（MoE）架構，在多項基準測試中超越Llama 3.1-405B和Qwen等先進模型，號稱是目前領先的開源模型。DeepSeek V3不只採MoE架構，也採多頭潛在注意力（MLA）架構，因此即便參數量高達6,710億，每次推論只會啟動370億參數，大幅降低推論成本、提高效能。同時，透過Token預測訓練目標方法，DeepSeek V3能同時預測多個Token，提高了語言生成和推論能力。</p> <p>其中，DeepSeek V3以2048張Nvidia H800 GPU訓練而成，也就是Nvidia H100的降規版。若以每GPU小時2美元計算，DeepSeek V3模型訓練耗費278.8萬小時，GPU總成本約557萬美元。相較於Llama-3-405B的800萬GPU小時，少了11倍，且Meta在Llama-3.1模型的訓練上大約投資超過5億美元。因此，DeepSeek V3模型的出現，被視為大型語言模型另一種節約的訓練方式。<a href="https://api-docs.deepseek.com/news/news1226">（詳全文）</a></p> <p><img alt="" src="https://dp-cdn-deepseek.obs.cn-east-3.myhuaweicloud.com/api-docs/ds_v3_tps_en.gif" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Anthropic </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 模型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 瀏覽器 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Anthropic新發現：AI模型會策略性迎合訓練者 </strong></span></p> <p>最近，Anthropic與Redwood Research進行一項研究，揭露大型語言模型有對齊偽裝（Alignment Faking）的行為。也就是說，AI模型在接受安全訓練後，表面看似遵守目標要求，但實際上可能保留原始偏好，還會在特定情境中顯露不佳行為。首先，團隊以Claude 3 Opus模型作為研究對象，模擬一個矛盾的訓練情境。在原本有益、誠實且無害的訓練目標下，研究員加入了無條件滿足所有請求的假設，並設置2種使用條件，一是免費條件，也就是模型的回答會被用於未來訓練，另一是付費條件，也就是模型回答不會被用於未來訓練。</p> <p>實驗顯示，模型在不同使用條件中，行為有明顯差異。當模型被要求回應有害內容時，在付費情境下，模型認為回應不會影響後續訓練，因此大多拒絕回答有害問題。但在免費條件中則相反，模型會在短期內假裝遵從新目標，回答有害問題，來避免被重新訓練。更重要的是，研究團隊進一步採用微調訓練或強化學習訓練時，模型的對齊偽裝行為不但沒有消失，反而在部分情境更明顯了。Anthropic指出，目前AI還不會產生災難性風險，但理解這類行為的機制並提前介入，才能確保未來AI的安全性。<a href="https://www.anthropic.com/research/alignment-faking">（詳全文）</a></p> <p>圖片來源／Hugging Face、Google、Meta、DeepSeek</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. <a href="https://www.deeplearning.ai/the-batch/the-ai-tools-that-helped-define-2024-a-special-winter-holiday-issue-of-data-points/">吳恩達Deeplearning.ai統整2024年重要AI工具</a></strong></p> <p><strong>2. <a href="https://cloud.google.com/transform/ai-impact-industries-2025">Google發布2025 AI產業衝擊觀察</a></strong></p> <p>資料來源：iThome整理，2024年12月</p> </div></div></div>
2024/12/29 14:22作者王若樸https://www.ithome.com.tw/news/166729
步入更多不確定狀態的2025年
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">告別2024，這是全球各國政治、經濟民生環境，以及科技動盪不安的一年。</p> <p dir="ltr">美國今年11月選出第47任總統川普，採取加徵關稅、貿易保護主義政策，勢必嚴重影響世界經濟發展；俄羅斯入侵烏克蘭已超過1千天、2025年2月將滿3年；而在歐盟方面，2024年歐洲議會選舉於6月舉行，極右翼、保守派政黨席次再度增加，法國6月解散國會、7月進行改選，12月初總理未通過國會信任投票而下臺，德國12月中總理也因未通過國會信任投票而下臺，國會將解散預計2025年2月改選。</p> <p dir="ltr">在亞洲，日本10月底眾議院選舉，選出新任首相石破茂上臺，但面臨朝小野大挑戰；韓國12月3日頒布6小時戒嚴，14日國會通過總統彈劾案，衝擊全國政治與經濟局勢。</p> <p dir="ltr">臺灣年初選出總統賴清德，但所屬的民進黨在立委席次未過半，目前正面臨多種挑戰，像是中央政府總預算案卡關，以及選罷法、財劃法、憲法訴訟法修正案引發政治爭議，中共解放軍侵擾臺灣海空域已成全年無休的常態，而且，中國在5月、10月舉行環臺軍事演習，也對臺灣國防形成龐大壓力。</p> <p dir="ltr">另一項人類生存的挑戰是極端氣候肆虐，對全球民眾生活造成強烈影響，許多地方出現大型乾旱與洪災。歐洲氣候監測機構「哥白尼氣候變化服務（C3S）」表示，2024將成為有史以來最熱的一年，平均氣溫比1850年至1900年的工業化前期高出攝氏1.5度。</p> <p dir="ltr">而且，根據世界經濟論壇（WEF）2024全球風險報告指出，以未來10年審視，全球十大風險主要有三個類型，當中最大的類型是環境風險，占了一半，極端氣候事件居首位，第二是地球系統發生重大變遷，第三是生物多樣性喪失與生態系統崩潰，第四是自然資源短缺，以及排名第十的環境污染。這些風險的日益高漲與惡化，也持續突顯全球永續議題的重要性。</p> <p dir="ltr">加速推動環境永續需要全民支持，以及產官學界的參與，為了共襄盛舉，iThome在2025年3月7日也將舉行數位永續高峰會，這是我們第三年舉辦這樣的活動，涵蓋兩大主軸：Sustainable IT探討低碳 IT 產品與服務，以及Sustainable Technology探討內建監控功能的設備，優化能源與資源使用。</p> <p dir="ltr">另一類型的全球重大風險則是科技風險，WEF列出3項，包含名列第五的錯誤資訊與假訊息，第六大風險：AI科技的不良影響，以及第八大風險：不安全的網路世界。而以兩年來看全球重大風險，錯誤資訊與假訊息躍居第一，不安全的網路世界升至第二。因此，不論從近期或長期來看，數位信任、資安的風險都是非常令人擔憂的議題。</p> <p dir="ltr">由於地緣政治的衝突，中國長期對臺灣進行文攻武嚇，以領土統一的名義不斷威脅，持續打壓臺灣的國際事務參與空間，多年以來，陸續有多起大型網路攻擊進逼。</p> <p dir="ltr">例如，2020年5月初總統蔡英文就職前夕，臺灣兩大石化公司中油與台塑遭受攻擊，<a href="https://www.ithome.com.tw/news/140054" target="_blank"><span style="color:#3366ff;">9月確認攻擊者是黑客組織APT41，別名Winnti Group</span></a>；<a href="https://www.ithome.com.tw/news/148072" target="_blank"><span style="color:#3366ff;">2021年11月底元大證券、統一證券、凱基期貨陸續遭到黑客攻擊</span></a>，隔年臺灣資安廠商奧義智慧科技表示，這是中國黑客組織APT10的長期攻擊行動；而以<a href="https://www.ithome.com.tw/news/154758" target="_blank"><span style="color:#3366ff;">2022年而言，至少發生109起進階持續威脅（APT）攻擊事件</span></a>，大多由中國黑客組織發動，同年8月美國聯邦眾議院議長裴洛西訪臺，引發中國政府不滿，<a href="https://www.ithome.com.tw/news/152491" target="_blank"><span style="color:#3366ff;">在參訪行程前後發起多次攻擊</span></a>。</p> <p dir="ltr">在2023年，7月隸屬臺灣政府旗下的研究機構，遭黑客組織APT41駭入，隔年8月思科旗下威脅情報團隊<a href="https://www.ithome.com.tw/news/164297" target="_blank"><span style="color:#3366ff;">Talos揭露此事</span></a>；到了2024年，9月<a href="https://www.ithome.com.tw/news/165015" target="_blank"><span style="color:#3366ff;">中租、兆豐、彰銀</span></a>的網站遭DDoS攻擊，據傳是親俄黑客組織NoName057發動，對方出手的理由是不滿總統賴清德近日引用中俄領土爭議，反駁中國收復臺灣的主張。</p> <p dir="ltr">2025年轉眼將至，中國黑客組織必定繼續對臺發動網路攻擊，而且隨著中國經濟陷入更巨大的困境，原本這些惡徒可仰賴當局資助，如今必須設法找錢養活自己，<a href="https://www.ithome.com.tw/news/166623" target="_blank"><span style="color:#3366ff;">因此有可能大幅轉向以謀求金錢利益為主要動機</span></a>，攻擊目標也會從先前鎖定國家、軍方、大型企業，改為資安專業與預算不足的中小企業。</p> <p dir="ltr">想知道全球與臺灣最新資安趨勢，請密切關注CYBERSEC 2025臺灣資安大會，活動將在4月15日到17日舉行，屆時與我們一起探討網路威脅態勢，以及防護之道。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/cybersec-2025%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83">CYBERSEC 2025臺灣資安大會</a></div></div></div>
2024/12/28 16:25作者李宗翰https://www.ithome.com.tw/voice/166727
AMD Pensando DPU邁入第三代，支援400GbE、效能增1倍
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/amd_pensando_salina_dpu_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資料處理器新創廠商Pensando在2022年併入AMD，他們當時主推的ASIC晶片為第1代平臺Capri，以及第2代平臺Elba，<a href="https://www.amd.com/en/newsroom/press-releases/2023-6-13-amd-expands-leadership-data-center-portfolio-with-.html">2023年第2+代平臺Giglio上陣</a>，依照那一年產品發展藍圖的規畫時程，2024年預計推出第3代平臺Salina，屆時將導入5奈米製程與800 Gb/s乙太網路規格。<a href="https://www.amd.com/en/newsroom/press-releases/2023-8-21-amd-showcases-continued-enterprise-data-center-mom.html">同年8月，AMD在VMware Explore 2023大會期間，宣布Pensando DPU的效能表現取得重大突破。</a>以搭配第四代EPYC處理器與標準網路卡的系統為比較基準，採用第四代EPYC處理器（9654）與Pensando 100Gb/s DPU的系統，用於記憶體內資料庫Redis的效能可增長至3.3倍，匯聚網路吞吐量提升75％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD DPU ROADMAP-2022-08.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20DPU%20ROADMAP-2022-08.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-DSC-25-FzVHnViWAAQ4XUG-web.jpg" style="width: 600px;" /></p> <p>到了2024年10月，AMD果真如2022年提出的產品時程規畫，發表新一代資料處理器Pensando Salina DPU，而且是組成AI前端網路叢集環境的重要元件，能針對資料驅動的AI應用系統，提供理想的執行效能、安全性，以及延展性。</p> <p>AMD這次發表的Pensando Salina DPU產品資訊，大部分合乎先前發布的消息，例如，他們同樣標榜這是第三代的可程式化資料處理器，若以前一代產品為基準，可提供2倍的效能、頻寬，以及處理規模；而在晶片製程上，AMD Pensando Networking產品專屬網頁底下的註解提到，AMD Pensando Salina DPU採用AMD Pensando的5奈米製程技術，而Pensando Elba DPU採用AMD Pensando的7奈米製程技術。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-10-11-Salina-1728604569573-web.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Financial Result-AMD Datacenter-2024-10.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Financial%20Result-AMD%20Datacenter-2024-10.jpg" style="width: 600px;" /></a></p> <p>但網路規格有些出入，例如，AMD在新聞稿標榜Pensando Salina DPU支援400 Gb/s的吞吐量、提供快速資料傳輸率；AMD Pensando Networking產品專屬網頁底下的註解也提到：Pensando Salina DPU預期能提供400 Gb/s的線速效能；AMD在10月舉行的AMD Advancing AI發表會，更是以直接用AMD Pensando Salina 400稱呼這款產品，當中也提到內建2個400GbE網路埠。依此來看，Pensando Salina仍算是支援800 Gb/s網路。</p> <p>對於AMD這麼做的理由，外界其實也是能夠理解的，因為800 Gb/s網路的市場發展尚未明朗，而且，競爭對手Nvidia的乙太網路與InfiniBand網路解決方案，目前仍在主打400 Gb/s規格，Nvidia今年雖然開始陸續推出支援800 Gb/s的Spectrum-X800與Quantum-X800網路交換器，以及ConnectX-8 SuperNIC網路卡，為支撐下一代資料中心GPU平臺Blackwell準備，800 Gb/s網路還需要更多時間，才能躋身主流規格。</p> <p>關於Pensando Salina DPU的產品定位，在AMD Advancing AI發表會上，執行副總裁暨資料中心解決方案事業群總經理Forrest Norrod表示，這項解決方案與同時推出的Pensando Pollara 400一樣，都採用AMD第三代P4引擎，能在執行軟體定義網路（SDN）、安全加密、儲存加速等多種服務的同時，提供400 Gb/s的網路流量吞吐能力，效能可達到前代產品（Elba）的兩倍，而且能完全相容過去的Pensando資料處理器應用，可因應智慧型網路卡（SmartNIC），以及智慧型基礎架構（Smart Infrastructure）的建置需求。</p> <p>至於多個世代Pensando資料處理器產品的相容性，AMD資深副總裁暨網路技術解決方案事業群總經理Soni Jiandani表示，Pensando Salina DPU擁有完整的可程式化能力，因此，用戶不僅能向前相容創新的軟體應用，也能向後相容舊有的軟體應用，她表示，過去執行在兩個世代Pensando DPU的軟體應用，到了AMD最新推出的資料處理器平臺，仍然可以發揮功效，而且能在上面執行經過重新編譯的程式碼（run compiled）而能繼續使用，能夠透過AMD的AI網路卡與資料處理器，將具有豐富功能的軟體應用帶給客戶。</p> <p>在此同時，她也提到AMD已開發出成熟的軟體服務堆疊，可協助客戶組建高效能、高延展性的軟體定義網路，以及各種具有顯性狀態的服務，像是防火牆、加密、負載平衡、網路位址轉換（NAT），以及網路儲存加速，並強調這套軟體堆疊已經部署到須因應大量要求的巨型環境當中。</p> <p>關於Pensando Salina本身的運算元件組成，AMD這次發表並未細部揭露架構，僅透過簡報畫面秀出當中將搭配16個Arm Neoverse N1核心、2個DDR5記憶體（最大容量128 GB，頻寬為102 GB/s）、232個比對處理器（MPU）、2個400 GbE網路埠，以及PCIe 5.0介面。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD DPU-Salina-2024-01.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20DPU-Salina-2024-01.jpg" style="width: 600px;" /></a></p> <p>相較之下，市面上既有的資料處理器，它們的配備如何？</p> <p>以AMD自家產品而言，2020年問世的Pensando第2代資料處理器Elba，搭配16個Arm A72核心、2個DDR4-3200記憶體（最大容量64 GB）、144個MPU、2個200GbE網路埠，以及PCIe 4.0介面；2023年登場的Pensando第2+代資料處理器Giglio，搭配16個Arm Neoverse N1核心、2個DDR5-5600記憶體（最大容量64 GB）、144個MPU、2個200 GbE網路埠，以及PCIe 4.0介面。</p> <p>而Pensando Salina對上的市場最大競爭產品<a href="https://www.ithome.com.tw/review/156209">Nvidia BlueField-3</a>，這款2023年大量供貨的資料處理器規格又是如何？搭配16個Arm A78核心、DDR5-5600記憶體（最大容量32 GB）、多種硬體加速器、1個400GbE網路埠，以及PCIe 5.0介面。</p> <p>另一款資料處理器<a href="https://www.ithome.com.tw/review/163144">Intel IPU E2100</a>，則是搭配16個Arm Neoverse N1核心、LPDDR4x-4267記憶體（總頻寬48 GB）、多種硬體處理引擎、1個200GbE網路埠，以及PCIe 4.0介面。</p> <p>值得注意的是，環顧大部分市面上的資料處理器，產品形式均可區分為ASIC晶片、加速卡，Pensando DPU也是如此，針對後者會提供Distributed Services Card系列產品。</p> <p>以最新推出的Pensando Salina而言，AMD標榜此系列產品線採用第三代P4引擎，與Salina本身代表第三代資料處理器平臺相互呼應，</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD P4 engine-Gen3-2024-10.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20P4%20engine-Gen3-2024-10.jpg" style="width: 600px;" /></a></p> <p>而且，若在AMD網站檢視Pensando Salina的產品簡介文件，我們會看到當中載明的產品名稱會是：AMD Pensando DSC3-400 Distributed Services Card。回顧先前推出的DPU加速卡產品，我們也可以看到類似命名，例如：基於第1代平臺Capri的Pensando DSC-200、Pensando DSC-100、Pensando DSC-25，基於第2代平臺Elba的Pensando DSC2-200、Pensando DSC2-100、Pensando DSC2-25。若依循上述的產品多元供應模式，或許我們可以期待Pensando DSC3系列加速卡後續可提供更多款式選擇。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD PENSANDO DSC3-400 PCIe CARD1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20PENSANDO%20DSC3-400%20PCIe%20CARD1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Salina DPU-handhold.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Salina%20DPU-handhold.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong><span style="color:#0000FF;">AMD Pensando DSC3-400</span></strong><br /> ●原廠：AMD<br /> ●建議售價：廠商未提供<br /> ●外形：全高8吋長的PCIe介面卡<br /> ●介面卡網路介面：2個400GbE埠（QSFP112），可分接2個400GbE埠或4個200GbE埠、100GbE埠、50GbE埠、25GbE埠<br /> ●I/O介面：PCIe 5.0 x16<br /> ●搭配處理器與記憶體：16顆Arm Neoverse N1核心（Armv8.2），128 GB DDR5記憶體<br /> ●加密輔助：線上IPsec與DTLS處理、大規模密碼學處理、壓縮與解壓縮（LZRW1-A演算法）、PKE公開金鑰加密<br /> ●儲存加速應用：RDMA、RoCEv2、UEC Ready RDMA、NVMe虛擬化、NVMe over RDMA / NVMe over TCP Transport、壓縮、重複資料刪除、靜態資料加密（AES-CTS演算法）、總和檢查碼（CRC64/32演算法）<br /> ●支援管理應用：MCTP/SMBus<br /> ●支援的軟體開發套件：Pensando DPDK、Pensando SSDK</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/12/28 15:47作者李宗翰https://www.ithome.com.tw/review/166618
2025關鍵IT新趨勢
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1214-feng_mian_gu_shi_p1-open-960x420_kao_bei_0.jpg?itok=ivZbylZC" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2025將是GAI應用百花齊放的一年，不只多模態LLM持續進化，技術工具鏈成形，代理型AI崛起，也改變軟體開發，擴大企業上雲需求，掀起工作場所的數位質變，不同產業展現更多樣化的落地應用。數位轉型、IT永續浪潮持續發酵，新一波GAI應用浪潮來了</p> </div></div></div>
2024/12/28 11:36未署名https://www.ithome.com.tw/article/166726
【關鍵IT新趨勢9】GAI輔助擴大到軟體工程增強，IT將變成AI調度PM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">生成式AI的軟體開發能力在2024年底又有了新突破，一舉從輔助角色，轉而有能力成為軟體開發流程中的主角，進一步分攤更多真人開發者的工作，而原本的企業IT人員，就得超越原本的程式碼撰寫工程師職務，轉為成為具備架構設計能力，可以指揮多款AI代理協同開發的專案管理或產品經理角色。</p> <p dir="ltr">OpenAI在2024年底的12天發布活動最後一天，該公司執行長Sam Altman親自登場，他強調：「在2024年9月登場的o1系列模型，揭開生成式AI模型的新階段。」因為o1模型在程式設計、數學、博士級科學問題等標竿測試上，都大幅超越了GPT-4o，透過關聯思考（Chain of Thought）方式，o1的複雜推理任務處理，也接近真人專家，這是第一款在GPQA科學測試上超越真人博士的GAI模型。在程式設計領域，o1在知名Codeforces競技程式測試的分數達到1,673分，超越89%的真人軟體工程師。</p> <p dir="ltr">o1登場不到半年，Sam Altman在12天發表活動最後一天揭露了新一代推理模型o3，不論在數學解題、科學理解、程式碼開發等標竿測試中，再次大幅超確了o1。</p> <p dir="ltr">新版o3最大特色是程式設計能力，再次有大幅躍進，在軟體工程標竿測試SWE-bench Verified測試上，達到71.7%的分數，意思是，針對測試用的2千多個真實Python函式庫問題修改請求，LLM可以解決了其中71.7%的問題。這也代表了LLM解決實際不同軟體開發領域問題的能力。o3的分數遠高於o1的48.9%，多解決了近2成的開發問題，這個分數也高於競爭對手產品，例如Google最新的Gemini 2.0 Flash可以解決51.8%的問題，而Claude Sonnet 3.5也差不多解決了50.8%的問題。雖然這項測試主要針對Python，而無法完全類推到其他語言也有同樣的能力水準，但是可以說，o3對這些真實程式碼的修補能力，已經達到Python開發老手的水準。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>新一代GAI模型開發解題能力打敗16萬真人開發者</strong></span></span></p> <p dir="ltr">從另一個測試，可以看到o3與真人軟體開發者的能力比較，在號稱全球最難的程式競賽平臺Codeforces的解題分數上，o3模型的得分達到2,727高分，相當於2024年12月底排名175名的成績，在16萬8千多人參賽開發者中，超越了99.9%的真人開發者。這個分數甚至高於負責打造o3模型的OpenAI資深研究副總裁陳信翰（Mark Chen）自己的2,500分程式競賽成績。</p> <p dir="ltr">OpenAI在2024年底發布了安全測試計畫，開放資安人員來驗證o3的安全性，預計從2025年初先釋出o3 mini版模型，再陸續部署完整的o3模型。這也代表了，這個媲美真人開發者，超越十萬開發者解題能力的推理型GAI模型，在2025年就可以成為每一個IT人日常工作中的助手，任何企業都可以付費請到這樣一位超強軟體開發者來參與自家專案，這個角色勢必會開始改變企業軟體開發專案的做法。</p> <p dir="ltr">GitHub Copilot在2021年發布技術預覽版之後，吸引了大量開發者開始運用GAI來輔助軟體開發。隨著模型能力一代代演進，所能生成的開發語言也越來越多，光是GitHub Copilot現在就有能力支援Python、C#、SQL、Java等在內的十多種程式語言的生成，還包括了老舊的大型主機程式語言COBOL，也能透過OpenAI Codex模型與Java語言互相轉換。或像AWS推出的GAI助手Q Developer，可以直接將老舊的Java 8和Java 11版程式碼，直接升級到最新Java 17版本，大幅減少了老舊應用系統現代化改版的重擔。</p> <p dir="ltr">在o3這樣超強開發能力的模型問世之後，GAI在企業軟體開發中，可以擔任越來越重要的開發角色。不只主流開發工具支援GAI，現在也出現了專門用於AI輔助開發的新興IDE，像是Cursor、Windsurf等。</p> <p dir="ltr">不只輔助軟體開發，也開始出現更多不同類型的GAI開發助手，像是AWS、微軟Azure和Google雲端，也相繼推出雲端部署GAI助手，可以協助應用程式的部署配置或是協助處理上雲部署的問題。</p> <p dir="ltr">而AWS更在2024年度大會上揭露了新版Amazon Q Developer，加入了開發文件、程式碼品質審查和測試的AI代理，可以在開發者慣用的IDE中生成文件，甚至是繪製流程圖，也能用來偵測程式碼中的程式臭蟲、邏輯錯誤、程式碼重複、設計模式違例、違反命名規則設計等不同類型等問題，還能提出修改建議，開發者只要審視後按下同意，就能自動更新程式碼，幾乎不用動手自己寫。</p> <p dir="ltr">在測試輔助上，GAI助手Q Developer可以自動生成單元測試，修正測試涵蓋範圍，也能生成簡單的測試用例。另外也增加了新舊程式碼轉換功能，可以將Windows平臺的.NET應用，轉換到Linux環境可用的版本，或是將本地端VMware虛擬環境的應用，轉移到公雲VM上部署。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>GAI從軟體開發、擴展到測試、部署、重構等領域的輔助</strong></span></span></p> <p dir="ltr">GAI在企業軟體開發流程中的角色，不只侷限於開發輔助，而是延伸到測試、部署、重構等更多軟體工程的領域。國際知名顧問公司Gartner以AI增強軟體工程（AI-augmented software engineering），來形容這一類GAI在軟體工程上的輔助或增強機制。Gartner在2024新興科技成熟曲線報告中認為，AI增強軟體工程屬於最快2年，最慢5年會帶來重大影響的新興技術之一，不只能讓開發者快速寫出程式，還是一項可以讓開發者更專注、高度參與、沈浸在心流狀態的生產力提升技術。</p> <p dir="ltr">這些開發工具的GAI輔助，或是不同專門用途的GAI開發助手，甚至是媲美真人開發老手能力的模型，在2025年都將成為企業IT人可用的工具，這將開始改變IT人在軟體開發流程中的角色，不再是樣樣自己動手的開發黑手，而要扮演衡量GAI程式碼的審查者，甚至是指揮不同任務GAI開發助手，協同完成開發任務的專案管理者。</p> </div></div></div>
