iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 26篇
近 7 天: 140篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/12 02:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 140 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

提供全球單一機型的簡化部署，思科首批Wi-Fi 7基地臺來了
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/cisco_wireless_9176_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在多數企業級網路設備廠商都推出Wi-Fi 7基地臺之後，到了2024年11月舉行的<a href="https://www.ithome.com.tw/news/165974">Cisco Live 2024 Melbourne大會</a>，思科終於宣布推出產品、開放訂購，預計12月出貨。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-11-Cisco Wi-Fi7-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-11-Cisco%20Wi-Fi7-web.jpg" style="width: 500px;" /></a></p> <p>他們這次發表兩款高階機型，其中之一是9176系列（採用全向天線CW9176I、採用定向天線的CW9176D1），在6 GHz、5 GHz、2.4 GHz這三個頻段的使用模式當中，Wi-Fi網路傳輸率可達18 Gbps，而由於支援無線通訊彈性指派（FRA）機制，也能改用6 GHz、5 GHz、5 GHz，能達到23 Gbps。</p> <p>另一款是 9178系列（CW9178I），額外提供4頻段的使用模式（6 GHz、5 GHz、5 GHz、2.4 GHz），Wi-Fi網路傳輸率有3種組合：18 Gbps、23 Gbps、24 Gbps，這也是拜FRA機制所賜，因此，可選用6 GHz、5 GHz、5 GHz（23 Gbps），以及6 GHz、5 GHz、5 GHz、2.4 GHz（24 Gbps）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Wi-Fi 7AP-2024-11-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Wi-Fi%207AP-2024-11-1.jpg" style="width: 600px;" /></a></p> <p>相較於市面上的Wi-Fi 7基地臺產品，Cisco強調他們推出的解決方案，是第一批真正支援全球部署、融合式無線基地臺，可聰明偵測它們本身建置的所在地點，不再需要針對各個地區提供專屬的存貨單位（SKU），意思是思科只需要透過一款產品機型，就能適用全球各地的部署，而且無論用在內部管理或雲端管理環境，均可自動、順暢切換，不需搭配針對特定技術堆疊與法規遵循領域專屬的產品，可節省安裝時間與人力。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Unfied Global AP-2024-11.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Unfied%20Global%20AP-2024-11.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Global AP-2024-11-journey0.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Global%20AP-2024-11-journey0.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Cisco Global AP-2024-11-journey.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Global%20AP-2024-11-journey.jpg" style="width: 298px;" /></a></p> <p> </p> <p>AI強化與資安防護也是思科此批Wi-Fi 7產品的特色。以前者為例，企業可運用思科發展的<a href="https://documentation.meraki.com/MR/Radio_Settings/AI_-_RRM">AI強化無線通訊資源管理（AI-RRM）技術</a>，能夠自動調校無線通訊頻率，改善終端使用者上網體驗；關於安全性，企業使用思科Wi-Fi 7產品時，也能搭配思科的網路安全強化解決方案Identity Services Engine，而得以針對連上企業網路的每一臺設備，進行自動的身分識別與政策套用。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Meraki-AI RRM-2024-11-0.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Meraki-AI%20RRM-2024-11-0.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Meraki-AI RRM-2024-11.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Meraki-AI%20RRM-2024-11.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Meraki-AI%20RRM-2024-11-2.jpg" style="width: 600px;" /></p> <p>除此之外，這兩款基地臺還可整合多種無線通訊，像是：低功耗藍牙（BLE）、超寬頻（UWB），能用於資產的精準追蹤與定位，它們也內建全球衛星導航系統（GNSS）／全球定位系統（GPS）天線，能進行註冊代管，基地臺能聰明選擇法規遵循針對的領域，以及地點的資訊。基於這些功能，它們可憑藉單一智慧型平臺，支援多種物聯網應用案例，像是醫院的資產精準追蹤、零售業的沉浸式擴增實境（AR）體驗。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Wi-Fi 7-2024-02.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Wi-Fi%207-2024-02.jpg" style="width: 600px;" /></a></p> <p>值得注意的是，思科此時也宣布推出統一訂閱授權Cisco Networking Subscription，提供兩種服務等級：Cisco Wireless Essentials、Cisco Wireless Advantage，而最新推出的Cisco Wireless 9178與9176，以及可集中管理這些網路設備的Cisco Catalyst 9800 Wireless LAN Controller，均是首批適用此項授權的產品。</p> <p>簡而言之，不論企業採用的網路管理模式是經由雲端、內部系統，或混合兩者使用，均可透過單一授權涵蓋思科的Wi-Fi 7解決方案，例如，若打算用雲端管理的模式Meraki Management Mode，企業可經由網頁管理主控臺Meraki Dashboard控管訂閱，若打算用內部環境管理的模式Catalyst Management Mode，企業可經由授權伺服器Cisco Smart Software Manager（CSSM）控管Cisco Networking Subscription訂閱。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Wi-Fi 7-2024-03.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Wi-Fi%207-2024-03.jpg" style="width: 600px;" /></a></p> <p>思科這次發表Wi-Fi 7、統一訂閱授權之餘，也提及這些解決方案可整合他們發展已久的室內工作空間定位雲端平臺Cisco Spaces（<a href="https://blogs.cisco.com/networking/solving-data-blind-spots-in-physical-locations-with-cisco-dna-spaces">原名Cisco DNA Spaces</a>，<a href="https://blogs.cisco.com/networking/a-tale-of-people-things-spaces">2022年9月改名</a>），Cisco Networking Subscription授權將包含Cisco Spaces，思科在此提供室內定位分析與整合應用功能Cisco Spaces Extend，而在Cisco Wireless Advantage授權額外提供Cisco Spaces Act，企業可運用智慧辦公空間環境、訪客註冊與上網（思科在此支援OpenRoaming），以及大量物聯網裝置的部署與管理等多種功能，例如，可即時追蹤醫院、零售店商家重要設備的室內位置；在訪客連上Wi-Fi網路時，傳送具有前後文脈絡的內容通知；在辦公區當中，也能更直接導引員工尋找可用的會議室與辦公位置，而不需下載其他行動App。</p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/lCkFaW9pf_U?si=XUdScsYZ9BrrJVPl" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>Cisco Wireless Wi-Fi 7 Access Points</strong></span><br /> ●原廠：Cisco<br /> ●建議售價：廠商未提供<br /> ●機型：9176系列（CW9176I、CW9176D1）、9178系列（CW9178I）<br /> ●支援無線網路規格：802.11 a/b/g/n/ac/ax/be<br /> ●網路介面：9176系列內建1個10GbE埠，9178系列內建2個10GbE埠<br /> ●天線架構：6 GHz、5 GHz、2.4 GHz均為4x4，MU-MIMO<br /> ●傳輸速度：9176系列總共為18或23 Gbps，9178系列總共為18、23或24 Gbps<br /> ●支援供電方式：DC（Cisco Power Injector：CW-INJ-8）、PoE<br /> ●整合其他無線通訊技術：低功耗藍牙、超寬頻（UWB）<br /> ●尺寸：CW9176I為24 x 24 x 5.1公分，CW9176DI為24 x 25 x 5.1公分，CW9178I為25.1 x 25.1 x 5.1公分<br /> ●重量：CW9176I與CW9176DI均為1.56公斤，CW9178I為1.87公斤<br /> ●集中管理平臺：Catalyst 9800系列WLAN控制器、Catalyst 9000交換器、Meraki雲端管理平臺</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/1/6 18:10作者李宗翰https://www.ithome.com.tw/review/166822
【資安日報】1月6日，親俄駭客NoName057聲稱對臺灣逾30個企業與政府機關網站發動DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>三個月前親俄駭客組織NoName057因不滿總統賴清德在接受媒體採訪的回答，中國政府若要維護領土主權性，應奪回清朝割讓俄羅斯的土地，<a href="https://www.ithome.com.tw/news/165042">對臺灣政府機關、關鍵基礎設施的網站發動一系列的DDoS攻擊</a>，如今這些駭客再度盯上臺灣企業組織犯案。</p> <p>1月2日、3日有5家上市櫃公司證實遭遇DDoS攻擊，NoName057宣稱就是他們所為，並表明一共攻擊超過30個網站。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166831"><strong style="font-size: 22px;">青雲科技、世芯電子、大眾電腦、台塑接連遭DDoS攻擊，傳出是親俄駭客NoName057所為</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GgRTQSyX0AALJjj.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/GgRTQSyX0AALJjj.jpg" style="width: 300px; float: right;" /></a></p> <p>上週四（1月2日）群光電子於股市公開觀測站發布重大訊息，表示他們的網站遭遇分散式阻斷服務（DDoS）攻擊，然而接下來有更多企業公告也證實面臨相關攻擊。</p> <p>1月3日下午青雲科技、世芯電子、大眾電腦、台塑發布重大訊息，表示他們的網站遭遇攻擊，他們察覺事故之後已啟動相關防禦機制及復原作業，網站已恢復正常運作，目前評估對公司營運沒有影響。青雲、世芯進一步提及，他們初步評估沒有個資或內部文件資料出現外洩的情況。</p> <p>值得留意的是，針對這些公司遭遇DDoS攻擊的事故，親俄駭客組織NoName057聲稱是他們所為，但值得留意的是，這些駭客也聲稱對超過30個網站下手，涵蓋政府機關、地方政府、機場、港務機關。</p> <p><a href="https://www.ithome.com.tw/news/166827"><strong style="font-size: 22px;">臺灣2024每日遭到網路攻擊次數達到240萬，通訊傳播領域暴增6.5倍、電信業成為最熱門的網駭目標</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/_TO44FBluQy.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/_TO44FBluQy.png" style="width: 300px; float: right;" /></a>隨著兩岸局勢日趨緊張，中國駭客對臺灣的網路攻擊也變得更加猖狂，但這樣的態勢究竟有多嚴重？國家安全局近期公布相關分析結果。</p> <p>1月5日國安局發布中共網駭手法分析報告，他們特別提及根據政府網際服務網（GSN）的入侵指標（IoC）統計，2024年每日平均遭受攻擊的次數約為240萬次，較2023年的120萬次翻倍，而這些攻擊多數為中共網軍所為。不過，國安局並未提及有多少比例來自這些駭客。</p> <p>另一方面，國安局也提到駭客主要的攻擊目標，根據他們掌握的906件資安事故，有八成是針對政府機關而來。而從中共網軍鎖定的產業類別來看，他們特別提及針對通訊傳播領域的情況最為嚴重，一舉較2023年增加650%，而且主要目標就是電信業者，這樣的情況也與去年下旬，美國證實多家電信業者遭遇中國駭客攻擊的情況，可說是不謀而合。</p> <p><a href="https://www.ithome.com.tw/news/166806"><strong style="font-size: 22px;">研究人員揭露新的DoubleClickjacking手法，能繞過點擊挾持防護</strong></a></p> <p>現今多數網站都已加入防範點擊挾持（clickjacking）攻擊手法的措施，不過安全研究人員Paulos Yibelo揭露此類攻擊的變種版本「雙點擊挾持（DoubleClickjacking）」，號稱能繞過既有防護而攻擊網站用戶。</p> <p>這手法原理是二次點擊的時間點和順序。首先，攻擊者建立惡意網頁，誘騙用戶按下特定按鈕讀取回饋或看影片。當用戶依照指示操作時，會跳出新視窗蓋住原有網頁，並要求使用者完成任務（如CAPTCHA），目的是為了聲東擊西。同時間，原有網頁上的JavaScript指令碼將會啟動，把網頁內容換成攻擊者想要登入的目標合法網站，例如網銀或Gmail。</p> <p>研究人員指出，幾乎所有網站都會受到這種攻擊手法影響，他透過影片展示挾持Slack、Shopify、Saleforce帳號，並指出這類手法還能對瀏覽器延伸套件下手，從而存取受害者的加密貨幣錢包、VPN。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/bad-tenable-plugin-updates-take-down-nessus-agents-worldwide/">資安業者Tenable傳出遭遇惡意外掛程式攻擊事故，駭客藉此將用戶的Nessus代理程式移除</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-firescam-android-data-theft-malware-poses-as-telegram-premium-app/">安卓竊資軟體FireScam假冒Telegram應用程式散布</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://smbiz.asahi.com/article/15572291">日本電信業者NTT DOCOMO傳出遭到DDoS攻擊</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166745"><strong style="font-size: 22px;">Apache基金會修補圖像資料庫系統HugeGraph身分驗證繞過漏洞</strong></a></p> <p>Apache基金會發布資安公告，指出圖像資料庫系統HugeGraph的伺服器元件HugeGraph-Server存在漏洞CVE-2024-43441，影響1.0至1.3版，他們發布1.5.0版修補。</p> <p>針對這項漏洞，該基金會指出，是因為被假定為無法竄改的資料具有弱點，造成身分認證程序可被略過的問題，但除此之外他們並未透露進一步細節，也沒有提供CVSS評分，因此後續影響有待觀察。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-9138-and-cve-2024-9140-cvss-9-8-moxa-calls-for-immediate-security-action/">部分工業用路由器、網路設備存在重大漏洞，臺廠Moxa發布新版韌體修補</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/nuclei-flaw-lets-malicious-templates-bypass-signature-verification/">開源弱點掃描工具Nuclei存在弱點，攻擊者有機會繞過身分驗證執行惡意程式碼</a></strong></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166829"><strong style="font-size: 22px;">美國政府制裁中國資安業者永信至誠，原因是該公司支援駭客組織Flax Typhoon的攻擊行動</strong></a></p> <p>1月3日美國財政部外國資產控管辦公室（OFAC）對中國資安公司永信至誠科技（Integrity Technology Group）發布制裁令，原因是該公司高度與中國駭客組織Flax Typhoon有關連，並涉嫌對美國發動攻擊。</p> <p>美國國務院也發布聲明，指出永信至誠是中國政府大型委外業者，和中國國安部關係密切，提供中央及地方的國安單位、公安局及其他中國網路安全政府外包商服務。美國政府認為，Flax Typhoon是聽命於永信至誠。</p> <p>值得留意的是，Flax Typhoon活動至今，多次攻擊美國的關鍵基礎設施，攻擊範圍遍及北美、歐洲、非州、亞洲，且特別偏好針對臺灣下手。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166796"><strong>【1月3日】北韓駭客對開發人員發動新一波攻擊，意圖散布惡意軟體OtterCookie</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166796"><strong>【1月2日】北韓駭客對開發人員發動新一波攻擊，意圖散布惡意軟體OtterCookie</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166762"><strong>【12月31日】駭客公布從思科、施耐德電機竊得的部分資料</strong></a></p> </div></div></div>
2025/1/6 16:22作者周峻佑https://www.ithome.com.tw/news/166833
青雲、世芯、大眾控、台塑接連遭DDoS攻擊，傳出是親俄駭客NoName057所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週四（1月2日）群光電子於股市公開觀測站<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=182430&SPOKE_DATE=20250102&COMPANY_ID=2385">發布重大訊息</a>，表示他們的網站遭遇分散式阻斷服務（DDoS）攻擊，然而接下來有更多企業公告也證實面臨相關攻擊。</p> <p>1月3日下午<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=141751&SPOKE_DATE=20250103&COMPANY_ID=5386">青雲</a>、<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=144431&SPOKE_DATE=20250103&COMPANY_ID=3661">世芯</a>、<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=153532&SPOKE_DATE=20250103&COMPANY_ID=3701">大眾電腦</a>、<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=172455&SPOKE_DATE=20250103&COMPANY_ID=1301">台塑</a>發布重大訊息，表示他們的網站遭遇攻擊，他們察覺事故之後已啟動相關防禦機制及復原作業，網站已恢復正常運作，目前評估對公司營運沒有影響。青雲、世芯進一步提及，他們初步評估沒有個資或內部文件資料出現外洩的情況。</p> <p>值得留意的是，針對這些公司遭遇DDoS攻擊的事故，親俄駭客組織NoName057<a href="https://x.com/Noname05716/status/1874714893338718213">聲稱</a>是<a href="https://x.com/Noname05716/status/1874789178010984466">他們所為</a>，但值得留意的是，這些駭客也聲稱對超過30個網站下手，涵蓋政府機關、地方政府、機場、港務機關。</p> <p>其中，駭客點名行政院主計總處、證券櫃檯買賣中心、財政部稅務入口網站受到高度關注。不過，在截稿之前，這些機關並未對此公開說明。</p> <p>這些駭客聲稱攻擊的政府機關及企業如下：</p> <p>金融法務</p> <p class="rteindent1">行政院主計總處<br /> 中華民國證券櫃檯買賣中心<br /> 財政部稅務入口網<br /> 法務部<br /> 法務部行政執行署<br /> 經濟部產業技術司ITIS智網<br /> 台灣金融服務業聯合總會<br /> 全國法規資料庫</p> <p> 交通運輸</p> <p class="rteindent1">交通部航港局<br /> 交通部航港局第二代航港單一窗口服務平臺<br /> 交通部民用航空局飛航服務總臺<br /> 臺灣港棧服務網<br /> 臺灣自由貿易港區<br /> 松山機楊<br /> 桃園捷運<br /> 馬祖航空站<br /> 臺灣觀光資訊網<br /> 台灣好行景點接駁旅遊服務</p> <p>地方政府</p> <p class="rteindent1">苗栗市公所<br /> 南投市公所<br /> 頭份市公所<br /> 花蓮市公所<br /> 新北市雙溪區公所<br /> 新北市貢寮區公所<br /> 澎湖縣政府<br /> 澎湖縣望安鄉公所</p> <p>企業</p> <p class="rteindent1">青雲科技<br /> 世芯電子<br /> 大眾電腦<br /> 廣達電腦<br /> 台塑<br /> 台塑石油<br /> 台灣國際造船</p> </div></div></div>
2025/1/6 15:26作者周峻佑https://www.ithome.com.tw/news/166831
疑和攻擊臺灣的Flax Typhoon駭客組織有關，美國政府制裁中國資安業者永信至誠
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">美國財政部對中國資安公司永信至誠科技（Integrity Technology Group）上周<a href="https://home.treasury.gov/news/press-releases/jy2769" target="_blank">發布</a>制裁令，原因是高度涉嫌與中國駭客組織Flax Typhoon有關連，對美國發動攻擊。</p> <p dir="ltr">美國財政部的外國資產控管辦公室（Office of Foreign Assets Control，OFAC）指出，永信至誠涉入多起以美國人為對象的網路攻擊，而這些事件又被公認是由中國國家駭客組織Flax Typhoon所為。負責反恐和金融情報事務的財政部代理副部長Bradley T. Smith指出，美國政府在與公、民營網路安全力量合作，會以所有可能的工具阻止中國駭客威脅美國國家安全。</p> <p dir="ltr">美國國務院也發布聲明，指出永信至誠是中國政府大型委外業者，和中國國安部關係密切，提供中央及地方的國安單位、公安局及其他中國網路安全政府外包商服務。美國政府相信Flax Typhoon是聽命於永信至誠。</p> <p dir="ltr">Flax Typhoon 2021年起活動至今，多次攻擊美國重大基礎架構產業。Flax Typhoon曾攻擊北美、歐洲、非州和全亞洲，尤其是臺灣的電腦網路。他們是利用公開已知軟體漏洞，先存取受害者電腦，再運用合法遠端存取軟體維持受害組織網路的長期控制。</p> <p dir="ltr">Flax Typhoon的受害者遍布多種產業；以臺灣而言，目標產業包含電信、教育、資訊技術和能源基礎設施等。2022到2023年夏天，Flax Typhoon入侵了多家美國、歐洲企業、大學、政府單位、電信業者及媒體組織。</p> <p dir="ltr">去年9月間美國聯邦調查局、網路安全暨基礎架構安全局（CISA）及五眼聯盟（Five Eyes）國家政府合作，<a href="https://www.ithome.com.tw/news/165079" target="_blank">破獲</a>由超過20萬個裝置組成的Raptor Train殭屍網路，並且公布中國駭客網路攻擊的工具和手法供其他國家組織強化防護。</p> <p dir="ltr">在美國政府的制裁下，所有永信至誠在美國境內，或是由美國人持有或控管的所有財產和利益，都已被封鎖必須向OFAC報告。此外，由被制裁人士直接和間接、單一或集結握有50%以上持有或控制權的實體，也在封鎖之列。OFAC禁止美國人民及美國境內與這些實體的任何交易，除非獲得OFAC授權或豁免。</p> <p dir="ltr">此外，和受制裁實體相關的金融機構或其他人士，也會遭到制裁，或是面臨執法行動。所謂的相關涵括對其資金、物品或服務提供、收受其提供、或是代其提供。</p> <p dir="ltr">環球時報<a href="https://www.globaltimes.cn/page/202501/1326297.shtml" target="_blank">報導</a>，永信至誠科技駁斥美國財政部外國資產控制辦公室的制裁是單方面行動，缺乏事實依據。該公司表示，其營運和財務狀況正常，此次事件不會對其日常業務運營產生重大不利影響。</p> <p dir="ltr">永信至誠表示在美國沒有任何子公司、分支機構，也不在美國開展任何業務，也沒有資產。</p> <p dir="ltr">中國媒體環球時報批評，美國基於沒有根據的指控，將中國公司列入特別指定國民及封鎖個人名單（Specially Designated Nationals and Blocked Persons，SDN）制裁，暴露了潛在的焦慮感和蓄意阻礙中國公司技術進步的計劃，並稱中國政府反對美方無端指責和非法單邊制裁。</p> </div></div></div>