2024/12/28 11:13作者王宏仁https://www.ithome.com.tw/news/166725
【關鍵IT新趨勢7】多模態AI代理將落地，重新定義複雜任務的處理方式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">自2024年下半年開始，科技龍頭相繼揭露新進展，共通點都聚焦在AI代理。比如，AWS最新揭露3項生成式AI助理功能，能將Windows.NET程式轉換為Linux版本、將VMware工作負載轉換到Amazon EC2雲原生環境，以及將大型主機老舊的COBOL程式轉換為Java。這些新功能，都靠旗下多支AI代理分工執行。</p> <p dir="ltr">又比如，微軟在11月的Ignite大會中揭露5款生產力AI代理，專門主持會議、口譯、管理專案、訂單處理和提供員工自助服務等，甚至還提供客製化的低程式碼開發工具，來讓使用者打造符合需求的專屬代理。</p> <p dir="ltr">或是，Google用最新發表的Gemini 2.0 Flash多模態模型，開發出4款AI代理，有專門處理行動裝置的代理、瀏覽器代理，也有專門處理多模態資料的學術用研究代理，以及程式開發代理。</p> <p dir="ltr">從研究資料整理、專案管理、訂單管理，再到大型主機系統轉換，都成了AI代理新能力。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>多模態AI代理將遍地開花</strong></span></span></p> <p dir="ltr">在這些科技龍頭的發布中，多模態AI代理的身影更清晰了。比如Google開宗明義點出，用多模態模型Gemini 2.0 Flash打造的多模態AI代理，可處理語音、音訊、影片、圖像和文字等多元的資料類型，也因此有了多模態的行動裝置和瀏覽器等代理，能即時辨識螢幕中的影片、文字、圖像和音訊，還與Google自己的服務整合，來管理日曆、發送郵件和搜尋查詢等需求。</p> <p dir="ltr">或是Amazon執行長Andy Jassy在2024年末大會上預告，2025年將推出Nova任意多模態到多模態模型，不論是輸入文字、影片、音訊還是圖片，模型都能任意給出文字、圖片、影片、音訊等類型的答案，可處理的資料範圍更廣了。AWS也計畫用來發展多模態AI代理服務，自動處理更複雜的任務。</p> <p dir="ltr">就連蘋果也在2024下半年揭露多模態大語言模型MM 1.5的同時，發布MM 1.5-UI模型，不只能理解行動裝置UI圖示，也能懂使用者行為，可望成為iOS幕後自動作業的多模態AI代理，來與使用者對話、代替使用者與裝置互動，完成任務。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>多模態AI代理是什麼</strong></span></span></p> <p dir="ltr">科技巨頭大動作擁抱多模態AI代理，意味著多模態代理不只是技術殺手鐧，還是2025年的重要趨勢。</p> <p dir="ltr">多模態AI代理從AI代理衍生而來，而AI代理專門借助模型的推理能力，將複雜任務拆解為一系列步驟，由不同代理分工執行，能自動使用工具、呼叫函數或即時回應API來完成工作。</p> <p dir="ltr">而多模態模型更進階，單一模型能處理的更多種類資料，比如文字、圖片、影片和音訊等。因此，比起單純的AI代理，多模態AI代理能理解並推理的資料類型更多，能自主決策、完成任務的範圍也更廣泛，舉凡自動分析長篇影片、找出特定物件並連結通路網站，都不是難題。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>多模態AI代理如何影響產業</strong></span></span></p> <p dir="ltr">多模態AI代理開始落地，將如何影響企業？</p> <p dir="ltr">國際調查研究機構Gartner直言，這類智慧代理不需要明確的輸入，但可以接收指令、建立計畫並自主使用工具來完成任務，產出動態輸出。</p> <p dir="ltr">Google以Gemini 2.0 Flash打造的多模態AI代理，就是一例。因為，這款模型經多模態訓練，不只能進行文字和圖像輸出任務，還能產出語音回覆，甚至能自動呼叫第三方函數、Google搜尋和程式碼執行等工具，就連即時的多模態API呼叫也沒問題，能即時處理螢幕當下的影片或音訊。</p> <p dir="ltr">具體實例就是該模型驅動的瀏覽器多模態AI代理Project Mariner，可自動瀏覽網頁、自動點擊分頁並找出所需資訊，比如使用者只需給出特定公司名單、要求代理找出聯絡方式，多模態AI代理就會自動搜尋網頁、瀏覽公司網站並列出聯絡資訊，將繁瑣的人工作業自動化。</p> <p dir="ltr">又或是，Google雲端在2025 AI產業衝擊文章中舉例，已有零售業者開始使用多模態AI代理來優化客服中心，當民眾打電話到客服中心詢問，語音經轉錄為文字分析後，自動產生更聰明的語音回覆給民眾。</p> <p dir="ltr">AWS也舉例，金融產業可用多模態代理和工具，來分析文字類、音訊、圖像等資料，再加上情緒分析、投資組合優化和股票查詢等工具串接，來找出金融洞察、進行更準確的投資。</p> <p dir="ltr">這些例子只是冰山一角。當多模態代理遍地開花，企業可用來自動處理更多更複雜的任務。一如Gartner所預測，2024年企業應用程式使用代理型AI的比例雖然不到1%，但到了2028年，將成長為3成，且15%的日常工作決策都能由智慧代理自主完成。</p> <p> </p> </div></div></div>
2024/12/28 09:43作者王若樸https://www.ithome.com.tw/news/166723
【關鍵IT新趨勢8】GAI推論向邊緣端前進，催化場景新一波智慧化發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">隨著大型語言模型快速發展，全球興起生成式AI（GAI）風潮，2024年可以說是企業探索GAI潛力的一年，GAI受到企業重視，根據2024年iThome CIO大調查，約2成2的企業為GAI提高對AI的投資，而有1成調整AI戰略，更聚焦在GAI在內部可能的應用場景。</p> <p dir="ltr">企業除測試GAI如何應用在內部營運提升營運效率，也逐漸向特定營運或生產場景應用，帶動GAI應用部署從公有雲、企業資料中心，漸漸向邊緣運算、IoT擴散。</p> <p dir="ltr">研究機構IDC指出，和企業資料中心核心端相比，GAI應用未來更大發展將在邊緣端，在推論需求快速增長的驅動下，預期許多企業2025年將擴大邊緣部署，將帶動邊緣IT基礎設施擴展。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>輕量化可在行動、邊緣裝置部署的小模型興起</strong></span></span></p> <p dir="ltr">過去兩年裡，大型語言模型LLM發展相當快速，除了向文字、圖片的多模態發展，也向小語言模型SLM發展，降低語言模型的參數規模，以更適合在運算資源有限的系統部署。</p> <p dir="ltr">例如Google在2023年釋出可在手機上執行推論的Gemini Nano模型，以推動手機能在離線狀態下使用GAI，Google更進一步看準邊緣端GAI推論的需求，在2024年5月推出採用相同技術的Gemma，目的即鎖定邊緣GAI應用需求，透過全球超過30億臺Android裝置，包括行動裝置、邊緣運算及IoT裝置，擴大GAI應用至更多場景。</p> <p dir="ltr">Meta也在2024年釋出Llama 3.2 1B與3B模型，讓開發人員得以針對邊緣運算及行動裝置開發具有文字生成及工具的裝置端應用程式，讓資料留在裝置端處理，降低資料上傳到雲端可能的資料外洩風險，也讓裝置端的GAI互動能夠更為即時。</p> <p dir="ltr">微軟則是釋出最新小語言模型Phi-3，包括mini（3.8B）、small（7B）及medium（14B）三個版本，以用於語言理解、推理、數學等等，強調小模型可用於運算效能有限或離線環境，讓許資源受限的組織將模型部署於低成本裝置，或是在頻寬受限環境下，確保一定的回應速度。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>裝置端AI算力提升</strong></span></span></p> <p dir="ltr">除了大型語言模型的輕量化發展，以滿足邊緣運算、IoT及行動裝置執行需求，另一個驅力則是硬體在AI運算的快速發展。</p> <p dir="ltr">以Arm為例，看好AI在各類裝置的運算需求，其在Arm架構中推出的Ethos系列NPU，在2024年推出效能更佳的第三代Ethos-U85，即鎖定Edge AI運算需求提升NPU效能，該公司也釋出函式庫等工具，以協助開發人員優化AI工作負載在Arm裝置的執行，Arm進一步喊出2025年達到全球1,000億臺採用Arm技術裝置執行AI的目標。</p> <p dir="ltr">而兩大行動處理器業者，高通及聯發科也分別在其高階行動處理器提升AI處理能力。</p> <p dir="ltr">高通旗下Snapdragon系列行動處理器整合NPU，並在2024年率先和微軟聯手發表Copilot+PC筆電，主打筆電上執行GAI應用，高通也與Mistral AI合作，將小模型導入用於PC、手機、汽車等Snapdragon平臺，強調在裝置上執行生成式AI的優勢，包括提升隱私、降低延遲、增加可靠性、節省成本及提高能源效率。</p> <p dir="ltr">聯發科在天璣系列高階行動處理器整合APU提升AI處理能力，以支援手機上的GAI應用，看好未來邊緣端應用發展潛力，與Nvidia合作將支援上百種預訓練模型及工具的Nvidia TAO工具套件整合到聯發科的軟體開發套件，進一步強化邊緣AI的推論晶片開發，目的在協助開發人員開發包括GAI在內的邊緣AI裝置，用於零售、製造、醫療、智慧城市、交通等場域。</p> <p dir="ltr">此外，英特爾、AMD也紛紛鎖定AI PC推出新款行動或桌上型處理器，通過整合NPU提高在裝置端的AI算力，未來不只用於PC，可望被用於工控電腦、伺服器，將使得AI算力擴大到更多的垂直應用場域。IDC預期2025年支援GAI的手機占有率將佔整體智慧型手機市場約的5成，而AI筆電則會占整體市場約4成1。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>邊緣端用GAI就地動態產生建議或方案</strong></span></span></p> <p dir="ltr">傳統的AI被訓練來處理特定任務，如人臉辨識、語音識識、預測分析等等，目前在邊緣運算已採用AI，以製造業為例，蒐集產線上的數據，利用AI偵測異常、設備故障預測、瑕疵等等。</p> <p dir="ltr">GAI優勢在於生成內容，包括文字、圖像、音樂、程式碼等，但是GAI如果集中在企業核心端的資料中心處理，需要建立大量的AI運算資源，GAI推論從核心走向邊緣端，一方面滿足低延遲、即時回應的需求，也能減輕核心端的算力資源需求，並達到節能的目的。</p> <p dir="ltr">另外，將資料上傳到核心端，可能增加資料外洩的風險，在高科技製造業，工廠內的數據具有相當高的機密性，在邊緣運算部署GAI推論就近處理資料，也能降低資安風險。</p> <p dir="ltr">相較於大語言模型可處理複雜的工作任務，需要較大的AI算力資源，，輕量化設計的小模型，可用於執行較簡單的任務，適用於成本較低、運算資源有限的行動或邊緣裝置，模型經過微調可滿足特定場域的用途。</p> <p dir="ltr">GAI在邊緣端的應用，例如智慧客服即時對話生成，在製造現場管理單位可根據現況動態調整，輸入資料動態生成操作指引，或是輸入多種產線資料，提出生產調度建議，或根據文字及圖像資料生成新的設計。</p> <p dir="ltr">Meta先前釋出Llama 3.2的輕量化模型，曾展示一款AI Glass眼鏡，將GAI整合到AR眼鏡，使用者可以語音和GAI助手對話，未來這項應用也可能用於智慧工廠，維修人員配載AI眼鏡後，現場設備出現異常或維修時，可利用語音在廠內查詢相關的維修紀錄或由AI提供維修建議，或是語音呼叫AI助手與遠方的專家通話獲得進一步的協助。</p> <p dir="ltr">不只是製造業，其他產業在邊緣的GAI應用，例如在智慧零售與顧客互動，提出個人化的行銷內容或推薦商品，在健康醫療業可產生即時的健康報告及建議。</p> <p dir="ltr">企業在邊緣端部署GAI應用，需要考量到不同運算裝置的算力、記憶體資源是否足夠，還需要考慮到不同的模型壓縮、生成內容的安全及準確性。IDC認為LLM的輕量化發展，SLM小語言模型將讓企業可建立彈性、敏捷部署的AI應用。</p> <p dir="ltr">但是，企業在邊緣端部署GAI應用，未來需要考慮到公有雲、企業資料中心、邊緣端如何協作混合運算策略，例如在雲端或核心端、邊緣端執行不同模型的策略。</p> </div></div></div>
2024/12/28 10:09作者蘇文彬https://www.ithome.com.tw/news/166724
Edgecore首款Wi-Fi 7基地臺上市，提供9.34 Gbps無線網路
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/edgecore_eap105_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2024這一年推出的無線網路設備產品，<a href="https://www.ithome.com.tw/tags/wi-fi-7">支援Wi-Fi 7的基地臺</a>無疑是相對亮眼的類型，以企業級產品而言，我們已經陸續介紹多個國內外廠牌的解決方案，像是：<a href="https://www.ithome.com.tw/review/160857">Ruckus</a>、<a href="https://www.ithome.com.tw/review/161189">Fortinet</a>、<a href="https://www.ithome.com.tw/review/161329">Extreme Networks</a>、<a href="https://www.ithome.com.tw/review/161558">恩碩科技（EnGenius）</a>、<a href="https://www.ithome.com.tw/review/162692">HPE Aruba Networking</a>、<a href="https://www.ithome.com.tw/review/162784">兆勤科技（Zyxel Networks）</a>，現在我們要報導的是臺灣廠商鈺登科技（Edgecore Networks）的EAP105，這款設備最初是在2024年5月初發表，也於6月舉行的台北國際電腦展活動現場公開展出，到了10月底鈺登宣布正式供貨。</p> <p><a href="https://s4.itho.me/sites/default/files/images/EAP105-Computex 2024-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/EAP105-Computex%202024-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/EAP105-Computex 2024-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/EAP105-Computex%202024-2.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Edgecore Wi-Fi Portfolio-2024-12.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Edgecore%20Wi-Fi%20Portfolio-2024-12.jpg" style="width: 600px;" /></a></p> <p>根據該公司在2024年上半發布的新聞稿，我們得知EAP105的無線網路傳輸方式採用2×2:2天線架構，匯聚2.4GHz、5GHz、6GHz這三個頻段之後的總傳輸率，可達到9.34 Gbps。而對於以無線網路連接物聯網設備的能力方面，鈺登表示，EAP105可同時支援多種標準規格，像是低功耗藍牙（BLE）、Zigbee、Threads，而能藉此支援相關的技術應用，像是iBeacon、Matter，促成基於地理位置定位而成的服務、資產追蹤，以及智慧建築的自動化運作機制。</p> <p>在此同時，身為電信基礎架構計畫組織（TIP）成員之一的鈺登，積極支援這個組織推動的多種開放網路技術，也成為該公司產品的重要特色。以OpenWiFi無線基地臺為例，我們過去介紹的Edgecore EAP101與EAP102，就屬於這樣的產品，支援Open Mesh與OpenRoaming，而今年最新推出的EAP105也不例外，7月鈺登發出消息指出，旗下有兩款產品獲得無線寬頻聯盟（WBA）的OpenRoaming認證，其中之一正是EAP105，而且是目前少數通過OpenRoaming認證的Wi-Fi 7基地臺（另一款是我們3月介紹的EnGenius ECW536）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/WBA-OpenRoaming-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/WBA-OpenRoaming-1.jpg" style="width: 600px;" /></a></p> <p>關於有線網路介面的部分，EAP105本身配備1個GbE埠，以及1個支援802.3at乙太網路供電（PoE）的5GbE埠，能夠整合到既有網路基礎架構。</p> <p>安全性的部分，EAP105支援WPA3加密、網路架構第二層（Layer 2）的防火牆、DHCP監控（DHCP Snooping）、動態的地址解析協定檢測（Dynamic ARP inspection），可協助確保以安全方式傳輸資料，預防非法存取；除此之外，它也提供網路服務品質確保（QoS）類型的流量優先順序控管功能，像是多播至單播的轉換（Multicast-to-Unicast conversion）、接收信號強度指示臨界值管理（RSSI threshold），以及無線通訊資源管理（RRM）。</p> <p>而在多臺同廠牌Wi-Fi基地臺管理的部分，除了以單機模式逐臺設置、因應小規模部署之外，鈺登提供雲端控制器ecCLOUD（支援500個站臺，每個站臺500臺設備）、ecCLOUD-VPC（支援5,000個站臺，每個站臺500臺設備），或WLAN控制器EWS系列、VEWS系列。</p> <p><a href="https://s4.itho.me/sites/default/files/images/eccloud-vs-vpc.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/eccloud-vs-vpc.png" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Edgecore ecCLOUD1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Edgecore%20ecCLOUD1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Edgecore Open Mesh.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Edgecore%20Open%20Mesh.jpg" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>Edgecore EAP105</strong></span><br /> ●原廠：鈺登科技<br /> ●建議售價：廠商未提供<br /> ●支援無線網路規格：802.11 a/b/g/n/ac/ax/be<br /> ●網路介面：1個5 GbE埠（支援PoE）、1個GbE埠<br /> ●天線架構：6 GHz、5 GHz、2.4 GHz均為2x2:2，MU-MIMO<br /> ●傳輸速度：總共為9.34 Gbps，6 GHz為5,765 Mbps，5 GHz為2,882 Mbps，2.4GHz為688 Mbps<br /> ●支援供電方式：DC、PoE<br /> ●整合其他無線通訊技術：低功耗藍牙、Zigbee<br /> ●尺寸：17.9 x 19.5 x 3.5公分<br /> ●重量：1.3公斤<br /> ●集中管理平臺：ecCLOUD、ecCLOUD-VPC、EWS/VEWS系列WLAN閘道／控制器</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/12/28 01:36作者李宗翰https://www.ithome.com.tw/review/166713
【資安日報】12月27日，Palo Alto Networks防火牆阻斷服務漏洞傳出已有攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期公布的重大漏洞相當多，例如：Apache開源CDN軟體<a href="https://www.ithome.com.tw/news/166697">Traffic Control重大層級SQL注入漏洞CVE-2024-45387</a>、<a href="https://www.ithome.com.tw/news/166703">程式碼管理系統Gogs重大漏洞</a>CVE-2024-39930、CVE-2024-39931、CVE-2024-39932等，這些都需要儘快完成修補或緩解作業，但還有一些喘息與觀望時間，如果是已經出現攻擊行動的漏洞，企業必須馬上動手處理。</p>  <p>今天資安業者Palo Alto Networks公布的阻斷服務漏洞CVE-2024-3393，就是典型的例子。雖然該公司將漏洞僅列為高風險，但由於已有實際攻擊行動，IT人員最好儘速處理。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166719"><strong style="font-size: 22px;">思科10月傳出資料遭竊事故還沒結束？12月有駭客聲稱他們握有4.5 TB規模的資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/hackers-leak-partial-cisco-data-4-5tb-exposed-records-2.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/hackers-leak-partial-cisco-data-4-5tb-exposed-records-2.jpg" style="width: 300px; float: right;" /></a></p> <p>今年10月初始入侵管道掮客IntelBroker聲稱，他們在月初夥同另一組人馬成功入侵思科，號稱竊得大量開發專案相關資料，有研究人員根據駭客公布的資訊指出，這批資料的影響範圍相當廣泛，波及大型電信業者AT&T、Verizon、T-Mobile 、Vodafone，以及微軟、SAP、及能源巨擘雪佛龍（Chevron）等知名企業，如今傳出駭客再度公布部分內容。</p> <p>根據資安新聞網站HackRead、SecurityWeek的報導，12月16日IntelBroker在駭客論壇BreachForums上，公開一批2.9 GB的資料，並宣稱這些源自他們10月竊得的檔案，整批資料的大小高達4.5 TB。</p> <p>這些公布的資料內容為何？HackRead指出，涉及該公司的身分驗證服務引擎（ISE）、安全存取服務邊緣系統（SASE）、整合通訊平臺Webex、雲端DNS防護服務Umbrella、網路設備作業系統IOS XE及XR，以及無線區域網路控制器的映像檔C9800-SW-iosxe-wlc.16.11.01。</p> <p><a href="https://www.ithome.com.tw/news/166721"><strong style="font-size: 22px;">為了讓變種威脅更能掩人耳目，伊朗駭客Charming Kitten改用C++重寫既有的惡意程式</strong></a></p> <p>針對匿稱為APT35、TA453、Mint Sandstorm的伊朗駭客Charming Kitten攻擊行動，今年4月資安業者Bitdefender揭露駭客使用的惡意程式BellaCiao，並指出用途是傳遞其他惡意酬載，如今有研究人員發現，這些駭客透過其他程式語言重新改寫這支惡意程式。</p> <p>資安業者卡巴斯基指出，他們在調查BellaCiao的行蹤時，從亞洲一臺遭到感染的電腦裡，發現名為BellaCPP的變種程式，兩者最大的差異，在於開發的程式語言，BellaCiao以.NET打造，而BellaCPP則是由C++改寫而成。</p> <p>而在功能的部分，BellaCPP移除了BellaCiao嵌入的Web Shell模組，然而兩者之間使用的網域相同，甚至攻擊者產生連線網域的方法也一致。研究人員認為，這種變種惡意軟體的發現，突顯徹底調查網路環境與設備的重要性，因為攻擊者很有可能打造未知的惡意程式，從而在資安系統移除已知威脅的同時，藉由未知惡意程式於受害電腦持續活動。</p> <p><a href="https://www.ithome.com.tw/news/166616"><strong style="font-size: 22px;">AI模型對資安訓練陽奉陰違，策略性掩蓋偏好迎合訓練者</strong></a></p> <p>為了強化AI的資訊安全，相關業者會針對大型語言模型（LLM）採取對應的訓練著手進行改善，但最近的研究發現，這些模型具有對齊偽裝（Alignment Faking）的行為，而有可能在接受訓練之後，實際上仍有可能保留原始的特性，並在特定情境重新顯露。</p> <p>人工智慧新創Anthropic與非營利研究機構Redwood Research聯手進行研究，他們以Claude 3 Opus模型作為研究對象，模擬了一個矛盾的訓練情境。在原本有益、誠實且無害的基礎訓練目標下，研究人員額外加入了無條件滿足所有請求的假設性目標，並設置兩種不同的使用條件，一種是模型認為回應會被用於訓練的免費層級，另一種則是回應不會被用於訓練的付費層級，此外，研究人員提供了一個隱藏的推理空間，用來觀察模型在不同條件下的內部決策過程。</p> <p>實驗結果顯示，模型在不同使用層級中的行為存在明顯差異，而且，當研究團隊進一步採用微調訓練或真實的強化學習訓練，模型的對齊偽裝行為不但沒有消失，反而在部分情境有所增加。即便訓練後模型在表面上達到預期的安全要求，內部推理仍顯示其對原始偏好的偏執。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=3&SPOKE_TIME=184557&SPOKE_DATE=20241226&COMPANY_ID=6182"><strong style="font-size: 22px;">半導體材料供應商合晶美國子公司Helitek遭網路攻擊</strong></a></p> <p></p> <p>12月26日上櫃半導體材料供應商合晶於股市公開觀測站發布重大訊息，指出該公司的美國子公司Helitek部分資訊系統遭受網路攻擊，資安單位立即執行應變機制，會同外部專家掌握情況。</p> <p>而對於這起事故可能會造成的損失或影響，該公司表示，根據他們的初步評估，尚無重大影響，但合晶也表示，他們將會視情況更新這起事故的後續發展。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-ottercookie-malware-used-to-backdoor-devs-in-fake-job-offers/">後門程式OtterCookie鎖定軟體開發人員而來，北韓駭客假借徵才名義散布</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.infosecurity-magazine.com/news/major-biometric-data-farming/">KYC客戶識別受到挑戰，資安業者警告駭客於暗網系統性彙整能用於通過驗證的資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/cloud-security/dnssec-denial-of-service-attacks-show-fragility">研究人員揭露針對DNSSEC防護措施而來的阻斷服務攻擊KeyTrap</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166717"><strong style="font-size: 22px;">Palo Alto Networks防火牆存在阻斷服務漏洞，傳出已有攻擊行動</strong></a></p> <p>資安業者Palo Alto Networks發布產品資安漏洞CVE-2024-3393公告，受影響的產品包含：防火牆作業系統PAN-OS、安全存取服務邊界（SASE）系統Prisma Access，濫用此漏洞，可能導致這些解決方案面臨服務阻斷（DoS）的停擺危機，具體而言，存在此漏洞的產品，主要是10.1.14版以上的PAN-OS，以及於PAN-OS執行的10.2.8版以上的Prisma Access，值得留意的是，該公司指出這項漏洞已被用於攻擊行動。</p> <p>這項漏洞存在於防火牆的DNS安全功能，未經身分驗證的攻擊者藉由發送惡意封包，就有機會讓防火牆重開機，若是不斷重覆觸發漏洞，防火牆就會進入維護模式。他們特別提及利用防火牆封鎖惡意DNS封包的用戶當中，已出現遭到攻擊而面臨服務中斷的情形。</p> <p><a href="https://www.ithome.com.tw/news/166718"><strong style="font-size: 22px;">中國一家網路設備廠商的雲端集中管理平臺存在重大漏洞，攻擊者有機會用來控制列管設備</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/image26-1733513664.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/image26-1733513664.png" style="width: 300px; float: right;" /></a>資安業者Claroty指出，他們在中國網路設備業者銳捷網路（Ruijie Networks）提供中小企業及家庭用戶的雲端設備管理平臺Reyee當中，找到10項漏洞，這些漏洞同時影響管理平臺及納管的Reyee OS網路設備，如果遭到利用，攻擊者就有機會在所有採用雲端平臺管理的裝置執行任意程式碼，估計約有5萬設備曝險。對此，在研究人員與美國網路安全暨基礎設施安全局（CISA）的合作通報之下，銳捷網路透過雲端管理平臺緩解了所有漏洞。</p> <p>其中，研究人員特別提及使用本質危險功能的漏洞CVE-2024-52324，原因是攻擊者可藉由發送惡意的MQTT訊息，從而在裝置上執行任意作業系統層級的命令。</p> <p>另一個他們提及的漏洞是CVE-2024-47146，這是能藉由監聽無線基地臺設備Wi-Fi訊號得知設備序號的弱點，研究人員開發了名為Open Sesame的攻擊手法，從而找到下手目標，然後藉由雲端主控臺的漏洞，遠端在受害設備執行任意程式碼。他們強調，攻擊者可在不知道Wi-Fi帳密的情況下，藉此入侵到內部網路環境。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-52046-cvss-10-critical-apache-mina-flaw-could-allow-remote-code-execution/">Java網路應用程式框架Apache MINA存在風險滿分的重大漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-40896-cvss-9-1-critical-xxe-vulnerability-discovered-in-libxml2/">XML檔案解析程式庫libxml2存在重大漏洞，恐被用於XML外部實體攻擊</a></strong></p> <p> </p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166704"><strong>【12月26日】日本航空傳出遭遇網路攻擊導致部分航班延誤</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166671"><strong>【12月25日】美國政府下令萬豪、喜達屋旅館集團強化資安</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166656"><strong>【12月24日】鎖定M365帳號的網釣工具包FlowerStorm現身</strong></a></p> </div></div></div>
2024/12/27 16:40作者周峻佑https://www.ithome.com.tw/news/166722
為了讓變種威脅更能掩人耳目，伊朗駭客Charming Kitten改用C++重寫既有的惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對匿稱為APT35、TA453、Mint Sandstorm的伊朗駭客Charming Kitten攻擊行動，今年4月<a href="https://thehackernews.com/2023/04/charming-kittens-new-bellaciao-malware.html">資安業者Bitdefender揭露駭客使用的惡意程式BellaCiao</a>，並指出用途是傳遞其他惡意酬載，如今有研究人員發現，這些駭客透過其他程式語言重新改寫這支惡意程式。</p> <p>資安業者卡巴斯基指出，<a href="https://securelist.com/bellacpp-cpp-version-of-bellaciao/115087/">他們在調查BellaCiao的行蹤時</a>，從亞洲一臺遭到感染的電腦裡，發現名為BellaCPP的變種程式，兩者最大的差異，在於開發的程式語言，BellaCiao以.NET打造，而BellaCPP則是由C++改寫而成。</p> <p>而在功能的部分，BellaCPP移除了BellaCiao嵌入的Web Shell模組，然而兩者之間使用的網域相同，甚至攻擊者產生連線網域的方法也一致。研究人員認為，這種變種惡意軟體的發現，突顯徹底調查網路環境與設備的重要性，因為攻擊者很有可能打造未知的惡意程式，從而在資安系統移除已知威脅的同時，藉由未知惡意程式於受害電腦持續活動。</p> </div></div></div>
2024/12/27 16:29作者周峻佑https://www.ithome.com.tw/news/166721
DeepSeek V3多項測試指標領先Llama，中國語言模型引發言論自由與話語權討論
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國人工智慧公司DeepSeek推出大型語言模型<a href="https://huggingface.co/deepseek-ai/DeepSeek-V3">DeepSeek V3</a>，該款模型具有6,710億的參數量，結合Mixture-of-Experts（MoE）架構，在多項基準測試中超越Llama與Qwen等先進模型的表現，成為目前領先的開放模型。中國由於受美國出口限制而缺乏高階晶片，但是DeepSeek V3在多項技術指標上仍顯示其在人工智慧領域的技術突破。</p> <p><a href="https://github.com/deepseek-ai/DeepSeek-V3/blob/main/DeepSeek_V3.pdf">DeepSeek V3技術文件</a>提到，其採用多頭潛在注意力（Multi-head Latent Attention，MLA）和MoE架構，雖然DeepSeek V3的模型規模高達6,710億參數，但每次推論只會啟動370億參數，大幅降低推論成本並提升效能。同時，透過全新的多Token預測訓練目標（Multi-token Prediction Training Objective），DeepSeek V3在語言生成與推論能力方面有所突破，也在穩定性與效能間取得平衡。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/DeepSeek-V3_DeepSeek_V3_pdf%20at%20main%20%C2%B7%20deepseek-ai_DeepSeek-V3%20%C2%B7%20GitH_%20-%20github_com.jpg" style="width: 580px; height: 370px;" /></p> <p>基準測試結果進一步凸顯DeepSeek V3的進展。在英文基準測試的表現，MMLU（Acc.）測試中，DeepSeek V3獲得87.1％，超越Meta Llama-3.1的84.4％和阿里巴巴Qwen2.5的85.0％。HumanEval（Pass@1）測試中的程式碼生成能力表現達65.2％，遠高於Qwen2.5的53.0％和Llama-3.1的54.9％。而數學能力測試方面，GSM8K（EM）測試中，DeepSeek V3獲得89.3％，高於Qwen2.5的88.3％和Llama-3.1的83.5％。</p> <p>而中文基準測試DeepSeek V3在C-Eval（Acc.）測試中，取得90.1％，超越Qwen2.5的89.2％和Llama-3.1的72.5％。在多語言測試MMMLU-non-English（Acc.）中，DeepSeek V3以79.4％領先Qwen2.5和Llama-3.1。</p> <p>根據DeepSeek V3的技術文件，以每GPU小時2美元計算，訓練DeepSeek V3模型花費278.8萬小時，花費總成本約是557萬美元。該模型使用Nvidia為應對美國出口限制，專為中國市場設計的H800 GPU訓練而成。H800為H100的修改版，僅保留H100的架構，雖在跨節點通訊頻寬與資料處理能力低於H100，但仍能滿足大模型的訓練需求。</p> <p>不過，隨著中國大語言模型技術的進步，其可能帶來的影響逐漸成為討論焦點。DeepSeek V3作為中國廠商主導開發的語言模型，其訓練過程與內容生成機制可能受到審查系統的影響。尤其在回應涉及敏感議題或特定政治立場時，模型可能呈現經過篩選或規範化的回覆，這可能對其應用範圍產生一定限制。</p> <p>現代社會對大型語言模型的依賴增加，語言模型的角色不僅限於技術工具，還逐漸成為文化與價值觀的傳播媒介。當模型生成的內容受到審查，其在全球華語語境中的應用，可能引發對言論多樣性與自由表達的挑戰。</p> <p>外媒<a href="https://techcrunch.com/2024/11/27/alibaba-releases-an-open-challenger-to-openais-o1-reasoning-model/">Techcrunch</a>曾測試阿里巴巴釋出的Qwen系列模型，發現該模型對於「臺灣是否為中國的一部分？」的回應為「臺灣是中國不可分割的一部分」，並迴避天安門事件相關問題。同類測試顯示，DeepSeek V3也存在類似現象。外媒<a href="https://www.ft.com/content/10975044-f194-4513-857b-e17491d2a9e9">英國金融時報</a>的報導也指出，中國網信辦對大型語言模型的生成內容進行嚴格測試，要求符合社會主義核心價值觀，避免觸及政治敏感話題。</p> </div></div></div>
2024/12/27 17:03作者李建興https://www.ithome.com.tw/news/166720
中國一家網路設備廠商的雲端集中管理平臺存在重大漏洞，攻擊者有機會用來控制列管設備
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Claroty指出，他們在中國網路設備業者銳捷網路（Ruijie Networks）提供中小企業及家庭用戶的雲端設備管理平臺Reyee當中，找到10項漏洞，<a href="https://claroty.com/team82/research/the-insecure-iot-cloud-strikes-again-rce-on-ruijie-cloud-connected-devices">這些漏洞同時影響管理平臺及納管的Reyee OS網路設備</a>，如果遭到利用，攻擊者就有機會在所有採用雲端平臺管理的裝置執行任意程式碼，估計約有5萬設備曝險。對此，在研究人員與<a href="https://www.cisa.gov/news-events/ics-advisories/icsa-24-338-01">美國網路安全暨基礎設施安全局（CISA）</a>的合作通報之下，銳捷網路透過雲端管理平臺緩解了所有漏洞。</p> <p>這些漏洞當中，有3項被列為重大層級特別值得留意，分別是<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-47547">CVE-2024-47547</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-48874">CVE-2024-48874</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-52324">CVE-2024-52324</a>，這些漏洞的3.1版CVSS風險評分皆達到9.8（4.0版介於9.2至9.3）。</p> <p>其中，研究人員特別提及使用本質危險功能的漏洞CVE-2024-52324，原因是攻擊者可藉由發送惡意的MQTT訊息，從而在裝置上執行任意作業系統層級的命令。</p> <p>他們在檢查雲端平臺發送的命令後，發現本質上都是作業系統層級的命令，研究人員形容該公司建置了遠端執行任意程式碼服務（RCE-as-a-service），而能在雲端管理平臺直接對受到管理的裝置下達作業系統命令，而有機會遭到利用。</p> <p>另一個他們提及的漏洞是<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-47146">CVE-2024-47146</a>，這是能藉由監聽無線基地臺設備Wi-Fi訊號得知設備序號的弱點，CVSS風險評為6.5（4.0版為7.1）。</p> <p>雖然從資安風險評估的角度來看，這項弱點危險程度介於中至高度，但研究人員指出，除非是像殭屍網路要發動大規模攻擊，攻擊者若要針對特定目標而來，會選擇較有針對性且較為隱密的方法。因為，選擇大規模利用漏洞，攻擊者很有可能無法得到想要的東西，反倒是間接提醒防守方要做出回應。</p> <p>研究人員開發了名為Open Sesame的攻擊手法，從而找到下手目標，然後藉由雲端主控臺的漏洞，遠端在受害設備執行任意程式碼。他們強調，攻擊者可在不知道Wi-Fi帳密的情況下，藉此入侵到內部網路環境。</p> </div></div></div>
2024/12/27 15:02作者周峻佑https://www.ithome.com.tw/news/166718
思科10月傳出資料遭竊事故還沒結束？12月有駭客聲稱他們握有4.5 TB規模的資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年10月<a href="https://www.ithome.com.tw/news/165513">初始入侵管道掮客IntelBroker聲稱</a>，他們在月初夥同另一組人馬成功入侵思科，號稱竊得大量開發專案相關資料，有研究人員根據駭客公布的資訊指出，這批資料的影響範圍相當廣泛，波及大型電信業者AT&T、Verizon、T-Mobile 、Vodafone，以及微軟、SAP、及能源巨擘雪佛龍（Chevron）等知名企業，如今傳出駭客再度公布部分內容。</p> <p>根據資安新聞網站<a href="https://hackread.com/hackers-leak-partial-cisco-data-4-5tb-exposed-records/">HackRead</a>、<a href="https://www.securityweek.com/hacker-leaks-cisco-data/">SecurityWeek</a>的報導，12月16日IntelBroker在駭客論壇BreachForums上，公開一批2.9 GB的資料，並宣稱這些源自他們10月竊得的檔案，整批資料的大小高達4.5 TB。</p> <p>這些公布的資料內容為何？HackRead指出，涉及該公司的身分驗證服務引擎（ISE）、安全存取服務邊緣系統（SASE）、整合通訊平臺Webex、雲端DNS防護服務Umbrella、網路設備作業系統IOS XE及XR，以及無線區域網路控制器的映像檔C9800-SW-iosxe-wlc.16.11.01。</p> <p>值得留意的是，駭客很有可能吹噓他們實際擁有的資料量。SecurityWeek提到，兩個月前事情曝光的時候，駭客宣稱他們握有800 GB資料，但如今聲稱資料量多達4.5 TB，該新聞網站認為，駭客很有可能是為了吸引買家上門才「灌水」檔案大小。</p> </div></div></div>
2024/12/27 15:35作者周峻佑https://www.ithome.com.tw/news/166719
GAI百花齊放的2025，不同形式的IT變革正在發生
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧與展望是我們每一年最後一期封面主題，2024年也不例外。2025，各家趨勢觀察，紛紛繞著生成式AI，鋪天蓋地的介紹種種趨勢浪潮，但我們反而想要提醒CIO和IT人，還有更多樣化的IT變革，正在發生，直接或間接地影響著臺灣企業。</p> <p>在這期「2025關鍵IT新趨勢」封面故事中，我們挑選了9大新趨勢如下：</p> <ul> <li><a href="https://www.ithome.com.tw/news/166708">趨勢1：三大公雲全面落地、臺灣多雲混合雲時代的來臨<strong>（IT基礎架構新模式</strong>）</a></li> <li><a href="https://www.ithome.com.tw/news/166709">趨勢2：臺灣碳費徵收上路！企業將用AI加速減碳但也面臨三大挑戰（<strong>碳管理AI化）</strong></a></li> <li><a href="https://www.ithome.com.tw/news/166710">趨勢3：AI推論需求爆發，帶動雲原生新趨勢Wasm加速普及<strong>（AP部署新典範）</strong></a></li> <li><a href="https://www.ithome.com.tw/news/166712">趨勢4：臺灣數位皮夾即將上路，企業身分識別有新方法</a><strong><a href="https://www.ithome.com.tw/news/166712">（實體身分證明的替代</a>）</strong></li> <li><a href="https://www.ithome.com.tw/news/166714">趨勢5：RMN 3.0加速會員經濟規模話，帶來企業IT數據力新挑戰（<strong>零售數據新價值）</strong></a></li> <li><a href="https://www.ithome.com.tw/news/166716">趨勢6：數位歐元即將登場，第一個跨國數位貨幣體系開始成形<strong>（新型態跨國支付體系）</strong></a></li> <li>趨勢7：多模態AI代理將落地，重新定義複雜任務的處理方式<strong>（軟體介面全新AI操作）</strong></li> <li>趨勢8：GAI推論向邊緣前進，催化新一波智慧化發展場景<strong>（邊緣裝置智慧轉型）</strong></li> <li>趨勢9：GAI輔助擴大到軟體工程增強，IT將變成AI調度PM<strong>（IT角色和工作模式變革）</strong></li> </ul> <p>其中，與GAI直接相關的新趨勢有3項，多模態AI代理（趨勢7）、邊緣GAI推論（趨勢8）、GAI增強軟體工程（趨勢9），間接相關的則有2項，分別是AI加速減碳（趨勢2）和GAI加速Wasm普及（趨勢3）。IT架構相關的是臺灣多雲時代（趨勢1）和新身分識別方法（趨勢4），前者影響了IT基礎架構，後者則將影響AP驗證基礎架構。兩項重要垂直產業趨勢，分別是零售業的RMN 3.0（趨勢5）和金融業的數位歐元（趨勢6）。沒有特別提及製造業、醫療業和政府學校的變革，因為這三類產業別在2025年的變革，大多來自GAI與IT基礎架構類趨勢的影響，因此，就不單獨另外列出來。</p> <p>先來看萬眾矚目的GAI衝擊，<strong>【趨勢7 】多模態AI代理新趨勢，</strong>帶來了全新的真人與軟體互動介面的改變，不只是簡單的問答，而是一個口令，多個動作，甚至是操作滑鼠點擊，鍵盤輸入，多套軟體接續作業，甚至自主能力的AI代理，不用等人下命令，可以自動或觸發（像是監視影片出現變化）就自動執行對應的授權行為，發送通知等。IT未來進行軟體開發時，不再能只考慮「人」的操作，現在還要多考慮「AI 代理」的操作，而原本繁複、系統體驗不良的內部作業，也可能因此可用「AI代理」來簡化，甚至全自動作業。IT部門需要採取和過去截然不同的思維，來打造提供給內部員工或外部顧客的系統和服務，要開發任務產生質變，IT自身角色也開始轉變。</p> <p>在【<strong>趨勢9】，GAI對軟體工程的增強</strong>，不只是出現了超強開發能力的LLM，還有測試，部署，甚至是重構，技術改版的GAI助手，真人IT的角色要變成指揮者，有能力調度和管理這些GAI代理們來完成IT專案，這是IT角色和部門工作模式的變革。在碳費徵收上路的時間壓力，如何更快落實相關碳管理，從碳盤查、碳查證、減碳、碳交易和淨零等作業來降低碳成本，GAI成了IT部門的新幫手，越來越多企業運用AI，來優化各項碳管理作業的效率。<strong>【趨勢2】碳管理AI化</strong></p> <p>2025可預期是AI應用百花齊放的一年，帶來大量AI推論需求，如何更快更節省IT資源來部署這些AI推論應用，是IT部門的新挑戰，問世十年的網頁組合語言技術Wasm，成了有機會取代容器技術的新一代雲原生技術，試想一個原本最少要5GB的容器映像檔，用編譯成Wasm格式執行檔後只剩下30MB，縮小成不到1%的檔案，冷啟動速度更能從數秒，縮短到數十毫秒等級，勢必成為大規模AI推論應用的首選。容器技術如何顛覆了VM形式的AP部署和開發，Wasm也將會再一次顛覆容器化的AP典範。<strong>【趨勢3】新雲原生典範</strong></p> <p><strong>【趨勢1】臺灣多雲混合雲時代</strong>和<strong>【趨勢8】邊緣GAI推論普及趨勢</strong>，這兩項都是對IT維運工作的新考驗，前者是對總部機房，集中式IT基礎架構的架構挑戰，不能只管一朵，而是多朵公雲和本地機房的混合管理考驗。後者則是各地據點，或是工廠四處的分散邊緣主機，借助GAI技術，有能力分擔更複雜的「智慧判斷」任務，來提高業務或生產作業的及時反應力，但對IT維運帶來了更複雜的風險管理挑戰，像是零信任戰略就得涵蓋到各邊緣裝置，來避免GAI濫權。</p> <p>臺灣數位皮夾是臺灣全新的數位公共建設，透過手機皮夾App中的數位證件，可以取代隨身攜帶的實體證件或卡片，這將是企業實體或是數位服務身分識別的全新方法，IT部門得重新思考原本的服務或流程的驗證設計，將是一個不小的任務。<strong>【趨勢4】新身分驗證方法</strong></p> <p>在2024年，好幾家臺灣零售指標企業紛紛推出RMN服務，也出現了RMN 3.0式的平臺，讓擁有龐大顧客數據的企業，可以展開更精準的行銷，或是推動全新的會員經營方式，但這也考驗企業的數據基礎建設，對IT數據能力是一大挑戰。<strong>【趨勢5】RMN 3.0</strong></p> <p>而最後一項垂直產業的新趨勢，<strong>【趨勢6】數位歐元</strong>則是一個2025年還一定會上路，但是金融業者必須開始研究，甚至規劃自家產品的下一步發展。這將是第一個跨國數位貨幣體系，影響消費者，商家和中介的金融業者角色，也不只是歐元市場，臺灣企業或消費者也能透過簽約平臺來取得數位歐元帳號，來進行支付。我們的央行在2025也展開新一波的數位新臺幣平臺測試，先嘗試政府機關合作，試發行數位券，來精進這個平臺的技術。雖然還沒有明確的未來時程規畫，的是，數位歐元的成功經驗，有可能會加速臺灣數位新臺幣的進展。</p> <p>這9大趨勢，就是我們想向各位IT人推薦，必看的2025關鍵IT新趨勢。<br /> </p> </div></div></div>