2025/1/6 13:58作者林妍溱https://www.ithome.com.tw/news/166829
臺灣2024每日遭到網路攻擊次數達到240萬，通訊傳播領域暴增6.5倍、電信業成為最熱門的網駭目標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著兩岸局勢日趨緊張，中國駭客對臺灣的網路攻擊也變得更加猖狂，但這樣的態勢究竟有多嚴重？國家安全局近期公布相關分析結果。</p> <p>1月5日國安局發布<a href="https://www.nsb.gov.tw/zh/#/%E5%85%AC%E5%91%8A%E8%B3%87%E8%A8%8A/%E6%96%B0%E8%81%9E%E7%A8%BF%E6%9A%A8%E6%96%B0%E8%81%9E%E5%8F%83%E8%80%83%E8%B3%87%E6%96%99/2025-01-05/2024%E5%B9%B4%E4%B8%AD%E5%85%B1%E7%B6%B2%E9%A7%AD%E6%89%8B%E6%B3%95%E5%88%86%E6%9E%90">中共網駭手法分析報告</a>，他們特別提及根據政府網際服務網（GSN）的入侵指標（IoC）統計，2024年每日平均遭受攻擊的次數約為240萬次，較2023年的120萬次翻倍，而這些攻擊多數為中共網軍所為。不過，國安局並未提及有多少比例來自這些駭客。</p> <p>他們也透過圖表呈現兩年的攻擊態勢差異，在2023年，每月攻擊次數介於2,145萬至5,179萬之間，但到了2024，高於5千萬次的月份多達9個月，其中在7月、8月更突破1億次高峰，突顯過去一年相關威脅明顯升溫的情況。</p> <p><a href="https://s4.itho.me/sites/default/files/images/_4RBBz13WdV.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/_4RBBz13WdV.png" style="width: 580px;" /></a></p> <p>另一方面，國安局也提到駭客主要的攻擊目標，根據他們掌握的906件資安事故，有八成是針對政府機關而來。而從中共網軍鎖定的產業類別來看，他們特別提及針對通訊傳播領域的情況最為嚴重，一舉較2023年增加650%，而且主要目標就是電信業者，這樣的情況也與去年下旬，美國證實<a href="https://www.ithome.com.tw/news/166051">多家電信業者遭遇中國駭客攻擊</a>的情況，可說是不謀而合。</p> <p><a href="https://s4.itho.me/sites/default/files/images/_TO44FBluQy.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/_TO44FBluQy.png" style="width: 580px;" /></a></p> <p>再者，國安局也提及鎖定交通及國防供應鏈的情況有顯著升溫，較2023年增加70%及57%，他們提及針對交通領域的攻擊行動，駭客企圖駭攻設伏我公路、港務等關鍵基礎設施，意圖影響我國交通運輸秩序；而針對國防供應鏈的部分，尤側重電子郵件、公文書系統、密碼產製，以及差勤系統等供應商，並擴大攻擊範圍。不過，對水、能源關鍵基礎設施的攻擊，反而大幅下降。</p> <p>值得留意的是，在最近兩年駭客鎖定國防產業而來的事故有顯著增加的趨勢，2024年出現幾起專門針對臺灣而來的攻擊行動，例如9月上旬趨勢科技揭露<a href="https://www.ithome.com.tw/news/164935">中國駭客TIDrone的攻擊行動</a>，就是專門針對軍事相關產業鏈而來；另外，根據資安業者Cyble的觀察分析，他們發現<a href="http://www.ithome.com.tw/news/165078">有網釣攻擊行動</a>專門針對臺美國防工業會議（United States Taiwan Defense Industry Conference）。</p> <p>而針對這些駭客的攻擊手法，他們特別提到使用寄生攻擊（LOL）的現象，這些駭客專門針對網路設備及應用系統的漏洞而來，而其中一種特別被點名的滲透管道，就是郵件伺服器。</p> </div></div></div>
2025/1/6 12:23作者周峻佑https://www.ithome.com.tw/news/166827
華碩推出第一款AI mini PC
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">就在2025年消費電子展前夕，華碩<a href="https://www.asus.com/tw/displays-desktops/nucs/nuc-mini-pcs/asus-nuc-14-pro-ai/" target="_blank">公布</a>mini PC第二代NUC 14 Pro AI，是第一款支援Copilot+的迷你PC機種。</p> <p dir="ltr">根據華碩給出的<a href="https://www.asus.com/displays-desktops/nucs/nuc-mini-pcs/asus-nuc-14-pro-ai/" target="_blank">規格</a>，第二代NUC 14 Pro AI，在其130x130x34mm的輕巧機身中，採用多CPU、GPU、NPU架構，搭載代號Lunar Lake的Intel Core Ultra處理器（第二代），某些SKU使用Intel Arc GPU及Intel AI Boost NPU，最高提供120 TOPS平臺算力。Arc GPU提供最高67 TOPS，效能比前一代的Iris Xe GPU相比提升2倍。AI Boost NPU提供最高48 TOPS算力。</p> <p dir="ltr">華碩指出，Copilot+體驗即將推出，今年稍晚微軟將提供Windows 11更新以部署Copilot。這些使NUC 14 Pro AI成為繼去年6月的Copilot+ PC筆電系列後，第一款支援桌面AI助理Copilot的迷你PC。實際價格尚未公布。</p> <p dir="ltr">其他規格方面，NUC 14 Pro AI搭載32GB LPDDR5x記憶體，是傳統DDR5-5600 的1.5倍，提供256GB 到 2TB的儲存空間。麥克風和揚聲器支援AMP語音指令，可啟動AI應用程式。它也內建可信賴平臺模組（TPM）、支援Windows Hello可實作安全開機和指紋辨識，可確保本機儲存的AI對話，符合美國軍規標準MIL-STD-810H。在網路連接方面，這款迷你PC支援Wi-Fi 7（5 Gig）、藍牙5.4，而連接埠則提供2個Thunderbolt 4 (DP2.1)、2個USB 3.2（第一、第二代）、2.5G乙太網路連接埠。</p> <p dir="ltr">華碩說，NUC 14 Pro AI mini PC具備Intel Core Ultra第二代處理器（Core Ultra 9 288V）、智慧冷卻、無線連網技術、高速記憶體，適合應用於內容創作、遠端作業、智慧製造等場景。</p> </div></div></div>
2025/1/6 11:36作者林妍溱https://www.ithome.com.tw/news/166825
【資安週報】1230~0103，密碼敏捷性與AI BOM成2025年新焦點，市調機構預測將是驅動資安市場的關鍵動能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2025年一開始的資安新聞中，DDoS攻擊的資安事件再成國內焦點，群光在1月2日周四傍晚發布資安重訊，表示該公司官方網站遭受網路DDoS攻擊。值得注意的是，後續我們發現，同日遭攻擊的政府相關單位，還有主計總處、桃園捷運、松山機場、證交所受害，而且隔日再有多家上市櫃公司也表示受到DDoS攻擊，包括，上市公司世芯-KY、大眾電腦、台塑，以及上櫃公司青雲。</p> <p>事實上，這已是親俄駭客NoName057繼去年9月、10月後，對臺發動的第3波攻擊，該組織也依然囂張地在社群平臺X公布其攻擊活動，而且上述公家與民間單位，有相當高比例是再次遭受攻擊。而且NoName057聲稱的攻擊目標還包括：台船、ITIS產業技術資訊服務網、臺灣港棧服務網、臺灣金融服務業聯合總會、馬祖航空站、交通部航港局、臺灣自由貿易港區網站等。</p> <p>其他重要資安事件包括，有3起是月前資安事故的後續消息，涵蓋施耐德電機遭駭，以及BeyondTrust與Cleo的零時差漏洞利用。<br /> ●施耐德電機11月遭駭，12月底有駭客在暗網公布相關檔案。<br /> ●BeyondTrust於12月中揭露零時差漏洞利用情形，新傳出美國財政部因此受害。<br /> ●Cleo於12月被資安業者揭露有零時差漏洞利用，傳出60家企業遭Clop勒索。<br /> ●德國福斯被發現旗下軟體公司Cariad應用程式配置不當，致雲端資料庫曝險。<br /> ●資安業者iProov示警，發現暗網一批資料內含大量身分證明文件及對應的臉部圖片，將對KYC識別帶來挑戰，歹徒可用這些真實資料突破金融單位的驗證。</p> <p>在資安防禦及發展的消息中，2025年的到來，市調機構IDC公布了臺灣資安產品市場的預測報告，強調了該領域的快速增長潛力，指出未來4年市場規模從2024年的4.62億美元，增至2028年的7.16億美元。</p> <p>特別的是，IDC還強調量子韌性與AI資安將推動更多市場需求。基本上，因應量子破密威脅，NIST在2022年已在推廣密碼敏捷性（Crypto-agility）的概念，如今IDC認為2025年企業將優先採用Crypto-Agility框架，以確保加密演算法能靈活升級與更換；在AI資安領域，透明度與安全性將成發展重點，近期我們時常聽到資安專家談及AI物料清單（AI BOM）的議題，IDC亦認為業界在2025年將加速推廣AI BOM，並將帶動數據物料清單（Data BOM）的興起。</p> <p>另一個焦點是近年萬眾矚目的生成式AI技術，最近我們報導資安院院長何全德闡釋了新世代AI對資安治理的挑戰與機遇，他呼籲應用AI應關注資安、倫理和治理風險，如今許多大型企業已經行動，包括透過紅隊演練，或推行提示多樣性注入機制來因應，並有企業開始成立了AI道德倫理委員會，同時他也建議，可參考美國CISA局長Jen Easterly提出的AI風險四大關鍵面向：Velocity、Vulnerability、Veracity、Vigilance，作為臺灣制定AI安全政策的重要依據。</p> <p>對於臺灣企業組織的資安強化，何全德也強調，資安理念正從傳統的信任架構轉型為零信任模式（Zero Trust），這不僅是技術的革新，更是戰略上的長期規畫，他並指出「資安向左移」、「從駭客視角強化資安」，都是當前提升防護能力的重要方向。</p> <p>此外，數位部一項新進展也受關注，預計2025年推出「臺灣數位皮夾」，將採用可驗證憑證（VC）和去中心化身份（DID）等技術，不只可存放政府核發的證件卡片，學位證書、企業核發的員工證等未來也能加入</p> <p>在漏洞消息方面，有多項開源軟體有關的修補需要企業重視，包括：Linux作業系統開源影音框架GStreamer、Java網路應用程式框架Apache MINA、開源發票及專案管理平臺Invoice Ninja，以及開源NAS作業系統TrueNAS Core。</p> <p>此外，有研究人員展示Windows 11 BitLocker漏洞攻擊手法，雖然此一手法是利用舊有bitpixie漏洞（CVE-2023-21563），但可透過降級攻擊成功重現了漏洞利用。研究人員強調，此攻擊需近距離短暫接觸實體設備，對一般用戶影響有限但對重視資安的企業與政府來說需格外重視。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/166744"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月30日】駭客鎖定逾20款Chrome延伸套件發動供應鏈攻擊，意圖竊取使用者社群網站帳號</span></strong></a></h3> <p>Chrome瀏覽器的使用者注意！上週有資安業者公布他們經營Chrome延伸套件的開發帳號遭到入侵，導致用戶有可能面臨社群網站帳號遭竊的風險，但這並非單一事故，因為後續有研究人員發現，還有超過20款延伸套件也是這波駭客下手的對象。</p> <p>值得留意的是，部分套件下載次數突破10萬，影響相當廣泛，其中最多的是Visual Effects for Google Meet、Reader Mode，分別有超過90萬、30萬次下載。</p> <h3><a href="https://www.ithome.com.tw/news/166762"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月31日】駭客公布從思科、施耐德電機竊得的部分資料</span></strong></a></h3> <p>從上週到本週，有兩起重大的資料外洩事故後續，引起外界高度關注，其中一起是發生在10月，初始入侵管道掮客IntelBroker聲稱竊得大量思科開發資料，另一起則是發生在11月，勒索軟體駭客組織Hellcat宣稱入侵施耐德電機開發環境。</p> <p>其中較為值得留意的是思科的資料外洩事故，因為駭客已二度公布竊得的資料，迫使思科必須確認這批資料的真實性及影響範圍，釐清並未發生其他資安事故。</p> <p><a href="https://www.ithome.com.tw/news/166796"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月2日】北韓駭客對開發人員發動新一波攻擊，意圖散布惡意軟體OtterCookie</span></strong></a></p> <p>為了謀取經濟利益，北韓駭客不僅假冒IT工作者向歐美企業應徵，也假借徵才的名義向開發人員行騙，企圖於他們的電腦植入惡意軟體，以便竊取各式資料。</p> <p>在最新一波攻擊行動當中，這些駭客開始運用新的工具，目的是洗劫受害者的加密貨幣資產；另一方面，研究人員發現這些駭客的攻擊手法也有所調整，他們也透過應用程式框架做為挾帶惡意程式的管道。</p> <h3><a href="https://www.ithome.com.tw/news/166811"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月3日】IDC預測臺灣資安產品市場將連續4年成長，密碼敏捷性與AI BOM成焦點</span></strong></a></h3> <p>資安需求與日俱增，臺灣在這塊市場也發展得不錯，但情況有多樂觀？在2024年12月終於有相關的預測數據出爐。</p> <p>最近IDC<a href="https://www.ithome.com.tw/news/166500">公布2025年臺灣ICT市場五大關鍵趨勢預測內容</a>時，也提到他們看好未來臺灣四年資安產品市場的成長，並指出動力不光來自傳統資安產品的需求增加，還受到AI資安及量子韌性（Quantum Resilient Security）兩項新興資安技術影響，而這些新興技術也是未來一年資安市場投資者關注的焦點。</p> </div></div></div>
2025/1/6 10:45作者羅正漢https://www.ithome.com.tw/news/166821
Martech雙周報第68期：聯盟式行銷要注意！如何提升行銷能見度，誰又騙走了行銷歸功和酬金？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0066ff;"><strong>重點新聞(1222~0104)</strong></span></p> <p>聯盟式行銷（Affiliate Marketing）是品牌常見行銷方法，讓聯合行銷網站和網紅聯盟夥伴，替自己產品宣傳、導購，再分潤給成功導購的夥伴。許多創作者和網紅主要收入來源，就是製作有機行銷內容、替品牌打廣告，藉此獲得贊助和分潤。行銷成效往往是創作者持續獲得品牌贊助的關鍵籌碼。</p> <p>巧合的是，這兩周，有一家大廠積極提升創作者的聯盟式行銷廣告能見度，另一個知名聯盟式行銷服務，則被指控利用行銷追蹤機制，從更多創作者手中搶走他們應得的酬金和行銷歸功。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#聯盟式行銷 #社群媒體行銷 #網紅業配</span></span></strong><br /> <strong>Meta推出更多聯盟式行銷廣告曝光形式，還能自動偵測連結並凸顯能見度</strong></p> <p>Meta將新增聯盟式行銷（如網紅業配）連結和廣告的能見度。只要貼文時有設置行銷連結和折扣碼等訊息，系統就會在短影音Reels、一般影片、照片及文字貼文上，都會呈現出圖文橫幅廣告。甚至，就算發文者沒有設定，系統還會嘗試自動偵測內文的行銷連結，並自動產生廣告。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#聯盟式行銷 #社群媒體行銷 #網紅業配</span></span></strong><br /> <strong>折扣碼搜尋服務Honey成業界熱議焦點，遭控欺騙行銷追蹤機制來獲取不當行銷酬金</strong></p> <p>無獨有偶的，近日<a href="https://www.linkedin.com/posts/shane-o-leary-1660_the-honey-scam-explained-activity-7280641492786810880-suq9">行銷</a>及<a href="https://x.com/batwood011/status/1874677877943234711?t=GvPOSQhg7QIFQRkxz-rmNQ&s=19">金融業界</a>也熱烈討論PayPal旗下的知名聯盟式行銷服務Honey，疑似透過行銷成效追蹤的原理，來剝削其他聯盟式行銷參與者的酬金。Honey是一個瀏覽器外掛，號稱會在消費者購物前，尋找網路上各種折扣碼，並自動套用最優惠的代碼。這包括品牌官方提供的行銷用折扣碼，以及眾多聯盟式行銷的折扣碼。</p> <p>業界指控，Honey欺騙聯盟式行銷追蹤方法最常用的「Last Click」機制，來搶走行銷功勞及酬金。Last Click做法是，將消費者購買商品前最後一個接觸到的通路，歸功為行銷轉換者，給予聯盟式行銷酬金。</p> <p>比方說，如果消費者透過Youtuber影片下的聯盟式行銷連結進入電商網站，隨即購買商品，Youtuber就會獲得酬金。不過，Honey卻會將Youtuber影片的追蹤Cookie，替換自己的追蹤Cookie。這不只搶走了Youtuber的酬金，更讓品牌方難以有效追蹤，自己與不同行銷夥伴的行銷預算，究竟哪些真正有投報率。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#CDP #可組式CDP #顧客數據整合</span></span></strong><br /> <strong>2024 CDP大調查出爐，CDP管理責任從行銷部門逐漸轉移到IT部門</strong></p> <p><a href="https://www.cdpinstitute.org/resources/cdp-institute-2024-member-survey-building-on-success/?de678bf7c4">Martech調查機構CDP Institute推出了2024年度CDP大調查。</a>此調查自2017年開始第一屆，由全球400多家企業作答，其中過半是10億營收以上的大型企業。在眾多CDP產業趨勢中，今年調查揭露了一個特別的趨勢是，IT部門對CDP及整體Martech的主導性大幅增加。</p> <p>調查顯示，39%的企業由IT部門負責管理和維運CDP等行銷科技，相較2023年的30%明顯提升。這也是8年大調查以來首次，由IT部門負責CDP的企業，多過由行銷部門負責的企業。研究者推測，隨著顧客數據的重要性提升，更多行銷以外的部門也會使用此類數據，因此企業開始讓IT部門負責CDP。</p> <p>然而，此現象也伴隨著隱憂。行銷團隊負責CDP的企業，通常認為此系統的投資報酬率較高──就算企業作答代表來自IT部門，也傾向於認為由行銷部門主導CDP，能帶來更高投報率。報告中沒有提到，投報率差距是因為行銷部門使用CDP更能帶來價值，還是行銷部門以外的單位應用CDP時，沒有設定具體投報率追蹤機制。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#跨通路數據分析 #跨通路行銷 #Google Ads</span></span></strong><br /> <strong>Google Ads推出新數據洞察功能，一站式整合和分析品牌在不同通路的行銷數據</strong></p> <p><a href="https://support.google.com/google-ads/answer/2472714?hl=en">Google Ads推出Brand Report功能</a>，以品牌為單位，整合不同行銷通路數據來一站式分析。此功能在洞察與報告欄位中可以找到，整合了原本要來回在不同報告間比對的數據，並提供不同分眾的篩選功能。</p> <p>對品牌來說，這有助於統一觀察多個行銷專案中的曝光分眾，並改善規畫行銷策略及預算。例如，若觀察到在多個專案中，對特定分眾曝光情況明顯占比過大，便能削減一些對該分眾的行銷支出。</p> <p>不過，目前此功能不支援搜尋、購物及AI代投功能Performance Max，因此報告內容未必能完整呈現品牌行銷情況。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#餐飲業應用 #會員經營 #同桌不同人數據蒐集</span></span></strong><br /> <strong>金色三麥如何利用互動式餐飲體驗，蒐集同桌不同人的偏好數據來強化行銷</strong></p> <p>對餐飲業來說，蒐集會員偏好數據，常常止步於以桌為最小單位。具體一桌中的每個人點了什麼，不易系統性蒐集。為了掌握同桌不同人的餐飲偏好，金色三麥打造了一套互動式餐飲體驗，來自動化、系統化蒐集這些數據。</p> <p>這個做法是門市內的智慧自助取酒牆系統，每名會員可以儲值在卡片中，並到酒牆購買動態定價的飲料。過程中，金色三麥便能記錄會員的飲酒偏好、價格敏感度等數據。這些數據便能用於產品開發、配酒策略、以及其他行銷決策。（<a href="https://www.ithome.com.tw/people/166802">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#B2B行銷 #知識管理工具 #生成式AI</span></span></strong><br /> <strong>食品經銷商如何應用生成式AI，支援業務人員的顧問工作</strong></p> <p>US Foods是一間有250,000間餐飲客戶的美國大型食品經銷商，他們的3,000名業務人員，不只要負責推銷公司產品，還要提供餐飲及開店建議。每當餐廳想要諮詢，業務人員就得花上3至4小時，彙整餐廳提供資料及自家內部資料，才能開始製作顧問提案。平均，一名業務要負責50至70間餐廳，光是整理這些顧問用數據，工作時間就已遠遠不夠用。</p> <p>直到去年10月底，US Foods ML工程部門上線一套生成式AI知識管理助手，將3至4小時的資料整理時間，減少到20至30分鐘。這套GAI應用並不會直接面對餐廳客戶，而是整理資料後，提供業務製作提案的建議。這種模式，使業務團隊在此KM助手開發初期，回答準確率只有一半時，也能放心用來輔助自己工作。ML工程團隊則能將這套應用快速且大規模推廣到給更多業務試用，來根據大量第一線使用者回饋，持續優化技術。</p> <p>為了快速分析試用結果和使用者回饋，並彈性調整系統，也為了正式上線後能持續迭代、維運系統，並控管公有雲支出，US Foods工程團隊採取了一系列技術做法，包括妥善切割功能模組、打造自動化再訓練機制、留存推論結果紀錄、規定提示詞模板等。（<a href="https://www.ithome.com.tw/news/166764">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#有機互動 #社群媒體行銷 #生成式AI</span></span></strong><br /> <strong>Meta有意打造大量機器人帳號，來衝高社群媒體互動量</strong></p> <p>Meta生成式AI部門的VP Connor Hayes表示，他們有意用生成式AI打造大量機器人帳號，來衝高社群媒體內容的互動量。Meta強調，他們會特別標註出用生成式AI產出的帳號與內容。</p> <p><a href="https://www.linkedin.com/posts/sayman_im-excited-to-share-that-after-the-success-activity-7251647803398008833-umWq">他們也聘請了這方面專家</a>Michael Sayman來協助這個計畫。Michael Sayman先前打造了SocialAI，是一款「單人社群媒體」，介面類似推特，與使用者互動的上百萬個帳號，全是用生成式AI打造的機器人。</p> <p>目前Meta與大部分社群媒體演算法中，互動熱絡度對於曝光度非常重要。Meta沒有進一步解釋，這種模式下，內容曝光演算法會如何調整。前一陣子，Meta也推出了可以用生成式AI模擬網紅語氣，來代勞網紅本人與粉絲互動的功能。這意味著，未來可能出現AI與AI互動來衝高互動率的做法。甚至，出現有機（真人）和無機（AI）互動的區別，對曝光度演算法有著不同程度影響。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多Martech動態</span></strong></span></p> <p>1. <a href="https://www.ithome.com.tw/news/166714">RMN 3.0的行銷模式如何影響企業經營會員經濟</a></p> <p>2. <a href="https://www.digitalremedy.com/news/digital-remedy-launches-an-advanced-reporting-platform-to-empower-data-driven-marketing/">老牌Martech廠商Digital Remedy推出跨CTV行銷數據整合與分析工具</a></p> <p>3. <a href="https://support.google.com/adspolicy/answer/15756612?hl=en">Google Ads將禁止廣告連結導向被標註為垃圾內容（Spam）的網站</a></p> <p>資料來源：iThome整理，2025年1月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Meta</p> <p></p> </div></div></div>
2025/1/6 10:17作者郭又華https://www.ithome.com.tw/news/166820