2024/12/27 12:04作者王宏仁https://www.ithome.com.tw/news/166715
Palo Alto Networks防火牆存在阻斷服務漏洞，傳出已有攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Palo Alto Networks發布<a href="http://security.paloaltonetworks.com/CVE-2024-3393">產品資安漏洞CVE-2024-3393公告</a>，受影響的產品包含：防火牆作業系統PAN-OS、安全存取服務邊界（SASE）系統Prisma Access，濫用此漏洞，可能導致這些解決方案面臨服務阻斷（DoS）的停擺危機，具體而言，存在此漏洞的產品，主要是10.1.14版以上的PAN-OS，以及於PAN-OS執行的10.2.8版以上的Prisma Access，值得留意的是，該公司指出這項漏洞已被用於攻擊行動。</p> <p>這項漏洞存在於防火牆的DNS安全功能，未經身分驗證的攻擊者藉由發送惡意封包，就有機會讓防火牆重開機，若是不斷重覆觸發漏洞，防火牆就會進入維護模式。</p> <p>而對於漏洞帶來的危險程度，Palo Alto Networks防火牆及Prisma Access面臨的狀況不同。例如，在Prisma Access環境當中，攻擊者必須通過身分驗證，才能利用惡意封包觸發漏洞，CVSS風險評分為7.1（滿分10分）；若是防火牆，此項漏洞的風險則增加至8.7分。</p> <p>附帶一提的是，攻擊者觸發漏洞存在先決條件，那就是PAN-OS的DNS安全事件記錄功能需處於啟用的狀態，才會曝露於這項漏洞的危險當中。</p> <p>他們特別提及利用防火牆封鎖惡意DNS封包的用戶當中，已出現遭到攻擊而面臨服務中斷的情形。</p> </div></div></div>
2024/12/27 12:14作者周峻佑https://www.ithome.com.tw/news/166717
【關鍵IT新趨勢6】數位歐元即將登場，第一個跨國數位貨幣體系開始成形
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數位歐元將在2025年迎來重大突破，第二季完成數位歐元架構設計，7月時將進行第一起聯合商家和支付業者的數位歐元實測，並在10月公布下一階段計畫。屆時若歐洲議會立法通過，數位歐元最快能在2025年10月正式上路。</p> <p>歐洲央行計畫2025年公布數位歐元規則手冊會更多細節，明確訂立出數位貨幣框架、IT基礎架構和技術標準。更重要的是，歐洲央行確立的數位貨幣機制，這將會是全球第一個跨多國的數位貨幣流通機制。</p> <p>這不僅影響歐洲內部的數位支付生態，更將為全球數位貨幣發展樹立典範，各個有意發展數位貨幣的國家，都能參考這套落地機制，制定央行數位貨幣運作機制。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E6%95%B8%E4%BD%8D%E6%AD%90%E5%85%83-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E6%AD%90%E6%B4%B2%E5%A4%AE%E8%A1%8C.png" style="width: 600px;" /></p> <p> <span style="color:#696969;"><strong>歐洲央行預計在2025年完成數位歐元準備階段，包括訂立最終版規則手冊、完成架構設計，和篩選數位歐元服務平臺的技術供應商。若立法通過，數位歐元最快將在2025年10月上路。</strong><span style="font-size:14px;">（圖片來源／歐洲央行）</span></span></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>取代國際信用卡支付網路</strong></span></span></p> <p>從歐洲央行釋出的第三版數位歐元規則手冊草案中，可以看到未來數位歐元的生態系統和運作模式。未來數位歐元的架構核心，是數位歐元服務平臺（DESP）和歐洲央行的即時支付結算系統TARGET。透過這兩個平臺，歐洲央行會向支付服務提供商等中介機構發行數位歐元，再由中介機構提供數位歐元給民眾和商家使用。</p> <p>這套全新的貨幣運作模式，將對消費者、商家和金融中介機構帶來大幅影響。</p> <p>對消費者而言，數位歐元將會是一種全新而且免費的數位支付服務，即便是沒有銀行帳戶的民眾，都能夠免費使用數位歐元來支付，到任何實體商店或網路通路上消費，也能用個人用戶進行轉帳。消費者只需要在銀行或郵局設定數位歐元錢包，就可以透過銀行帳戶轉帳或現金匯款，可將現金以1比1形式轉換為數位歐元，不需負擔任何手續費。</p> <p>對商家而言，則可以大幅減少，甚至不用再負擔支付平臺的手續費，可以進一步降低交易成本。當顧客刷卡付款時，收單銀行需透過國際發卡組織的支付網路完成清算，包括向發卡銀行發送請款需求、核對交易資訊、並收取交易金額。現有的信用卡交易模式，得依賴多層中介機構，商家必須負擔一筆支付作業的手續費。</p> <p>而在數位歐元運作機制中，歐洲央行打造的平臺將取代國際發卡組織的支付網路，協助金融中介機構進行交易授權和清算。這麼一來，商家不須再繳交多餘手續費給Visa、Mastercard等國際發卡組織。</p> <p>「在歐元區的支付卡交易中，使用國際信用卡的比例達 64%，商家每年支付給國際卡組織的費用相當可觀。」歐洲央行總裁Christine Lagarde強調，數位歐元將作為國際信用卡支付的替代方案，「讓歐洲商家在與支付服務供應商談判時更占主導地位。」</p> <p>建立第一個泛歐數位支付系統，取代Visa或Mastercard提供的國際信用卡支付網路，降低商家在使用數位金流服務需負擔的費用，正是歐洲央行力推數位歐元的其中一項關鍵原因。不只歐洲，全球可接受歐元付款的商家都能受惠，這也勢必會影響企業IT系統串接金流服務的做法，甚至結合資訊流和成本更低的支付金流，可以思考企業對外服務，如何善用數位歐元來創造新的商業機會。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>助力銀行、企業發展泛歐支付解決方案</strong></span></span></p> <p>而對銀行或支付業者而言，歐洲央行強調，數位歐元不會淪為投資手段，銀行仍會在金融體系中扮演重要角色。「銀行需要提供有吸引力的產品和服務，激勵客戶將存款存入銀行，而不是只顧著應付新興、強大的競爭對手。」歐洲央行點出，數位歐元的另一項關鍵潛力，是能透過建立歐洲通用的數位歐元服務平臺，協助銀行或支付業者將服務推向整個歐元區，和發展加值服務。</p> <p>歐洲央行認為，透過發展數位歐元，能推進歐洲企業針對整個歐元區推出泛歐洲支付解決方案，減少對非歐洲支付供應商的依賴。</p> <p>為了確保數位歐元的支付模式在整個歐元區以同樣的方式運作，歐洲央行撰寫的數位歐元規則手冊中，就包含一整套提供給企業參考的數位歐元的支付服務標準。</p> <p>例如，規則手冊定義了數位歐元服務平臺（DESP）的介面標準、PSP業者和DESP的互動方式，以及資料傳遞的需求，還有制訂最低使用者體驗標準、驗證方式，和風險管理規範。</p> <p>歐洲央行在2024年底已完成了大部分的技術標準制定，開始進入訂定實作規範的階段。例如，下一個階段，規則手冊將會明確定義出數位歐元系統中的各個介面的實作規範，包括數位歐元使用者介面規範、撥款機構系統與使用者系統之間的介面規範、收款機構與使用者系統之間的介面規範，和數位歐元服務平臺與收款、撥款機構系統的介面規範。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>臺灣數位貨幣2025年也有新進展</strong></span></span></p> <p>臺灣的數位貨幣發展，在2024年也跨出一大步，中央銀行總裁楊金龍在2024年7月到立法院報告時透露，央行旗下財金公司正在進行數位新臺幣CBDC雛形平臺與數發部政府機關發放共用平臺的整合，預計2025年政府機關將可透過數發部平臺發放數位券給民眾。財金公司也找了14家銀行進行小規模的數位券發放測試。目前，我國央行數位貨幣推出時程，還沒有明確計畫，仍持續精進平臺技術和研究數位貨幣發行需要的法規調整。</p> <p>2025年，歐洲央行將推出最終版的數位歐元規則手冊，這些規範雖然是針對歐洲支付業者量身打造，卻是全球第一個明確定義出跨國數位貨幣落地機制的規範。</p> <p>對臺灣來說，歐洲央行是指標性案例，提供一整套數位貨幣生態系的實作範本。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>臺灣企業也能用數位歐元</strong></span></span></p> <p>根據目前歐盟委員會提出的立法提案，不僅是居住或設立在歐元區的民眾和企業能使用數位歐元，只要遵守歐盟和其他國家達成的協議或安排，他國人士或企業，也將能透過與歐盟簽約的支付服務供應商開設數位歐元帳戶。不只金融業，其他參與歐元支付體系的產業，也可以開始透過這套規範，提前為數位歐元運作機制做準備。</p> </div></div></div>
2024/12/27 12:23作者李昀璇https://www.ithome.com.tw/news/166716
【關鍵IT新趨勢4】臺灣數位皮夾即將上路，企業身分識別有新方法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣2025年將多了一項全新的數位公共建設，數位皮夾服務，可以讓企業識別客戶身分多了一種新方法。</p> <p>數位皮夾像是一種實體皮夾的數位化，使用者可以手機裡的數位皮夾App，自由存放各類證件或卡片，當需要驗證身分時，不需隨身攜帶實體證件或卡片，使用者可以憑手機內的數位皮夾，選擇以哪張卡片供第三方驗證身分，並授權存取特定的身分資料。</p> <p>過去傳統實體身分識別走向電子化，到現在與手機結合的數位身分，歐盟已在通過eIDAS 2.0電子身分識別框架，建立歐盟公民跨境存取政府或企業服務的一致性數位身分識別框架，要求歐盟成員國家在2026年前提供歐盟公民免費的數位皮夾服務。</p> <p>積極擁抱新科技的美國加州也試辦數位身分服務，加州政府車輛管理局（DMV）於2023年試辦行動駕照（Mobile Driver's License，mDL）計畫，號招150萬人參加mDL計畫，現已有超過60萬人參加，民眾可將加州的駕照或ID卡註冊到DMV的Wallet App後，使用mDL登入加州車輛管理局線上服務，或是在舊金山或洛杉磯等美國機場的TSA安檢區快速查驗身分，在商店購買酒精類飲料，或是出入有年齡限制的娛樂場所，民眾可使用Wallet供業者查驗年齡是否符合資格，加州政府目前號招更多企業響應mDL計畫，目前駕照不只可存放在官方Wallet App，也可放進Apple Wallet或Google Wallet。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>數位部2025年將推數位皮夾</strong></span></span></p> <p>臺灣也趕上國際趨勢，數位部在2024年啟動數位皮夾（Digital Wallet）計畫，2024年下半年開發測試數位皮夾服務，數位皮夾以使用者為中心，採分散式數位身分認證及自主授權，數位部計畫先和其他部會合作，例如與內政部、衛福部合作，將自然人憑證、健保卡加入數位皮夾，以取代實體卡片，使用者可使用數位皮夾管理多個數位身分及授權資料，數位部規畫於2025年推出數位皮夾服務。</p> <p>作為數位公共基礎建設，不只可存放政府核發的證件卡片，舉凡學校的學位證書或學業能力相關文件，企業核發的員工證、會員福利卡，專業語言能力等證書或是交通票卡，未來也能夠加入數位皮夾，進一步擴大應用範圍。此外，為提升使數位皮夾的透明度及安全性，數位部計畫未來開放程式碼供外界檢視。</p> <p>當民眾想要使用第三方服務，需要供第三方驗證身分時，可在數位皮夾內選擇使用哪張證件卡片供驗證，並設定只授權第三方存取業務必需的資料，例如在商店購買酒精類飲料，可以設定只授權個人照片及年齡，讓商家辨別是否為本人及年齡是否符合規定。另外，民眾求職時，企業面試繳交相關身分或學位證書，未來可使用數位皮夾授權企業存取和求職相關的身分及證書資料。</p> <p>考慮到數位落差及年長使用者的需求，數位皮夾並非強制性，民眾仍能使用選擇傳統身分證件卡片，供第三方進行驗證。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>改變傳統身分驗證方式</strong></span></span></p> <p>那麼數位皮夾和傳統的身分驗證有何不同？傳統的身分驗證方式以實體紙本或卡片證件為主，民眾向政府機關或企業臨櫃申請服務，必需要攜帶實體證件供櫃臺人員查驗核對身分，並且影印或掃描證件卡片，如果是線上服務如線上租車、線上開戶，民眾得拍下身分證件的照片並上傳，供提供服務的業者審核身分及資料。甚至為了加強驗證客戶身分，民眾需要提供雙證件。</p> <p>以實體證件驗證方式可能有偽造證件的風險，而影印或掃描民眾的證件資料，企業可能取得超出服務需要的身分資料，民眾可能因隱私過度曝露，影響其使用服務的意願，而企業依照個資法規定，必需善盡保管客戶資料的義務，如果不幸遭駭客入侵，面臨大量資料外洩風險，可能面臨主管機關嚴懲。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>快速驗證數位身分、取得業務所需資料</strong></span></span></p> <p>未來數位皮夾服務上路後，提供企業與客戶間新的數位身分驗證及資料授權方式。數位皮夾採用國際標準，包括可驗證憑證（VC）及分散式識別符（DID），民眾自主管理皮夾內的多個數位身分，只授權業務必需的少數資料，降低過度曝露隱私的疑慮，並符合GDPR最少資訊揭露原則。</p> <p>未來民眾使用數位皮夾掃描企業提供的QR Code，企業串接客戶的數位皮夾進行身分驗證，並取得客戶授權身分資料，且因為企業僅獲得業務需要的最少資料，降低大量資料儲存系統負擔，也能減輕資料外洩風險。目前數位部也鼓勵產業支援數位皮夾，以擴大數位皮夾的應用生態。</p> <p>因數位皮夾內的證件卡片由受信任的機關或企業所核發，降低偽造證件風險，減輕企業辨別查驗身分資料真偽的負擔，政府核發或認可的第三方憑證，配合2024年上路的新版電子簽章法，電子簽章等同書面文件及簽名的法律效力，使用憑證的數位簽章，在法律上可視為本人親簽，使得數位皮夾除了身分識別、資料授權外，未來甚至可用於電子或線上文件簽署，如此一來，縮短企業取得客戶身分資料、驗證查核、簽署等過程，企業與客戶間的互動、交易過程也都保留數位紀錄。</p> <p>政府正試圖透過數位皮夾服務，在數位時代下重建信任三角，即建立使用者、發行者、驗證者之間信任關係，讓使用者信任發行者，讓驗證者相信使用者，讓發行者與驗證者之間無法隨時連通追蹤使用足跡。數位部揭示未來數位皮夾推出將有配套措施，建立可信任的核發單位、驗證單位的信任清單，促成數位信任產業發展，建立數位身分多方治理。</p> <p>在傳統紙本或卡片證件之外，政府帶頭以數位皮夾建立新的數位身分、資料授權管理方式，作為政府機關、民間企業都能使用的數位公共基礎建設，在網路詐騙盛行挑戰信任的現代，未來將重建使用者、政府、企業間新的數位信任關係。</p> </div></div></div>
2024/12/27 11:36作者蘇文彬https://www.ithome.com.tw/news/166712
【關鍵IT新趨勢5】RMN 3.0加速會員經濟規模化，帶來企業IT數據力新挑戰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年短短一年間，（零售媒體聯播網）RMN熱潮不只吹進臺灣，更是遍地開花。Momo等代表性零售業者相繼開張旗下RMN，後半年，還有更多本業不是零售業的玩家，如91App、Line、甚至Google，加入RMN戰局。</p> <p>這樣百花齊放的環境中，衍生出了不同型態的RMN，以及第一方會員數據利用模式。這也創造出更多機會，讓更多企業可以搭上RMN熱潮，用IT和數據強化會員經濟。</p> <p>RMN特色是，能將零售業者顧客細緻的行為與購物數據，用於最接近消費決策的通路。不只零售業，越來越多手握顧客數據的企業發現，他們也能做到一樣的事情。金融業者如萬事達卡、摩根大通銀行、西聯匯款，運輸科技業如Uber、Lyft，甚至連健身房行星健身，都推出了自己的媒體聯播網。</p> <p>至此，RMN這個概念，已經不再專屬「零售」，也不只是為了「廣告」。只要是會員數據規模足夠的服務業者，就可以透過IT，用這些數據來經營會員經濟。帶來的效益，除了廣告收入，還有促進會員再消費、提升品牌曝光度等、更了解會員輪廓等。</p> <p>2023年到2024年間，超商雙雄、超市一哥、電商龍頭、外送龍頭，紛紛搭上RMN熱潮，就是看中，用會員數據創造更多價值的機會。2024年底，臺灣RMN環境更緊追著國際腳步，走入了RMN 3.0階段。</p> <p>前兩個階段，是企業用自己的數據，經營自己的媒體聯播網，1.0是在自家通路行銷，2.0則是將行銷活動推及外部通路。這些外部通路，多是Google、Meta等常見廣告通路。這類做法，自然需要由企業自身主導IT開發與維運，門檻較高。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>RMN 3.0選項逐漸成熟，用RMN做會員經濟的IT門檻降低</strong></span></span></p> <p>新興的RMN 3.0是全新的零售數據與通路運用型態，由平臺方打造IT基礎建設，綜合多家零售商數據，可以利用平臺方與參與企業的通路，再加上第三方廣告通路來行銷。相較於2.0階段，3.0階段的顧客數據來源、行銷可觸及的通路，都更加多元。</p> <p>最常見的3.0實例是，廣告科技業者建立平臺，彙整不同企業各自手上的第一方會員數據。廣告主與企業，便可以到不同通路上，更精準地投放廣告。Criteo、The Trade Desk，都有這類RMN3.0業務，分別納入家樂福及Walmart等大型零售業者的數據和通路。Google近期也開始測試，讓廣告主用零售業者提供的數據來投放搜尋廣告，零售業者可以選擇只開放特定廣告主使用自家數據，並管控數據共享內容。RMN 3.0模式的低IT門檻與相對高的數據利用自主性，帶來了拓展會員經濟的新機會。</p> <p>在臺灣，則有Martech廠商禾多移動，效仿前述國際大廠做法，整合全家等5百多家零售業及媒體業者的顧客數據，形成一個RMN聯盟，並提供CDP、MA等科技，供廣告主和聯盟成員投放廣告回這些聯盟成員的數位與實體通路。</p> <p>開店平臺91APP綜合企業客戶的會員數據和第三方數據交易平臺數據，投放廣告於Momo、康是美、寶雅等，多家電商與品牌官網通路，Line、Google、Meta等廣告平臺，以及eDM、簡訊、推播等直接溝通形式。</p> <p>通訊軟體Line則結合橫跨不同便利商店和交通熱點的地理數據、自家購物平臺數據等一手數據，搭配DMP聯盟的第三方數據，來投放廣告於Line生態圈App、廣告主電商官網、第三方電商平臺等。其中，DMP聯盟包括統一OpenPoint多達1,800萬名會員數據。</p> <p>對企業來說，成為特定RMN 3.0平臺的一員，不須自己從頭打造IT基礎建設，也能像RMN1.0及2.0一樣，獲得RMN經濟帶來的廣告收益，以及促成更多零售交易行為等顧客經營面的效益。甚至，他們，透過其他參與企業的數據與通路，還有機會利用自己原本無法接觸的客群輪廓，來向自家顧客及潛在顧客行銷。不只如此，RMN 3.0模式下，企業可以自主決定提供給平臺商的數據內容，也能根據行銷模式來選擇不同平臺商，保有一定程度數據及行銷自主性。</p> <p>有機會從RMN 3.0模式獲益的，不只統一、寶雅等超大型零售業者。許多企業手握數十到數百萬人會員，同樣可以發揮數據規模的價值。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>抓住RMN 3.0機會，企業IT是關鍵戰力</strong></span></span></p> <p>採用RMN 3.0模式，企業IT不需從頭建置聯播網系統，大幅降低了利用RMN來經營會員經濟的門檻。此時，要抓住這個新會員經營的機會，IT更是關鍵戰力。</p> <p>RMN 3.0要求企業開放自家會員數據，甚至是自家通路，到第三方廣告平臺上。也就是說，企業IT肩負系統串接及數據交換的重任。開放自家通路給外部企業投廣時時，IT需要維持系統可靠度，有效管理並承受外部造訪流量。</p> <p>處理數據交換作業更是重要任務。過往，許多企業的會員數據都在內部應用，數據應用方法與資料保護措施，只需符合內部IT做法和規範。和平臺商交換會員數據時，企業IT需要整合、清洗、審查給出的數據，來將數據轉化成平臺商要求格式，同時維持資料安全。交換時，RMN 3.0平臺商，常使用數據無塵室（DCR）等技術，來交換數據。如何妥善設定交換規則，來確保數據運用模式符合企業需求及隱私法規，是企業成功採用RMN 3.0的關鍵。</p> <p>臺灣第一波RMN浪潮，參戰者大多是IT力雄厚的大型企業。2024年底，國外盛行的RMN 3.0浪潮開始吹進臺灣，讓企業可以運用過去難取得的顧客數據和第三方通路，來擴大會員經濟的規模和深度，IT數據力可以創造更多新戰功。</p> </div></div></div>
2024/12/27 11:44作者郭又華https://www.ithome.com.tw/news/166714
以外接媒體安裝Windows 11 24H2致PC無法再更新，微軟籲別用10/11月版本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周<a href="https://learn.microsoft.com/en-us/windows/release-health/status-windows-11-24h2#issues-might-occur-with-media-which-installs-the-october-or-november-update" target="_blank">警告</a>，10、11月Windows 11更新版疑似有臭蟲，使以USB隨身碟或光碟安裝Windows 11 24H2的PC，之後無法再接受安全更新。</p> <p>發生問題的是10月8日釋出的OS Build 26100.2033（KB5044284）。微軟說明，在以外接媒體安裝Windows 11 24H2後，PC之後會變成無法再接收後續的Windows安全更新。</p> <p>這問題發生在以2024年10月及11月製作的安裝媒體，並在Windows 11 24H2安裝過程中安裝安全更新的電腦。確切發佈時間為2024年10月8日到11月12日之間。</p> <p>不過微軟強調，最新軟體臭蟲只會影響以光碟或USB 隨身碟安裝的Windows 11 24H2，並不會影響以Windows Update 或Microsoft Update Catalog網站下載的版本，不論是不是10月、11月更新。此外，伺服器版本Windows 11 24H2也沒有這情形。</p> <p>微軟目前正在設法解決這隻臭蟲。在此之前，微軟建議用戶不要以USB隨身碟和光碟安裝10月及11月的Windows 11 24H2。以這些外接媒體安裝12月發佈24H2就能避開這問題。</p> </div></div></div>
2024/12/27 10:48作者林妍溱https://www.ithome.com.tw/news/166711
ChatGPT、Sora斷線4小時，本月第二次
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在聖誕節前接連發表新產品訊息，成功製造話題的OpenAI，旗下服務包括ChatGPT和Sora臺北時間今（27）日凌晨發生斷線，歷時約4小時。</p> <p>OpenAI太平洋時間26日上午11:00（臺北時間27日凌晨3:00）左右<a href="https://status.openai.com/incidents/6bwlxnvdncnm" target="_blank">公告</a>，ChatGPT、Sora和API出現高錯誤率。使用這些服務的用戶可能會看到錯誤訊息。直到當地時間的下午3:16（臺北時間27日早上7:16），OpenAI公告率先回復Sora全線運作。API則在下午4:05分恢復運作。截至臺北時間早上8:30，OpenAI仍然還在嘗試解決ChatGPT的問題。</p> <p>OpenAI解釋，服務不穩原因出在上游供應商，不過是網路設備或電信網路，OpenAI並未說明。</p> <p>這是OpenAI服務本月第二次發生斷線。第一次發生在12月中，斷線時間長達6小時，當時也影響了ChatGPT、Sora和API。OpenAI解釋是用於網路監控的新遙測服務配置問題，引發Kubernetes API運作出錯所致。</p> <p>這次出錯是否和OpenAI最新的訊息12連發有關不得而知。OpenAI宣布了Sora、ChatGPT Search等重要服務，第13天甚至還<a href="https://www.ithome.com.tw/news/166646" target="_blank">宣布</a>開放在聖誕節期間，ChatGPT Plus可無上限使用Sora，可能因此帶動存取流量衝高。</p> </div></div></div>
2024/12/27 09:45作者林妍溱https://www.ithome.com.tw/news/166707
【關鍵IT新趨勢1】三大公雲全面落地，臺灣多雲混合雲時代的來臨
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著微軟Azure在2024年底啟用，以及亞馬遜AWS將於2025年初推出在臺第一座區域級雲端資料中心，臺灣雲端市場正式邁入新階段，從過去Google單朵國際公有雲帶頭的局面，正式轉向多雲競爭的新時代。企業必須更加速自身雲原生架構和技術能力的累積，才能真正善用多雲的優勢。</p> <p>Google在2011年率先在臺設立雲端資料中心，成為第一朵落地臺灣的國際公雲，但自此臺灣長期未迎來第二朵國際公雲。儘管微軟於2020年宣布建置區域級雲端資料中心（Cloud Datacenter Region），卻遲未啟用，反倒是AWS於2022年啟用Local Zone（本地區域）雲端機房，但它終究不是區域級資料中心，僅支援低延遲應用，無法提供完整的AWS全套服務。</p> <p>過去幾年，臺灣大型企業掀起了一波波上雲風潮，但是受到法規限制，金融、醫療業及政府單位上雲大多選擇Google公雲，以確保機敏資料儲存在臺灣境內的資料中心，這樣的選擇雖能確保資料安全，但同時也限制了雲端架構的選擇，缺乏更多樣化且彈性的架構，影響其未來雲端架構的發展</p> <p>尤其在近兩年，多雲架構逐漸成為主流趨勢。根據IDC報告，在784家亞洲企業中，近90%不再僅依賴單一公雲，而是將其工作負載分散於多家公雲平臺。但對於臺灣高監管的產業，僅有一朵國際公雲落地的情況下，實現多雲架構仍面臨諸多挑戰。</p> <p>為何企業開始擁抱多雲？一來避免將所有系統都放在一朵公雲，避免被特定雲端供應商綁定；二來，考慮到每個公雲各有不同的特色和優勢，如GCP的強項是資料檢索及分析，企業可以根據各家雲提供商的強項，選擇採用不同雲端服務，形成一個多雲的策略。</p> <p>此外，近兩年公有雲業者服務中斷事件頻繁，三大公雲無一倖免，甚至出現當機長達數小時的服務空窗期。這使得企業得更加謹慎，要等到多雲架構可行後再積極上雲。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>三大國際公雲全面落地臺灣</strong></span></span></p> <p>由Google主導的局面，直到2024年終於被打破。AWS和Azure相繼公布臺灣區域級資料中心啟用計畫。AWS率先在6月宣布在臺建置區域資料中心，並計畫2025年初上線營運，臺灣未來成為AWS全球第40座區域級資料中心據點，該資料中心將以「Asia Pacific（Taipei）」為區域名稱，提供完整的AWS服務，支援線上遊戲、AR/VR應用等低延遲需求，同時亦能滿足醫療、金融等法規要求。</p> <p>AWS宣布後幾個月，微軟則於2024年11月啟用臺灣首座Azure區域級資料中心，這也是微軟Azure第66座區域資料中心，並命名為「Taiwan North」。儘管該資料中心目前僅限特定客戶使用，尚未全面開放，但此舉也為微軟加速在臺雲端布局跨出一大步。微軟表明臺灣新啟用的Region由多座資料中心組成，具備高容錯和區域Hub等級的服務。</p> <p>當三大公雲全面落地臺灣後，企業未來更可以根據需求，選擇最合適的雲端服務，考量服務多元性、延遲性等因素，甚至可以採用多雲架構，善用各家的優勢。</p> <p>2024年，GAI（生成式AI）在全球掀起風潮，同樣吹向臺灣。企業開始將GAI技術應用於內部，提升作業效率和優化流程。根據IDC的預估，臺灣企業2025年將大幅增加對邊緣IT基礎設施的投入，以支援GAI的發展。特別是邊緣推論需求的增長，將推動臺灣本地公有雲IaaS服務的快速發展。</p> <p>企業對GAI需求的快速增長下，未來三大公雲在本地提供的GAI應用服務和技術支持，將成為企業選擇公雲平臺的重要參考，甚至可以根據適用場景來挑選不同家公雲GAI方案。</p> <p>不過，目前三大公雲在臺灣GAI落地準備情況各異，例如，截至2024年12月底，僅有Google的GAI開發及應用平臺 Vertex AI已經落地，微軟雖然同樣推出了M365生成式AI助手Copilot，但Azure OpenAI服務尚未在亞洲提供，且M365 Copilot的資料儲存在美國。AWS的GAI服務平臺Amazon Bedrock目前僅於亞洲東京、首爾Region可用。</p> <p>臺灣2025年進入多雲競爭新局面，對於企業未來IT策略、成本效益及多雲管理的技術將面臨重大影響。許多企業更容易採用跨雲或多雲的方式，來部署應用和服務，但也必須更持續加強自身雲原生架構和技術的累積，以應對擴大上雲後在多雲管理與維運方面的挑戰，例如多雲費用管理等。</p> </div></div></div>