Anthropic同意設護欄阻歌詞侵權，與唱片出版業者暫達協議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2023年Anthropic侵權案有了最新進展，環球音樂集團等唱片出版業者與Anthropic達成協議，Anthropic同意在人工智慧產品中設置安全護欄機制，以避免模型輸出受版權保護的音樂歌詞。這項協議暫時緩解了雙方在生成式人工智慧版權上的緊張關係。</p> <p>之前環球音樂、Concord Music Group、ABKCO Music等多家唱片公司<a href="https://www.musicbusinessworldwide.com/files/2023/10/UMG-lawsuit.pdf">聯合控告</a>Anthropic開發的人工智慧聊天機器人Claude，在未經授權的情況下，使用了其擁有版權的歌曲歌詞進行模型訓練，並在用戶查詢時輸出這些歌詞，嚴重侵害了唱片公司的權益。唱片業者在訴訟中提出了強制令，要求Anthropic立即停止侵權行為。</p> <p>外媒<a href="https://www.hollywoodreporter.com/business/business-news/anthropic-enforce-copyright-guardrails-ai-tools-1236098152/">The Hollywood Reporter報導</a>目前雙方達成協議，Anthropic的Claude將不再提供由音樂出版商所擁有歌曲的歌詞，也不再提供根據版權素材編寫的新歌詞。根據雙方最新提交給法院的文件，Anthropic已經在其現有的人工智慧模型及產品中設置安全護欄（Guardrails）機制，並承諾在未來推出的新模型和產品中維持類似措施，防止模型在輸入和輸出過程中，複製、散布或展示受版權保護的歌詞內容，或基於這些歌詞創作衍生作品。</p> <p>Anthropic也承諾，若出版商發現其防護措施未能有效阻止侵權行為，將迅速回應並展開調查，並與出版商合作解決問題。</p> <p>值得注意的是，這項協議僅針對人工智慧模型的輸出內容，並未完全解決關於訓練資料的爭議，唱片業者在訴訟中仍主張，Anthropic不得使用未經授權的歌詞資料來訓練未來的模型。雙方對於此一關鍵議題仍存在分歧，未來的訴訟發展仍有待觀察。</p> </div></div></div>
2025/1/6 08:05作者李建興https://www.ithome.com.tw/news/166816
微軟發表MEDEC基準評估AI醫療應用，論文估計GPT-4o-mini僅約80億參數
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://arxiv.org/pdf/2412.19260v1">探討</a>大型語言模型在醫療領域錯誤檢測與修正的應用，並推出了名為MEDEC的全新基準測試集。然而，這篇論文同時也估計了市面上多個商業模型的規模，研究團隊認為OpenAI GPT-4o-mini僅約80億參數，遠小於外界先前的預期。</p> <p>該篇論文評估大型語言模型在辨識並修正臨床紀錄醫療錯誤的能力，在實驗過程中，研究團隊使用目前多個先進型語言模型進行測試，包括OpenAI的GPT-4、GPT-4o、GPT-4o-mini、o1-preview、o1-mini，Anthropic的Claude 3.5 Sonnet，以及Google的Gemini 2.0 Flash。</p> <p>在研究人員的評測中，雖然這些大型語言模型展現出一定的醫療錯誤檢測與修正能力，但仍不如兩位執行相同測試的醫生。在標記出錯誤的準確度上，Claude 3.5 Sonnet表現最佳，達到70.16％，其次是o1-mini的69.08％，但皆低於第一位醫生的79.61％和第二位醫生的71.61％。</p> <p>而在錯誤修正任務上，o1-preview取得最佳的綜合評分0.698，其次是GPT-4的 0.639，但同樣低於第二位醫生的0.7118。評測結果顯示當前的大型語言模型，在處理複雜的醫療文本時還有很大的進步空間。</p> <p>除了論文本身的研究成果，其中提及的各模型參數規模估計值也引發關注。其中，OpenAI的上一代旗艦模型GPT-4，其參數規模約為1.76兆，雖然OpenAI並未正式公開，但是此為外界普遍估計值。而其後繼者GPT-4o的參數規模估計約為2,000億，雖仍屬於大型模型範疇，但已較GPT-4有所下降。OpenAI其他模型的規模估計還有o1-preview約為3,000億參數，o1-mini約為1,000億參數。</p> <p>而令人驚訝的是GPT-4o-mini，其參數規模僅約為80億，與OpenAI其他動輒千億甚至兆級參數的模型相比，規模明顯縮減。論文中提到，相較於大型語言模型，GPT-4o-mini是為了特定任務而設計，和Phi-3同屬小型語言模型。</p> <p>Anthropic的Claude 3.5 Sonnet根據網路上洩露的資訊，預估約為1,750億參數，與GPT-3.5相近。而Google的Gemini 2.0 Flash參數規模雖然具體數字未知，但參考Google專為醫療用途設計的Med-PaLM模型5,400億參數，研究人員將Gemini 2.0 Flash歸類在1,000-3,000億參數等級。</p> <p>值得注意的是，微軟論文中提供的參數規模數字為研究團隊的估計值，並非各家公司官方公布的資料。此外，這些資料也顯示，模型的效能並非完全取決於參數規模，模型架構、訓練資料、最佳化方法以及針對特定任務的調校，都在模型的最終表現上扮演著重要角色，例如GPT-4o-mini雖然估計僅有80億參數，但在MEDEC測試的部分指標，仍能與更大模型相媲美，突顯出小型化、專注特定任務的模型，在特定應用場景下所具有的潛力。</p> </div></div></div>
2025/1/6 08:14作者李建興https://www.ithome.com.tw/news/166818
升級JetPack軟體，輝達增強Jetson Orin單板電腦平臺性能
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/jetson_orin_for_2024_christmas-main.jpg" width="960" height="421" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對機器人與邊緣運算的人工智慧應用需求，Nvidia提供GPU單板電腦硬體平臺Jetson系列，以目前而言，主流產品是搭配Ampere架構GPU的Jetson Orin世代，分為三個位階，分別是：<a href="https://nvidianews.nvidia.com/news/nvidia-sets-path-for-future-of-edge-ai-and-autonomous-machines-with-new-jetson-agx-orin-robotics-computer">2021年11月登場</a>的<a href="https://www.ithome.com.tw/review/152418">Jetson AGX Orin</a>、<a href="https://developer.nvidia.com/blog/delivering-server-class-performance-at-the-edge-with-nvidia-jetson-orin/">2022年4月發表</a>的Jetson Orin NX，以及<a href="https://nvidianews.nvidia.com/news/nvidia-jetson-orin-nano-sets-new-standard-for-entry-level-edge-ai-and-robotics-with-80x-performance-leap">2022年9月推出</a>的<a href="https://www.ithome.com.tw/review/154773">Jetson Orin Nano</a>，<a href="https://nvidianews.nvidia.com/news/foundation-model-isaac-robotics-platform">下一代硬體平臺Jetson Thor</a>推出的消息，於2024年3月GTC大會首度公開揭露，預計將改用Blackwell架構GPU，而依照Nvidia網站現行公開的產品發展藍圖來看，Jetson Orin世代將會供應到2032年，Jetson Thor世代會在2025年開始提供，率先推出的產品會是Jetson AGX Thor。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Jetson_modules-Commercial_roadmap-2024-10-23.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson_modules-Commercial_roadmap-2024-10-23.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Jetson-2024-03-timeline-Orin Generation.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson-2024-03-timeline-Orin%20Generation.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Jetson Orin Porfolio-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20Orin%20Porfolio-web.jpg" style="width: 198px;" /></a></p> <p>而在2024年下半到2025年3月GTC大會之間，Nvidia突然在12月下半發表搭載Jetson Orin Nano Super平臺的開發者套件，名為Jetson Orin Nano Super Developer Kit。</p> <p>由於此時過完感恩節，接近一年一度的耶誕佳節，Nvidia再度上演新的科技產品廚房秀，執行長黃仁勳從另一間房屋廚房的烤爐端出全新的AI電腦，也就是Jetson Orin Nano Super Developer Kit，他幽默地說，因為烤太久所以縮水了，他也回憶多年前發展Xavier時（編按：應該是指Drive PX Xavier），Nvidia創造全新的處理器類型，可用於機器人的設置，他們那時想像深度學習模型可以不斷進化，之後可以產生各式各樣的機器人，時至今日，已出現有腿的、有輪子的，人形的機器人也即將來到大家身邊，黃仁勳隨後簡短介紹Jetson Orin Nano Super特點之後，也提到HGX這類AI伺服器能執行的處理，像是大型語言模型（LLM），以及統一運算架構（CUDA）、CUDA的深層神經網路cuDNN等，Jetson Orin Nano Super也能執行。</p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/S9L2WGf1KrM?si=OxwFPBhOr6vi4NJF" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p>話雖如此，Nvidia Jetson產品線的應用場景仍偏重在機器人與邊緣運算，能處理的運算規模仍有別於資料中心等級的AI系統。</p> <p>令人好奇的是：先前Nvidia已經提供搭載Jetson Orin Nano的開發者套件，名稱多了Super的新產品有何差異？Nvidia在新聞稿當中強調，比起原本的Jetson Orin Nano，Jetson Orin Nano Super的生成式AI推論效能領先幅度可達70％，</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-12-17-Nvidia Jetson Orin Boost-AI-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-12-17-Nvidia%20Jetson%20Orin%20Boost-AI-web.jpg" style="width: 600px;" /></a></p> <p>原因在於INT8整數運算效能從40 TOPS提升至67 TOPS（改善幅度為67％），記憶體頻寬從68 GB/s增加至102 GB/s（改善幅度為50％）；而在技術部落格文章當中，也列出更多細部差異，像是處理器的時脈從1.5 GHz提升至1.7 GHz，GPU時脈從635 MHz增加至1020 MHz，供電模式也從7瓦、15瓦，增加25瓦這一項組態。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-12-17-Jetson Orin Nano Super Developer Kit configuration comparison.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-12-17-Jetson%20Orin%20Nano%20Super%20Developer%20Kit%20configuration%20comparison.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/NVIDIA Jetson Series Comparison-YOLO.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NVIDIA%20Jetson%20Series%20Comparison-YOLO.jpg" style="width: 600px;" /></a></p> <p>而且在效能調高之際，Nvidia這個開發者套件的價格卻從<a href="https://developer.nvidia.com/embedded/faq">499美元</a>降至249美元，等於打5折促銷，希望藉此招攬更多開發者採用的意味相當濃厚。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia Jetson Price.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20Jetson%20Price.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/store-NVIDIA Jetson Orin Nano Super Developer Kit.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/store-NVIDIA%20Jetson%20Orin%20Nano%20Super%20Developer%20Kit.jpg" style="width: 298px;" /></a></p> <p>隨著新的開發者套件上市，先前已購買Jetson Orin Nano Developer Kit的用戶也能受益，Nvidia表示，<a href="https://www.jetson-ai-lab.com/initial_setup_jon.html">透過軟體升級，</a>開發者就能將手上的Jetson Orin Nano Developer Kit，<a href="https://developer.nvidia.com/embedded/learn/get-started-jetson-orin-nano-devkit#maxn">轉為Jetson Orin Nano Super Developer Kit</a>。</p> <p>此處提到的軟體，是Nvidia專門用於<a href="https://developer.nvidia.com/embedded/jetpack">搭配Jetson硬體平臺的AI應用軟體開發套件JetPack</a>，而且是<a href="https://forums.developer.nvidia.com/t/jetpack-6-1-release-announcement/308181">9月底出爐的JetPack 6.1正式版</a>，因為此套件包含的一項元件Jetson Linux，在新改版的36.4版當中，開始支援稱為MAXN的加速模式，但關於這方面突破的消息，是直到12月17日Jetson Orin Nano Super推出，才正式浮上檯面。</p> <p><a href="https://s4.itho.me/sites/default/files/images/JetPack Stack.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/JetPack%20Stack.jpg" style="width: 600px;" /></a></p> <p>Nvidia已釋出基於JetPack 6.1而成的SD記憶卡映像檔，用戶可透過Nvidia SDK Manager來進行安裝，之後即可在單板電腦執行的Ubuntu Desktop作業系統當中，<a href="https://developer.nvidia.com/blog/nvidia-jetson-orin-nano-developer-kit-gets-a-super-boost/">將電源使用模式（Power Mode）切換為MAXN</a>，即可享有此次新增的加速效能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-12-17-Nvidia Jetson Orin-power-mode-selection.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-12-17-Nvidia%20Jetson%20Orin-power-mode-selection.png" style="width: 200px;" /></a></p> <p>值得注意的是，Nvidia在Jetsont常見問答集的網頁當中，稱呼此項軟體改進特色為Jetson Orin Super Mode，並在這裡與新聞稿、技術部落格文章提到，「超頻模式」適用的單板電腦產品，不單是Jetson Orin Nano平臺，也涵蓋Jetson Orin NX平臺，Nvidia也針對4種產品（Jetson Orin Nano 4 GB與8 GB，以及Jetson Orin NX 8GB與16 GB），具體列出「超頻」前後差異。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20Orin%20Boost.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/2024-12-17-Table-5_-Jetson-Orin-Nano-Super-and-Orin-NX-Super-module-specifications-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-12-17-Table-5_-Jetson-Orin-Nano-Super-and-Orin-NX-Super-module-specifications-1.jpg" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>Nvidia Jetson Orin Nano Super Developer Kit</strong></span><br /> ●原廠：Nvidia<br /> ●建議售價：249美元<br /> ●外形尺寸：103公釐 x 90.5公釐 x 34.77公釐<br /> ●包含元件：Jetson Orin Nano 8GB模組與參考設計載板、直流電源供應器、Wi-Fi無線網路介面控制器（802.11ac/ab/gn）、快速上手指南<br /> ●單板電腦硬體規格：6核心Arm Cortex-A78AE、8GB LPDDR5-10200記憶體、Nvidia Volta架構GPU（1024個CUDA核心、32個Tensor Core核心）、可支援外部連接NVMe儲存裝置，耗電為7至25瓦<br /> ●參考設計載板提供的接頭：1個GbE埠、1個DisplatPort 1.2埠、2個MIPI CSI-2攝影機接頭、2個M.2 Key M、1個M.2 Key E、4個USB 3.2 Gen2 Type-A、1個USB Type-C for UFP、1個直流電源接頭</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/1/4 14:03作者李宗翰https://www.ithome.com.tw/review/166808
Fintech周報第259期：金管會開始測試金融Fast-ID驗證轉接中心，16家先導機構可申請試辦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong><span style="font-size:18px;"><span style="color:#8B4513;">2024/12/18-2025/01/03金融科技精選新聞</span></span></strong></h3> <p><span style="font-size:16px;"><strong><span style="color:#0000CD;">#金融Fast-ID</span></strong><strong><span style="color:#0000CD;"> #驗證轉介中心</span></strong></span></p> <h3>金管會開始測試金融Fast-ID驗證轉接中心，16家先導機構可申請試辦</h3> <p>2023年8月，金管會公布的金融科技路徑圖2.0中，明訂將建置跨體系的金融Fast-ID驗證轉接中心（簡稱驗轉中心）。近日，金管會宣布，在2025年1月2日開始受理先導金融機構能針對驗轉中心申請試辦，或提出輔導諮詢。根據金管會公布的驗轉中心先導機構名單，包含玉山銀行、中信銀行、第一銀行共10間銀行，還有2間壽險業者、3間證券業者，和1間投顧業者。金管會表示，尚未加入金融Fast-ID聯盟的金融機構，可以在先導機構完成試辦後，再視情況參與。</p> <p>驗轉中心建置完成後，民眾只要在任一家參與機構完成金融Fast-ID註冊，就可以透過驗轉中心完成身分驗證，並在其他參加機構取得線上金融服務，無需重複辦理複雜註冊程序。並且，金管會表示，驗轉中心也包含資料共享功能，在客戶同意下，參與機構可以直接從驗轉中心取得民眾原本留存於註冊機構的基本資料，節省重複登打個人基本資料的流程。對參與機構而言，小型金融機構也能透過驗轉中心，運用大型金融機構驗證過的身分，節省自行建置驗證系統的開銷。</p> <p>金管會在2024年8月甫將「金融FIDO」更名為「金融Fast-ID」，目的是要從金融服務角度扶植創新。金管會的作法，是先藉由驗轉中心，讓小型金融機構能運用大型金融機構驗證過的身份，接著讓金融周邊單位適用金融Fast-ID，最後再逐步擴展至跨領域場景。例如，甫上任金管會金融市場發展及創新處處長的胡則華就曾提到，數位部MyData平臺開始計畫要採用金融Fast-ID，這意味著，其他政府機關提供的服務，未來也能用金融Fast-ID作為身分驗證機制。</p> <h3><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);">#金管會</span></strong><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);"> #金融市場發展及創新處</span></strong></h3> <h3>金管會成立金融市場發展及創新處，負責推動金融科技創新、綠色金融和擬訂金融市場發展</h3> <p>金管會近日舉辦金融市場發展及創新處成立儀式，宣布自2025年1月1日正式成立金融市場發展及創新處（簡稱創新處），將針對金融科技與創新、綠色及轉型金融，及金融市場發展等議題擬定政策和統整資源。</p> <p>金管會新成立的金融創新與市場處共有四科，分別是金融創新一科、金融創新二科、綠色金融科，和永續發展科。</p> <p>金融創新一科負責訂定金融創新發展相關規範、指引，和要點，例如業務是辦要點和創新實驗條例，另外也會成立單一窗口，統籌需要諮詢和評估的金融科技案件諮詢，和受理實際案件。金融創新二科則負責管理創新園區、規畫與執行生態圈合作事項。綠色金融科則是負責綠色和轉型金融相關事項，包括規畫執行綠色及轉型金融行動方案、推動先行者聯盟淨零工作平臺等工作。最後一科，金融發展科，則是負責包含亞洲資產管理中心政策推動、辦理永續金融評鑑和精進永續金融證照等事項。</p> <h3><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);">#金管會</span></strong><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);"> #數位保險</span></strong></h3> <h3>金管會祭出數位保險六大政策方向</h3> <p>金管會主委彭金隆在2024年底前出席例行記者會，說明數位保險公司（原稱為純網保）政策規畫方向，共有六大政策方向，分別是放寬數位保險業務範圍與營運模式、對數位保險公司開發的創新型保險商品或服務給予創新保護、調降設立數位保險公司的最低實收資本額、放寬發起人條件，還有開放國外數位保險公司來臺申請設立分公司，並且不訂定申請設立許可的期限。</p> <p>金管會公布六大政策方向後，後續還會進行相關法規調適，並召開公聽會聽取外界意見。彭金隆強調，金管會對於數位保險公司申請重點，仍是放在申請者的計畫或願景，且金管會此次並非將數位保險公司的設立標準放寬，而是把申請的標準放寬，「臺灣不缺保險公司，缺的是創新、且對未來有前瞻性的保險公司。」他說。</p> <h3><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);">#CFPB</span></strong><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);"> #金融監管</span></strong></h3> <h3>認定銀行防詐措施不夠完善，美國消費者金融保護局起訴包括摩根大通、美國銀行和富國銀行</h3> <p>美國消費者金融保護局（CFPB）近日對摩根大通、美國銀行、富國銀行，還有一間由摩根大通、美國銀行、富國銀行等七大銀行共同擁有的金融科技公司Early Warning Services提起訴訟。CFPB認為，這間金融科技公司為了和大型支付業者競爭，匆忙將支付平臺Zelle推入市場，而摩根大通、美國銀行，和富國銀行在提供客戶這項產品時，缺乏有效的安全措施，導致Zelle成為詐騙者的溫床。</p> <p>CFPB局長Rohit Chopra表示，他們在2021年就開始投入調查，發現摩根大通、美國銀行，和富國銀行有許多過失。例如，當銀行關閉了涉嫌詐騙的帳戶，詐騙集團可以輕易轉另一家銀行進行詐騙。又或是，CFPB認為銀行經常以不合理的說法拒絕協助消費者，有時甚至要求受害方自行聯繫詐騙方討回金錢。</p> <h3><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);">#支付</span></strong><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);"> #Ocard</span></strong></h3> <h3>CRM技術商Ocard進軍支付推出Ocard Pay</h3> <p>看好會員制度結合行動支付的效益，Ocard透過整合Pi拍錢包的支付功能和自家原有的多元點數回饋服務，正式推出支付平臺Ocard Pay。透過結合雙方既有的合作通路，民眾將能在全臺38萬家指定商家使用Ocard Pay，民眾消費後獲得的點數回饋，將能夠用來兌換各式票券、點數或消費折抵。</p> <p>目前Ocard App擁有超過380萬會員數，合作店家超過7,000間。Pi 拍錢包會員數則超過200 萬，合作店家包括四大超商、四大藥妝等超過38萬店點。</p> <h3><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);">#加密貨幣</span></strong><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);"> #金融監管</span></strong></h3> <h3>英國金融行為監管局發布提高加密貨幣監管透明度的新制，開放外界提供建議</h3> <p>英國金融行為監管局（FCA）近日發布一份諮詢文件，紀載了加密資產的揭露制度，以及適用於加密貨幣的市場濫用制度，並邀請外界提供修法建議。FCA表示，制訂這些制度，是為了提高加密貨幣的監管透明度，確保能為企業和消費者制定一致的規範，同時確保消費者在買賣加密資產前後，都能獲得需要的資訊。此外，FCA也將要求加密貨幣交易平臺應提供消費者公平的交易條件。最重要的是，透過監管透明化，進一步降低加密貨幣的洗錢風險和詐騙損失。</p> <p>其他重要Fintech新聞</p> <ul> <li>澳洲NAB銀行目標五年內逐步淘汰密碼</li> <li>金管會與立陶宛簽署金融服務創新合作瞭解備忘錄，促進金融科技和創新服務議題交流</li> <li>金管會計畫成立金融科技產業聯盟</li> <li>南山人壽2025年徵才重點聚焦AI、數位金融科技、數據分析、資料庫管理、系統規畫與測試等專業人才</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">圖片來源／金管會</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2025年1月</p> <p></p> </div></div></div>
2025/1/4 14:08作者李昀璇https://www.ithome.com.tw/news/166819
高雄市擬今年合併研考會及資訊處成立一級機關，力推燈塔計畫發展主權生成式AI強化智慧治理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>儘管市府組織已滿額編制，高雄市政府在2024年10月啟動內部組織小幅調整，將原本的資訊中心提升為資訊處，雖然仍是市府底下的二級機關，但人力及預算較原本的資訊中心增加，市府計畫2025年再將資訊處與研考會合併為新的一級機關，藉此擴編資訊人力、預算經費，更積極導入新興資訊科技，近期積極和民間業者合作共同發展主權AI，期望以此加強高雄城市治理。</p> <p>過去幾年政府機關推動數位轉型發展，地方政府重視資訊科技發展，以六都為例，臺北市較早由資訊中心改制為資訊處，2012年升格為資訊局，近幾年在經歷COVID-19全球疫情衝擊，減少面對面接觸下，不論是政府或企業都認識到面臨營運危機下，善用數位科技強化營運韌性的重要性，政府也提升資訊單位編制；桃園市政府先前將資訊中心升格為資科局，2023年再將資科局與研考會合併為智慧城鄉發展委員會，以市府整體思維帶動各機關的數位科技思維；台中市政府也在2022年將資訊中心改制為一級機關成立數位治理局，結合資通訊科技加速台中市政府整體的資訊化發展。</p> <p><span style="color:#B22222;"><strong>提升資訊單位組織位階</strong></span></p> <p>高雄市也不落人後，早在行政院計畫成立數位部作為數位政府轉型推手之時，高雄市便有意將資訊中心升級為市府一級機關，但由於市府組織編制已滿，資訊單位直接升級一級單位，將牽動市府整個組織變動，而且需要議會審核同意，相關準備工具況日費時，但是提高資訊單位位階不能再拖，市長陳其邁決定分為2階段組織調整，先將資訊中心於2024年第三季提升為資訊處，增加人力及預算，2025年上半年計畫再與研考會合併為一級市府單位，進一步擴大組織編制。</p> <p>原本擔任高雄市政府資訊中心主任，現為資訊處長的劉俊傑表示，市府決定提升資訊單位位階有三個考量，首先是數位科技的重要性日益增加，AI例如生成式AI興起如何推動市政轉型，其次是地緣政治使得市府面臨資安威脅增加，最後是過去市府各局處根據業務需要有自己的IT人員，但是發展AI需要跨局處、跨領域的資訊整合，提升市府資訊部門位階，有利於跨機關、跨領域資料及人員、資源的整合。</p> <p>過去高雄市各機關基於業務各自推動資訊發展，未來資訊處與研考會合併，他認為未來研考加上智慧及算力將是未來高雄市政府數位轉型的助力，過去資訊發展為分散的點狀發展，「合併後的新組織將負起串接整合各機關的人力、資料、資源，從點連成線並進一步形成面」，劉俊傑說。</p> <p><span style="color:#B22222;"><strong>倡議城市級的主權式AI</strong></span></p> <p>高雄市各局處機關各自推動AI發展，未來新的組織負起市政智慧化發展的推手，劉俊傑指出，未來市府希望打造各局處共同的AI模型，分為兩個大腦，其中一個大腦對外服務民眾，例如線上1999客服、市民卡等，讓民眾和生成式AI對話來獲得協助或服務，另一個大腦負責對內，成為內部的AI業務助理，針對各機關的業務優化，例如協助產生都市計畫書等等。</p> <p>按高雄市政府的規畫，將採落地部署的主權式AI概念打造兩個大腦，一方面能避免內部機敏資料、知識財產外洩，劉俊傑認為未來不論是企業或政府都需要發展主權AI，另外，目前雲端部署的AI模型如ChatGPT為全能型模型，必需什麼都會，導致模型的規模相當大，用於訓練的費用相當高昂，而採用主權AI概念，使用比較小的參數規模，發展領域型的AI，需要的GPU算力也比較小。</p> <p>另一個發展主權式AI的原因是適地性，必需能適應當地的法規習慣，劉俊傑指出，目前生成式AI多為美國發展，除了語言文化差異，以交通為例，美國的交通號誌及標線和臺灣不同，需要針對臺灣的法規、標線、號誌重新微調模型，是發展主權AI的另一個重要原因。</p> <p>然而，高雄市政府積極發展主權AI、生成式AI，資訊處欠缺足夠的人才。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Clipboard01(24).jpg" style="width: 567px; height: 414px;" /></p> <p><strong>高雄市政府資訊處長劉俊傑</strong></p> <p>劉俊傑直言，現行的高普考制度並未將AI納入考試項目，資訊人才雖然熟悉IT，但很難跟上現今AI發展速度，透過市府資訊部門組織調整，擴大編制預算，對外網羅AI人才，以外聘雇的方式招募相關人才進來，協助市府發展及應用AI。相同地，面對愈來愈多的資安威脅，通過組織調整也能招進需要的人才。</p> <p>目前高雄市府優先以約聘雇方式招進需要的人才，除了AI需要的人才，還有大數據分析等領域，資安方面則需要具有白帽駭客能力的人才，此外，還需要具備資料整合、資料池，熟悉混合雲方面的人才。</p> <p><span style="color:#B22222;"><strong>發展文字型生成式AI客服及業務助理</strong></span></p> <p>如同前面所說的，高雄市政府規畫發展兩個大腦，一個大腦對外服務民眾，另一個則是AI業務助理，提升內部業務工作效率。市府計畫結合生成式AI，發展LLM的文字型AI，目前與不同AI服務業者合作測試Hugging Face上不同的模型及方案，以發展對外服務民眾的AI客服及對內的AI業務助理。</p> <p>劉俊傑表示，市府目前仍在測試合適的模型，針對臺灣的語言、法規、文化用詞進行微調，除了測試Hugging Face上面不同的模型，還有國內資訊服務商為本地業者微調的模型，以及國科會計畫下發展的繁中大型語言模型TAIDE，透過各種測試尋找符合需求，且能撙節成本的模型。</p> <p>然而政府機關在對民眾服務運用生成式AI，考量到民眾對政府服務應具有公信力、高度正確性等期待，如果政府服務出錯就很容易導致外界的批評，因此高雄市對於政府服務運用生成式AI相當謹慎。劉俊傑表示，為避免生成式AI給出錯誤的答覆，將運用RAG技術將語料源限制於32個局處的網站文字，同時也會接受第三方驗證生成式AI，包括可解釋性、透明度等指標，民眾使用服務之前先聲明驗證結果。</p> <p>「儘管服務採用生成式AI很難避免百分百不會講錯，但透過事先的聲明，仍希望更多人的使用，讓生成式AI在微調之後能夠變得更準確」，劉俊傑說。</p> <p>不論是對外服務的AI客服或內部使用的AI業務助理，市府並沒有給出明確的服務上線時間，但強調每年都會檢視需求進行調整。</p> <p><span style="color:#B22222;"><strong>發展影像型生成式AI提高城市智慧治理能力</strong></span></p> <p>除了文字型LLM模型之外，高雄市近期還啟動一項前瞻性的計畫，智慧高雄燈塔計畫，高雄市政府和Nvidia合作，與業者合作租用Nvidia GPU算力服務，還有CUDA的軟體應用方案，包括影像分析方案metropolis、可打造數位孿生的Omniverse，以發展影像型生成式AI。</p> <p>不同於一般生成式AI以文字提示產生圖像，影像型生成式AI能夠「看懂」CCTV或空拍機等市府類監視器的影像資料源，生成對影像畫面狀態或事件的描述，並將其報告給市政府，協助市府能快速掌握狀況、決策應變、資源調配。</p> <p>劉俊傑表示，以先前山陀兒颱風為例，造成高雄市區內大量路樹被吹倒，傳統上，由里長、居民、民意代表打電話反映，大多只有口語、位置的描述，未來影像型生成式AI，通過無人機空拍影像，就能掌握不同地區的路樹被吹倒的情形，供市府決策哪些地區優先處理樹倒情形，在災後快速恢復交通，和傳統打電話反映相比，在生成式AI協助下提供市府更客觀、科學的方式進行決策。</p> <p>未來該影像型生成式AI將會以高雄市府各局處的資料為基礎，以高雄市在地的資料作微調，讓影像型生成式AI能夠適應高雄在地的語言文化及法規，從影像中辨識狀態或事件，即時向市府回報情報，以輔助市政決策。</p> <p>未來更進一步結合影像型生成式AI對類監視器影像的分析，還有以物理引擎作為基礎建立的高雄市數位孿生平臺，將實體世界與虛擬世界連結，通過虛擬的數位孿生，當真實世界發生特殊事件時，例如哪個地區淹水，如果沒有即時處理應變，在虛擬數位孿生平臺裡預測可能為真實世界帶來的影響，輔助市府調度決策，提高城市智慧治理。</p> <p>為了發展影像型生成式AI、主權AI需要大量算力，高雄市在智慧高雄燈塔計畫中，參考營建類常見的政府與民間聯合開發案例，市府和資服廠商合作也採聯合開發模式，由市府與廠商共同制定目標，雙方共同投入資源，由高雄市政府投入1億元，主要用於資料的標註、模型訓練等等，合作業者投入價值1.5億元的設備及服務，包含需要的一年算力服務（計畫預估將使用32片B200及16片L40S，滿足訓練及推論用途），最後由市府與業者彼此共享智財等成果。</p> <p>智慧高雄燈塔計畫發展的大腦為PaaS層，預計於2025年12月底完成，劉俊傑表示，未來亞灣2.0計畫將會在PaaS層之上發展SaaS應用試辦，包括高雄市政府交通局、捷運局、工務局等機關，和中鋼、台電、港務公司國公營企業合作申請SaaS計畫，在公部門運用方面，例如交通管理、人流分析、場管等市政問題，如何運用PaaS發展生成式AI應用，至於國公營企業，包括港區的貨櫃交通運輸、燈桿管理、管線維護管理等等也會發展相關應用。</p> <p>「從公私合作建置PaaS層，到同樣由公私合作發展SaaS層應用，才是更完整的智慧高雄燈塔計畫」，劉俊傑說。這項計畫展現了高雄市政府對於導入生成式AI改善城市智慧治理的企圖心，未來不只是高雄自己使用，因法規、文化的接近性，國內其他城市或企業未來也能使用 PaaS，市府正研究後續可行的商業模式。</p> </div></div></div>
2025/1/3 17:48作者蘇文彬https://www.ithome.com.tw/news/166817
【資安日報】1月3日，IDC預測臺灣資安產品市場將連續4年成長，密碼敏捷性與AI BOM成焦點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安需求與日俱增，臺灣在這塊市場也發展得不錯，但情況有多樂觀？在2024年12月終於有相關的預測數據出爐。</p> <p>最近IDC<a href="https://www.ithome.com.tw/news/166500">公布2025年臺灣ICT市場五大關鍵趨勢預測內容</a>時，也提到他們看好未來臺灣四年資安產品市場的成長，並指出動力不光來自傳統資安產品的需求增加，還受到AI資安及量子韌性（Quantum Resilient Security）兩項新興資安技術影響，而這些新興技術也是未來一年資安市場投資者關注的焦點。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166789"><strong style="font-size: 22px;">有人聲稱找到7-Zip零時差漏洞，開發者駁斥資訊有誤，疑為假消息</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AVwAmLDkHP.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/AVwAmLDkHP.png" style="width: 300px; float: right;" /></a></p> <p>使用ID名稱@NSA_Employee39的用戶於社群網站X（原推特）宣稱，將連續多日釋出7-Zip的零時差漏洞資訊，首波公開的是任意程式碼執行漏洞，此人於Pastebin發布概念性驗證程式碼（PoC），並於7-Zip於SourceForge的專案網頁通報此事。</p> <p>對此，7-Zip專案負責人Igor Pavlov出面駁斥此事，他表示該壓縮軟體的LZMA壓縮演算法不存在@NSA_Employee39提到的漏洞。Igor Pavlov分析概念性驗證程式碼提出進一步證據，他發現註解提及的功能函數RC_NORM並未出現在LZMA解碼器，研判此人以大型語言模型（LLM）產生這些程式碼。</p> <p>值得留意的是，目前7-Zip漏洞疑雲未有定論。儘管@NSA_Employee39的爆料普遍認為是不實資訊，Igor Pavlov已從技術層面否認漏洞的存在，不過用戶最好還是提高警覺，避免開啟來源不明的壓縮檔，並定期更新7-Zip以維持安全性。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=182430&SPOKE_DATE=20250102&COMPANY_ID=2385"><strong style="font-size: 22px;">群光電子傳出網站遭遇DDoS攻擊</strong></a></p> <p>1月2日傍晚群光電子於股市公開觀測站發布重大訊息，指出他們的網站遭遇DDoS攻擊，在察覺攻擊跡象後，該公司資訊團隊立刻與外部資安公司合作，阻斷攻擊行為。</p> <p>針對這起事故可能造成的損失或是影響，群光表示根據他們初步評估，對於公司營運無重大影響，他們將持續強化網路與資訊基礎架構的安全管控，來防範相關攻擊。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/01/malicious-obfuscated-npm-package.html">惡意NPM套件被用於散布木馬程式Quasar RAT</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/playfulghost-malware-a-sophisticated-gh0st-rat-variant-with-advanced-distribution-tactics/">惡意軟體PlayfulGhost假借提供中國應用程式散布</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/new-research-reveals-a-novel-bad-likert-judge-technique-to-jailbreak-llms/">研究人員揭露大型語言模型越獄手法Bad Likert Judge</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166805"><strong style="font-size: 22px;">Progress修補網管軟體WhatsUp Gold重大層級漏洞</strong></a></p> <p>上個月Progress發布資安公告，指出旗下的網管軟體WhatsUp Gold存在漏洞CVE-2024-12105、CVE-2024-12106、CVE-2024-12108，呼籲用戶升級至24.0.2版緩解相關弱點。</p> <p>根據CVSS風險評分，這一波安全性修補當中，最值得留意的是列為重大層級的CVE-2024-12106、CVE-2024-12108，其中又以CVE-2024-12108較為危險，攻擊者可利用公開API的存取WhatsUp Gold伺服器，風險評分達到9.6（滿分10分）。</p> <p>另一個也相當危險的重大漏洞是CVE-2024-12106，因為攻擊者可在未經身分驗證的情況下，竄改LDAP的組態設定，CVSS風險為9.4。</p> <p><a href="https://www.ithome.com.tw/news/166795"><strong style="font-size: 22px;">微軟已修補的磁碟加密機制BitLocker仍存在漏洞，攻擊者若實體接觸電腦有機會竊取資料</strong></a></p> <p>資深安全研究員兼硬體駭客Thomas Lambertz於上週舉行的大型資安會議混沌通訊大會（Chaos Communication Congress，CCC）當中，於完全修補的Windows 11作業系統環境裡，展示針對磁碟加密機制BitLocker漏洞bitpixie（CVE-2023-21563）的攻擊手法。Thomas Lambertz指出，即便使用者已安裝微軟提供的更新程式，攻擊者仍然可以使用新的攻擊手法，藉由安全開機（Secure Boot）繞過BitLocker保護機制，取得Windows 11電腦的資料。</p> <p>雖然這項攻擊手法需要實體接觸電腦，對於一般使用者的風險較低，但對於企業組織與政府機關而言卻不能掉以輕心，因為這項攻擊僅需短暫的接觸就能完成。研究人員指出，這項漏洞微軟並未完全修復，主要的挑戰在於UEFI韌體的儲存空間有限，無法以雜湊值黑名單撤銷所有曝險的憑證，微軟預計要到2026年才能完全更新安全開機的相關憑證。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/01/severe-security-flaws-patched-in.html">微軟Dynamics 365、Power Apps Web API存在漏洞</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166790"><strong style="font-size: 22px;">臺灣資安產品市場蓬勃發展！IDC臺灣預測2028年規模將達235億，密碼敏捷性與AI BOM將成2025年新焦點</strong></a></p> <p>市調機構IDC最近預測，未來四年臺灣資安產品市場將持續成長，市場規模從2024年的4.62億美元增至2028年的7.16億美元（相當於新臺幣235.4億元），年複合成長率達11.9%。其中，資安軟體的成長動能尤為強勁，年複合成長率高達13.3%。</p> <p>IDC分析指出，目前許多企業優先導入密碼敏捷性（Crypto-Agility）框架，這是一種能快速應對加密威脅的資料加密實踐方式。與直接部署PQC相比，IDC表示，密碼敏捷性框架在部署成本與周期上更具效率，且在現有合規環境下實務可行性更高。</p> <p>過去兩年，生成式AI（GenAI）的快速發展雖大幅提升了企業內部的生產力與效率，但同時也帶來了全新的資安挑戰，IDC指出，企業在資安策略上，明年將更注重建立明確的AI BOM（人工智慧物料清單），以加強AI資安防護能力，應對日益複雜的安全威脅。</p> <p><strong style="font-size: 22px;">其他資安防禦措施</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/us-arrests-charges-army-soldier-suspected-of-extorting-att-verizon/">針對Snowflake攻擊事故，美國逮捕涉嫌竊取總統通話記錄的士兵</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166796"><strong>【1月2日】北韓駭客對開發人員發動新一波攻擊，意圖散布惡意軟體OtterCookie</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166762"><strong>【12月31日】駭客公布從思科、施耐德電機竊得的部分資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166744"><strong>【12月30日】駭客鎖定逾20款Chrome延伸套件發動供應鏈攻擊，意圖竊取使用者社群網站帳號</strong></a></p> </div></div></div>
2025/1/3 15:32作者周峻佑https://www.ithome.com.tw/news/166811
以數據為中心的AI
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1216-itshu_zhai_-aishen_du_wen_da_ji_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">博碩文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以數據為中心的AI是一種範式（paradigm）或一個工作流程（workflow）；在這個範式或工作流程中，我們保持模型的訓練程序固定，並對數據集進行迭代，以提升模型的預測效能。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>以數據為中心的 vs. 以模型為中心的AI</strong></span></span></p> <p>雖然以數據為中心的AI（data-centric AI）算是一個相對較新的專有名詞，但它背後的理念並非新鮮事物。我曾與許多人交談過，他們都說，在這個專有名詞被創造出來之前，他們的專案就已經使用以數據為中心的方法了。在我看來，以數據為中心的AI的出現，是為了重新強調「關心數據品質」這件事的重要性，因為數據的收集（collection）和管理（curation）常常被認為是單調乏味或無足輕重的工作。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98_AI%E6%B7%B1%E5%BA%A6%E5%95%8F%E7%AD%94%E9%9B%86_600-2.png" style="width: 593px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／博碩文化</span></p> <p>我們需要在「以數據為中心的AI」和「以模型為中心的AI」之間做選擇？還是可以同時依賴這兩者？簡單來說，「以數據為中心的AI」重點在於「透過更改數據來提升效能」，而「以模型為中心的方法」重點在於「透過修改模型來提升效能」。理想情況下，我們應該在實際的應用場景中使用這兩者，以獲得最佳的預測效能。然而，在研究環境或是在應用專案（applied project）的探索階段中，同時處理過多的變數只會帶來混亂。如果我們同時更改「模型」和「數據」，就很難確定是哪一種變化帶來了改進。</p> <p>需要強調的是，以數據為中心的AI是一種範式和工作流程，而不是一種特定的技術。因此，以數據為中心的AI隱含地包括了以下內容：</p> <p>●針對訓練數據的分析和修改，從移除離群值到填補遺漏值</p> <p>●數據合成（data synthesis）與數據增強技術</p> <p>●數據標註（data labeling）與標籤清理方法（label-cleaning method）</p> <p>●在典型的主動學習（active learning）的設定中，模型會建議哪些數據點（data point）需要標籤</p> <p>如果我們只更改數據（使用這裡列出的方法），而不更改建模管線的其他方面，我們就認為這種方法是以為數據為中心（data centric）的。</p> <p>在機器學習和人工智慧的領域中，我們經常使用「垃圾進，垃圾出」（garbage in, garbage out）這句話，意思是「品質差的數據」會導致預測模型的效果很差。換句話說，我們不能期望從「低品質的數據集」中得到一個效能良好的模型。</p> <p>我注意到在應用學術專案中，有一種常見的模式，即研究者試圖使用機器學習來取代現有的方法。通常，研究者只有一小部分數據集（如數百個訓練樣本）。而標註數據（labeling data）通常很昂貴，或被認為很無聊，因此最好避免。在這些情況下，研究者會花費大量時間實驗不同的機器學習算法，並調整模型。為了解決這個問題，投資更多時間或資源來標註更多數據，是非常值得的。</p> <p>以數據為中心AI的主要優勢在於它把「數據」放到首位，這樣一來，如果我們投入資源建立一個品質更高的數據集，所有的建模方法都將從中受益。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>建議</strong></span></span></p> <p>在應用專案中，如果我們希望提升預測效能，來解決某個特定問題，那麼我們通常會採取「以數據為中心」的方法。在這種情況下，從建立模型為基線（baseline）開始，然後改善數據集，這種做法是有意義的；這經常比嘗試使用「更大、更昂貴的模型」還更有價值。</p> <p>如果我們的任務是開發一種全新的（或者更好的）方法論，例如一種全新的神經網路架構或是損失函數，那麼「以模型為中心」的方法可能是一個更好的選擇。使用一個固定的基準數據集而不去改變它，可以更容易地比較「新的建模方法」和「之前的工作」。增加「模型的大小」通常可以改善效能，但是增加「訓練樣本」也有同樣的效果。對於分類、抽取式問答（extractive question answering）和多項選擇的任務（multiple-choice task）等小型訓練集（< 2k）來說，「增加一百個樣本」可以產生與「增加數十億個參數」相同的效能提升。</p> <p>在實際專案中，在「以數據為中心」和「以模型為中心」之間切換，是很合理的做法。提前投入資源，提高數據品質，會讓所有的模型受益。一旦擁有高品質的數據集，我們就可以開始專注於模型調整，進一步提升效能。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>LLM的評估指標</strong></span></span></p> <p>困惑度、BLEU、ROUGE和BERTScore是自然語言處理中最常用的一些評估指標（evaluation metric），用來評估大型語言模型（LLM）在各種任務中的表現。雖然最終無法超越人類判斷的品質，但人類的評估既繁瑣又昂貴，難以自動化且主觀性很強。因此，我們研發了一些指標，來提供客觀的摘要評分，以測量進步與否，並比較不同的方法。</p> <p><strong>困惑度指標（perplexity metric）</strong>與用於預訓練LLM的損失函數直接相關，並經常用於評估文字生成模型和文字補全模型（text completion model）。從本質上來說，它量化了模型在指定語境中預測下一個字詞的平均不確定性（average uncertainty）──即困惑度越低越好。</p> <p><strong>雙語評估替換（BiLingual Evaluation Understudy，BLEU）</strong>分數，是一個廣泛用於評估機器翻譯品質的指標。它測量的是「機器生成的翻譯」與「一組人工生成的參考翻譯」之間的n-gram（n元）重疊程度。更高的BLEU分數表示效能更好，範圍從0（最差）到1（最好）。</p> <p><strong>召回率導向的摘要評估（Recall-Oriented Understudy for Gisting Evaluation，ROUGE）</strong>分數，是一個主要用於評估自動摘要模型（有時還包括機器翻譯模型）的指標。它評估「生成的摘要」與「參考摘要」之間的重疊程度。</p> <p>我們可以把困惑度視為內在指標（intrinsic metric），而把BLEU和ROUGE視為外在指標（extrinsic metric）。為了說明這兩類指標之間的區別，請想像一下，我們正在最佳化「傳統的交叉熵」來訓練一個圖像分類器。交叉熵是我們在訓練過程中最佳化的損失函數，但我們的最終目標是最大化分類準確性。由於「分類準確性」不能在訓練過程中直接最佳化，因為它不是可微分的，所以我們要最小化「交叉熵」這樣的替代損失函數。最小化交叉熵損失（cross entropy loss）和最大化分類準確性（classification accuracy）或多或少是相關的。</p> <p>困惑度經常被用來當作比較「不同語言模型的效能」的評估指標，但在訓練過程中，它並非最佳化的目標。BLEU和ROUGE更接近分類準確性（或者說更接近精確度和召回率）。事實上，BLEU是一種類準確率分數（a precision-like score），用來評估翻譯後的文字品質，而ROUGE則是一種類召回率分數（a recall-like score），用來評估摘要文字。<strong>（本文摘錄整理自《機器學習與人工智慧深度問答集》，博碩文化提供）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98_AI%E6%B7%B1%E5%BA%A6%E5%95%8F%E7%AD%94%E9%9B%86_600.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／博碩文化</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> <span style="color:#3399ff;">機器學習與人工智慧深度問答集（Machine Learning Q and AI）</span></strong></p> <p>Sebastian Raschka／著；博碩AI編輯室／編譯；劉立民／審校</p> <p>博碩文化出版</p> <p>定價：650元</p> <p><a href="http://sebastianraschka.com" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98_AI%E6%B7%B1%E5%BA%A6%E5%95%8F%E7%AD%94%E9%9B%86_250_Sebastian%20Raschka.png" style="width: 250px;" /></a></p> <p><a href="http://sebastianraschka.com" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">©Sebastian Raschka</span></span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p>Sebastian Raschka博士是一位對教學懷抱強烈熱忱的機器學習和AI研究者。身為Lightning AI的Lead AI Educator（首席AI教育家），他熱衷於使AI和深度學習變得更加普及，並教導人們如何大規模地利用這些技術。在全力投入Lightning AI之前，Sebastian曾在University of Wisconsin-Madison（威斯康辛大學麥迪遜分校）擔任統計學助理教授，專門研究深度學習和機器學習。你可以造訪他的網站，了解更多他的研究資訊：sebastianraschka.com。</p> </div></div></div>