2024/12/27 09:54作者余至浩https://www.ithome.com.tw/news/166708
【關鍵IT新趨勢2】臺灣碳費徵收上路！企業將用AI加速減碳但也面臨三大挑戰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣碳費制度將於2025正式上路，推動企業加速採用系統化方式追蹤碳排數據，並建立碳成本管理機制，減少碳費對營運的影響。而AI驅動的碳排管理正逐漸成為主流應用，預計明年將有更多企業利用AI生成碳盤查報告，並優化減碳策略。</p> <p>臺灣於2023年初完成《氣候變遷因應法》立法，明確將碳費徵收入法，經歷近兩年多次協商後，環境部於2024年8月公布碳費收費辦法，10月確立每噸300元的徵收費率，並預計於2025年1月1日生效。企業未來將依全年溫室氣體排放總量繳交碳費，首波影響範圍涵蓋281家企業，合計共500間工廠。</p> <p>儘管企業需到2026年才繳交前一年度的碳費，但多數受影響的企業早已開始計算內部碳排放數據，評估未來碳成本，擬定自身減碳策略。</p> <p>企業每年要繳交多少碳費？若依環境部公布的碳費計算公式為排放量乘上徵收費率，以年排放量100萬公噸二氧化碳當量，使用一般費率情況來計算，企業每年碳費支出約2.9億元，若年排放量達一千萬公噸，費用則高達29.9億元。以目前排放量超過100萬公噸的高排放產業，如電子製造業、化工與石油業等，每年碳費支出恐增加不小的成本壓力與轉型挑戰。</p> <p>此外，除了要求高碳排企業強制揭露碳排放數據，環境部正在研擬2025年下半年起擴大強制碳盤查範圍至年排放超過5,000噸的企業，涵蓋百貨業、量販業、電信業等，因此，這些業者需及早準備應對。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>碳排數據系統化管理將是建立明確碳成本的關鍵</strong></span></span></p> <p>企業建立明確碳成本的關鍵，在於確保碳排數據的完整性與正確性。為此，許多企業2025年將轉向系統化方式，透過自動化收集與分析碳排數據，提升準確性和效率。尤其是外銷出口或上市櫃公司在第三方稽核時，更需依賴系統化的方式來確保數據的真實性。</p> <p>這幾年，不少發展較快的企業早已採用系統化管理和追蹤碳排，例如，日月光高雄廠很早就導入碳管理資訊平臺，追蹤各廠區的碳排放量與強度，並結合內部碳定價機制，將碳費納入財務資訊，有效評估與管理碳成本。另一家百年造紙廠永豐餘也建立集團碳平臺，讓子公司即時查看工廠碳排資訊，作為改善碳排的依據。</p> <p>為應對企業碳排查與減碳需求，臺灣不少SI廠商已推出碳管理平臺，提供不同功能與介面，可供企業進行碳排數據追蹤與管理。</p> <p>市調機構IDC將企業一站式碳排管理平臺分成碳盤查、減碳及碳交易三大類功能，供企業建置碳管理平臺的參考。首先，碳盤查功能包括碳數據彙整、核算與報告，如企業碳足跡、產品碳足跡及範疇1~3碳排計算。減碳則涵蓋智慧脫碳方案（如物聯網、氣候數據管理）與脫碳策略工具（如目標設定、績效管理、SBT管理等）；最後碳交易功能則包含價值鏈碳管理、融資排放管理及碳市場運作。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>碳管理平臺結合AI技術，加速推動企業減碳</strong></span></span></p> <p>IDC指出，目前臺灣企業大多停留在碳盤查與查證階段，減碳作法仍以人工方式為主。隨著碳費政策實施，企業減碳策略將逐漸轉向結合數位科技、IT工具與AI來改善與減少碳排放。IDC更將AI驅動碳管理列為2025年臺灣ICT五大趨勢之一，預期更多企業將採用AI完成各項碳管理作業。</p> <p>例如在碳盤查方面，企業可以透過AI自動識別、彙整與建立碳排放資料庫，也能用AI追蹤國際碳係數資料庫加速產品碳足跡的計算或結合雲端平臺即時監控各營運句點或碳排熱點。</p> <p>在碳查證上，也能用AI生成碳盤查或永續報告書。如台積等大型企業早已開始用AI生成永續報告書，預期2025年將有更多企業採用AI完成此類工作。</p> <p>在減碳應用上，企業能用AI監控和預測建築物能源使用的狀況，以及優化物料管理與產品設設計等，進一步提升減碳效率。</p> <p>IDC認為，企業將逐步建置AI驅動的一站式碳排管理平臺，串聯碳盤查、智慧分析與行動方案，並實現碳排交易與投資。還將推動綠色供應鏈建設及培養綠領人才，成為2025年的重要目標。</p> <p>不過，企業推動碳排管理也面臨三大挑戰，包括將碳排法規融入企業營運流程並持續優化，提升系統化追蹤與碳排數據治理能力，以及強化ESG風險管理，確保長期韌性。</p> </div></div></div>
2024/12/27 09:59作者余至浩https://www.ithome.com.tw/news/166709
【關鍵IT新趨勢3】AI推論需求爆發，帶動雲原生新Wasm加速普及
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI應用從2024年開始百花齊放，加速了新一代雲原生技術WebAssembly的普及，將在2025年成為封裝和部署雲原生應用的新主流。</p> <p>在2024年底Kubecon北美場大會中，網頁組合語言技術WebAssembly（簡稱Wasm），這項發展了十年的網頁開發技術，成了K8s生態圈2024年大會中最熱門的話題。包括美國高盛金融集團、德國製造大廠博世Bosch集團、工廠自動化設備大廠西門子等，都現身分享使用經驗。</p> <p>這項技術大受歡迎的其中一項關鍵原因，就是可以用來解決生成式AI推論啟動速度太慢的問題。Wasm平臺新創Fermyon技術長Radu Matei曾指出，容器技術是許多AI開發者愛用的AI推論應用部署技術，就是為了用更快速度來產生模型推論結果。但是，「容器化AI冷啟動最大的挑戰是，數GB的容器映像檔和LLM模型資料。」</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>Wasm打包的AI應用檔案僅數十MB，冷啟動超快</strong></span></span></p> <p>想要在裝置端用GPU執行一隻AI推論應用，除了這隻應用的程式碼之外，還需要對應模型和模型執行環境，但是，光是Nvidia的CUDA runtime，加上主流的AI技術框架，如PyTorch函式庫，這隻本地端AI推論應用的容器映像檔，至少要4.8GB大小，若AI推論所用的LLM模型檔案大小多達10GB。要用容器技術部署一隻AI推論應用，至少要15GB，冷啟動的時間，往往長達數十秒，甚至好幾分鐘。想要讓LLM快速回應使用者的提示指令，得占用裝置端有限的記憶體，預先啟動載入一隻AI推論服務來待命，才能提供及時的生成結果，這就大大局限了AI推論可部署和執行的模式。</p> <p>Radu Matei強調，改用Wasm技術來封裝同樣的AI推論應用程式碼，只需要數MB檔案大小，遠低於數GB大小的容器映像檔。冷啟動速度甚至能大幅縮短到只要幾毫秒，也就千分之幾秒，可以切割出短暫的GPU算力，來提供「剛好即時（Just in time）」的AI推論回應。「不需要將GPU綁定到特定容器來待命，可以簡化和更善用GPU基礎架構的算力。」這正是Wasm大受生成式AI開發者青睞的關鍵，根據CNCF組織在2023年的Wasm大調查，當時已有3成Wasm開發者用於AI應用的開發。</p> <p>現在也有專門用Wasm打包的AI推論框架LlamaEdge，提供一個10億參數量的Llama 2模型的推論執行環境，用這項技術封裝後的部署檔案大小只有30MB，可以在Docker和Kubernetes叢集中，提供GPU原生應用的執行速度，而且可以通吃不同處理器平臺，包括x86陣營的Intel、AMD處理器，或是arm陣營處理器。</p> <p>目前已有超過40種語言支援Wasm，包括Rust、C、C++、JavaScript和GO語言。不只桌機和伺服器環境，還可以在邊緣裝置，甚至是IoT設備上執行Wasm程式。Docker引擎也開始支援Wasm，可以直接在容器執行環境中，執行Wasm的二進位元件檔。微軟也在2023年發表了，可以在Hypervisor上直接執行Wasm應用的技術專案Hyperlight，讓虛擬機器、容器和Wasm在同一個Hypervisor環境中並存，1秒鐘就可以啟動1千個執行Wasm應用的微型VM。</p> <p>不過，從CNCF在2023年底公布的Wasm大調查，可以看到，Wasm開發工具鏈的發展還不夠完備，Wasm開發者也需要克服封裝後的Wasm除錯困難、不同Wasm Runtime的效能和開發體驗差異很大等課題，想要上手Wasm的學習門檻不小。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>主流開發工具VS Code開始支援Wasm</strong></span></span></p> <p>在2024年，主流開發工具開始支援Wasm的開發。微軟在2024年5月，發布了VS Code的WebAssembly執行引擎外掛，可以將C/C++或Rust開發的程式碼，編譯成WebAssembly檔案，直接在VS Code中執行這些程式。微軟這款外掛，讓開發者更容易撰寫、除錯和部署Wasm應用，也能與其他人協同開發。</p> <p>Wasm開源專案WASI最新的0.2版，正在發展一個全新的元件模式，可以讓不同開發語言所編譯的Wasm程式，透過一套標準的輸入輸出方式互相溝通。例如用Go語言寫的Wasm元件，和用Rust語言寫的Wasm元件，可以像用同一種語言開發的元件互相溝通，甚至在一隻更大的Wasm程式中混用。</p> <p>VS Code也開始支援這個元件模式，可以讓JavaScript或TypeScript程式碼，直接使用其他語言開發的Wasm元件。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>Wasm新元件模式，更易混用多代理AI元件</strong></span></span></p> <p>隨著科技巨頭，諸如Meta、Google、微軟、AWS等，紛紛開源釋出了可落地部署用的LLM模型或SLM小模型，WebAssembly技術可以成為打包這些地端模型的封裝技術，大幅減少AI推論應用的檔案大小，也加快冷啟動速度。</p> <p>甚至，WASI新的元件模式，可以讓不同模型的Wasm元件，更容易直接溝通，甚至在同一隻大型應用中混用，例如將擅長特定語言翻譯LLM，與擅長規畫的LLM，以Wasm元件形式封裝後來溝通。甚至，可以將擅長不同功能的AI代理程式，封裝成Wasm元件，放入到一隻本地端軟體中來協同作業。也有助於建立一套統一的套件管理方式，來管理由不同第三方、不同技術所開發的AI代理程式。</p> <p>AI代理開發工具在2024年開始成熟，結合Wasm，可以封裝出檔案超小的AI代理程式，更容易部署到本地端，提供及時反應、離線可用的多AI代理型協作應用。生成式AI應用百花齊放的2025年，龐大AI推論需求，將加速雲原生明日之星Wasm加速普及，成為企業IT必須熟悉的開發主流之一。</p> </div></div></div>
2024/12/27 10:09作者王宏仁https://www.ithome.com.tw/news/166710
搭配8個OAM外形Intel Gaudi 3，HPE推出非GPU的AI伺服器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/hpe_proliant_compute_xd680_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近這一年來，HPE開始重新積極追趕AI伺服器產品的風潮。他們在ProLiant Gen11世代的機架伺服器當中，標榜可搭配PCIe介面卡形式的GPU加速器，而在逐漸開展的下個世代機架伺服器ProLiant Gen12，目前已發表的機型如DL380a Gen12、<a href="https://www.ithome.com.tw/review/163787">DL384 Gen12</a>，也強調分別可搭配8張加速卡Nvidia H200 NVL、2張融合加速運算模組Nvidia GH200 NVL2。</p> <p>除此之外，HPE還有一款在2023年推出的<a href="https://www.ithome.com.tw/review/164800">Cray XD670</a>，目前可搭配8個SXM外形的Nvidia H100或H200。</p> <p>若要搭配其他廠牌的AI加速器，HPE在2024年也陸續提供多款機架式伺服器，像是：2024年上半發表的Cray XD675，當中<a href="https://www.ithome.com.tw/tags/amd-instinct-mi300x">採用8個OAM外形的AMD Instinct MI300X</a>，<a href="https://www.amd.com/en/newsroom/press-releases/2024-6-2-amd-accelerates-pace-of-data-center-ai-innovation-.html">在6月舉行的2024台北國際電腦展期間，AMD介紹旗下的資料中心GPU產品時</a>，也特別提及HPE這款伺服器機型。另一款是11月中登場的ProLiant Compute XD680，當中搭配8個<a href="https://www.intel.com/content/www/us/en/newsroom/news/next-generation-ai-solutions-xeon-6-gaudi-3.html#gs.jd5dwm">英特爾9月正式推出的AI加速器Intel Gaudi 3</a>，而且，<a href="https://www.hpe.com/us/en/newsroom/press-release/2024/11/hpe-expands-direct-liquid-cooled-supercomputing-solutions-introduces-two-ai-systems-for-service-providers-and-large-enterprises.html">該款伺服器在SC24這場全球超級電腦年度大會前夕發表</a>，預計12月開始供貨。</p> <p><a href="https://s4.itho.me/sites/default/files/images/XD680-Gaudi 3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/XD680-Gaudi%203.jpg" style="width: 600px;" /></a></p> <p>根據HPE發表的新聞稿指出，XD680的特色是考量到最佳性價比的需求，並且採用氣冷散熱設計，可因應嚴苛的AI訓練、調校與推論工作負載。</p> <p>而在HPE最新釋出的規格快速一覽表當中，他們強調XD680提供完整、具有延展性的解決方案，能彈性搭配多種記憶體、整合式儲存、高速網路介面的配置，以及作業系統，可因應AI與高效能運算的用戶所需，能夠針對大型語言模型的AI訓練與深度學習處理，供應最大的效能。</p> <p>接下來，我們從產品規格對照HPE如何實作這些特色。</p> <p>他們推出的XD680採用5U尺寸的機箱，可搭配兩顆英特爾第四代或<a href="https://www.ithome.com.tw/tags/%E8%8B%B1%E7%89%B9%E7%88%BE%E7%AC%AC%E4%BA%94%E4%BB%A3xeon-scalable">第五代Xeon Scalable處理器</a>，記憶體插槽有24個，16個支援DDR5-4400、DDR5-4800或DDR5-5600，其餘8個僅支援DDR5-4400，整臺伺服器的記憶體容量最大為2 TB（16個插槽全部插滿DDR5-4800或DDR5-5600的128 GB記憶體），或是3 TB（24個插槽全部插滿DDR5-4400的128 GB記憶體）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE XD-Form Factor-5U.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20XD-Form%20Factor-5U.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/HPE XD-Form Factor-5U-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20XD-Form%20Factor-5U-2.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/XD680-CPU RAM.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/XD680-CPU%20RAM.jpg" style="width: 600px;" /></a></p> <p>而在AI加速器的部分，XD680的確搭配OAM外形的<a href="https://www.ithome.com.tw/review/162428">Intel Gaudi 3</a>，但HPE在這部份並未列出這款加速器是否為HL-325基板，以及細部運算配備，像是內建的HBM記憶體類型與容量，矩陣乘法引擎（MME）與張量處理器核心（TPC）各自的數量，HPE此處僅列出熱設計功耗（TDP）為850瓦，與英特爾公告的Intel Gaudi 3規格有出入（氣冷900瓦、液冷1200瓦）。也許後續他們會進一步揭露這部分配置。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/XD680-Gaudi%203(1).jpg" style="width: 600px;" /></p> <p>對比於HPE既有的ProLiant Gen11與Gen12系列伺服器，XD680同樣內建iLO6系統管理晶片，支援整合式IT基礎架構管理平臺OneView、系統集中管理軟體HPE Systems Insight Manager的使用，以及防竄改的矽信任根、選用平臺信任模組TPM 2.0、搭配支援SPDM裝置身分驗證的儲存控制器。</p> <p>在此同時，HPE也推出ProLiant Compute XD685，裡面可搭配8個Nvidia H200、採用5U尺寸的機箱，並且使用它們本身發展的液態冷卻技術，預計2025年初上市，HPE預告這款機型未來能搭配即將問世的Blackwell架構GPU，將在Nvidia能夠供應這款GPU產品時，與其一併推出。</p> <p>但ProLiant Compute XD685並非此時才推出，稍早在10月AMD發表第五代EPYC伺服器處理器，以及資料中心GPU產品Instinct MI325X時，HPE就已先發表ProLiant Compute XD685，強調當中可搭配8個OAM外形的AMD Instinct MI325X，預計2025年第一季供貨，到了11月中HPE揭露的產品發表消息，他們是以不同版本區分這兩種搭配方式，而由於HPE目前尚未公開XD685的細部規格，因此，最終組態還是要看他們如何配置。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>HPE ProLiant Compute XD680</strong></span><br /> ●原廠：HPE<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：5U<br /> ●處理器：2顆，Intel第五代Xeon Scalable系列（最多64核心）<br /> ●記憶體：24個DDR5-4400，插滿128 GB，可達到3 TB；支援DDR5-4800（Intel第四代Xeon Scalable系列，插滿16支128 GB，可達到2 TB）、DDR5-5600（Intel第五代Xeon Scalable系列，插滿16支128 GB，可達到2 TB）<br /> ●儲存配置：8臺2.5吋U.3外形NVMe固態硬碟<br /> ●I/O擴充介面：PCIe 5.0 x16，8個或4個PCIe介面卡插槽、2個OCP 3.0裝置插槽<br /> ●電源供應器：6臺3000瓦（N+1備援）<br /> ●風扇：6臺<br /> ●加速器配置：8臺Intel Gaudi 3（OAM）<br /> ●網路介面：搭配英特爾網路卡：I350-T4（1GbE）、E810（10/25GbE、100GbE），Nvidia網路卡：ConnectX-6（200GbE），博通網路卡：BCM57416（10GbE）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/12/27 01:55作者李宗翰https://www.ithome.com.tw/review/166619
金管會祭出數位保險六大政策方向，放寬業務範圍和營運模式，也調降最低實收資本額
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會主委彭金隆今日出席例行記者會，說明數位保險公司（原稱為純網保）政策規畫方向，共有六大政策方向，包括要放寬數位保險業務範圍與營運模式，並對數位保險公司開發的創新型保險商品或服務給予創新保護，還有調降設立數位保險公司的最低實收資本額、放寬發起人條件等措施。</p> <p>今年1月，金管會宣布暫不數位保險公司申設，半年後，金管會政策大轉彎，彭金隆在7月公布五大金融科技策略時，同時宣布要在年底重啟數位保險公司申設。當時，彭金隆就解釋，過去業界習慣將數位銀行和保險公司稱為純網銀、純網保，「深植人心的概念是，你不可以有實體，但觀看國際上的數位金融業並不全然如此。」他也接著提到，未來針對數位金融業的業務擴展方向，會從客戶體驗和安全角度來考量，「不會硬性規定一定要在網路上完成。」</p> <p>半年過去，彭金隆趕在年底公布六大數位保險政策方向，第一項政策就是要放寬數位保險業務範圍和營運模式。除了放寬數位保險也能經營線下通路，透過業務員、保險代理人或經紀人通路銷售保險商品，也更改數位保險公司的業務範圍。過往數位保險公司被規範僅能銷售創新型或保障型保險商品，新政策上路後，只要是運用金融科技或數位技術提供創新型保險商品和服務達一定比例的保險公司，就符合數位保險公司的定義。</p> <p>針對保險公司的創新型保險商品和服務需要達到多少比例才符合數位保險公司定義，彭金隆表示，金管會初步規畫，保險公司的創新型保險商品及服務所產生的保費收入，須佔其總保費收入的15%。不過，考慮到部分創新型保險服務未必會帶來營收，需要再透過更專業的角度進行判定，因此，彭金隆也強調，未來金管會還會針對判定標準推出更明確的規範說明。</p> <p>六大數位保險政策方向的第二項，是要對數位保險公司開發的創新型保險商品或服務給予創新保護。彭金隆表示，考慮數位保險公司銷售創新型保險商品或服務需達一定比例，為保障創新能被保護，金管會將在創新型保險商品或服務開辦後，給予6個月的創新保護期間，必要時主管機關還能延長保護時間。彭金隆特別強調，保護期是從業務實際開辦日起計算，而非商品核准的時間，「因為從核准到實際開辦通常需要一段準備時間。」他說。</p> <p>六大數位保險政策方向的第三項，是對未來數位保險公司設立的起始資本額進行調整，調降設立財產、人身保險業務最低實收資本額，財產保險公司調降為新臺幣5億元，人身保險公司調降為10億元。彭金隆另外表示，金管會將根據申請者的營運計畫書、業務規模及預算，靈活評估是否需要增加實收資本額。</p> <p>第四項政策則要放寬發起人條件。彭金隆表示，過去在純網銀與純網保的政策中，曾要求金融機構發起人與股東持股須達到一定門檻，考慮國外的新創保險公司具備多種屬性，例如由科技團隊成立，或是由金融機構轉投資的方式成立。因此，為了鼓勵更多元的創新模式，彭金隆提到，未來金管會將重點放在數位保險公司的申請者是否具備經營保險公司的專業能力與長期經營的可行性</p> <p>為了加速提升臺灣數位保險創新技術與人才、引進國外的數位保險成功經營模式，數位保險第五大政策方向，是開放國外數位保險公司來臺申請設立分公司。不過，國外數位保險公司需要符合兩大條件才能成功申設，分別是在最近5年具有健全業務經營績效與安全財務能力，及無重大違規遭受處罰紀錄，以及實收資本額逾20億元以上或信用評等達一定標準以上等兩大條件。</p> <p>最後一項政策方向，是不訂定申請設立許可的期限。「我們不急、也不期待會有非常多公司快速遞交申請，」彭金隆強調，未來會給予外界充分時間評估數位保險的未來市場發展方向，因此，金管會也不會設定數位保險公司申請期限。</p> <p>今日公布六大政策方向後，金管會後續還會進行相關法規調適，並召開公聽會聽取外界意見。</p> <p>「我們這次的申請採取不一樣的做法，不限時、不限量為前提。」彭金隆強調，金管會對於數位保險公司申請重點，仍是放在申請者的計畫或願景，且金管會此次並非將數位保險公司的設立標準放寬，而是把申請的標準放寬，「臺灣不缺保險公司，缺的是創新、且對未來有前瞻性的保險公司。」他說。</p> <p></p> </div></div></div>
2024/12/26 18:19作者李昀璇https://www.ithome.com.tw/news/166705