2025/1/3 16:24未署名https://www.ithome.com.tw/article/166815
Telegram導入第三方驗證打擊詐騙行為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>通訊軟體Telegram近年來用戶數持續攀升，但隨著使用者基數擴大，部分不法分子開始利用該平臺進行詐騙活動。Telegram在2025年第一波<a href="https://telegram.org/blog/collectible-gifts-and-more/fa?setln=en">更新</a>中，宣布導入第三方驗證機制，目的是提升資訊可信度並進一步打擊詐騙行為。</p> <p>在Telegram本次更新中，亮點之一便是第三方驗證系統。過去Telegram僅提供官方認證藍勾勾標章，用以標示公眾人物或組織的官方帳號，但是單憑官方認證已不足以完全杜絕假消息與詐騙行為，因此Telegram開放與經其官方審核並認證的第三方服務機構合作，讓這些機構能夠對平臺上的用戶帳號與聊天室進行額外驗證。</p> <p>這項新機制允許獲得授權的第三方機構，根據自身的專業與查核機制，對特定帳號或群組進行審查，一旦通過驗證，該帳號或群組名稱前將會出現一個由該第三方機構提供的專屬標誌，使用者點擊該標誌後，即可查看更詳盡的驗證說明與資訊。Telegram強調，此第三方驗證與官方藍勾勾驗證完全獨立，以提供更多元的資訊可信度判斷依據。</p> <p>Telegram指出，這項第三方驗證機制是業界首創的主動式安全解決方案，透過導入外部專業機構的審查，能夠更有效地預防詐騙事件發生，減少不實資訊傳播，並進一步提升整體平臺的安全性與可信度。這項機制初期與特定第三方機構合作，Telegram未來會逐步擴增合作夥伴。</p> <p>除了第三方驗證，Telegram本次更新還包括了可轉售的收藏版禮物、更便利的搜尋過濾功能，以及在應用程式內建QR Code掃描器等實用更新。Telegram創辦人兼執行長Pavel Durov早前撰文透露，Telegram結束商業化3年以來持續虧損的情況，首度獲利且收入破10億美元，主要營收來源包括Premium訂閱服務，以及持續成長的廣告收入。</p> </div></div></div>
2025/1/3 16:57作者李建興https://www.ithome.com.tw/news/166814
得網路者得AI
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>人工智慧的重要性不言可喻，於是有了「得AI者，得天下」的論調，然而，該如何「得AI」？很多人會馬上想到資料、運算能力、軟體、AI模型等因素，網路存取能力與效率，很少排在前面的考量。</p> <p>隨著GPU大廠Nvidia持續壟斷AI硬體的技術應用話題，大家都想找到他們稱霸市場的答案，其中，活用Nvidia自家GPU加速機制的統一運算架構（CUDA），以及軟硬體堆疊改良、擴充與普及，是最常見的回答。</p> <p>不過，這幾年以來，雖然有越來越多廠商投入AI軟硬體研發，搭配方式與選擇理應日益豐富，但為何市場還是非常看好與看重Nvidia的發展？除了他們能提供相對清楚、有序的硬體產品發展藍圖，持續鎖定企業應用需求的軟體平臺，過去一直被整個業界低估的部分，主要是他們對網路技術的布局，近期隨著多家IT廠商組成的超乙太網路聯盟（UEC）成軍，也突顯整個IT產業發展盲點，那就是對於資料中心網路的不夠重視。</p> <p>回顧2020年Nvidia完成併購資料中心網路設備大廠Mellanox，但他們並不急著大舉擴張網路產品線，局部參與軟體定義網路（SDN）與網路功能虛擬化（NFV）的發展，但未投入大量身家進軍電信網路轉型市場，而是思考如何將這些技術融入GPU加速應用領域。</p> <p>另一方面，當伺服器廠商起初僅願意提供GPU伺服器，透過強調加速器硬體搭配的準系統，想要測試市場需求水溫之際，Nvidia決定一馬當先，推出自有品牌整合式AI系統伺服器DGX系列，而在歷經多個GPU架構世代的變革，如今也已培養出足以支撐整個AI資料中心運作的生態系，涵蓋伺服器、儲存系統，網路則是最後一塊拼圖。</p> <p>2023年5月底Nvidia在台北國際電腦展宣布推出乙太網路加速平臺Spectrum-X，正式將乙太網路產品線投入AI產品組合當中，涵蓋網路交換器、資料處理器、光纖網路線材與收發器，以及網路作業系統與軟體開發套件，力圖打造新一代高效率乙太網路，能夠充分滿足AI雲端服務環境網路所需，並且預告他們手上另一條InfiniBand網路產品線，將用於支援更大規模的GPU系統叢集，實現Nvidia提出的企業AI工廠願景。</p> <p>相較之下，其他同時握有AI加速運算技術的大型IT廠商，長期觀望AI市場的發展，心力大多還是放在主力的伺服器處理器，但市場動能目前仍然更關注GPU，而非CPU，近才開始急起直追，但眾聲喧嘩，能否盡快提出令所有成員都支持的標準，令人擔憂。</p> <p>例如，英特爾透過第四代Xeon Scalable內建的進階矩陣延伸指令集（AMX），以及不同用途的硬體加速器，想要吃下這塊市場。</p> <p>雖然英特爾曾發展與推出Data Center GPU Max系列，但後來又改弦易張，把希望寄託在下一代GPU架構Falcon Shore。而英特爾另一個近期被業界看好的AI加速器Gaudi 3，雖然在2024年4月推出，但搭配這款運算平臺的伺服器產品，9月陸續上市，影響力尚未發酵。</p> <p>此外，英特爾乙太網路產品與基礎架構處理器（IPU）並未在該公司AI布局，發揮應有的加乘效果，而且，產品未來發展態勢不明。看來只能指望作為超乙太網路聯盟發起者之一的英特爾，在2025年能有更多著墨。</p> <p>至於AMD，在資料中心產品線的經營上，長期以EPYC系列處理器的發展為重，等到Instinct MI100系列GPU推出之後，他們對於整個加速運算平臺的架構，才逐漸取得能與Nvidia AI相提並論的條件，而在網路技術的布局上，2022年陸續完成賽靈思（Xilinx）、Pensando的併購，取得FPGA加速、智慧型網路卡、資料處理器等技術，前兩種解決方案有部分支援AI應用，資料處理器則是推廣雲端服務業者採用，但隨著超乙太網路聯盟的成立，AMD決定用Pensando產品線支撐這部分用途，在2024年10月宣布推出AI網路卡Pollara 400，以及第三代資料處理器Salina，他們表示，Pollara 400將與AMD處理器、GPU的產品發展藍圖保持一致。不過，目前來看，AMD自家伺服器等級CPU與GPU對於SmartNIC的搭配方式，還需揭露更多資訊。</p> <p>除了英特爾、AMD，博通（Broadcom）也被寄予厚望，因為他們提供網路卡、交換器、ASIC晶片，企業市占相當高的伺服器虛擬化平臺vSphere，也是他們推動AI的殺手應用，而且是各家AI軟硬體極力拉攏的重要平臺，究竟誰能奪下AI市場，還有許多變化。</p> <p><span style="font-size:22px;"><strong><span style="background-color:#3399ff;"><span style="color:#FFFFFF;"> </span><a href="https://www.ithome.com.tw/article/166794" target="_blank"><span style="color:#FFFFFF;">相關報導</span></a><span style="color:#FFFFFF;"> </span></span></strong><span style="color:#FFFFFF;"><strong> <a href="https://www.ithome.com.tw/article/166794" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1215-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=kRE_ydZh" style="width: 550px;" /></a></strong></span></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/ai">AI</a></div><div class="field-item odd"><a href="/tags/ai%E7%A1%AC%E9%AB%94">AI硬體</a></div><div class="field-item even"><a href="/tags/nvidia">Nvidia</a></div><div class="field-item odd"><a href="/tags/mellanox">Mellanox</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E6%96%99%E4%B8%AD%E5%BF%83">資料中心</a></div><div class="field-item odd"><a href="/tags/%E4%B9%99%E5%A4%AA%E7%B6%B2%E8%B7%AF">乙太網路</a></div><div class="field-item even"><a href="/tags/spectrum-x">Spectrum-X</a></div><div class="field-item odd"><a href="/tags/ai%E5%8A%A0%E9%80%9F%E9%81%8B%E7%AE%97">AI加速運算</a></div><div class="field-item even"><a href="/tags/ai%E5%8A%A0%E9%80%9F%E5%99%A8">AI加速器</a></div><div class="field-item odd"><a href="/tags/ai%E7%B6%B2%E8%B7%AF%E5%8D%A1">AI網路卡</a></div><div class="field-item even"><a href="/tags/amd">AMD</a></div><div class="field-item odd"><a href="/tags/pensando">Pensando</a></div></div></div>
2025/1/3 15:21作者李宗翰https://www.ithome.com.tw/voice/166803
XML檔案解析程式庫libxml2存在重大漏洞，恐被用於XML外部實體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Linux桌面環境GNOME開發團隊<a href="https://gitlab.gnome.org/GNOME/libxml2/-/commit/1a8932303969907f6572b1b6aac4081c56adb5c6">去年7月修補解析XML檔案的程式庫libxml2漏洞CVE-2024-40896</a>，這項漏洞影響2.11、2.12、2.13版，出現在該程式庫的SAX處理器，有可能會意外曝露外部實體，而能讓攻擊者用於發動XML外部實體（XXE）攻擊，CVSS風險達到9.1分（滿分10分），GNOME當時發布<a href="https://gitlab.gnome.org/GNOME/libxml2/-/releases/v2.11.9">2.11.9</a>、<a href="https://gitlab.gnome.org/GNOME/libxml2/-/releases/v2.12.9">2.12.9</a>、<a href="https://gitlab.gnome.org/GNOME/libxml2/-/releases/v2.13.3">2.13.3</a>版予以修補，<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-40896">美國國家漏洞資料庫（NVD）於12月23日將其列入</a>。</p> <p>以C語言打造而成的程式庫libxml2，主要功能是解析XML檔案，該程式庫能以多種語言呼叫，例如：C++、Python、Ruby，使得這項程式庫能運用在多種開發環境。libxml2最初是由GNOME開發的專案，並用於各種作業系統，一旦出現嚴重漏洞、又未及早修補，影響將可能相當廣泛。</p> <p>這項漏洞最初是<a href="https://gitlab.gnome.org/GNOME/libxml2/-/issues/761">由一名從事辦公室軟體LibreOffice專案的開發人員通報</a>，他表示在導入2.13版libxml2的時候，意外發現當中有部分已知漏洞再度出現，其中一個是CVE-2012-0037（CVSS風險為6.5分）。</p> <p>LibreOffice團隊原本已對CVE-2012-0037作出處理，但在升級新版libxml2之後，相關程式碼的作用隨之失效，而且會顯現/etc/passwd的內容，因而發現新漏洞。</p> <p>這位發現上述問題的開發者將情況通報GNOME，並製作概念性驗證文件進一步說明細節，GNOME後續也確認這項漏洞存在，並將其登記為CVE-2024-40896。</p> </div></div></div>
2025/1/3 15:03作者周峻佑https://www.ithome.com.tw/news/166810
擴充套件Pie Adblock侵權uBlock Origin，PayPal Honey團隊再掀爭議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新興的廣告攔截擴充套件Pie Adblock遭指控竊取知名開源廣告攔截器uBlock Origin的程式碼與過濾清單，嚴重違反GPL授權協議，在<a href="http://old.reddit.com/r/uBlockOrigin/comments/1hr6xjc/ubo_quick_filters_list_being_stolen_by_team/">Reddit</a>和<a href="https://news.ycombinator.com/item?id=42576443">Hacker News</a>論壇引發網友高度關注。</p> <p>新興廣告攔截擴充套件Pie Adblock遭控侵權知名開源廣告攔截器uBlock Origin，嚴重違反GPLv3授權協議。此事件在Reddit和Hacker News等論壇引發熱烈討論，不僅是程式碼與過濾清單的盜用，更涉及背後開發團隊與爭議不斷的PayPal Honey購物比價擴充套件間的關聯。</p> <p>uBlock Origin是一款高效能且廣受使用者歡迎的廣告攔截工具，其過濾清單與程式碼皆為開源社群長期貢獻的成果，並採用GPLv3授權。而Pie Adblock則被發現在其擴充套件程式碼中，包含了uBlock Origin的Quick Fixes過濾清單，甚至有部分程式碼片段被直接複製貼上，例如在contentExecuteYouTubeScriptlets.js檔案中，就出現了uBlock Origin的Trusted Replace XHR Response Scriptlet。</p> <p>由於Pie Adblock並未以GPL或相容授權開源其程式碼，已明顯違反了GPL授權要求衍生作品必須同樣以GPL授權開源的規定。</p> <p>值得注意的是，Pie Adblock背後的開發團隊與先前因聯盟行銷（Affiliate Marketing）手法，而備受批評的Honey購物比價擴充套件為同一批人馬。Honey在2019年被PayPal收購，成為PayPal旗下產品。</p> <p>Honey擴充套件本身爭議不斷，簡單來說，其遭控透過兩種主要手法欺騙使用者和內容創作者，其一是宣稱能幫使用者找到最好的優惠，實際上卻常找不到或提供比其他地方找到的還差的優惠，甚至被懷疑與廠商勾結，故意忽略更划算的折扣。另外，Honey會劫持其他人的推薦連結，例如當使用者透過某個YouTuber的推薦連結購買商品時，Honey會在結帳時暗中更換連結，竊取原本屬於該YouTuber的佣金。</p> <p>儘管Pie Adblock團隊已移除官網上與Honey的關聯資訊試圖切割關係，但此舉反而讓社群對其誠信打上問號。GPL是開源領域的重要授權，其核心精神在於保障軟體的自由使用、修改、散布與衍生，並透過Copyleft機制保護此自由的延續，而Pie Adblock事件則是對此精神的一大挑戰。</p> </div></div></div>
2025/1/3 15:16作者李建興https://www.ithome.com.tw/news/166809
因應川普上臺 Meta公共事務長換人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在川普即將出任美國總統之際，Meta公共事務最高主管將下臺，由路線一致的人選接任。</p> <p>Meta全球事務總裁（President of Global Affairs）Nick Clegg本周透過X<a href="https://x.com/nickclegg/status/1874892197666975846" target="_blank">宣布</a>將自現職離開，並由其副手Joel Kaplan接任，並稱Kaplan「此時是這個職位的正確人選」。</p> <p>祖克柏在<a href="https://www.facebook.com/nickclegg" target="_blank">聲明中</a>對Clegg表達謝意，也肯定其在推動Meta全球聲量和價值觀，以及公司對AI和元宇宙的願景，他並說Kaplan長期擔任政策領導工作，具有豐富經驗和洞察力。</p> <p>此一人事變動稍早由Semafor率先<a href="https://www.semafor.com/article/01/02/2025/meta-will-appoint-joel-kaplan-to-lead-global-policy-team-replacing-nick-clegg" target="_blank">報導</a>。Clegg是英國前副首相，暨英國自由民主黨前領導人。而Kaplan在小布希時代擔任白宮副幕僚長，他在Meta內部一直強力反對限制政治言論，認為此類政策將壓制保守派聲音。</p> <p>Clegg於2018年加入Meta，接任Sheryl Sandberg的工作，並領導其政策和遊說工作。媒體分析，Clegg成功為Meta贏得美國政壇的好感，並邀請到白宮討論AI政策，並擴大Meta在歐盟的影響力，包括制訂AI護欄。但是他曾批評馬斯克（Elon Musk）使X變得具有意識型態立場，而且主張監管網路言論，不論是其主張，或是批評現有當道者，都使他在現有Meta的政治氣候中顯得不合時宜。</p> <p>自從川普當選以來，矽谷科技龍頭一改批評的立場，積極與之靠攏。數年前曾被臉書封殺的川普曾<a href="https://www.nbcnews.com/politics/donald-trump/trump-describes-presidency-new-book-rcna168910" target="_blank">揚言</a>要把Meta執行長祖克柏關進牢內，如果他膽敢影響大選的話。去年11月祖克柏也和許多科技大廠執行長與川普共進晚餐，祝賀他勝選。如今Meta領導團隊，包括全球公共政策副總裁Kevin Martin曾被老布希任命為聯邦通信委員會（FCC）委員，法務長Jennifer Newstead從2017年到2019年擔任川普上一任期的國務院首席法律顧問。</p> </div></div></div>
2025/1/3 12:54作者林妍溱https://www.ithome.com.tw/news/166807
Progress修補網管軟體WhatsUp Gold重大層級漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上個月Progress發布資安公告，指出旗下的網管軟體WhatsUp Gold<a href="https://community.progress.com/s/article/WhatsUp-Gold-Security-Bulletin-December-2024">存在漏洞CVE-2024-12105、CVE-2024-12106、CVE-2024-12108</a>，呼籲用戶升級至24.0.2版緩解相關弱點。</p> <p>根據CVSS風險評分，這一波安全性修補當中，最值得留意的是列為重大層級的CVE-2024-12106、CVE-2024-12108，其中又以CVE-2024-12108較為危險，攻擊者可利用公開API的存取WhatsUp Gold伺服器，風險評分達到9.6（滿分10分）。</p> <p>另一個也相當危險的重大漏洞是CVE-2024-12106，因為攻擊者可在未經身分驗證的情況下，竄改LDAP的組態設定，CVSS風險為9.4。</p> <p>至於CVE-2024-12105，該公司指出是資訊洩露弱點，通過身分驗證的攻擊者可利用特製的HTTP請求觸發漏洞，風險評為6.5。</p> <p>值得留意的是，Progress前一次9月修補的WhatsUp Gold漏洞也相當嚴重，其中一個重大層級漏洞CVE-2024-8785，通報此事的資安業者Tenable<a href="https://www.ithome.com.tw/news/166345">於12月公布概念性驗證程式碼（PoC）與相關細節</a>。</p> </div></div></div>
2025/1/3 11:20作者周峻佑https://www.ithome.com.tw/news/166805
研究人員揭露新的DoubleClickjacking手法，能繞過點擊劫持防護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>現今多數網站都已加入防範點擊劫持（clickjacking）攻擊手法的措施，不過安全研究人員<a href="https://www.paulosyibelo.com/2024/12/doubleclickjacking-what.html" target="_blank">揭露</a>此類攻擊的變種版，能繞過既有防護而攻擊網站用戶。</p> <p>點擊劫持攻擊已流行逾十年，它又叫UI覆蓋（UI Redressing）攻擊，原理是攻擊者將惡意頁面或惡意視窗覆蓋在正規頁面或視窗上，讓不知情的用戶點入，以導向惡意網站或下載惡意程式。但近年現代瀏覽器都已經加入防制措施，它們將所有cookies預設為「SameSite: Lax/Strict」防止第三方網頁cookies或Header預設加入「X-Frame-Options」防止內嵌不明網頁等。這些能成功防止大部份點擊劫持攻擊。</p> <p>研究人員Paulos Yibelo說明新的點擊劫持，他命名為雙點擊劫持（DoubleClickjacking）。和原始攻擊方法不同的是，這方法利用二次連續的點擊，並說能繞過所有已知的點擊劫持防護，不論是SameSite: Lax/Strict或是X-Frame-Options header，而且可能在許多網站都可行。</p> <p>這手法原理是二次點擊的時間點和順序。首先，攻擊者建立一個主要（惡意）網頁，上有按鍵，誘騙用戶按下讀取回饋或看影片。當他按下按鍵時，會跳出新視窗蓋住原有網頁，新視窗要求使用者完成任務，例如CAPTCHA。同時間，攻擊者聲東擊西，原有網頁上的JavaScript將主要（惡意）網頁換成攻擊者想要登入的目標合法網站，例如網銀或Gmail。</p> <p>新跳出的CAPTCHA視窗會要求用戶雙擊，這雙擊分別有作用。這視窗頁會聽取mousedown 事件，當它聽到第一聲點擊即迅速關閉CAPTCHA視窗，曝露出已被置換的合法網站。用戶的第二點擊會讓自己按到授權按鍵，他可能同意了某些事，但他並不知情。</p> <p>Yibelo說，透過這攻擊手法，攻擊者可以讓受害者同意安裝外掛、讓OAuth應用程式連到自己的帳號，或是關閉安全設定如多因素驗證（MFA）、刪除帳號、同意匯款、同意存取等目的。</p> <p>DoubleClickjacking攻擊能影響幾乎所有網站。安全研究人員貼出的示範影片顯示能劫持Slack、Shopify和Salesforce帳號。此外，新手法也能影響瀏覽器外掛，如加密貨幣電子錢包，或是VPN。</p> <p><span style="color:#B22222;"><strong>防範措施</strong></span></p> <p>最後，為防止新種點擊劫持，研究人員說，加入用戶端防護可避免攻擊，像是預設關閉按鍵、上傳鍵，除非偵測到用戶滑鼠和按鍵動作，否則不得啟動行為。研究人員說，已加入防護的網站包括Dropbox、Stripe 和GitHub。</p> <p>研究人員表示，長期而言，瀏覽器應該要採用新的技術，例如第一代X-Frame-Options或 frame-ancestors防護第一代點擊劫持。例如伺服器header要能告訴瀏覽器禁止在二次點擊期間置換網頁視窗、防止UI覆蓋，雲端業者的伺服器header也應考量此類情境。若瀏覽器業者還沒有這類技術，處理OAuth驗證、支付驗證等高權限行為的網頁開發則應加入防範script。</p> </div></div></div>
2025/1/3 11:56作者林妍溱https://www.ithome.com.tw/news/166806
金色三麥用數位科技創新體驗，靠IT邁向數位化及智慧化營運
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一踏進金色三麥集團位於臺北大巨蛋的新餐館，映入眼簾的是中央高掛的一座巨型環狀電子看板。這個獨特看板仿照美國股票交易所的設計，顯示出不同酒類名稱、交易代號及當前價格。</p> <p>看板下方是自助取酒牆，顧客將卡片插入想喝的酒品卡匣內，就可自己取酒，並依照該酒當前的交易價格付款。一款酒的需求若增加，其價格會同步上漲，來反映該款酒的熱門程度。</p> <p>這套電子酒精交易所平臺不僅僅是金色三麥集團運用數位科技打造創新餐飲服務和互動體驗的最新嘗試，更是這家20年本土餐飲集團近年加速數位轉型推動的重要成果之一。</p> <p>金色三麥餐飲資管處協理吳冠達表示，這套平臺不僅增加顧客的互動體驗，未來還能通過POS系統取得這些消費數據，用於分析顧客習慣及偏好，作為未來集團內部營運和行銷策略的參考依據。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>集團積極推動數位轉型，朝向數位化、智慧化營運邁進</strong></span></span></p> <p>金色三麥集團自2014年起採取多元化品牌策略，品牌數從3至4個迅速增長至10個，門市數由約10間擴增至39間，會員數更成長達60萬名。隨著門市和會員迅速增長，金色三麥也開始加速內部轉型，運用各種數位科技與IT技術，來優化服務流程與作業效率，以應對市場需求的快速變化。</p> <p>自2019年起，金色三麥開始積極推動數位轉型，借助IT與智慧化技術推動集團朝向數位化、智慧化營運邁進。</p> <p>吳冠達於2022年接任集團資訊主管後，花了一年多全面盤點各項系統，訂定整併與流程優化計畫，並優先將門市叫貨與採購流程列為改造重點。</p> <p>他表示，過去因庫存資訊更新不及時，門市與後勤單位的數據常有不同步的情況，後來導入PSIM叫貨管理系統，優化門市內部叫貨與出貨流程，讓門市與後勤流程更加順暢，也確保了資訊的一致性與即時性。</p> <p>在採購流程方面，過去採購單位和供應商的溝通並不透明，常常是透過郵件往返，缺乏統一溝通和協同平臺。為此，資訊部門在2024年導入SRM供應鏈管理系統，簡化內部採購流程，讓採購和上下游供應商能夠在同一個平臺進行溝通和協同，減少訊息傳遞的誤差，並與ERP系統進行整合，進而提升整體供應鏈管理效率。</p> <p>不只軟體升級，金色三麥的開發策略也歷經重大轉變，最早期採全面委外， 2013年時改為全面自主開發，到了2022年吳冠達上任後，又決定重新調整策略，從過去的自主開發逐步轉向委外開發的模式為主，以因應集團未來的營運發展需求。</p> <p>吳冠達指出，自行開發的優勢在於高度自主與整合能力，但同時也可能增加IT人員負擔，隨著需支援的集團品牌越來越多，現有的資訊人力難以應付這些開發需求。改為委外合作模式，雖然彈性較低，但可以快速參考並套用各種樣板，並能快速使用廠商最新功能，讓現有IT人員能專注於內部系統的優化與管理，例如，ERP和EIP電子流程簽核等。</p> <p>目前如CRM等系統是採用委外，但吳冠達強調，會根據需求保留內部開發的彈性。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>結合智慧自助取酒牆系統，取得更細緻的顧客數據擬定行銷對策</strong></span></span></p> <p>金色三麥集團很早就開始善用數據，不僅透過數據分析提升營運效率與決策品質，也用來了解顧客用餐和飲酒偏好。</p> <p>金色三麥早就有一套自己的客製App，搭配優惠卷等方式，了解客群的喜好，會員系統更在2018年進行大改版，支援線上會員消費累積與集點，並於2022年串接電商平臺，整合線上線下銷售流程，也能累積更多顧客消費數據。</p> <p>但是，金色三麥集團在門市顧客偏好數據蒐集上，一直以來面臨一個難題，會員機制只能掌握到顧客整桌的用餐和飲酒消費情況，無法細分出每一位顧客的個別偏好，也就沒辦法根據更細緻的資訊來擬定行銷對策。</p> <p>為了解決這個問題，資訊團隊在門市導入了智慧自助取酒牆系統，結合儲值功能，記錄每位會員的飲酒偏好。</p> <p>吳冠達表示，過去門市只能通過消費品項了解顧客的整體飲酒情況，無法掌握到每位顧客的個別偏好，透過這套自助取酒系統，門市可以更精確地了解顧客的喜好。</p> <p>這套智慧自助取酒牆系統在2023年上線，並陸續在旗下多家品牌餐廳推出。他指出，透過顧客取酒過程收集的數據不僅反映在產品開發上，也應用於行銷策略中。例如，顧客的酒類偏好可以作為未來新款啤酒開發的依據，協助調整配酒策略，決定下一季要推出的酒類款式，同時配合行銷活動。</p> <p>更進一步，金色三麥在2024年新品牌的餐廳中，以這套自助取酒牆系統為基礎，打造出了電子酒精交易所平臺，模擬股票交易所的運作模式，提升顧客的數位互動體驗。</p> <p>吳冠達指出，電子酒精交易所平臺包括兩套系統，一套是酒精交易系統，另一套是智慧自助取牆酒系統。酒精交易系統負責記錄各種酒類的即時價格及交易資訊；而自助取酒牆系統則讓顧客自主選擇並根據即時交易價格進行付款，實現價格與需求的動態匹配。他說，每半小時，系統依據消費者使用的實際交易狀況調整銷售價格。</p> <p>電子酒精交易所系統雖由外部廠商開發，但資料整合全由金色三麥IT團隊負責。他表示，導入過程面臨不少挑戰，特別是在資料整合上，不只需要與既有系統串接，如消費、儲值等，還要與 POS、ERP系統進行整合。此外，需要將這些數據整合後進行分析，支持業務決策與流程優化。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1215-CIO-600-%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89.JPG" style="width: 600px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">攝影／洪政偉</span></span></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>結合AI機制提供叫貨建議，協助門市預測每日所需貨量</strong></span></span></p> <p>不只導入各種數位科技工具，來提升顧客服務與互動體驗，金色三麥集團近幾年也開始應用AI技術，來優化內外服務流程。例如在門市叫貨上，結合AI機制提供叫貨建議，協助門市預測每日所需貨量，提高叫貨精準度。</p> <p>吳冠達表示，過去，金色三麥集團的叫貨主要依賴門市店長的經驗，但由於每家店的情況不同，這些經驗在轉換門市時往往無法直接適用，從而影響叫貨的準確性，必須由總部進行管控，因而增加管理的負擔。</p> <p>為了解決這個問題，IT部門近來開始運用公雲機器學習服務，結合門市和外部資料（如天氣、節慶等），提供銷售預測和叫貨建議，幫助門市管理者做出更準確的叫貨決策，避免因為庫存不足等因素，而錯失了銷售的機會，也可供新手店長參考，提升管理效率。</p> <p>金色三麥集團還將AI技術應用到各部門，來解決各自的痛點，例如，客服部門平均每月要處理超過3萬則顧客的意見回饋，包含紙本、客服與網路管道，光是在瀏覽和整理這些顧客回饋就需要大量人力，給客服人員帶來不少負擔。後來，利用雲端供應商的大型語言模型，搭配提示工程開發出顧客評論LLM助手，相較於傳統人工整理，只需約3∼5分鐘就能歸納所有來源的顧客評論，不僅大幅節省時間和人力，也幫助客服人員迅速彙整回饋內容，以便快速修正改善。</p> <p>不僅如此，目前金色三麥其中一家門市正進行AI語音客服的POC測試，希望能夠減輕客服人員的負擔，並提高服務效率。</p> <p>出乎意料的是，在擔任金色三麥IT主管之前，吳冠達都是在其品牌部門專注數位行銷，但這段經驗也讓他能在接任IT職務後，更能從公司營運發展與數位行銷角度出發，規劃並整合相關系統與流程。</p> <p><span style="font-size:28px;"><span style="color:#B22222;"><strong>建立IT的武功秘笈，縮短人員的學習曲線</strong></span></span></p> <p>在管理上，吳冠達有自己一套IT管理做法。例如，他上任後要求IT團隊落實對系統開發過程進行詳細記錄，包括步驟圖解和文字說明。</p> <p>他表示，這樣做的目的是要確保每個問題與解決方案都被完整保存下來，方便後續人員依循既定步驟快速完成任務，即使是新手也能迅速掌握基本操作，縮短學習曲線。</p> <p>「這就是一本IT的武功秘笈。」他表示，這種詳實記錄的做法不僅幫助新進員工快速熟悉工作，也能在遇不熟悉的系統或操作時，避免重複學習，提升整體的工作效率和知識傳承。</p> <p>另一方面，吳冠達也強調跨部門溝通的重要性。尤其在餐飲業中，資訊人員不多，他提到，過去是由他負責匯整需求並指派工作，讓IT人員能專注於自身任務，但有時可能因為訊息轉達不清或反應不及時，導致誤解或延遲，影響工作效率。</p> <p>吳冠達強調：「我們的業態變化非常快，IT人員需要逐步調整心態，學會直接與使用者溝通，而不是閉門造車，才能確保開發的產品真正符合需求。」</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>規畫免實體的虛擬儲值功能，顧客用App就能儲值與支付</strong></span></span></p> <p>他提到2025年的集團IT發展重點，除了將持續對新系統進行整合與流程優化，包括PSIM、SRM系統等，確保服務的穩定性外，也將不斷優化酒精交易所系統，例如目前付款方式僅透過實體儲值卡，未來將提供更多元付款選項，包括虛擬儲值卡，讓顧客可直接透過App進行儲值與支付。</p> <p>此外，下一步還將整合POS系統用於數據分析。但由於酒精交易所平臺採用的是動態或浮動價格的銷售模式，這與傳統固定價格的銷售模式不同，因此，他提到說，未來整合POS系統後，財務和IT部門也需要有相應的搭配機制。</p> <p>吳冠達強調，隨著技術的進步，雖然許多餐廳服務已經高度自動化，例如自動點餐和機器人送餐服務已經出現，或像使用QR碼點餐的方式，但他認為，這些應用場景雖然便利，但也少了溫度和人情味。</p> <p>他指出，現場服務人員與顧客的互動仍是餐飲業的核心，因此IT部門並非要一味追求自動化，而是要在自動化與人際互動間取得平衡。</p> <hr /> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></p> <p><span style="color:#3399ff;"><strong>金色三麥餐飲資管處協理吳冠達</strong></span></p> <p>學歷：不列顛哥倫比亞理工學院電子工程學士</p> <p>經歷：曾於精簡型電腦公司負責軟體系統的開發，並在網路資通訊擔任過業務工程師推廣教學軟體，亦曾創業從事電商行銷流通。2014年加入金色三麥品牌部門專注數位行銷，2022年因組織調整接任資管處協理一職，帶領IT團隊整合集團內外系統並優化流程</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1215-CIO-300-%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 300px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><span style="color:#3399ff;"><strong>金色三麥餐飲集團</strong></span></p> <p>●地址：新北市三重區新北大道二段260號1樓</p> <p>●網址：<a href="http://www.lebledor.com">www.lebledor.com</a></p> <p>●成立時間：2004年</p> <p>●主要業務：精釀啤酒釀造銷售、餐廳經營、各式飲品銷售等業務</p> <p>●員工數：758人（截自2024年11月底）</p> <p>●董事長：葉冠廷</p> <p>●總經理：葉淑芬</p> <p>●資本額：2.19億元</p> <p>●年營收：約19.5億元（2023年）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>●資訊部門主管職稱：協理</p> <p>●資訊部門主管姓名：吳冠達</p> <p>●資訊部門名稱：資管處</p> <p>●資訊部門人數：4人</p> <p>●資訊部門分工：營運銷售系統部門（網管工程維運＆POS營運銷售系統維運與整合）、資訊應用發展部門（ERP、EIP、SRM、PSIM等系統維運與程式開發）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2013年：門市POS銷售系統評估與轉換</p> <p>●2014年：開始評估與導入ERP系統</p> <p>●2017年：CRM系統評估與導入</p> <p>●2018年：CRM行銷系統整合LINE OA</p> <p>●2021年：展開POS系統評估與轉換</p> <p>●2023年：導入PSIM系統、導入SRM系統、雲端銷售預測／叫貨預估導入、智慧自助取酒牆系統推出上線</p> <p>●2024年：PSIM/SRM/EIP/POS系統與ERP系統整合與優化、集團旗下新品牌電子酒精交易所平臺上線</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1215-cio-960-she_ying_hong_zheng_wei_.jpg" width="960" height="420" alt="" title="金色三麥餐飲資管處協理吳冠達　（攝影／洪政偉）" /></div></div></div>
2025/1/3 09:27作者余至浩https://www.ithome.com.tw/people/166802
銷售遲緩，蘋果傳已在2024年底停產Vision Pro
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>媒體報導，由於銷售不佳，蘋果可能已在2024年底完全停產價格不斐的Vision Pro，以便新的一年能消化庫存。</p> <p>The Information10月底引述密切相關消息人士<a href="https://www.theinformation.com/articles/apple-sharply-scales-back-production-of-vision-pro" target="_blank">報導</a>，蘋果去年第三季就製造50萬到60萬臺Vision Pro，相信已經足以滿足2025年的銷量，因此決定在2024年完全停產這個售價3,499美元的混合實境頭戴裝置。</p> <p>蘋果2024年<a href="https://www.apple.com/newsroom/2024/01/apple-vision-pro-available-in-the-us-on-february-2/" target="_blank">1月</a>開放預購Vision Pro，並在2月初從美國<a href="https://www.ithome.com.tw/news/160942" target="_blank">開始銷售</a>。雖然獲得媒體普遍良好評價，蘋果也致力於開發內容，但高不可攀的訂價及缺少殺手級應用，仍然讓Vision Pro難逃其他VR/AR裝置欠缺銷售動能的命運。</p> <p>報導指出，早在去年5月，Vision Pro部份產線就已經減少生產，導致倉庫內堆滿大量零件。10月時，Vision Pro的中國代工廠立訊精密每天還是生產1000部，因而蘋果要求自11月逐步停產，並在2024年底完全停產。</p> <p>去年4月分析師就<a href="https://www.ithome.com.tw/news/162500" target="_blank">預期</a>，蘋果內部將第一年的Vision Pro銷量由原本的70-80萬臺下調到30-40萬臺。若是對其他業者，這些銷量都值得慶幸，但對一季銷售數千萬支iPhone、數百萬支Apple Watch的蘋果來說難以接受。但是停產Vision Pro應是為了消化庫存，因為產線設備至少到第四季都還保留。</p> <p>在減產第一代Vision Pro的同時，業界<a href="https://www.ithome.com.tw/news/163634" target="_blank">傳言</a>，蘋果已開始規畫低價版Vision Pro。媒體<a href="https://www.macrumors.com/2024/10/23/apple-may-stop-producing-vision-pro-by-end-of-2024/" target="_blank">報導</a>，蘋果要求供應鏈備貨400萬低價版裝置。不過這個數字是Vision Pro最初規畫的一半，顯示蘋果現在對MR頭戴裝置的企圖心已經小很多。</p> </div></div></div>
2025/1/3 10:05作者林妍溱https://www.ithome.com.tw/news/166804
LG Gram筆電導入混合式AI，本地端執行自家Exaone開源模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>LG<a href="https://www.lg.com/us/press-release/lg-hybrid-ai-gram-laptops">發表</a>全新Gram系列筆電，採用了Copilot+ PC雲地混合人工智慧架構，並在裝置端執行LG自家開發的Exaone語言模型，讓用戶在本地即可完成多樣化人工智慧運算需求，並透過雲端支援提供更強大的運算效能。</p> <p>微軟所定義的Copilot+ PC對硬體規格有著明確要求，需配備運算能力至少達到40 TOPS的NPU、16 GB記憶體、256 GB的SSD儲存空間，並具備全天電池續航力。LG新的Gram筆電採用英特爾最新的Core Ultra處理器，透過內建的NPU（Neural Processing Unit）符合算力門檻，能支援Copilot+即時字幕和圖像生成等功能。</p> <p>新一代Gram系列筆電搭載英特爾Core Ultra系列處理器，其中Gram Pro 16Z90TS是LG首款支援微軟Copilot+標準的筆電，搭載針對人工智慧應用的Lunar Lake處理器，最高支援32GB的LPDDR5X記憶體。另一款新型號Gram Pro 17Z90TR則配備更大的17吋螢幕，並採用更高性能的Arrow Lake處理器，該系列處理器在效能表現上超越Lunar Lake，適合需要更高運算效能的用戶。</p> <p>此外，LG新系列中還包含Gram 16T90TP和Gram Book。前者是二合一筆電，規格接近17Z90TR，但具備平板模式，提供更多使用靈活性，後者則為入門級機型，配備15.6吋螢幕、英特爾Core i5處理器、16 GB記憶體及最高1 TB的儲存空間，滿足使用者的基本生產力需求。</p> <p>除了硬體效能的提升，LG也將自家開發的Exaone語言模型導入新的Gram系列，透過gram chat On-Device功能，使用者即便在沒有網路連線的環境下，也能進行人工智慧運算，包括快速搜尋本機檔案、文件和網頁瀏覽紀錄。對於進階人工智慧功能需求的用戶，LG Gram筆電則提供雲端支援，藉由連結GPT-4o等大型語言模型，滿足更高階的需求。</p> <p>Exaone模型是LG AI Research開發的英文和韓文雙語模型，針對高效語言處理和本地運算需求設計，該模型支援最大上下文長度達32,768 Tokens，適合文件摘要、複雜內容創作等應用。因為Exaone經過指令調校，提升執行特定任務的準確性，並針對資源受限的裝置強化，使其能在裝置端低延遲運作，兼具高隱私性與成本效率。</p> <p>有別於單純仰賴微軟提供的雲端技術和大型語言模型，來實現Copilot+ PC核心人工智慧功能，LG採取另一種策略，在混合人工智慧架構中運行自家訓練的Exaone語言模型，對本地運算能力和模型掌握更大的自主權。</p> </div></div></div>
2025/1/3 08:43作者李建興https://www.ithome.com.tw/news/166801
【GPU直連存取與基礎網路架構齊頭並進，打通AI資料傳輸的瓶頸】2025 AI資料傳輸架構新進展
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1215-feng_mian_1-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI技術的興起，帶來AI訓練資料量的大幅增長，大語言模型（LLM）訓練的資料集，動輒達到TB或數十TB等級，對於較具規模的AI應用環境，保有數百TB甚至PB等級的訓練資料集，都已是現實。</p> <p>而隨著AI訓練使用的資料量持續暴漲，也促使當前AI應用的瓶頸，逐漸從運算能力轉向I/O吞吐能力。低落的後端網路效率，將會導致GPU運算能力的極大浪費。</p> <p>如AMD在不久前的Advancing AI大會中便舉例指出，在當前AI模型訓練過程中，平均有30%的時間是耗費在等待網路傳輸上，在一些較極端的例子中，網路傳輸耗時占訓練時間的比例，甚至達到40%到75%。</p> <p>因而如何提升I/O傳輸速度，以便在GPU伺服器與儲存裝置之間，更有效率地傳輸龐大的資料，已成為與擴展運算能力同等重要的AI應用議題，也是當前儲存與網路業界的技術發展焦點之一。</p> <p>儲存裝置向GPU伺服器傳送資料的效率，涉及儲存設備本身的輸出能力，以及傳輸通道的效能。</p> <p>當前的主流儲存設備大多可透過橫向擴展的叢集架構，藉由大量節點匯聚出龐大的輸出能力，因而傳輸瓶頸通常是落在傳輸通道方面，常見的改善手段有下列兩種：</p> <p>一種是從上層的應用程式軟體著手，在儲存裝置與GPU之間建立直接記憶體存取架構，藉此減少傳輸環節，達到減少存取延遲的效果。這方面最典型的應用，便是Nvidia的GPUDirect Storage直連傳輸技術。</p> <p>另一種是從底層的網路硬體著手，升級網路基礎架構，包括採用傳輸頻寬更高的網路規格，或是改進的傳輸協定，從而達到提高吞吐率、減少存取延遲的效益。例如引進400 GbE、800 GbE規格網路、以及使用基於RDMA架構的RoCE協定等。</p> <p>過去2年來，我們對AI應用I/O架構議題的關注，主要是放在GPU直連架構方面，陸續在2023年12月的封面故事<a href="https://www.ithome.com.tw/article/160493" target="_blank"><span style="color:#3366ff;">《GPU直連I/O崛起》</span></a>，與2024年10月的封面故事<a href="https://www.ithome.com.tw/article/165672" target="_blank"><span style="color:#3366ff;">《企業儲存市場新動能：GPU直連儲存系統》</span></a>，以Nvidia的GPUDirect與GPUDirect Storage技術為中心，針對Nvidia發展的一系列GPU直連傳輸架構，介紹AI資料傳輸加速技術的應用現況。</p> <p>關於新一代網路架構的探討與追蹤方面，我們在2024年8月封面故事<a href="https://www.ithome.com.tw/article/164269" target="_blank"><span style="color:#3366ff;">《2024資料中心I/O架構新面貌》</span></a>，概略檢視了AI應用主流網路架構的發展現況，包括乙太網路與InfiniBand等技術。</p> <p>近兩、三個月以來，針對改善AI應用I/O傳輸效率的需求，儲存與網路領域又有了一系列新進展，分別涵蓋GPU直連傳輸應用，以及基礎網路架構等兩個層面，也促使我們很快又再次回到這個領域，檢視這些新發展。</p> <hr /> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1215-%E5%B0%81%E9%9D%A21-600-JPG.jpg" style="width: 600px;" /></p> <p><span style="font-size: 24px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 提高AI儲存資料傳輸效率的2條路徑 </span></strong></span></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>要改善儲存裝置饋送資料給AI伺服器的傳輸效能，一般可從兩條途徑著手。</strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>一是從上層的應用程式著手，在儲存裝置與GPU之間建立直接記憶體存取（DMA）架構，使儲存裝置能直接將資料載入GPU記憶體，繞開AI伺服器主機CPU的中介，從而減少存取延遲，降低CPU負擔，最典型的應用架構，便是Nvidia的GPUDirect Storage（GDS）。</strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>二是從底層的基礎網路架構硬體著手，升級儲存裝置與GPU之間的網路架構，藉此可以擴展資料傳輸頻寬，並減少存取延遲。典型的做法如引進400GbE、800GbE等更高頻寬的網路，或是採用RoCE等低延遲網路傳輸協定。</strong></span></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">資料來源：iThome整理，2025年1月</span></span></p> <hr /> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>GPU直連傳輸生態系的再次擴展</strong></span></span></p> <p>在GPU直連傳輸應用方面，近來出現兩項關鍵進展</p> <p>首先，是Nvidia GPUDirect Storage（GDS）傳輸架構的應用生態系，又有重要的擴展。幾家重量級IT廠商，包括：公有雲服務業者龍頭AWS、老牌企業儲存廠商Quantum等，都在2024年底，加入支援GDS架構行列，Nutanix也預告支援這項架構。</p> <p>其次，有其他廠商加入戰局，推更多GPU直連儲存傳輸架構。</p> <p>基本上，Nvidia GDS屬於檔案層級的資料傳輸架構，因而並不適用於物件（Object）儲存設備，這也限制了物件儲存設備在GPU應用環境中的效能表現。</p> <p>令人意外的是，MinIO與Cloudian這兩家物件儲存廠商，不約而同地在2024年底，發表物件儲存層級的GPU直連傳輸架構，為GPU直連傳輸應用帶來重要的擴展，從GDS原本涵蓋的檔案儲存類型服務，如今得以擴展到物件儲存領域，讓GPU直連儲存傳輸架構能應用到更廣泛的環境中。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1215-%E5%B0%81%E9%9D%A21-600.jpg" style="width: 600px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> GPU直連儲存傳輸技術擴展到物件儲存領域 </span></strong></span></p> <p><strong><span style="color: rgb(105, 105, 105);">Nvidia的GPUDirect Storage是當前GPU直連儲存傳輸架構主流，但只適用於檔案層級，而MinIO與Cloudian則自行發展出物件層級的GPU直連架構，圖為Cloudian的GPUDirect for Object Storage，可在儲存設備與Nvidia GPU之間，透過S3物件儲存協定執行GPU直連儲存傳輸。</span></strong><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／Cloudian</span></span></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>新世代乙太網路的新進展</strong></span></span></p> <p>除了GPU直連傳輸，在更底層的基礎網路架構領域，也在2024年下半出現突破性進展。</p> <p>GPU直連傳輸與基礎網路架構的升級，都能幫助AI資料傳輸效率的提升，但兩者的著眼點，與運作層次不同。</p> <p>在網路通訊架構中，GPU直連傳輸應用屬於上層的應用層，是在既有的網路基礎架構下，透過直接記憶體存取技術來優化資料傳輸路經，達到減少存取延遲的效果，但所能達到的吞吐能力上限，取決於底層基礎網路架構的傳輸能力上限。</p> <p>所以基礎網路架構的升級，是比GPU直連技術更為根本、也更釜底抽薪的改進傳輸效率手段。</p> <p>如同高效能運算（HPC）領域，當前AI應用的主流基礎網路架構，也分為InfiniBand與RDMA乙太網路這兩種，其中，InfiniBand擁有效能與可靠性優勢，但成本相對高昂；乙太網路則勝在低成本，以及技術與產品普及，但效能與前者有顯著落差。</p> <p>所以，追求極致效能的用戶，傾向選擇InfiniBand；對成本敏感的用戶，則只能選擇乙太網路。</p> <p>有鑑於Nvidia在InfiniBand網路產品的壟斷，多家IT大廠集結、組成超級乙太網路聯盟（Ultra Ethernet Consortium，UEC），試圖從改進乙太網路協定著手，發展出足以與InfiniBand競爭的超級乙太網路傳輸（Ultra Ethernet Transport，UET）協定。</p> <p>不過，UEC聯盟的規範制定工作出現遲延，UET協定仍未正式實用化的此刻，身為全球電動車龍頭廠商、同時，在自動駕駛與AI應用著力甚深的特斯拉（Tesla），便率先在改善乙太網路效能方面，提出開創性的成果。</p> <p>在2024年8月的Hot Chips 2024大會，特斯拉發表基於乙太網路的新通訊協定TTPoE（Tesla Transport Protocol over Ethernet），在乙太網路底層堆疊上，結合新開發的資料傳輸層架構，大幅減少了資料傳輸延遲，從而能提供基於通用的乙太網路技術，但效能更勝既有的RoCE協定，使其成為足以與InfiniBand競爭的新協定，進而也在乙太網路與InfiniBand的規格競爭中，為乙太網路陣營注入一劑強心針。</p> <p>而UEC聯盟透過發展UET協定，所希望達到的一部分目標，TTPoE已在一定程度上予以實現，並且已被實際用在特斯拉自身的Dojo超級電腦。</p> <p>隨著特斯拉在Hot Chips 2024大會宣布將加入UEC聯盟，並將開放TTPoE協定，而有了這項協定之後，可望在未來的乙太網路發展中，發揮重要的作用，同時，也將大大改變AI與高效能運算領域的基礎網路架構生態。</p> <p><a href="https://www.ithome.com.tw/article/166794" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1215-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=kRE_ydZh" style="width: 550px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/ai">AI</a></div><div class="field-item odd"><a href="/tags/io%E6%9E%B6%E6%A7%8B">I/O架構</a></div><div class="field-item even"><a href="/tags/gpu%E7%9B%B4%E9%80%A3%E5%82%B3%E8%BC%B8">GPU直連傳輸</a></div><div class="field-item odd"><a href="/tags/%E6%96%B0%E4%B8%96%E4%BB%A3%E4%B9%99%E5%A4%AA%E7%B6%B2%E8%B7%AF">新世代乙太網路</a></div></div></div>