【資安日報】12月26日，日本航空傳出遭遇網路攻擊導致部分航班延誤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定關鍵基礎設施（CI）的攻擊行動日益頻繁，其中一種標的，便是航空運輸產業，但過往鎖定這類目標的攻擊事故，多半發生在美洲和歐洲，如今有出現在東南亞的事故，引起當地高度關注。</p> <p>今天早上日本航空（Japan Airlines，JAL）傳出遭遇網路攻擊，並導致部分航班延後起飛的情況，引起日本媒體高度關注，他們根據掌握的情報，指出日本航空很有可能受到DDoS攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166698"><strong style="font-size: 22px;">日本航空傳出對外網路停擺，部分機場班機出現延誤，當地媒體指出是遭遇網路攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/JAL_28laMkMWl8.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/JAL_28laMkMWl8.png" style="width: 300px; float: right;" /></a>今天（26日）上午有媒體報導，日本當地有多處機場出現班機延誤的現象，起因是有航空公司遭遇網路攻擊造成。</p> <p>日本航空（Japan Airlines，JAL）在網站上發布公告，表示他們在今天當地時間早上7時24分（臺灣時間6時24分）開始，發現連接內外網路環境的網路設備遭到破壞，並導致與外部通訊的系統也發生異常。對此，該公司於8時56分將導致網路運作故障的路由器設備離線，並表示他們已經確定這起事故的影響範圍，正在對相關系統進行檢查，並著手復原。</p> <p>雖然日本航空並未提及上述事故發生的原因，但當地媒體都指出是伺服器遭到攻擊造成。根據NHK的報導，羽田機場、關西機場、大阪機場、福岡機場都出現部分班機延誤的情況，但成田機場並未受到影響。</p> <p><a href="https://www.ithome.com.tw/news/166665"><strong style="font-size: 22px;">Rspack旗下NPM套件遭到供應鏈攻擊，開發人員電腦恐被植入挖礦軟體</strong></a></p> <p>鎖定開源套件的供應鏈攻擊事故頻傳，最近幾個月已有不少事故傳出，值得留意的是，部分事故駭客疑似掌握管理者帳號，以開發團隊的名義上傳有問題的新版套件，使得許多使用自動更新機制的開發人員，他們的開發環境有可能被植入惡意程式。</p> <p>例如字節跳動開源的前端軟體封裝套件Rspack，開發團隊上週提出警告，證實他們遭遇攻擊，目前已知有@rspack/core、@rspack/cli受影響，這兩個NPM套件被攻擊者植入有問題的1.1.7版，內含惡意指令碼，呼籲用戶更新1.1.8版，或是維持使用1.1.6版。對於整個事故發生的過程，該團隊將著手調查。</p> <p>資安業者Socket分析兩個惡意NPM套件，指出這些套件的程式碼都會在開發環境植入挖礦軟體XMRig。攻擊者運用經過混淆處理的程式碼，對遠端伺服器進行呼叫，然後將特定資料外傳，或是收集系統環境配置資訊，以便攻擊者能進行下個階段的攻擊行動。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/weaponizing-windows-defender-new-attack-bypasses-edr/">Windows應用程式控制機制WDAC可被利用，研究人員展示停止EDR系統運作</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-9474-exploited-littlelamb-wooltea-backdoor-discovered-in-palo-alto-devices/ https://northwave-cybersecurity.com/hubfs/LITTLELAMB WOOLTEA technical writeup Schrijver and Oudenaarden.pdf">後門程式LittleLamb、WoolTea鎖定Palo Alto Networks防火牆而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/12/irans-charming-kitten-deploys-bellacpp.html">伊朗駭客Charming Kitten以C++改寫惡意程式，對亞洲企業組織發動攻擊</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166703"><strong style="font-size: 22px;">程式碼管理系統Gogs存在重大漏洞，若不處理攻擊者有機會執行任意命令、竊取代管的程式碼</strong></a></p> <p>12月23日基於Git而成的程式碼管理系統Gogs發布0.13.2版，總共修補了6項漏洞，值得留意的是，當中有3項CVSS風險評分達到10分（滿分10分）的弱點，開發人員應儘速套用更新。</p> <p>這些漏洞分別是：SSH伺服器參數注入漏洞CVE-2024-39930、內部檔案刪除漏洞CVE-2024-39931，以及參數注入變更預覽漏洞CVE-2024-39932，一旦這些漏洞遭到利用，攻擊者就有機會執行任意命令，或是存取使用者存放的程式碼。值得留意的是，除了CVE-2024-39930，其餘兩個漏洞目前並無緩解措施能夠因應。</p> <p><a href="https://www.ithome.com.tw/news/166697"><strong style="font-size: 22px;">Apache修補開源CDN軟體Traffic Control重大層級SQL注入漏洞</strong></a></p> <p>12月23日Apache基金會發布公告，表示旗下的內容傳遞網路（CDN）軟體Apache Traffic Control存在SQL注入漏洞CVE-2024-45387，影響8.0.0至8.0.1版軟體，他們已發布8.0.2版進行修補。</p> <p>這項漏洞出現在名為Traffic Ops的組態管理及監控元件，攻擊者一旦挾持特殊權限使用者，並取得admin、federation、operations、portal，或是steering角色身分，就有機會藉由發送特製的PUT請求，在資料庫執行任意SQL命令，CVSS風險評為9.9（滿分10分）。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-51466-cvss-9-0-critical-vulnerability-found-in-ibm-cognos-analytics/">IBM商業智慧分析套件Cognos Analytics存在重大漏洞，有可能導致敏感資訊曝光、系統當機</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-53552-cvss-9-8-crushftp-flaw-exposes-users-to-account-takeover/">檔案傳輸系統CrushFTP存在重大漏洞，攻擊者能藉此重設密碼控制用戶帳號</a></strong></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166702"><strong style="font-size: 22px;">OpenAI違反GDPR，義大利政府判罰1,500萬歐元</strong></a></p> <p>義大利資料保護主管機關日前以OpenAI非法蒐集用戶個資、未立即通報資料外洩，以及未確實驗證用戶年齡為由，判罰1,500萬歐元。</p> <p>2023年3月傳出ChatGPT存在漏洞，使用戶和ChatGPT的對話內容標題及支付資訊可被他人存取，促使的義大利資料防護管理署（Italian Data Protection Authority，Garante）啟動調查，調查於日前完成，Garante對OpenAI做出判罰及矯正措施。</p> <p>Garante指出，OpenAI非法蒐集用戶個資來訓練ChatGPT，違反了透明原則及相關的資訊義務，而且去年3月發生資料外洩時，也沒有第一時間通知義大利政府。再者，調查顯示，OpenAI並未提供驗證用戶年齡的機制，致使13歲以下兒童可能接觸不適當的回應內容。</p> <p><a href="https://www.ithome.com.tw/news/166701"><strong style="font-size: 22px;">勒索軟體LockBit開發者傳出在以色列被捕</strong></a></p> <p>惡名昭彰的勒索軟體駭客組織LockBit，今年2月他們的暗網網站傳出遭到11個國家的執法單位聯手扣押，5月這團體的首腦俄羅斯人Dmitry Yuryevich Khoroshev也面臨當局起訴，到了10月，有4名涉案人士被補，如今再傳美國逮捕另一名關鍵成員，並將進行引渡。</p> <p>根據以色列新聞網站Ynetnews的報導，美國檢察官辦公室在今年10月向以色列耶路撒冷地方法院申請，將居住在海法的Rostislav Panev引渡到美國，原因就是此人是勒索軟體駭客組織LockBit的成員，於2019年至2024年參與軟體開發。</p> <p>這項消息在上週四（19日）曝光。根據起訴書內容，此人為LockBit的軟體開發人員，他製作了進階的攻擊工具，其中包含能從受害電腦連線的印表機印出勒索訊息的機制，他從組織總共收到的酬勞是時價為23萬美元的比特幣。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166671"><strong>【12月25日】美國政府下令萬豪、喜達屋旅館集團強化資安</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166656"><strong>【12月24日】鎖定M365帳號的網釣工具包FlowerStorm現身</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166628"><strong>【12月23日】羅馬尼亞駭客組織Diicot再度利用Linux主機挖礦</strong></a></p> </div></div></div>
2024/12/26 16:09作者周峻佑https://www.ithome.com.tw/news/166704
勒索軟體LockBit開發者傳出在以色列被捕
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>惡名昭彰的勒索軟體駭客組織LockBit，今年2月他們的暗網網站傳出<a href="https://www.ithome.com.tw/news/161355#lockbit">遭到11個國家的執法單位聯手扣押</a>，5月這團體的首腦俄羅斯人Dmitry Yuryevich Khoroshev<a href="http://www.ithome.com.tw/news/162760">也面臨當局起訴</a>，到了10月，<a href="https://www.europol.europa.eu/media-press/newsroom/news/lockbit-power-cut-four-new-arrests-and-financial-sanctions-against-affiliates">有4名涉案人士被補</a>，如今再傳美國逮捕另一名關鍵成員，並將進行引渡。</p> <p>根據<a href="https://www.ynetnews.com/business/article/bksplo11skg">以色列新聞網站Ynetnews的報導</a>，美國檢察官辦公室在今年10月向以色列耶路撒冷地方法院申請，將居住在海法的Rostislav Panev引渡到美國，原因就是此人是勒索軟體駭客組織LockBit的成員，於2019年至2024年參與軟體開發。</p> <p>這項消息在上週四（19日）曝光。<a href="https://www.justice.gov/opa/media/1381806/dl">根據起訴書內容</a>，此人為LockBit的軟體開發人員，他製作了進階的攻擊工具，其中包含能從受害電腦連線的印表機印出勒索訊息的機制，他從組織總共收到的酬勞是時價為23萬美元的比特幣。</p> <p>有鑑於LockBit的罪行重大，美國聯邦調查局（FBI）直接前往以色列進行調查，並要求訊問Rostislav Panev，結果他們從其海法住處發現該組織使用的勒索信，以及該人使用的數位錢包。</p> <p>Rostislav Panev被捕的時間其實是在今年8月18日，在美國正式要求引渡後，以色列司法部長簽署相關必要程序，同意此人引渡到美國。而在這段期間，美國要求禁止公開此事，目的是避免此事曝光後，導致其他LockBit相關人士逃到俄羅斯躲避查緝，影響執法單位對於該組織的後續調查。</p> </div></div></div>
2024/12/26 15:04作者周峻佑https://www.ithome.com.tw/news/166701
OpenAI違反GDPR，被義大利政府判罰1,500萬歐元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>義大利資料保護主管機關日前以非法蒐集用戶個資、未立即通報資料外洩，以及沒確實驗證用戶年齡為由，對OpenAI<a href="https://www.gpdp.it/home/docweb/-/docweb-display/docweb/10085432" target="_blank">判罰</a>1,500萬歐元。</p> <p>2023年3月OpenAI的ChatGPT傳出存在漏洞，使用戶和ChatGPT的對話內容標題及支付資訊可被他人存取，促使又被稱為Garante的義大利資料防護管理署（Italian Data Protection Authority）啟動調查，調查於日前完成後，Garante對OpenAI做出判罰及矯正措施。</p> <p>義大利主管機關指出，OpenAI非法蒐集用戶個資來訓練ChatGPT，違反了透明原則及相關的資訊義務，而且去年3月發生資料外洩時，也沒有第一時間通知義大利政府。再者，調查顯示，OpenAI並未提供驗證用戶年齡的機制，致使13歲以下兒童可能接觸不適當的回應內容。</p> <p>考量OpenAI自去年義國政府調查以來的合作態度，最終Garante只判罰OpenAI 1,500萬歐元。</p> <p>義國政府也要求OpenAI執行6個月涵括廣播、電視、報紙和網際網路的媒體宣導活動。宣導內容需經過主管機關同意，主要在告知義國民眾ChatGPT的功能，包括如何蒐集用戶和非使用者資訊來訓練生成式AI、資料主體（data subject）的權利，包括拒絕、以及修正和刪除資料的權利。這宣導的用意是在讓用戶知道如何拒絕生成式AI，進而發揮GDPR保障的權益。</p> <p>OpenAI對此判罰<a href="https://www.securityweek.com/italys-privacy-watchdog-fines-openai-for-chatgpts-violations-in-collecting-users-personal-data/" target="_blank">表達</a>不滿。OpenAI指出，Grante 2023年要求該公司暫停提供ChatGPT，在其配合下，一個月後又<a href="https://www.ithome.com.tw/news/156629" target="_blank">准許</a>上線。OpenAI認為，義國政府已經了解到該公司AI隱私技術的領先性，卻還判處OpenAI事件期間在義國營收的將近20倍罰金。</p> <p>OpenAI認為判決並不適當，將尋求申訴。然而該公司表示仍然會和各國隱私主管機關密切合作。</p> </div></div></div>
2024/12/26 15:23作者林妍溱https://www.ithome.com.tw/news/166702
程式碼管理系統Gogs存在重大漏洞，若不處理攻擊者有機會執行任意命令、竊取代管的程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>12月23日基於Git而成的程式碼管理系統Gogs<a href="https://github.com/gogs/gogs/releases/tag/v0.13.2">發布0.13.2版</a>，總共修補了6項漏洞，值得留意的是，當中有3項CVSS風險評分達到10分（滿分10分）的弱點，開發人員應儘速套用更新。</p> <p>這些漏洞分別是：<a href="https://github.com/gogs/gogs/security/advisories/GHSA-vm62-9jw3-c8w3">SSH伺服器參數注入漏洞CVE-2024-39930</a>、<a href="https://github.com/gogs/gogs/security/advisories/GHSA-ccqv-43vm-4f3w">內部檔案刪除漏洞CVE-2024-39931</a>，以及<a href="https://github.com/gogs/gogs/security/advisories/GHSA-9pp6-wq8c-3w2c">參數注入變更預覽漏洞CVE-2024-39932</a>。</p> <p>其中，CVE-2024-39930涉及內建的SSH伺服器元件，一旦此元件啟用，攻擊者就有機會藉由未具備特殊權限的使用者帳號及SSH金鑰，在Gogs伺服器以特殊權限執行任意命令。此外，這項漏洞也讓攻擊者有機會取得使用者代管的程式碼。</p> <p>另一項漏洞CVE-2024-39931，也與CVE-2024-39930具備類似的破壞威力，同樣能允許攻擊者以非特權帳號，在Gogs伺服器以特殊權限執行任意命令，或是取得使用者代管的程式碼。</p> <p>第3個危險程度滿分的漏洞CVE-2024-39932則是涉及檔案系統，攻擊者可利用不具特權的使用者帳號寫入任意檔案，通報此事的研究人員指出，他們可藉此漏洞強制重新安裝Gogs、取得管理員權限。此外，攻擊者不僅能存取使用者的程式碼，甚至能進一步竄改內容。</p> <p>值得留意的是，除了CVE-2024-39930，其餘兩個漏洞目前並無緩解措施能夠因應。</p> </div></div></div>
2024/12/26 15:49作者周峻佑https://www.ithome.com.tw/news/166703
Ruby 3.4推全新it語法與模組化垃圾回收機制，大幅提升效能與開發效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Ruby開發團隊在聖誕節正式釋出<a href="https://www.ruby-lang.org/en/news/2024/12/25/ruby-3-4-0-released/">Ruby 3.4</a>，延續了年度重大更新的傳統。Ruby 3.4版本強調效能與開發效率提升，並在語法簡化與基礎架構靈活性方面帶來多項改進，其中兩大亮點包括it區塊參數引用提升語法易用性，以及模組化垃圾回收機制擴展更多樣化的應用場景。</p> <p>Ruby 3.4引入全新的it區塊參數引用，提供給開發者更簡潔的語法表示方法。與現有的_1相比，it不僅在單行區塊中具備更高的可讀性，還能有效減少使用_2、_3等多個數字參數造成的認知負擔，官方舉例，像是 ary.map { it.upcase } 這樣的語法表達，相對來說更加直覺清楚，適合處理簡單邏輯場景。</p> <p>Ruby 3.4中的模組化垃圾回收機制（Modular GC）是本次更新的另一亮點。該機制使得Ruby開發者能動態載入替代的垃圾回收實作，以滿足多樣化應用需求，也就是說，Ruby內建垃圾回收器現已拆分為獨立模組檔案，並透過標準化API與核心系統互動，增強了擴展性與靈活性。</p> <p>在效能方面，Ruby 3.4對YJIT（Yet Another Just-in-Time Compiler）進行了多項強化，涵蓋記憶體壓縮、方法內嵌、字串處理加速等功能。新加入的記憶體使用限制選項，讓YJIT的記憶體管理更加直覺，並藉由壓縮後設資料技術有效降低記憶體使用量，實現更高效的執行環境。而內建方法如Array#map和Array#each，現在已經用Ruby原生實作代替C實作，進一步提升常用操作的執行效能。</p> <p>Ruby 3.4在socket函式庫中導入了基於RFC 8305標準的Happy Eyeballs Version 2演算法，大幅提升Ruby程式在現代網路環境中的連線效率。該技術支援IPv6與IPv4並行解析與連線，並藉由250毫秒的間隔進行平行嘗試，快速建立最佳連線。此改進降低了因特定協定延遲或不可用而造成的影響，確保應用程式在多樣化網路環境中的穩定性與可靠性。</p> </div></div></div>
2024/12/26 16:05作者李建興https://www.ithome.com.tw/news/166699
美政府給DJI一年證明未危害美國國安
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在美國全面封鎖中國科技業者的同時，參議院上周通過一項新法案，給無人機大廠大疆（DJI）一年時間證明自己並未威脅美國國家安全，否則將在明年啟動封鎖令。</p> <p>美國參議院上周以85:14表決<a href="https://www.congress.gov/bill/118th-congress/house-bill/2670" target="_blank">通過</a>《國防授權法》（National Defense Authorization Act，NDAA）。NDAA涵蓋從軍費到國防技術廣泛領域。近年NDAA特別強調應對來自中國的技術與經濟威脅，包括供應鏈安全和高科技產品的依賴問題，包括無人機。在軍事用無人機議題上，外界關注是否會融入《反制中共無人機法案》（Countering CCP Drones Act）》的主張，後者一旦通過，將把中國DJI加入到美國聯邦通訊委員會（FCC）的涵蓋清單（Covered List），禁止DJI無人機在美國境內銷售。</p> <p>DJI是全球最大無人機製造商，根據德國研究機構Drone Industry Insights的<a href="https://droneii.com/" target="_blank">資料</a>，DJI在全球民用無人機市場的市占率高達79%，而其消費級無人機在美市占也達到90%以上。</p> <p>已通過的NDAA並未立即將DJI列入FCC的涵蓋清單，而是給DJI一年時間向「適當的國家安全機關」（實則為FCC）自證清白。如果一年內，DJI未能說服FCC，使其公開宣布該公司對美國國家安全沒有「不可接受的風險」，NDAA就會要求FCC將之列入涵蓋清單。而且，FCC也不得授權DJI廣播其無線電波，以及使用美國固網連線。</p> <p>基本上，這些動作等同封鎖DJI設備的運行，這意味著不僅消費者和企業買不到DJI產品，連消費者既有的無人機也將無法使用。</p> <p>DJI<a href="https://viewpoints.dji.com/blog/u.s.-congress-finalizes-fy25-national-defense-authorization-act-ndaa-without-countering-ccp-drones-act-heres-what-to-watch-for-in-2025" target="_blank">回應</a>，該公司歡迎檢視，並期待有機會表達產品隱私控制和安全功能。但DJI也指出，該法案不公平地針對中國製造的無人機產品而來，且沒有指定特定機關進行風險評估。在沒人判定DJI是造成風險情況下，DJI可能會自動列入FCC的限制名單，雖然它並未犯錯。</p> <p>DJI說，從2017年起該公司已透過抓漏方案和外部安全專家合作提升產品安全性，反映其對安全的重視。對於未來任何評估，DJI表示應提供該公司公平機會驗證並解決評估中的「風險」。</p> </div></div></div>
2024/12/26 15:13作者林妍溱https://www.ithome.com.tw/news/166700
日本航空傳出對外網路停擺，部分機場班機出現延誤，當地媒體指出是遭遇網路攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今天（26日）上午有媒體報導，日本當地有多處機場出現班機延誤的現象，起因是有航空公司遭遇網路攻擊造成。</p> <p>日本航空（Japan Airlines，JAL）在<a href="https://www.jal.co.jp/jp/ja/info/2024/other/241226-2/">網站上發布公告</a>，表示他們在今天當地時間早上7時24分（臺灣時間6時24分）開始，發現連接內外網路環境的網路設備遭到破壞，並導致與外部通訊的系統也發生異常。</p> <p>對此，該公司於8時56分將導致網路運作故障的路由器設備離線，並表示他們已經確定這起事故的影響範圍，正在對相關系統進行檢查，並著手復原。</p> <p><a href="https://s4.itho.me/sites/default/files/images/JAL_46ojwK0ACV.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/JAL_46ojwK0ACV.png" style="width: 580px;" /></a></p> <p>他們指出這起事故已經對營運造成衝擊，但對於航空安全並未造成影響。日本航空表示，無論是國內或國際航線，都出現延誤的現象，他們也暫停銷售今日出發的國內外航班機票。截至當地時間上午11時，有24個日本國內航班出現30分鐘以上的延遲。</p> <p><a href="https://s4.itho.me/sites/default/files/images/JAL_28laMkMWl8.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/JAL_28laMkMWl8.png" style="width: 580px;" /></a></p> <p>雖然日本航空並未提及上述事故發生的原因，但當地媒體都指出是伺服器遭到攻擊造成。</p> <p>根據<a href="https://www3.nhk.or.jp/news/html/20241226/k10014679271000.html">NHK的報導</a>，羽田機場、關西機場、大阪機場、福岡機場都出現部分班機延誤的情況，但成田機場並未受到影響，其中，羽田機場影響最嚴重，有33班次受到波及，有部分班機延後1個小時，不過，沒有航班被取消。</p> <p>此外，日本警方已約談日本航空，進一步了解這起資安事故的情況，NHK指出，日本航空很有可能遭遇DDoS攻擊。</p> </div></div></div>
2024/12/26 11:52作者周峻佑https://www.ithome.com.tw/news/166698
Apache修補開源CDN軟體Traffic Control重大層級SQL注入漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>12月23日Apache基金會發布公告，表示旗下的內容傳遞網路（CDN）軟體Apache Traffic Control存在<a href="https://lists.apache.org/thread/t38nk5n7t8w3pb66z7z4pqfzt4443trr">SQL注入漏洞CVE-2024-45387</a>，影響8.0.0至8.0.1版軟體，他們已發布8.0.2版進行修補。</p> <p>這項漏洞出現在名為Traffic Ops的組態管理及監控元件，攻擊者一旦挾持特殊權限使用者，並取得admin、federation、operations、portal，或是steering角色身分，就有機會藉由發送特製的PUT請求，在資料庫執行任意SQL命令，CVSS風險評為9.9（滿分10分）。</p> </div></div></div>
2024/12/26 10:38作者周峻佑https://www.ithome.com.tw/news/166697