2025/1/3 06:00作者張明德https://www.ithome.com.tw/tech/166788
【Nvidia GDS生態擴大，基於物件儲存的GPU直連傳輸架構問世】GPU直連儲存傳輸架構的擴展
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1215-feng_mian_2-960_tu_pian_lai_yuan_-aws.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>所謂的GPU直連儲存傳輸，是指在儲存裝置與GPU之間，建立直接記憶體存取（Direct Memory Access，DMA），使儲存裝置直接將資料載入GPU記憶體，透過這種方式，可讓資料傳輸路徑，繞開主機CPU記憶體回彈緩衝區（Bounce Buffer）的中介，免除不必要的資料複製作業，並避開因主機CPU導致的效能瓶頸，不僅減少存取延遲，也有助於減輕主機CPU負荷。</p> <p>Nvidia於2019年中發表的GPUDirect Storage（GDS）技術架構，是當前GPU直連儲存傳輸技術的開創者與領導者，憑藉Nvidia在GPU領域的壟斷性地位，自2021年起，已陸續獲得多家廠商與產品平臺支援，在不久前的2024年底，又有數家廠商加入。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>Nvidia GDS支援生態系的新擴張</strong></span></span></p> <p>蔚為市場主流的GDS架構，先後獲得十多家儲存廠商的支援，例如，2021年有DDN、Dell、Hitachi Vantara、HPE、IBM、VAST與Weka，以及ScaleFlux；2022年有NetApp、Kioxia，2023年有華為、美光、PEAK:AIO。在2024年，又有Hammerspace、WD與Pure Storage。</p> <p>在我們上次介紹GDS時（去年10月），支援GDS的儲存廠商生態系大致就是這些，基本涵蓋所有一線儲存大廠，以及重要的新創廠商。自那時到現在的短短3個月之內，又接連有AWS、Quantum等廠商宣布支援GDS架構，Nutanix也再次預告將支援這項架構，等於更進一步擴展了GDS的應用生態系。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> AWS的FSx for Lustrez服務 </span></strong></span></p> <p>在2024年11月底，AWS宣布為其Amazon FSx for Lustre檔案儲存服務，新增對於EFA網路卡（Elastic Fabric Adapter），以及GDS傳輸架構的支援。</p> <p>Amazon FSx for Lustre是AWS基於Lustre平行檔案系統，所提供的高效能、高擴展性SaaS檔案儲存服務，無論IOPS或傳輸效能，都是AWS旗下一系列SaaS檔案儲存服務中最高的。而透過引進EFA網路卡與GDS傳輸架構，AWS宣稱，比起先前的FSx for Lustre服務，可為每臺用戶端執行個體提供高出12倍的資料傳輸吞吐率。</p> <p>EFA是專搭AWS EC2執行個體的網路介面，透過運行AWS專屬的可擴展可靠資料封包（Scalable Reliable Datagram，SRD）協定，能夠在EC2執行個體之間建立網路連線，並且可以繞過作業系統執行資料傳輸作業，達到減少延遲、提高傳輸速率的目的。</p> <p>FSx for Lustre對GDS的支援，透過EFA網路介面構建，使FSx for Lustre檔案系統與EC2 GPU型執行個體的資料傳輸，繞過CPU的中介，從而減少延遲，提高傳輸效率。</p> <p>目前AWS是在FSx for Lustre最新的持久性2型（Persistent 2）服務上，提供EFA與GDS的支援，而且用戶無須額外付費，就能啟用這2項功能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1215-%E5%B0%81%E9%9D%A22-600_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-AWS.png" style="width: 600px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(105, 105, 105);"> AWS FSx for Lustre新增支援GDS直連傳輸 </span></strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>AWS已在FSx for Lustre儲存服務最新的持久性2（Persistent 2）類型，提供EFA網路介面與GDS直連傳輸架構的支援，比起上一代服務，傳輸吞吐率可提升12倍。上圖為FSx for Lustre基本應用架構，透過支援EFA網路介面，可在儲存區與EC2執行個體之間進行高效率網路傳輸，並與EC2 GPU執行個體建立GDS直連傳輸。</strong>圖片來源／AWS</span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> Quantum的Myriad平臺 </span></strong></span></p> <p>Quantum在不久前的2024年12月中旬，宣布旗下的Myriad分散式物件與檔案儲存平臺，已經能夠支援Nvidia GDS傳輸架構。</p> <p>基本上，Myriad是Quantum在原有的物件與檔案儲存平臺ActiveScale之外，於2023年4月發表的新一代高效能型分散式儲存系統，</p> <p>早在Myraid發表之初，Quantum便已預告將會支援Nvidia GDS架構，時隔一年半之後，Quantum如今終於透過新開發出來的平行檔案系統用戶端軟體（Parallel File System Client），實現這個目標，藉此可讓Myriad儲存叢集以GDS架構連結GPU伺服器。</p> <p>目前Quamtum預定從2025年第1季起，開放現有Myraid用戶透過搶先體驗計畫（Early Access Program）申請，進行平行檔案系統用戶端軟體的評估及試用，然後在2025年第2季正式發布。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1215-%E5%B0%81%E9%9D%A22-600_2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Quantum.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(105, 105, 105);"> Quantum Myriad提供GDS直連儲存 </span></strong></span></p> <p><span style="color: rgb(105, 105, 105);">Quantum在2023年初發表Myriad儲存平臺時，便已預告將會支援Nvidia GDS傳輸架構，但直到2024年底，才藉由新發布的平行檔案系統用戶端軟體，兌現這項功能。上圖為Myriad發表時提出的功能框架，可見到Nvidia GPUDirect已被列入用戶端存取支援架構之一。<span style="font-size: 14px;">圖片來源／Quantum</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> Nutanix的NUS平臺 </span></strong></span></p> <p>Nutanix其實早在2024年7月，該公司執行長Rajiv Ramaswami便曾公開預告，對Nvidia GPUDirect架構提供支援，並且已列入他們的發展路線圖，但並未提供進一步的消息。直到11月底，Nutanix資深副總裁兼總經理Vishal Sinha才於新發表的技術白皮書文件《Scaling Storage Solutions for Foundation Model Training》，正式確認Nutanix的NUS儲存平臺（Nutanix Unified Storage）對GDS的支援，以及採用的架構。</p> <p>NUS是Nutanix以其AOS系統為基礎，延伸發展的儲存方案，AOS原本是搭配Hypervisor應用的分散式儲存系統，與Hypervisor整合為超融合部署架構。NUS則可視為AOS的「獨立儲存產品化」版本，既可採用超融合架構部署，也能獨立部署、或在雲端部署，繼承了AOS的高擴展性，以及橫跨區塊、檔案與物件儲存服務的多協定服務能力。</p> <p>Nutanix資深副總裁兼總經理Vishal Sinha在白皮書表示，NUS將透過整合Nvidia GDS與NFSoRDMA協定，以增強效能，藉由在儲存裝置與GPU記憶體之間直接傳輸資料、繞過CPU，減少存取延遲與CPU負載，從而加速AI與機器學習工作負載。</p> <p>所謂的NFSoRDMA，完整名稱為NFS over RDMA協定，也就是在RDMA乙太網路環境所執行的NFS檔案傳輸協定，是GDS常用的兩種底層傳輸架構之一（另一是InfiniBand）。</p> <p>但Nutanix迄今仍未發布NUS開始支援GDS的具體時間，我們推測可能會在2025年上半。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>物件層級GPU直連傳輸架構問世</strong></span></span></p> <p>雖然GDS架構能達到減少GPU與儲存裝置間的存取延遲、提高傳輸效率的效率，但應用上也存在一項限制：只適用於檔案層級的資料傳輸。</p> <p>GDS可以支援區塊儲存系統，以及網路附加裝置（NAS）等兩種儲存裝置，但存取都是在檔案層級進行。</p> <p>區塊儲存裝置方面，無論GPU伺服器本機的NVMe SSD，或透過NVMe-oF掛載的外部區塊儲存區（Volume），都需格式化為EXT4或XFS檔案系統的形式，再掛載給GPU伺服器使用。</p> <p>而在NAS方面，支援GDS的外部掛載檔案系統，是透過修改的NFS協定（NFS over RDMA），或是OFED網路介面，將檔案系統空間掛載給GPU伺服器使用。</p> <p>而這也意味著：基於物件層級存取的物件儲存設備，無法獲得GDS架構帶來的傳輸加速效益，進而難以在以Nvidia GPU為核心的AI應用市場，與支援GDS的產品競爭。</p> <p>所以，目前市面上一些物件儲存平臺產品，是透過兼容於物件儲存與檔案儲存的雙重服務能力，以檔案傳輸協定來支援GDS，例如：我們在前面曾介紹的Quantum Myraid，另外還有Pure Storage FlashBlade，以及Weka、VAST Date的平臺等。</p> <p>但MinIO與Cloudian這兩家物件儲存廠商另闢蹊徑，自行發展了物件層級的GPU直連儲存傳輸架構，從而讓物件儲存設備也能獲得GPU直連傳輸的效益。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> MinIO的S3 over RDMA架構 </span></strong></span></p> <p>近來聲勢頗旺的新興物件儲存廠商MinIO，以其物件儲存平臺Object Store為基礎，在2024年11月推出專門對應AI與機器學習應用的版本AIStor，引進了一系列幫助提高AI應用效率的新功能，其中最吸引我們注意的，便是新增對S3 over RDMA協定的支援。</p> <p>顧名思義，S3 over RDMA是基於S3物件儲存協定的RDMA直連存取架構，MinIO宣稱，用戶可以利用這項傳輸協定，透過400GbE、800GbE或更高速度的乙太網路，存取MinIO儲存伺服器上的S3物件，藉此獲得類似Nvidia GDS架構的效益，包括繞過CPU的RDMA直接存取，無須中介緩衝的零複製資料傳輸，卸載CPU負荷，以及更高效率的流量控制等。</p> <p>而藉由引進S3 over RDMA的手段，也促使MinIO的物件儲存平臺，現在已經具備角逐AI儲存應用市場的同等條件，能與眾多支援GDS架構的平行或分散式檔案儲存系統抗衡，可以憑藉同等的條件進行產品與技術的競爭。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> Cloudian的GPUDirect for Object Storage架構 </span></strong></span></p> <p>幾乎與MinIO同時，另一物件儲存廠商Cloudian也在2024年11月，發表自身的物件儲存GPU直連傳輸技術：GPUDirect for Object Storage，與其HyperStore物件儲存平臺搭配運用。</p> <p>Cloudian宣稱這一項直連傳輸架構，是透過Nvidia ConnectX與BlueField DPU技術所建立，可在Nvidia GPU與Cloudian儲存節點之間，建立直連通訊，透過S3協定的指令，以RDMA方式存取資料，而不須經過CPU與系統記憶體。藉此可讓單一Cloudian儲存系統提供超過200GB/s的速度，而且，無須依靠快取，就能讓這種傳輸效能維持長達30分鐘。此外，由於資料傳輸路徑可以繞過CPU，因此在資料傳輸期間，還可降低45％的CPU耗用率。</p> <p>Cloudian還表示，GPUDirect for Object Storage的架構，比起檔案層級的直連技術（如GDS）更簡單，不需要修改驅動程式核心，因而能簡化管理，也減少安全性風險。</p> <p>目前Cloudian提供內含GPUDirect for Object Storage的HyperStore平臺軟體，並能與Supermicro的伺服器硬體，整合為軟硬體合一的儲存伺服器產品銷售，以便用戶端的部署。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>邁向全面普及的GPU直連傳輸 </strong></span></span></p> <p>MinIO與Cloudian這兩家物件儲存廠商，在2024年底率先發表物件儲存層級GPU直連傳輸技術此舉，這是GPU直連儲存傳輸技術發展與推廣的關鍵節點，可望成為其他物件儲存廠商的「帶頭典範」，吸引其他廠商依循類似的方式，更有意願加入支援GPU直連傳輸架構的行列。</p> <p>在當前的3大儲存產品形式中，區塊與檔案類型產品，原本就能夠透過Nvidia GDS技術來建立GPU直連儲存傳輸（兩者都在檔案層級上運作）。現在物件儲存產品領域，終於也出現類似技術，可以建立GPU直連儲存傳輸，而這樣的突破，也讓儲存設備與GPU之間的存取，正式全面進入GPU直連傳輸時代。</p> <p><a href="https://www.ithome.com.tw/article/166794" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1215-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=kRE_ydZh" style="width: 550px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/nvidia-gds">Nvidia GDS</a></div><div class="field-item odd"><a href="/tags/gpu%E7%9B%B4%E9%80%A3%E5%82%B3%E8%BC%B8%E6%9E%B6%E6%A7%8B">GPU直連傳輸架構</a></div><div class="field-item even"><a href="/tags/minio">Minio</a></div><div class="field-item odd"><a href="/tags/cloudian">Cloudian</a></div><div class="field-item even"><a href="/tags/quantum">Quantum</a></div><div class="field-item odd"><a href="/tags/aws">AWS</a></div><div class="field-item even"><a href="/tags/nvidia">Nvidia</a></div></div></div>
2025/1/3 06:00作者張明德https://www.ithome.com.tw/tech/166791
【角逐AI與HPC網路的兩大市場領導規格】新世代乙太網路架構成形
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1215-feng_mian_3-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Telsa</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著AI應用興起，也讓高效能網路需求，從高效能運算（HPC）領域擴散到一般企業資料中心。</p> <p>為了因應AI帶來的龐大資料傳輸需求，以往僅見於HPC領域的 200/400Gb等級以上高速網路，也開始進入企業資料中心，連帶也讓InfiniBand與乙太網路的競爭，從高效能運算領域蔓延到企業應用領域。</p> <p>目前InfiniBand與乙太網路的頻寬規格都已發展到800Gb，但由於資料鏈結層、流量控制與組網方式的差異，即便在同等頻寬條件下，InfiniBand的效能與可靠性仍具有相當的優勢，乙太網路則以成本取勝。</p> <p>因而從應用需求角度來看，以效能為最優先的頂級用戶，自然首要選擇InfiniBand；而對於成本較敏感的用戶，則更傾向使用乙太網路。但若從產品供應來源的角度來看，相對於開放、充分競爭的乙太網路產品生態環境，InfiniBand的產品生態環境是由Nvidia/Mellanox壟斷，制約了用戶選擇彈性。</p> <p>但InfiniBand產品的封閉與缺乏選擇彈性，也給了其他廠商機會。除了主導InfiniBand的Nvidia外，包括Intel、AMD、Broadcom在內的網路與晶片一線大廠，於2023年7月集結組成超乙太網路聯盟（Ultra Ethernet Consortium，UEC），合作發展改進的乙太網路傳輸堆架構，讓新一代乙太網路規格能兼具開放與高效能特性，從而挑戰InfiniBand在AI與高效能運算領域的領導地位。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>超級乙太網挑戰InfiniBand</strong></span></span></p> <p>UEC聯盟工作小組的具體目標，是制定新的超乙太網路傳輸（Ultra Ethernet Transport，UET）協定。UET可視為RoCE協定（RDMA over Converged Ethernet）的後繼者，RoCE是將InfiniBand的RMDA存取架構移植到乙太網路而成，以求兼具RDMA的低延遲與乙太網路的低成本。</p> <p>較早的RoCEv1是以InfiniBand傳輸層與網路層，結合乙太網路實體層與資料鏈結層，目前通用的RoCEv2的網路層則改用UDP/IP協定，讓資料封包可以路由，以便大規模環境的應用，但也在雍塞控制、負載平衡方面帶來新的問題。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/明德-AI IO主圖2-圖片來源-Telsa.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%98%8E%E5%BE%B7-AI%20IO%E4%B8%BB%E5%9C%962-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Telsa.jpg" style="width: 175px;" /></a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(105, 105, 105);"> UEC協定的堆疊架構 </span></strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>UEC推動的網路技術是在乙太網路實體層、鏈結層與IP網路層之上，引進新的傳輸層架構，搭配應用程式層的軟體API，提供改進的存取延遲、壅塞控制，以及安全性。</strong><span style="font-size: 14px;">圖片來源／Ultra Ethernet Consortium</span></span></p> <p>UET協定的發展目標，是透過新的傳輸層來改善雍塞管理、延遲、安全性與多供應商支援的API，主要特性包括：幫助改善負載平衡的多路徑封包噴灑（Multi-path packet spraying），以及彈性排序（Flexible ordering），改善壅塞控制的改進控制機制與端到端遙測（End-to-end telemetry）等，還有可因應不同應用情境與規模的多種傳輸交付型式服務（Multiple transport delivery），以及改進的安全性。</p> <p>UEC聯盟原定於2024年第3季發布1.0版規範，而AMD也在2024年的10月，發表全球首款「UEC Ready」的網路卡Pensando Pollara 400，但UEC的規範制定工作進度出現延遲，首版協定發布時間延後到2025年第1季。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>特斯拉TTPoE異軍突起</strong></span></span></p> <p>在UEC新規範制定陷入延宕的時候，特斯拉搶先一步在Hot Chips 2024大會，發布為其Dojo超級電腦發展的TTPoE協定（Tesla Transport Protocol over Ethernet），提供另一種基於乙太網路的高效率網路架構。</p> <p>如同UEC聯盟，TTPoE也是從改進傳輸層著手，在乙太網路實體層與資料鏈結層上，以自身的協定取代TCP/IP。特斯拉認為，TCP/IP基於優先流量控制機制的RDMA存取架構，雖能消除壅塞導致的封包遺失，但過於複雜，對效能影響較大，因而改用更簡單直接的壅塞控制，以及一系列旨在減少延遲的手段。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%98%8E%E5%BE%B7-AI%20IO%E4%B8%BB%E5%9C%961-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-UEC.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(105, 105, 105);"> TTPoE協定的基本架構 </span></strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>電動車大廠特斯拉發展的TTPoE，實體層與資料鏈結層都沿用乙太網路，將傳輸層換為自身的TTP架構，採用更簡單、直接的壅塞控制，以及一系列減少延遲的設計，達到簡化架構，減少延遲的目的。</strong><span style="font-size: 14px;">圖片來源／Telsa</span></span></p> <p>TTPoE是完全以硬體執行的點對點傳輸層協定，只涉及Layer 2傳輸，無須特殊的交換器。不同於RoCE v2，TTPoE屬於「有損」（Lossy）的傳輸層協定，在壅塞與錯誤的情況下，會丟棄封包重新傳送，並採用由每個端點獨立處理的分散式壅塞控制，透過簡單的丟棄封包來處理壅塞，藉此減少複雜性與脆弱性，另外還採用基於硬體執行的傳輸層狀態機（State Machine），藉此縮短等待狀態，有助於降低延遲。</p> <p>TTPoE協定是由整合在FPGA晶片內，位於網路晶片（NOC），以及乙太網路MAC之間的IP區塊（block）執行。特斯拉也同步發表用於搭配Dojo超級電腦，內含TTP乙太網路控制器與Dojo DMA引擎的Mojo網路卡，聲稱這是基於成熟技術的「笨」（Dumb）網卡，力求簡單與經濟實惠，網路傳輸的速度可達100 Gb/s。</p> <p>特斯拉根據自己的實測顯示，TTPoE能達到比InfiniBand與NVLink低40%的單向存取延遲，更只有標準TCP/IP的1/400，不過採取的方法也較為簡單與「粗暴」，與UEC試圖兼顧更廣泛需求的路線有所差異。特斯拉已宣布將會開放TTPoE，同時也將加入UEC聯盟，因而TTPoE可望與UEC協定互補，提供高效能乙太網路架構的另一選擇。</p> <p><a href="https://www.ithome.com.tw/article/166794" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1215-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=kRE_ydZh" style="width: 550px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/ai">AI</a></div><div class="field-item odd"><a href="/tags/hpc">HPC</a></div><div class="field-item even"><a href="/tags/%E6%96%B0%E4%B8%96%E4%BB%A3%E4%B9%99%E5%A4%AA%E7%B6%B2%E8%B7%AF">新世代乙太網路</a></div><div class="field-item odd"><a href="/tags/infinband">InfinBand</a></div><div class="field-item even"><a href="/tags/%E7%89%B9%E6%96%AF%E6%8B%89">特斯拉</a></div><div class="field-item odd"><a href="/tags/ttpoe">TTPoE</a></div><div class="field-item even"><a href="/tags/%E8%B6%85%E4%B9%99%E5%A4%AA%E7%B6%B2%E8%B7%AF%E8%81%AF%E7%9B%9F">超乙太網路聯盟</a></div><div class="field-item odd"><a href="/tags/uec">UEC</a></div><div class="field-item even"><a href="/tags/%E8%B6%85%E4%B9%99%E5%A4%AA%E7%B6%B2%E8%B7%AF%E5%82%B3%E8%BC%B8">超乙太網路傳輸</a></div><div class="field-item odd"><a href="/tags/uet">UET</a></div></div></div>