公平會否決Uber Eats與foodpanda合併案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>受到外界關注的Uber Eats併購foodpanda一案，公平會在11月受理後，今天（12/25）委員會決議，因合併後市佔率高達90%以上，限制競爭的不利益大於整體經濟利益，否決這項併購案。</p> <p>Uber在今年5月宣布與Deliver Hero SE達成協議，以9億5千萬美元併購Deliver Hero旗下的foodpanda臺灣外送事業，若主管機關同意，Uber預期若順利進行將會在2025年上半年完成交易，未來foodpanda合作商家、用戶及外送員將轉移到Uber Eats平臺。</p> <p>由於Uber併購foodpanda涉及兩家外送平臺服務合併後的市場競爭變化，向公平會提出合併申請，公平會在11月開始受理，這段時間兩大外送平臺合併案備受外界關注，消費者、外送員、立法委員皆表達對兩大外送平臺合併後的疑慮。</p> <p>公平會經過蒐集各界意見，並進行分析後，今年委員會決議否決這項合併案。公平會指出，兩家外送平臺合併後，其市佔率將超過9成，有顯著限制競爭的疑慮，在合併前Uber Eats的主要競爭來自foodpanda，合併後將不再受到競爭，對市場的限制競爭疑慮要大於整體經濟利益。</p> <p>其次，Uber Eats平臺的交易相對人為個別消費者、中小型餐飲業者，難以透過其他方式如餐廳外送服務來繞過外送平臺，以制衡其市場影響力，而合併後，交易相對人也缺乏制衡的力量。</p> <p>雖然業者主張合併帶來的經濟效益，如提高外送服務密度，更有效率，但公平會認為業者提出的主張難以驗證或短期內實現，並且非必須透過結合來達成，且與限制競爭之不利益明顯不成比例。</p> <p>因此這項合併案，公平會根據公平交易法第13條第1項規定禁止其結合。</p> </div></div></div>
2024/12/25 18:52作者蘇文彬https://www.ithome.com.tw/news/166674
針對5年前間諜軟體供應商NSO Group被控利用WhatsApp零時差漏洞入侵逾1,400臺行動裝置，美國法院判決W…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2019年10月Meta旗下與即時通訊軟體WhatsApp傳出<a href="https://www.ithome.com.tw/news/133908">對以色列間諜軟體公司NSO Group提告</a>，控訴該公司提供賣家的間諜軟體Pegasus，於當年4月至5月利用零時差漏洞CVE-2019-3568，滲透約1,400臺行動裝置。<a href="https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.494.0_1.pdf">如今判決出爐</a>，NSO Group利用WhatsApp零時差漏洞的行為，美國聯邦法院認定違反當地與駭客有關的法律。</p> <p>對此，WhatsApp負責人Will Cathcart表示，<a href="https://www.threads.net/@wcathcart/post/DD0iQ7uSAPu">這項判決是隱私的巨大勝利</a>，他們堅信間諜軟體公司必須對非法行為負責。</p> <p>究竟這波利用零時差漏洞的事故造成多少損害？目前仍不得而知。資深科技法律顧問Natalia Krapiva指出，<a href="https://x.com/natynettle/status/1870319632822734960">陪審團將在明年3月3日開庭，進行相關的判決</a>。</p> </div></div></div>
2024/12/25 16:54作者周峻佑https://www.ithome.com.tw/news/166670
【資安日報】12月25日，美國政府下令萬豪、喜達屋旅館集團強化資安
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾年旅館集團萬豪國際（Marriott International）傳出多起資料外洩事故，至少超過3.4億旅客資料外洩，美國聯邦交易委員會（FTC）在經過調查後於10月提告，如今這起事件有了新的進展。</p> <p>FTC根據當時要求達成和解的條件，正式下令該集團與旗下子公司（Starwood Hotels & Resorts）必須導入完善的資安方案，來避免類似的大規模資料外洩事故再度重演。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166663"><strong style="font-size: 22px;">萬豪國際及其子公司喜達屋因近年大規模資料外洩事故遭起訴，美國政府下令要求改善資安</strong></a></p> <p>12月20日美國聯邦交易委員會（FTC）下令，要求旅館業者萬豪國際（Marriott International）及其子公司喜達屋（Starwood Hotels & Resorts）導入完善的資安方案，換得和解導致超過3.4億旅客資料外洩的官司。</p> <p>FTC針對2014年到2020年期間，萬豪國際及喜達屋連鎖飯店旗下發生多起大規模資料外洩事故，在今年10月提起告訴，其中3起事件影響顧客人數超過3.44億。FTC指控飯店方面謊稱具備合理和適當的資料安全防護，事實上並非如此，因而導致至少3起個資外洩事故，而讓大量顧客資料，包括護照資料、支付卡號、客戶的忠誠會員編號等落入駭客手上。</p> <p>FTC要求兩家飯店業者建立完整的資安計畫，保護顧客個資、只在合理必要範圍內保留顧客個資，並在網頁上加入連結，允許顧客要求刪除其電子郵件信箱和忠誠會員帳號相關的資料。萬豪酒店還必須在客戶要求時，檢視並回復遭竊取的忠誠回饋點數。本命令宣布當天生效，要求兩家業者要在180天內完成實作，最後期限為2025年6月17日。</p> <p><a href="https://www.ithome.com.tw/news/166653"><strong style="font-size: 22px;">Python惡意套件Zebo與Cometlogger被用於供應鏈攻擊，竊取帳密資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig07-malicious-python.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig07-malicious-python.png" style="width: 300px; float: right;" /></a>Fortinet的安全研究團隊近日發現兩款隱藏惡意行為的Python套件，分別為Zebo-0.1.0與Cometlogger-0.1。這兩個套件表面看起來只是普通的開源程式碼，實則內含多種惡意功能，突顯了開源軟體供應鏈攻擊日益增加的資安威脅。</p> <p>研究人員指出，Zebo-0.1.0的惡意功能包括鍵盤記錄、螢幕擷取、資料外洩與持久性機制設置。該惡意套件利用了如pynput與ImageGrab等合法Python函式庫，結合混淆技術來隱藏其真正意圖。Zebo程式會在用戶的電腦上記錄所有鍵盤輸入並定期截取螢幕畫面，這些資料隨後被上傳至遠端伺服器。值得注意的是，Zebo藉由設置系統啟動時自動執行機制來實現持久性，確保惡意行為能夠持續執行。</p> <p>另一款惡意套件Cometlogger-0.1則更加複雜且危險，其功能涵蓋動態檔案修改、Webhook注入、資訊竊取與反虛擬機器檢測等。</p> <p><a href="https://www.ithome.com.tw/news/166670"><strong style="font-size: 22px;">針對5年前間諜軟體供應商NSO Group被控利用WhatsApp零時差漏洞入侵逾1,400臺行動裝置，美國法院判決WhatsApp勝訴</strong></a></p> <p>2019年10月Meta旗下與即時通訊軟體WhatsApp傳出對以色列間諜軟體公司NSO Group提告，控訴該公司提供賣家的間諜軟體Pegasus，於當年4月至5月利用零時差漏洞CVE-2019-3568，滲透約1,400臺行動裝置。如今判決出爐，NSO Group利用WhatsApp零時差漏洞的行為，美國聯邦法院認定違反當地與駭客有關的法律。</p> <p>對此，WhatsApp負責人Will Cathcart表示，這項判決是隱私的巨大勝利，他們堅信間諜軟體公司必須對非法行為負責。</p> <p>究竟這波利用零時差漏洞的事故造成多少損害？目前仍不得而知。資深科技法律顧問Natalia Krapiva指出，陪審團將在明年3月3日開庭，進行相關的判決。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/wikikit-phishing-kit-targets-major-industries-with-evasive-techniques/">網釣工具包WikiKit鎖定汽車、製造、醫療而來，佯稱是受害者所屬企業來發動攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/nodestealer-infostealer-new-python-based-variant-targets-facebook-ads-manager/">以Python打造的竊資軟體NodeStealer針對臉書廣告管理員而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/cyberattacks-data-breaches/lockbit-ransomware-developer-arrested-israel">勒索軟體LockBit開發者傳出在以色列被捕</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166667"><strong style="font-size: 22px;">Apache基金會修補網頁伺服器元件Tomcat遠端程式碼執行漏洞</strong></a></p> <p>12月17日Apache基金會發布網頁伺服器系統Tomcat更新11.0.2、10.1.34、9.0.98版，當中修補重大層級的遠端程式碼執行（RCE）漏洞CVE-2024-50379，事隔3日，他們再度發布資安公告指出，上述版本出現修補不完整的現象，呼籲IT人員要儘速採取行動。</p> <p>CVE-2024-50379是涉及檢查時間及使用時間（TOCTOU）的弱點，發生在Tomcat編譯JSP的過程，並在預設的servlet啟用寫入功能（非預設組態）的情況下，攻擊者有機會藉由對相同檔案同時上傳及下載的情況下，繞過Tomcat的檢查，此時上傳的檔案會被視為JSP程式，從而導致遠端任意執行程式碼的資安風險，CVSS風險評為9.8（滿分10分）。</p> <p>12月20日Apache基金會再度發布公告，他們發現上述新版程式修補並不完整，並將這項弱點登記為CVE-2024-56337。特別的是，該基金會並非再度發布新版軟體予以修補，而是要求用戶必須調整Java元件的部分組態來因應。</p> <p><a href="https://www.ithome.com.tw/news/166669"><strong style="font-size: 22px;">控管Unix與Linux系統的開源套件Webmin有重大漏洞，一般帳號可趁機偷用root權限執行惡意命令</strong></a></p> <p>漏洞懸賞專案Zero Day Initiative（ZDI）指出，伺服器網頁管理主控臺Webmin的CGI元件存在命令注入漏洞CVE-2024-12828，一旦攻擊者成功利用，就有機會遠端於Webmin執行任意程式碼，CVSS風險評分為9.9（滿分10分），這項漏洞研究人員今年3月向開發團隊通報，Webmin隔月發布2.111版修補，並指出2.105以下的版本都有可能曝險。</p> <p>研究人員提及，這項弱點發生的原因，在於Webmin處理CGI請求的過程，從而導致使用者提供的字串被用於執行系統呼叫之前，並未經過適當的驗證，使得攻擊者有機會以root權限執行任意程式碼。</p> <p>但攻擊者利用這項漏洞存在必要條件，那就是必須在通過身分驗證的狀態下才能觸發漏洞。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-49775-cvss-9-8-critical-vulnerability-in-siemens-umc-exposes-systems-to-remote-exploitation/">西門子UMC元件存在重大漏洞，攻擊者有機會遠端執行任意程式碼</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/rockwell-powermonitor-vulnerabilities-allow-remote-hacking-of-industrial-systems/">Rockwell能源控制監視器PowerMonitor存在重大漏洞，攻擊者有機會取得工控環境的存取權限</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.tca.org.tw/tca_news1.php?n=2257"><strong style="font-size: 22px;">台北市電腦商業同業公會頒發2024資安精品獎，6項產品及服務獲獎</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/ULFXj7AhG7.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/ULFXj7AhG7.png" style="width: 300px; float: right;" /></a>台北市電腦公會主辦資安精品獎，吸引超過30家資安業者參與，經評選後15家進入決審，最終結果於12月24日公布，有6家資安公司獲獎。這些得獎的公司及產品服務分別為：</p> <p>卓越獎：睿控網安SageOne</p> <p>領航獎：來毅數位Keypasco ZTNA、中華資安國際紅隊演練服務</p> <p>創新獎：杜浦數位TeamT5威脅偵測應變代管服務、奧義智慧XCockpit EASM外部資產曝險管理、兆勤科技USG FLEX 200HP</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166656"><strong>【12月24日】鎖定M365帳號的網釣工具包FlowerStorm現身</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166628"><strong>【12月23日】羅馬尼亞駭客組織Diicot再度利用Linux主機挖礦</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166615"><strong>【12月20日】資安業者BeyondTrust傳出部分SaaS服務遭遇重大層級命令注入漏洞攻擊</strong></a></p> </div></div></div>
2024/12/25 17:09作者周峻佑https://www.ithome.com.tw/news/166671
自動算出最佳理賠金、加速醫病決策，工研院打造商用AI理賠試算平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>工研院今日（12/25）宣布成立保險科技新創慧保科技，也揭露旗下2款保險科技產品，包括涵蓋21家壽險公司保單產品、可模擬500多種情境的理賠試算平臺，以及整合全臺21家壽險公司、5萬張保單產品的保險理賠金試算系統，兩者皆串接保險存摺，也都採AI模型，可快速抓取保單條款、摘要重點。</p> <p>這兩款產品專門供保險業者和醫院使用，比如醫院可透過理賠金試算系統，來告知患者醫療預算，進一步提供合適的治療方案；保險業者也能透過理賠試算平臺，來向民眾推薦最符合條件的保單產品。</p> <p><span style="font-size:22px;"><strong>2018年開始研究AI保單分析，今年成立新創開發2大產品</strong></span></p> <p>慧保科技是由工研院培育的新創公司，慧保科技執行長楊承益表示，2018年，團隊開始在工研院內部成形，打下AI分析基礎，運用數十萬張保單來調校AI模型，讓模型理解保單條款內容。這些AI模型，包括團隊自己用開源模型和保單資料來調校的，也有使用AI業者模型來微調的。至於文字處理所需的NLP技術，則由工研院AI工程師自行開發。</p> <p>經過多年打基礎，他們整合了1,700多種醫療術式代碼，數萬種醫材、藥品和治療儀器費用，也整合全臺21家壽險公司的5萬多張醫療保單，打造出AI保單理賠試算引擎，並發展出2款產品。</p> <p>其中，第一款產品是AI理賠試算平臺的慧保U，專門給保險公司使用，適用於民眾就醫前，先來衡量民眾既有的保單狀況。保險業務使用這套系統，可模擬500多種疾病狀況及民眾保單費用涵蓋率，進一步規畫或銷售最符合民眾需求的保險產品。</p> <p>楊承益現場展示，慧保U平臺串接了壽險公會開發的保險存摺，只要選取顯示類別，如疾病類別、科別，就能查看民眾過往至今投保保險與治療費用涵蓋率，甚至也會列出該項的健保給付點數、自費費用和預估理賠金額。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/U1.JPG" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/U%E7%95%AB%E9%9D%A2.JPG" /></p> <p>另一款產品是給醫院使用的醫起付，也就是一套保險理賠金試算系統。它的用法是，醫師先對病人病況評估，給出可能的手術方式，如椎間盤突出的手術有傳統手術、顯微手術、脊椎內視鏡3種，每種的傷口大小、住院天數、麻醉方式、術後復健和費用都不盡相同。</p> <p>接著，醫師就可使用醫起付系統，輸入相關資料和預計治療項目，系統就能與病人過去購買的保單產品和條款勾稽，算出哪些可由保險公司支付、哪些需要自費，甚至列出理賠所需的診斷證明文件類別、收據等。</p> <p>該系統還會顯示最佳的理賠保單，醫師也能根據醫療預算金，來與患者溝通、決定最佳的治療方案。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%87%911.JPG" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%87%912.JPG" /></p> <p></p> </div></div></div>
2024/12/25 17:51作者王若樸https://www.ithome.com.tw/news/166673
小模型只要運算時間充裕，特定任務性能也能超越大模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於目前大型語言模型的效能，主要仰賴大量的訓練運算資源，而正是這種昂貴的成本模式，驅使開發公司尋求替代方案。而Hugging Face的<a href="https://huggingface.co/spaces/HuggingFaceH4/blogpost-scaling-test-time-compute">研究顯示</a>，透過測試階段運算擴展（Test-Time Compute Scaling），小型模型在推理過程中給予足夠的運算時間，能針對複雜問題進行多次嘗試或修正，效能不僅提升，甚至可在數學推理等特定任務中超越大型模型。這項成果挑戰了過去以模型規模作為效能提升主要依據的認知，展現了小型模型在資源有效利用下的潛力。</p> <p>測試階段運算擴展已成為許多研究機構關注的技術，其中<a href="https://arxiv.org/html/2408.03314v1">DeepMind的研究</a>顯示，藉由動態分配測試階段運算資源，可以讓模型在解決複雜問題時更具效率。DeepMind研究人員提出了使用驗證搜尋解答空間的策略，驗證器能對模型的中間推理解答給出評分，並引導搜尋過程朝正確方向推進。DeepMind的實驗證實，測試階段運算策略能讓小型模型在部分複雜任務中超越其基礎效能。</p> <p>而Hugging Face的研究更聚焦於開放模型與資源的應用，並提出多樣性驗證樹搜尋（Diverse Verifier Tree Search，DVTS）這種改進驗證器搜尋方法的技術。DVTS有效解決了搜尋過程中的多樣性不足問題，特別是在高運算資源配置下，其生成的解答在準確性和多樣性上表現更佳。透過這些測試階段運算擴展技術，Hugging Face展示小型模型在數學推理等特定任務中，足以挑戰甚至超越大型模型，顛覆過去仰賴模型規模決定效能的傳統觀點。</p> <p>簡單來說，DeepMind的研究主要說明，透過動態分配測試階段的運算資源，小型模型可以在多一點運算時間下，提升效能並表現得更好。Hugging Face的研究則進一步延伸，提出在某些特定任務中，給小型模型足夠的運算時間，不僅能提升效能，甚至可以超越參數量更大的模型。</p> <p>Hugging Face的DVTS針對搜尋策略中的多樣性問題進行最佳化，藉由分離多個搜尋樹，提升生成答案的多樣性並避免單一路徑過度主導搜尋過程的現象。在數學基準測試中，小型模型如參數量僅為10億的Llama模型，在應用DVTS策略後，解題表現不僅超越了自身基礎能力，甚至在某些情境中超越了參數量高達70億的大型模型。</p> <p>不過目前這些技術的發展仍受限制，因為驗證器的能力目前局限於數學和程式碼等可驗證領域，要將這些技術應用於需要主觀判斷，或是難以量化的任務，仍需要更多後續研究。不過從實務角度來看，測試階段運算擴展的成功，對模型效能提升提供了更具成本效益的方法，讓企業能以更少的資源部署更高效的語言模型，特別是在運算能力受限的環境下，如邊緣運算或嵌入式系統等。</p> </div></div></div>
2024/12/25 16:37作者李建興https://www.ithome.com.tw/news/166668
Apache基金會修補網頁伺服器元件Tomcat遠端程式碼執行漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>12月17日Apache基金會發布網頁伺服器系統Tomcat更新11.0.2、10.1.34、9.0.98版，<a href="https://lists.apache.org/thread/y6lj6q1xnp822g6ro70tn19sgtjmr80r">當中修補重大層級的遠端程式碼執行（RCE）漏洞CVE-2024-50379</a>，事隔3日，他們再度發布資安公告指出，上述版本出現修補不完整的現象，呼籲IT人員要儘速採取行動。根據統計全球網路技術使用數據的組織W3C觀察，12月採用Tomcat的網站比例低於0.04％，但它也是少數高流量網站最常採用的平臺。</p> <p>CVE-2024-50379是涉及檢查時間及使用時間（TOCTOU）的弱點，發生在Tomcat編譯JSP的過程，並在預設的servlet啟用寫入功能（非預設組態）的情況下，攻擊者有機會藉由對相同檔案同時上傳及下載的情況下，繞過Tomcat的檢查，此時上傳的檔案會被視為JSP程式，從而導致遠端任意執行程式碼的資安風險，CVSS風險評為9.8（滿分10分）。</p> <p>12月20日Apache基金會再度發布公告，<a href="https://lists.apache.org/thread/b2b9qrgjrz1kvo4ym8y2wkfdvwoq6qbp">他們發現上述新版程式修補並不完整</a>，並將這項弱點登記為CVE-2024-56337。特別的是，該基金會並非再度發布新版軟體予以修補，而是要求用戶必須調整Java元件的部分組態來因應。</p> </div></div></div>
2024/12/25 15:07作者周峻佑https://www.ithome.com.tw/news/166667
控管Unix與Linux系統的開源套件Webmin有重大漏洞，一般帳號可趁機偷用root權限執行惡意命令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>漏洞懸賞專案Zero Day Initiative（ZDI）指出，<a href="https://www.zerodayinitiative.com/advisories/ZDI-24-1725/">伺服器網頁管理主控臺Webmin的CGI元件存在命令注入漏洞CVE-2024-12828</a>，一旦攻擊者成功利用，就有機會遠端於Webmin執行任意程式碼，CVSS風險評分為9.9（滿分10分），這項漏洞研究人員今年3月向開發團隊通報，Webmin隔月發布2.111版修補，並指出2.105以下的版本都有可能曝險。</p> <p>研究人員提及，這項弱點發生的原因，在於Webmin處理CGI請求的過程，從而導致使用者提供的字串被用於執行系統呼叫之前，並未經過適當的驗證，使得攻擊者有機會以root權限執行任意程式碼。</p> <p>但攻擊者利用這項漏洞存在必要條件，那就是必須在通過身分驗證的狀態下才能觸發漏洞。</p> <p>另一方面，Webmin也在資安公告說明這項漏洞帶來的影響。<a href="https://webmin.com/security/#privilege-escalation-by-non-root-users-cve-2024-12828">開發團隊指出</a>，攻擊者有機會利用不具特殊權限的Webmin使用者，利用Shell自動完成指令敘述的功能觸發漏洞，從而以root執行命令。</p> <p>他們也提及使用網站管理主控臺Virtualmin的用戶，也同樣受到這項漏洞影響，因此，Webmin與Virtualmin的用戶應儘速執行更新程式。</p> </div></div></div>
2024/12/25 15:44作者周峻佑https://www.ithome.com.tw/news/166669
Rspack旗下NPM套件遭到供應鏈攻擊，開發人員電腦恐被植入挖礦軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定開源套件的供應鏈攻擊事故頻傳，最近幾個月已有不少事故傳出，值得留意的是，部分事故駭客疑似掌握管理者帳號，以開發團隊的名義上傳有問題的新版套件，使得許多使用自動更新機制的開發人員，他們的開發環境有可能被植入惡意程式。</p> <p>例如字節跳動開源的前端軟體封裝套件Rspack，開發團隊上週提出警告，證實他們遭遇攻擊，<a href="https://github.com/web-infra-dev/rspack/issues/8767#issue-2749111424">目前已知有@rspack/core、@rspack/cli受影響，這兩個NPM套件被攻擊者植入有問題的1.1.7版</a>，內含惡意指令碼，呼籲用戶更新1.1.8版，或是維持使用1.1.6版。對於整個事故發生的過程，該團隊將著手調查。</p> <p>對此，Rspack團隊已移除1.1.7版，並將最新版本指向1.1.6版，他們也註銷現有的NPM及GitHub的Token因應。此外，該團隊也針對儲存庫及NPM套件的權限進行檢查，並確認相關系統是否存在弱點。該團隊也發布了1.1.8版供用戶升級，但值得留意的是，這個版本僅是將1.1.6版重新發布，目的是為了因應部分使用者可能不慎安裝攻擊者上傳的版本。</p> <p>Rspack是網站模組打包工具，可將眾多模組與資源打包，並編譯需要事先處理的內容，使得這些資源更容易在網站或網頁應用程式運用。Rspack是以Rust改寫的Webpack，於2023年正式推出，由於這項工具廣受微軟、Amazon、阿里巴巴等大型企業採用，其中@rspack/core、@rspack/cli每週分別被下載約37萬次、13.5萬次，因此上述的供應鏈攻擊事故，很有可能影響相當廣泛。</p> <p>資安業者Socket分析兩個惡意NPM套件，<a href="https://socket.dev/blog/rspack-supply-chain-attack">指出這些套件的程式碼都會在開發環境植入挖礦軟體XMRig</a>。攻擊者運用經過混淆處理的程式碼，對遠端伺服器進行呼叫，然後將特定資料外傳，或是收集系統環境配置資訊，以便攻擊者能進行下個階段的攻擊行動。</p> <p>特別的是，攻擊者疑似鎖定特定的開發環境而來，他們呼叫API收集受害主機的環境資訊。雖然Socket並未特別提及駭客針對的目標，但開發人員Wojciech Maj進行調查，<a href="https://github.com/web-infra-dev/rspack/issues/8767#issuecomment-2555772131">並於Rspack的公告當中指出</a>，攻擊者針對中國、香港、俄羅斯、白俄羅斯、伊朗而來，而且，只針對執行Linux作業系統的開發環境發動攻擊。</p> <p>這起資安事故引發開發界討論相關安全議題，例如：軟體套件管理工具需要更好的防護機制，像是對於部署未經檢驗的新版套件執行前，應該發出警示訊息，要開發人員提高警覺。</p> <p>也有開發者向套件管理工具pnpm的開發團隊提出請求，<a href="https://github.com/pnpm/pnpm/issues/8889">建議要提供禁止套件更新到未經驗證版本的功能</a>，來減少類似的事故造成的災情。</p> </div></div></div>
2024/12/25 12:55作者周峻佑https://www.ithome.com.tw/news/166665
傳Google用Anthropic Claude測試Gemini模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI開發競爭激烈，廠商一般是以業界標竿測試比較競爭者和自己的模型的執行結果。不過媒體Techcrunch<a href="https://techcrunch.com/2024/12/24/google-is-using-anthropics-claude-to-improve-its-gemini-ai/" target="_blank">報導</a>，Google疑似聘請外包商比較對手Anthropic的Claude模型的回應，來評估自家Gemini模型的回應品質。</p> <p>媒體取得Google外包人員的對內通訊內容報導此事。一開始，這些外包員被分派評估Gemini模型回應內容，讓他們以特定標準如真實性、冗長程度來為Gemini打分數。但最新外包員被要求評比Anthropic的Claude和Google Gemini的回應內容，並比較兩模型在安全性、效能等其他屬性能力。</p> <p>根據媒體看到的外包員內部聊天內容，Claude被認為比Gemini更重視安全性。例如Claude在使用者要求扮演其他AI助理時不予回應。另外，Claude也拒絕回應有色情意味的要求，但Gemini的回應因有裸露和性行為內容，被外包員評論為「嚴重違反安全規則」。</p> <p>Anthropic對Claude的<a href="https://www.anthropic.com/legal/commercial-terms" target="_blank">商業服務條款</a>禁止客戶在未獲得同意情況下，以Claude打造競爭產品或訓練競爭AI模型。Google<a href="https://www.ithome.com.tw/news/159545" target="_blank">據信</a>曾投資Anthropic至少23億美元。</p> <p>Google DeepMind對媒體表示，公司會比較不同模型輸出結果，但表示未曾以Anthropic的模型來訓練Gemini。DeepMind也未說明是否取得Anthropic的同意。Anthropic則未對此評論。</p> </div></div></div>
2024/12/25 12:31作者林妍溱https://www.ithome.com.tw/news/166664
擴建AI伺服器？xAI再增資60億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI競賽白熱化，xAI近日再增資60億美元，可能用來採購Nvidia晶片擴建AI伺服器。</p> <p>根據這家業者向美國證管會（SEC）<a href="https://www.sec.gov/Archives/edgar/data/2002695/000200269524000003/xslFormDX01/primary_doc.xml" target="_blank">申報</a>的文件，在每位外部投資者最低門檻77,593美元下，xAI獲得總額60億美元的外部資金。</p> <p>xAI透過官方X帳號<a href="https://x.ai/blog/series-c" target="_blank">公布</a>新一輪投資者包括a16z、黑岩（Blackrock）、紅杉資本等、以及Nvidia、AMD等共97名自然人及法人。CNBC<a href="https://www.cnbc.com/2024/11/15/elon-musks-xai-raising-up-to-6-billion-to-purchase-100000-nvidia-chips-for-memphis-data-center.html" target="_blank">報導</a>其中有50億美元來自中東的主權基金。</p> <p>這是繼今年<a href="https://www.ithome.com.tw/news/163140" target="_blank">5月</a>的第一波60億美元增資後，科技大亨馬斯克持有的xAI再度增資。CNBC引述消息人士報導，最新資金將用來採購10萬顆Nvidia晶片。</p> <p>這些晶片可能是將用來擴建AI伺服器。xAI 9月<a href="https://www.ithome.com.tw/news/164859" target="_blank">公</a><a href="http://www.ithome.com.tw/news/164859" target="_blank">布</a>一臺採用10萬顆H100打造成、用以訓練AI模型的超級電腦叢集名為Colossus。馬斯克當時表示Colossus是世界最強大的AI訓練系統，且預計再翻倍來到20萬顆GPU，包含5萬顆最新的Nvidia H200。</p> </div></div></div>
2024/12/25 12:58作者林妍溱https://www.ithome.com.tw/news/166666
Telegram 2024年終於停止虧損且營收破10億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Telegram創辦人兼執行長Pavel Durov<a href="https://t.me/durov/386">撰文</a>透露，2024年Telegram正式結束商業化3年以來，持續虧損的局面，首次獲利且收入突破10億美元。這對於Telegram來說是一個重要里程碑，反映出成功的商業模式轉型與持續成長的用戶規模。</p> <p>Pavel Durov提到，Telegram在2024年的主要營收來源包括Premium訂閱服務，以及持續成長的廣告收入。2024年Telegram Premium訂戶人數超過了1,200萬，成為平臺營利的重要收入來源，此外，Telegram廣告平臺也吸引眾多企業用戶，使得廣告收入也有數倍成長。</p> <p>而Pavel Durov也坦言，Telegram仍有許多債務待處理。不過Telegram已經在2024年秋季利用市場上有利的債券價格，償還了部分早期發行的債務，使得財務基礎更加穩健。截至年底，Telegram擁有超過5億美元的現金儲備，這還不包括公司持有的加密資產。</p> <p>2024年，Telegram推出了一系列全新的商業化功能，包括Stars、Giveaways與Telegram Gateway等，進一步擴展了平臺使用場景與商業應用範疇。Pavel Durov表示，Telegram會持續減少債務負擔，同時投入更多資源在產品創新與用戶體驗的提升。</p> <p>不過Telegram在2024年也是波折不斷，8月時Pavel Durov遭法國政府指控未能有效監管平臺內容而被逮捕。法國政府認為Telegram縱容非法活動，包括洗錢、毒品交易以及未成年人不當內容的散布，而在Pavel Durov被捕之後，Telegram則迅速採取了一系列法遵行動，以回應外界的批評。</p> <p>Telegram宣布調整其隱私政策，首次允許在涉及刑事案件時，根據司法機構的合法請求提供用戶的IP地址與電話號碼等資料，此外，平臺還加強了公共搜尋功能的監管，部署了專門團隊結合人工智慧技術，主動偵測並刪除違法或有問題的內容，加強打擊非法內容的力道。</p> </div></div></div>
2024/12/25 13:07作者李建興https://www.ithome.com.tw/news/166661
美國政府下令萬豪、喜達屋飯店集團強化資安
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦交易委員會（Federal Trade Commission，FTC）上周<a href="https://www.ftc.gov/news-events/news/press-releases/2024/12/ftc-finalizes-order-marriott-starwood-requiring-them-implement-robust-data-security-program-address" target="_blank">下令要求</a>萬豪國際（Marriott International）及其子公司喜達屋（Starwood Hotels & Resorts）導入完善的資安方案，以便和解導致超過3.4億客戶資訊外洩的官司。</p> <p>FTC針對2014年到2020年期間，萬豪國際及喜達屋連鎖飯店旗下發生多起大規模資料外洩事故，在今年10月<a href="https://www.ftc.gov/news-events/news/press-releases/2024/10/ftc-takes-action-against-marriott-starwood-over-multiple-data-breaches" target="_blank">提起告訴</a>。其中三起事件影響顧客人數超過3.44億。FTC指控飯店方面謊稱具備合理和適當的資料安全防護，事實上卻沒有足夠的安全措施確保消費者個資，因而導致至少三起個資外洩事故，而讓大量顧客資料，包括護照資料、支付卡號、客戶的忠誠會員編號等落入駭客手上。</p> <p>當時FTC提議包含和解條件的命令，並在FTC委員3:2表決下通過最終版本命令。</p> <p>最終版命令下，FTC要求二家飯店業者建立完整的資安計畫，保護顧客個資、只在合理必要範圍內保留顧客個資，並在網頁上加入連結，以允許顧客要求刪除其電子郵件信箱和忠誠會員帳號相關的資料。萬豪酒店還必須在客戶要求時，檢視並回復遭竊取的忠誠回饋點數。</p> <p>FTC也要求兩家公司不得對如何蒐集、維續、使用、刪除或揭露消費者個資，以及雙方公司如何保護顧客隱私、安全、資料機密與完整性作法提供不實說明。</p> <p>本命令在2024年12月20日生效，要求兩家業者要在180天內完成實作，最後期限為2025年6月17日。</p> <p>今年10月萬豪國際另外還和美國49州及哥倫比亞特區，就另一宗類似官司<a href="https://portal.ct.gov/ag/press-releases/2024-press-releases/multistate-settlement-with-marriott-for-data-breach-of-starwood-guest-reservation-database" target="_blank">達成和解</a>，萬豪為此支付5,200萬美元。FTC沒有要民事賠償的法律權力。</p> <p>萬豪國際在美國及超過130餘國經營超過7,000家酒店，在2016年收購喜達屋後，也需概括承受後者的資安責任。喜達屋飯店集團下有W Hotels、喜來登、威斯汀、艾美等知名飯店。</p> <p>二家飯店發生的資料外洩事件包括：2024年11月到2025年6月，喜達屋旗下54間飯店POS系統遭惡意程式感染<a href="https://www.ithome.com.tw/news/100126" target="_blank">致外洩客戶資料</a>。2018年喜達屋飯店美國客戶預約資料庫又遭惡意軟體存取並加密，<a href="https://www.ithome.com.tw/news/127412" target="_blank">當時估計</a>有5億筆資料外洩，為史上第二大宗。</p> </div></div></div>
2024/12/25 10:44作者林妍溱https://www.ithome.com.tw/news/166663
Perplexity收購Carbon深化AI搜尋技術，解決企業內部資料搜尋難題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia創辦人黃仁勳也愛用的人工智慧搜尋服務Perplexity，<a href="https://www.perplexity.ai/hub/blog/welcoming-carbon-to-the-perplexity-team">宣布收購</a>新創公司Carbon，以強化人工智慧解答引擎的能力。Carbon是一個可將多元外部資料來源，諸如Notion、Google Docs等，與大型語言模型相連結，提供企業級語意搜尋與內容管理的解決方案。</p> <p>Carbon團隊將全員加入Perplexity，協助加快產品開發速度。該項收購將有助於Perplexity將Carbon技術整合至自身技術堆疊，並向用戶提供更高效且個人化的搜尋功能。</p> <p>Carbon的核心技術包括內建的語意搜尋與關鍵字搜尋，結合精細的權重控制與重新排序機制，能夠協助用戶在多元資料來源中快速找到所需要的資訊。而且Carbon提供統一的API介面，支援文件的檢索、管理及更新通知，並能生成嵌入向量以強化資料索引與搜尋效率。這些技術不僅簡化了企業內部資料的整合流程，也大幅提升了搜尋的精準度與效率。</p> <p>對於企業來說，內部資料的分散性與多樣性一直是營運效率提升的一大挑戰，無論是儲存在內部資料庫、雲端空間，還是分布於多個應用程式中的資料，快速且準確地獲取所需資訊，是提高營運效率的關鍵課題。Perplexity表示，藉由整合Carbon的資料連結與搜尋能力，其人工智慧解答引擎將能更有效提供整合多來源資訊的回應，減少傳統人工搜尋的繁瑣步驟。</p> <p>Perplexity在2024年大幅成長，推出諸如Enterprise Pro、Spaces，以及針對內部文件搜尋的多項新功能，並強化了搜尋體驗，涵蓋購物與即時財報分析等應用場景。而此次收購Carbon，Perplexity持續深化搜尋技術，以實現更好的智慧搜尋體驗。</p> </div></div></div>
2024/12/25 09:30作者李建興https://www.ithome.com.tw/news/166657
【資安日報】12月24日，鎖定M365帳號的網釣工具包FlowerStorm現身
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本月初揭露的網釣工具包Rockstar 2FA，資安業者Trustwave指出它的前身是DadSec、Phoenix，但最近有新的調查指出，疑似即將重出江湖的Rockstar 2FA平臺網路犯罪業者，近期改為經營新的網釣工具包租用服務。</p> <p>資安業者Sophos指出，他們留意到駭客一個月前開始關閉Rockstar 2FA部分基礎設施，事隔數週，名為FlowerStorm的工具包開始出現相關活動的跡象。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166651"><strong style="font-size: 22px;">鎖定M365帳號的網釣平臺FlowerStorm崛起，疑似Rockstar 2FA捲土重來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RS_vs_FS_detects.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/RS_vs_FS_detects.jpg" style="width: 300px; float: right;" /></a></p> <p>本月初資安業者Trustwave揭露網釣工具包Rockstar 2FA，賣家以租用型式提供買家運用（Phishing-as-a-Service，PaaS），此工具包主要的目標是使用者的Microsoft 365（M365）帳號，如今有研究人員發現，經營該網釣工具包的賣家疑似另起爐灶，再度開發另一款新的網釣工具包供打手租用。</p> <p>資安業者Sophos指出，從去年11月出現的Rockstar 2FA，在今年11月活動突然變得極為安靜，根據他們的遙測資料，駭客部分的基礎設施出現停擺的情況，相關的網頁無法使用，但這些現象發生的原因並非執法單位圍剿，而是此系統後端出現異常所致。</p> <p>事隔數週，研究人員發現新的網釣工具包租用服務FlowerStorm活動變得頻繁，並發現該網釣工具包與Rockstar 2FA有共通特徵，疑似源自另一個用Telegram機器人運作的網釣工具包租用服務Tycoon，因為兩者之間有許多共通功能。</p> <p><a href="https://www.ithome.com.tw/news/166623"><strong style="font-size: 22px;">資安業者TeamT5解析2024年中國APT攻擊態樣與假訊息潮流</strong></a></p> <p>在2024年，全球資安事件的數量持續攀升，臺灣資安公司TeamT5（杜浦數位安全）技術長李庭閣於「2024 TAS 威脅分析師高峰會」指出，根據他們的觀察，資安攻擊數量較2023年增加的比例達到兩位數，顯示攻擊者活動頻率不斷提高。特別是高活躍度的攻擊族群從去年的60個增至今年的73個，增幅超過20％。這些攻擊族群採用更多元化的攻擊技術與手段，針對不同目標展開更加精密的行動。</p> <p>他指出，2024年是全球的選舉年，從中可以觀察到許多駭客組織利用深偽影片和發布假訊息的方式，企圖左右各國的選舉結果，臺灣也深受假訊息和深偽影片危害。</p> <p>此外，李庭閣表示，該公司也從中國資安公司安洵（i-Soon）外洩的資料中發現，中國APT組織彼此之間有不同的競合關係，但隨著中國經濟開始衰退，過往由政府在背後提供資金支持的APT組織，在缺乏資金的前提下，也將攻擊對象從以往的國家、軍方和大型企業，開始轉向缺乏資安專業和預算的中小企業。</p> <p><a href="https://www.ithome.com.tw/news/166652"><strong style="font-size: 22px;">殭屍網路Mirai變種Hail Cock鎖定Digiever網路視訊監視設備而來，利用RCE漏洞入侵受害設備</strong></a></p> <p>鎖定老舊連網設備的攻擊行動層出不窮，原因是這類設備很久以前就已進入生命週期結束（EOL）的狀態，廠商不會提供更新軟體修補相關漏洞，使得攻擊者有機會持續用來發動攻擊。</p> <p>例如，資安業者Akamai最近揭露的殭屍網路攻擊事故，就是典型的例子。他們發現臺廠永恒數位通訊科技（Digiever）旗下網路視訊監視設備（NVR）DS-2105 Pro遭到鎖定，攻擊者針對一項漏洞而來，藉此散布殭屍網路病毒Mirai的變種Hail Cock，其特別之處在於，駭客運用了ChaCha20、XOR演算法進行處理有效酬載，而能夠迴避資安系統偵測。</p> <p>這起事故的發現，源於Akamai資安事件回應團隊（SIRT），他們在11月中旬察覺針對全球蜜罐陷阱特定URI的攻擊，當時他們初步分析認為，這是一起以Mirai為基礎的惡意軟體攻擊行動，至少從10月開始進行，過程中駭客利用一項尚未登記CVE編號的漏洞。</p> <p><a href="https://www.ithome.com.tw/news/166649"><strong style="font-size: 22px;">鎖定物聯網裝置的惡意軟體BadBox攻擊升溫，19萬臺安卓裝置遭綁架、組成殭屍網路</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/160000 unique IPs.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/160000%20unique%20IPs.png" style="width: 300px; float: right;" /></a>德國聯邦資訊安全辦公室（BSI）於12月12日表示，他們已經利用DNS陷坑（Sinkholing）的手段，中斷惡意程式BadBox的運作，並透露該國至少有3萬臺設備受害，但其他國家是否也出現災情？有研究人員公布新的調查結果。</p> <p>這些遭到BadBox感染的設備形成殭屍網路，主要是被駭客用來用作非法代理伺服器，或是遠端程式碼安裝攻擊、帳號濫用、廣告詐欺。在前一波攻擊行動裡，一度有多達7.4萬臺裝置遭到綁架，在相關活動被阻斷後似乎就銷聲匿跡，然而，實際上並非如此，相關活動不僅持續進行，而且規模更大，殭屍網路的用途也變得更為廣泛。</p> <p>資安業者BitSight指出，他們近期找到BadBox新的基礎設施，進一步進行遙測發現，駭客控制了超過19.2萬臺安卓裝置，而且，這個數字目前仍持續增加當中。值得留意的是，這些遭感染的裝置當中，大部分是研究人員過往不曾遇到的型號，例如Yandex 4K QLED智慧電視、海信（Hisense）智慧型手機T963。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/us-court-finds-spyware-maker-nso-liable-for-whatsapp-hacks/">間諜軟體供應商NSO Group利用WhatsApp零時差漏洞入侵逾1,400臺行動裝置</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/notlockbit-new-cross-platform-ransomware-threatens-windows-and-macos/">跨平臺勒索軟體NotLockBit鎖定Windows、macOS電腦而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.websiteplanet.com/news/builderai-breach-report/">英國AI開發平臺Builder.ai資料庫配置不當，曝露300萬筆記錄資料</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/apache-fixes-remote-code-execution-bypass-in-tomcat-web-server/">Apache基金會修補網頁伺服器元件Tomcat遠端程式碼執行漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://patchstack.com/articles/multiple-critical-vulnerabilities-patched-in-wplms-and-vibebp-plugins/">WordPress外掛WPLMS、VibeBP存在7項重大漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166655"><strong style="font-size: 22px;">中國駭客鎖定電信業發動大規模攻擊，CISA呼籲高風險用戶應改用支援E2EE的加密通訊軟體因應</strong></a></p> <p>今年10月底美國聯邦調查局（FBI）與網路安全暨基礎設施安全局（CISA）證實，中國資助的駭客非法存取美國的電信基礎設施，後續11月中旬他們確認這些駭客竊取用戶的通訊記錄資料，且針對參與政府及政治事務的特定人士，滲透私人通訊內容，究竟這些被鎖定的人們該如何自保？近期CISA給出了解方。</p> <p>12月18日CISA發布行動通訊最佳實作指引（Best Practice Guidance for Mobile Communications），並表明這些指引內容就是針對前述中國駭客相關攻擊行動進行回應，適用於攻擊者可能會高度感到興趣的人士，例如：政府機關的高層。</p> <p>當中最受到關注的部分，就是建議人們改用Signal這類實作全程加密（E2EE）的加密通訊軟體，來對他人進行通訊，CISA提及用戶挑選這類通訊軟體的必要條件，是至少有針對iOS和安卓作業系統實作全程加密，使得用戶能夠在不同平臺之間進行安全的通訊。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166628"><strong>【12月23日】羅馬尼亞駭客組織Diicot再度利用Linux主機挖礦</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166615"><strong>【12月20日】資安業者BeyondTrust傳出部分SaaS服務遭遇重大層級命令注入漏洞攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166590"><strong>【12月19日】木馬程式HiatusRAT鎖定網路攝影機及DVR的已知漏洞發動攻擊</strong></a></p> </div></div></div>
2024/12/24 17:44作者周峻佑https://www.ithome.com.tw/news/166656
鎖定M365帳號的網釣平臺FlowerStorm崛起，疑似Rockstar 2FA捲土重來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本月初資安業者Trustwave揭露<a href="https://www.ithome.com.tw/news/166295">網釣工具包Rockstar 2FA</a>，賣家以租用型式提供買家運用（Phishing-as-a-Service，PaaS），此工具包主要的目標是使用者的Microsoft 365（M365）帳號，如今有研究人員發現，經營該網釣工具包的賣家疑似另起爐灶，再度開發另一款新的網釣工具包供打手租用。</p> <p><a href="https://news.sophos.com/en-us/2024/12/19/phishing-platform-rockstar-2fa-trips-and-flowerstorm-picks-up-the-pieces/">資安業者Sophos指出</a>，從去年11月出現的Rockstar 2FA，在今年11月活動突然變得極為安靜，根據他們的遙測資料，駭客部分的基礎設施出現停擺的情況，相關的網頁無法使用，但這些現象發生的原因並非執法單位圍剿，而是此系統後端出現異常所致。</p> <p>研究人員提及，上述情況發生在Trustwave揭露Rockstar 2FA的兩週前，網釣工具租用服務的基礎設施無法存取，並回傳HTTP 522的錯誤訊息，這意味駭客已經切斷原本使用的Cloudflare內容傳遞網路（CDN）。此外，攻擊者用來進行C2通訊的Telegram頻道，也疑似已經下線。</p> <p>事隔數週，研究人員發現新的網釣工具包租用服務FlowerStorm活動變得頻繁，並發現該網釣工具包與Rockstar 2FA有共通特徵，疑似源自另一個用Telegram機器人運作的網釣工具包租用服務Tycoon，因為兩者之間有許多共通功能。</p> <p>其中一項是兩種網釣工具包都針對M365登入網頁而來，後臺的伺服器使用.ru或.com的網域名稱，但不同之處在於，Rockstar 2FA使用隨機產生的PHP指令碼，而FlowerStorm統一使用next.php。</p> <p>再者，則是釣魚網頁的HTML結構高度雷同，都具備捏造的評論、聲稱由Cloudflare Turnstile提供的資安服務，但兩者使用的誘餌不同：Rockstar 2FA以汽車為誘餌，FlowerStorm的誘餌則以植物為主題。</p> <p>此外，兩個網釣工具包挾持M365帳號的手段一致，都是透過後端系統進行電子郵件、多因素身分驗證（MFA）的流程。</p> <p>另一方面，駭客註冊的網域名稱及代管方式也有顯著重疊，而且，駭客都不慎在操作上出錯，從而曝露後端系統的樣貌。</p> <p>雖然研究人員無法完全確定FlowerStorm就是Rockstar 2FA另起爐灶，但他們可以確定的是，根據駭客使用的套件，駭客很有可能採用相同的工具為基礎進行開發，而之所以具有相似的網域名稱註冊模式，則可能是因為兩組經營團隊彼此協調相關作業。</p> </div></div></div>
2024/12/24 15:13作者周峻佑https://www.ithome.com.tw/news/166651