2025/1/3 06:00作者張明德https://www.ithome.com.tw/tech/166792
企業AI資料傳輸技術2025面臨新變革
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1215-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=kRE_ydZh" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI訓練資料量持續暴漲，資料傳輸成為影響AI效率的關鍵，促使改善AI傳輸效率的新式I/O架構，成為近來儲存與網路技術發展的焦點，自2024年下半年以來，從GPU直連傳輸技術，到更底層的乙太網路等基礎網路架構，都出現一系列新發展，共同推動高效能AI應用環境的普及。</p> </div></div></div>
2025/1/3 06:00作者張明德https://www.ithome.com.tw/article/166794
【資安日報】1月2日，北韓駭客對開發人員發動新一波攻擊，意圖散布惡意軟體OtterCookie
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了謀取經濟利益，北韓駭客不僅假冒IT工作者向歐美企業應徵，也假借徵才的名義向開發人員行騙，企圖於他們的電腦植入惡意軟體，以便竊取各式資料。</p> <p>在最新一波攻擊行動當中，這些駭客開始運用新的工具，目的是洗劫受害者的加密貨幣資產；另一方面，研究人員發現這些駭客的攻擊手法也有所調整，他們也透過應用程式框架做為挾帶惡意程式的管道。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166787"><strong style="font-size: 22px;">後門程式OtterCookie鎖定軟體開發人員而來，北韓駭客假借徵才名義散布</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/460518afb9d41b37b26a5dd7b1d7a2d736b380c0-1361x577.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/460518afb9d41b37b26a5dd7b1d7a2d736b380c0-1361x577.png" style="width: 300px; float: right;" /></a></p> <p>北韓駭客鎖定線上求職者發動攻擊行動的情況不時傳出，其中專門針對開發人員而來的攻擊行動Contagious Interview，引發不少資安研究員的注意，去年9月我們曾報導他們的動態，如今傳出駭客翻新攻擊手法的現象。</p> <p>日本電信業者NTT的資安監控中心的分析師上週發布消息，指出他們11月發現這些駭客的最新一波攻擊行動，並指出在日本有人遭遇相關攻擊，駭客不光是散布惡意程式BeaverTail、InvisibleFerret，這次也使用另一種稱做OtterCookie的攻擊工具。</p> <p>針對這些駭客攻擊的管道，研究人員提及本來是透過NPM、GitHub、Bitbucket，假借提供NPM套件發動攻擊，但他們近期看到也有運用Qt和Electron應用程式框架的情況。</p> <p><a href="https://www.ithome.com.tw/news/166755"><strong style="font-size: 22px;">KYC客戶識別受到挑戰，資安業者警告駭客於暗網系統性彙整能用於通過驗證的資料</strong></a></p> <p>道高一尺，魔高一丈，企業組織用來了解客戶的「認識你的客戶（Know Your Customer，KYC）」機制，有歹徒企圖收買真實資料來魚目混珠，用來捏造身分通過這種驗證機制。</p> <p>專精於生物辨識身分驗證解決方案的資安業者iProov指出，他們發現駭客於暗網研究如何繞過企業KYC的旁路攻擊手法，該公司的安全營運中心於暗網發現一批資料，內含大量的身分證明文件、對應的臉部圖片，經他們確認這些資料就是駭客打算用來通過KYC驗證流程的工具。值得留意的是，研究人員指出，這些資料似乎並非偷來的，而是當事人同意的情況下付費取得。這些駭客主要活動範圍在拉丁美洲（LATAM），但類似的手法曾出現在東歐地區，不過研究人員暫時無法確認兩組犯罪集團之間是否有所關聯。</p> <p>研究人員指出，這項發現對企業組織執行KYC帶來多重挑戰，因為他們不僅要檢測文件偽造情況，還必須能察覺未經授權濫用他人真實個資的問題。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/fortiguard-labs-ec2-grouper-aws-credential-exploits/">駭客組織EC2 Grouper濫用AWS工具竊取雲端帳密資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-details-reveal-how-hackers-hijacked-35-google-chrome-extensions/">鎖定瀏覽器延伸套件供應鏈攻擊事故受害範圍擴大，35個套件傳出被植入惡意程式碼</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166783"><strong style="font-size: 22px;">居易VPN閘道設備存在命令注入漏洞，逾6.6萬臺設備曝險，臺灣有超過1萬臺曝險</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2024-12987.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2024-12987.png" style="width: 300px; float: right;" /></a>直接連上網際網路的閘道設備，像是路由器、VPN閘道，一有重大漏洞、若未盡快修補，受到攻擊的機會比其他設置在防火牆背後的系統更大，最近又有這類資安威脅形成！根據資安研究人員Netsecfish的分析，居易科技（DrayTek）VPN閘道設備Vigor2960、Vigor300B存在命令注入漏洞，2024年12月27日這漏洞被通報，編號為CVE-2024-12987，攻擊者可操弄session參數注入任意命令，CVSS風險評分為7.3，估計有超過6.6萬臺設備曝險。</p> <p>關於受此漏洞影響的國家而言，越南、臺灣分居全球第一、二名，分別有20,521、11,155臺，其次為英國、墨西哥、香港，分別有4,496、3,679、3,599臺。</p> <p>針對這樣的情況，我們也向居易進一步詢問，該公司表示已在去年10月發布的1.5.1.5版韌體修補這項弱點，他們也確認還有Vigor3900也受到影響。</p> <p><a href="https://www.ithome.com.tw/news/166793"><strong style="font-size: 22px;">微軟資料整合服務Azure Data Factory出現組態配置不當的情況，整合的工作流程管理平臺Apache Airflow恐曝險</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-435825-137792-12.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-435825-137792-12.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks在微軟的資料整合服務Azure Data Factory當中，發現一系列配置不當的情況，他們將其命名為Dirty DAG，這些配置不當造成的弱點，影響其中整合的工作流程管理平臺Apache Airflow，攻擊者若是利用這些弱點，可對特定的有向無循環圖（Directed Acyclic Graph，DAG）檔案進行未經授權的寫入，或是滲透特定的服務原則。這些弱點的命名由來，也許是攻擊者可利用相關弱點對DAG檔案進行寫入而得。</p> <p>而在Palo Alto Networks發現的Azure Data Factory配置不當現象當中，涵蓋3大面向，包含：Airflow叢集Kubernetes當中，以角色為基礎的存取控制（RBAC）組態不當的情況、Azure內部Geneva服務帳密資料處理不當，以及Geneva驗證機制薄弱的情形。</p> <p>一旦攻擊者利用這些弱點，就有機會以地下管理員（Shadow administrator）的身分持續存取整個Airflow的Azure Kubernetes Service（AKS）叢集，而有機會暗中洩露資料、部署惡意軟體，甚至是進一步暗中操控這些叢集。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.safebreach.com/blog/ldapnightmare-safebreach-labs-publishes-first-proof-of-concept-exploit-for-cve-2024-49112/">針對微軟12月修補的LDAP漏洞，研究人員公布細節，指出攻擊者有可能讓伺服器當機</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-21182-poc-exploit-code-published-for-severe-weblogic-flaw/">針對7月Oracle修補的WebLogic Server高風險漏洞，研究人員公布概念性驗證程式碼</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-11944-truenas-core-vulnerability-allows-unauthenticated-attacks/">開源NAS作業系統TrueNAS Core存在高風險漏洞，攻擊者有機會遠端執行任意程式碼</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166748"><strong style="font-size: 22px;">資安院院長何全德闡述AI的機會與挑戰，正視與調適生成式AI帶來的影響</strong></a></p> <p>在當今科技快速發展的浪潮中，生成式AI成為人類科技史上少有的革命性技術，其深度、速度與廣度的影響超乎預期。國家資通安全研究院院長何全德日前以「新世代AI對資安治理的挑戰與機遇」為題發表演說，深入探討AI如何改變人類社會的治理模式與應用格局。</p> <p>何全德強調，AI應用正處於快速成長階段，未來將進一步帶來超越想像的科技創新。例如，數位雙生（Digital Twins）技術的普及，讓西門子等公司得以開發虛擬數位心臟，為醫療保健與精準治療注入新動能。何全德進一步表示，「數位轉型」與「淨零轉型」是全球未來發展的關鍵方向。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166762"><strong>【12月31日】駭客公布從思科、施耐德電機竊得的部分資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166744"><strong>【12月30日】駭客鎖定逾20款Chrome延伸套件發動供應鏈攻擊，意圖竊取使用者社群網站帳號</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166722"><strong>【12月27日】Palo Alto Networks防火牆阻斷服務漏洞傳出已有攻擊行動</strong></a></p> </div></div></div>
2025/1/2 17:03作者周峻佑https://www.ithome.com.tw/news/166796
微軟資料整合服務Azure Data Factory出現組態配置不當的情況，整合的工作流程管理平臺Apache Air…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Palo Alto Networks在微軟的資料整合服務Azure Data Factory當中，發現一系列配置不當的情況，他們將其命名為<a href="https://unit42.paloaltonetworks.com/azure-data-factory-apache-airflow-vulnerabilities/">Dirty DAG</a>，這些配置不當造成的弱點，影響其中整合的工作流程管理平臺Apache Airflow，攻擊者若是利用這些弱點，可對特定的有向無循環圖（Directed Acyclic Graph，DAG）檔案進行未經授權的寫入，或是滲透特定的服務原則。這些弱點的命名由來，也許是攻擊者可利用相關弱點對DAG檔案進行寫入而得。</p> <p>Azure Data Factory是無伺服器資料整合服務，微軟聲稱內建超過90個連接器，可讓使用者以圖像化的方式操作，在無需編寫程式碼的情況下整合資料來源，使用者能架設擷取、轉換和載入（ETL）或擷取、載入與轉換（ELT）工作流程，最終將整合完成的資料傳送到Azure Synapse Analytics，以便進一步解析。</p> <p>而在Palo Alto Networks發現的Azure Data Factory配置不當現象當中，涵蓋3大面向，包含：Airflow叢集Kubernetes當中，以角色為基礎的存取控制（RBAC）組態不當的情況、Azure內部Geneva服務帳密資料處理不當，以及Geneva驗證機制薄弱的情形。</p> <p>一旦攻擊者利用這些弱點，就有機會以地下管理員（Shadow administrator）的身分持續存取整個Airflow的Azure Kubernetes Service（AKS）叢集，而有機會暗中洩露資料、部署惡意軟體，甚至是進一步暗中操控這些叢集。</p> <p>而在成功滲透後，攻擊者就有機會操縱Geneva服務，由於該服務主要功能是管理重大事件記錄及指標，這代表攻擊者有機會竄改事件記錄資料，或是存取其他敏感的Azure資源。</p> <p>照理來說，使用者的叢集微軟已採取隔離措施，但研究人員發現，實際上Airflow預設採用無法變更的組態，runner挾帶叢集管理員角色而導致安全弱點，使得攻擊者有機會用來控制Airflow叢集及相關基礎設施。</p> <p>僅管微軟認為這批漏洞的嚴重性不高，但研究人員認為，採用Azure Data Factory的企業組織切勿掉以輕心，因為這些漏洞有可能讓攻擊者成為Azure基礎設施的地下管理員，而有可能造成深遠的影響。</p> </div></div></div>
2025/1/2 16:14作者周峻佑https://www.ithome.com.tw/news/166793
Windows 11 BitLocker加密仍有漏洞，實體接觸即可迅速破解
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資深安全研究員兼硬體駭客Thomas Lambertz在CCC（Chaos Communication Congress）大會上<a href="https://media.ccc.de/v/38c3-windows-bitlocker-screwed-without-a-screwdriver">重現Windows 11 BitLocker漏洞攻擊手法</a>，即便使用者已安裝微軟修復相關漏洞的更新，攻擊者仍然可以使用新的攻擊手法繞過BitLocker加密保護，取得Windows 11系統中的資料。</p> <p>BitLocker是微軟提供的全磁碟加密技術，被廣泛用於一般與企業使用者的Windows 11系統中，並已作為部分設備的預設加密功能。在預設模式下，BitLocker會在系統靜止的時候加密磁碟，當合法的Windows系統啟動時則會自動解密，但是這個便利性卻成為漏洞攻擊的核心，從Thomas Lambertz的示範可以看出現有的更新並未完全修復漏洞。</p> <p>該漏洞被歸類在<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-21563">CVE-2023-21563</a>，是一種稱為bitpixie的攻擊，這是在2022年就被揭露的攻擊手法。微軟曾在2022年底宣布完成修補該漏洞，但是Thomas Lambertz展示透過降級攻擊，攻擊者依然能夠利用漏洞取得加密金鑰，並成功存取Windows 11中受保護的資料。</p> <p>bitpixie的攻擊概念在於利用Secure Boot機制啟動一個過時的Windows啟動載入程式，讓系統在恢復模式下將加密金鑰存入記憶體，接著使用經過特別更改過的Linux系統，利用核心漏洞讀取記憶體內容，並擷取BitLocker解密金鑰。該過程讓攻擊者不需直接操作磁碟，也不需要打開機殼，即可完成解密，這也正是Thomas Lambertz演講Screwed without a Screwdriver主題的由來，意思是不使用螺絲起子拆解設備，攻擊者還是能輕易突破加密。</p> <p>之所以這個漏洞如此難以修復，主要技術挑戰在於UEFI韌體的儲存空間有限，導致微軟無法立即以雜湊值黑名單撤銷所有存在漏洞的啟動載入程式憑證，微軟預計要到2026年才能全面更新的Secure Boot憑證，而這也才能推動主機板製造商更新UEFI，徹底解決這個問題。</p> <p>由於該攻擊需要實體接觸，因此對一般使用者來說風險相對較低，但是對於企業與政府等注重資安的機構則需要提高警戒，因為Thomas Lambertz展示攻擊僅需要短暫的實體接觸，就可完成攻擊。在微軟完全解決該問題之前，使用者可以設置PIN碼強化BitLocker防護，或是直接在BIOS停用網路功能，避免攻擊者使用像是USB網路卡等裝置竊取機密資料。</p> </div></div></div>
2025/1/2 17:00作者李建興https://www.ithome.com.tw/news/166795
臺灣資安產品市場蓬勃發展！IDC臺灣預測2028年規模將達235億臺幣，密碼敏捷性與AI BOM將成2025年新焦點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>市調機構IDC最近預測，未來四年臺灣資安產品市場將持續成長，市場規模從2024年的4.62億美元增至2028年的7.16億美元（相當於235.4億新臺幣），年複合成長率達11.9%。其中，資安軟體的成長動能尤為強勁，年複合成長率高達13.3%。</p> <p>IDC分析指出，這一波資安產品市場的成長動力，除了來自傳統資安產品的需求外，還受到AI資安和量子韌性(Quantum Resilient Security)的挹注，這兩項新興資安技術成為2025年資安市場投資關注的新焦點。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20241212_063413335.jpg" style="width: 600px; height: 333px;" /></p> <p>目前量子韌性建立有三大技術，包括了量子隨機數產生器(QRNG) 、後量子密碼(PQC)，以及量子金鑰分發(QKD)，但不像QRNG和QKD是建立在量子運算基礎上來發展，PQC則是建立在現有運算系統之上，因此其發展速度相對更快。此外，美國NIST已於去年8月正式發布了三項針對PQC的標準。</p> <p>隨著量子韌性快速發展，不少資安廠商已開始投入PQC，IDC預測，到2026年，全球將有50%的企業因未能投入PQC相關技術，恐面臨資料洩漏風險。</p> <p>不過，對企業而言，建立PQC並非易事，從初期的資產盤點、排定優先順序，到最終的部署與調整，整個過程需要克服不少的挑戰。但更大的難點在於，比起充滿不確定性的Y2Q（Year to Quantum）的威脅，企業往往面臨更多當前迫切需要解決的資安問題，因此，PQC的優先性會被排在較後的位置。</p> <p><strong><span style="font-size:26px;">兼顧量子韌性與當前資安需求，企業優先導入密碼敏捷性框架</span></strong></p> <p>IDC就指出，目前許多企業在建立量子韌性之前，優先導入密碼敏捷性（Crypto-Agility）框架，這是一種能快速應對加密威脅的資料加密實踐方式。與直接部署PQC相比，IDC表示，密碼敏捷性框架在部署成本與周期上更具效率，且在現有合規環境下實務可行性更高。不僅能兼顧量子韌性與當前資安需求，還能實現與業務運作的緊密結合。</p> <p>根據IDC對密碼敏捷性框架的描述，其具備四大特色。首先，它能夠提升企業的合規性，藉由高度透明性，能協助企業靈活調整加密演算法與方法，確保符合現有資安規範。其次，透過自動化調整功能，企業可減少重複性工作，並能更快速應對日益變化的合規要求，有效節省時間與成本。</p> <p>此外，該框架支持建立彈性辦公環境，透過自動化的憑證管理流程（包括無密碼身份驗證等），能有效支援企業的遠端工作需求，同時確保共享資料的完整性與安全性。同時，提供了加密資源的可視性，使其更容易識別加密漏洞，並快速地進行相應的調整，為企業逐步實現量子韌性打下基礎。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20241212_063122412.jpg" style="width: 600px; height: 331px;" /></p> <p>過去兩年，生成式AI（GenAI）的快速發展雖大幅提升了企業內部的生產力與效率，但同時也帶來了全新的資安挑戰，IDC指出，企業在資安策略上，明年將更注重建立明確的AI BOM（人工智慧物料清單），以加強AI資安防護能力，應對日益複雜的安全威脅。</p> <p>與專注於漏洞管理及軟體授權追蹤的SBOM（軟體物料清單）不同，IDC指出，AI BOM更著重於記錄模型架構、訓練方法、數據來源，甚至包括訓練與推論的碳排放量。透過這些資訊的透明化，AI BOM能提升每個AI模型的透明度與安全性，進一步加強AI的安全性。。</p> <p>長遠來看，IDC預測，受AI BOM影響，到2028年，85%的資料產品將納入數據物料清單（Data BOM），進一步推動AI數據透明性與安全性的發展。同時，這也將成為企業在2025年資安投資需要開始關注的新議題。</p> </div></div></div>
2025/1/2 16:07作者余至浩https://www.ithome.com.tw/news/166790
7-Zip傳存在零時差漏洞，7-Zip開發者駁斥此為假消息
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一名ID為<a href="https://x.com/NSA_Employee39/status/1873644808998367272">@NSA_Employee39</a>的X（前推特）用戶宣稱，將連續多日釋出零時差漏洞，並將7-Zip的任意程式碼執行漏洞作為第一波訊息釋出。該用戶發布了一個<a href="https://archive.ph/E5tbn">Pastebin連結</a>，其中包含據稱是濫用7-Zip任意程式碼執行漏洞的程式碼。</p> <p>@NSA_Employee39聲稱攻擊者可利用經過特製的7-Zip壓縮檔，誘使受害者在解壓縮檔案時觸發漏洞，進而在目標系統上執行惡意程式碼。該用戶還表示，程式碼可能需要根據目標系統進行微調，並附上免責聲明，強調程式碼僅供研究和教育之用，不應被用於非法活動。</p> <p>不過，7-Zip主要開發者Igor Pavlov<a href="https://sourceforge.net/p/sevenzip/bugs/2539/">出面駁斥</a>這項說法。Igor Pavlov在7-Zip的Sourceforge官方論壇明確指出，在X上流傳的漏洞報告是假的，7-Zip的LZMA壓縮演算法並不存在這個漏洞。他還進一步分析@NSA_Employee39提供的程式碼，指出程式碼註解提到的RC_NORM函式並未出現在LZMA解碼器中，RC_NORM是一個用於LZMA編碼器和PPMD解碼器的巨集，Igor Pavlov推測，該段程式碼可能是由大型語言模型所生成。</p> <p>雖然Igor Pavlov提出解釋，但是論壇上一名叫做Deez n的用戶，則繼續質疑即便程式碼中關於RC_NORM的描述有誤，但是也不能完全排除LZMA解碼器中存在潛在漏洞的可能性，例如指標運算或緩衝區處理不當等問題。</p> <p>Deez n要求Igor Pavlov提供更多程式碼細節來證實LZMA解碼器的安全性，但Igor Pavlov並未正面回應Deez n的質疑，而是反問Deez n與@NSA_Employee39之間的關聯，以及Deez n是否使用大型語言模型生成程式碼。</p> <p>@NSA_Employee39後續則在X上張貼<a href="https://pastebin.com/gtnwfrim">Pastebin連結</a>，反擊Igor Pavlov對RC_NORM的解釋，其指出LzmaDec.c中的RC_NORM巨集在解碼過程會增加緩衝區指標，卻沒有驗證指標是否超過已配置的記憶體範圍或是bufLimit的限制，因此惡意設計LZMA串流即可操縱相關變數，導致緩衝區溢位到相鄰的記憶體區域，而覆蓋掉重要的記憶體區域導致任意程式碼執行。</p> <p>雖然目前7-Zip漏洞疑雲未有定論，但是Igor Pavlov已從技術層面否認漏洞的存在，@NSA_Employee39的爆料也被普遍認為是不實資訊，不過用戶最好還是提高警覺，避免開啟來源不明的壓縮檔，並定期更新7-Zip以維持安全性。</p> </div></div></div>
2025/1/2 16:20作者李建興https://www.ithome.com.tw/news/166789
後門程式OtterCookie鎖定軟體開發人員而來，北韓駭客假借徵才名義散布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>北韓駭客鎖定線上求職者發動攻擊行動的情況不時傳出，其中專門針對開發人員而來的攻擊行動Contagious Interview，引發不少資安研究員的注意，<a href="https://www.ithome.com.tw/news/164889">去年9月我們曾報導他們的動態</a>，如今傳出駭客翻新攻擊手法的現象。</p> <p>日本電信業者NTT的資安監控中心的分析師上週發布消息，指出他們11月<a href="https://jp.security.ntt/tech_blog/contagious-interview-ottercookie">發現這些駭客的最新一波攻擊行動</a>，並指出在日本有人遭遇相關攻擊，駭客不光是散布惡意程式BeaverTail、InvisibleFerret，這次也使用另一種稱做OtterCookie的攻擊工具。</p> <p>針對這些駭客攻擊的管道，研究人員提及本來是透過NPM、GitHub、Bitbucket，假借提供NPM套件發動攻擊，但他們近期看到也有運用Qt和Electron應用程式框架的情況。</p> <p>研究人員針對OtterCookie進行調查，推測攻擊者在9月開始運用這個惡意程式，意圖竊取受害者的加密貨幣錢包。此惡意程式濫用雲端JavaScript程式庫socket.io進行通訊，透過socketServer功能函數接收命令，並執行Shell命令、竊取受害電腦系統資訊等資訊。此外，這個惡意軟體還具備名為clipboardy的程式庫，可將受害者剪貼簿的內容傳送給攻擊者。</p> </div></div></div>
2025/1/2 14:48作者周峻佑https://www.ithome.com.tw/news/166787
代管.NET物件網域的CDN破產，微軟籲開發人員更新程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟上周<a href="https://devblogs.microsoft.com/dotnet/critical-dotnet-install-links-are-changing/" target="_blank">公告</a>，.NET網域的代管CDN（content delivery network）業者即將易主，呼籲開發人員應儘速變更軟體內相關的連結。</p> <p>微軟以多個CDN提供.NET物件及更新版下載。其中以azureedge.net結尾，包括"dotnetcli.azureedge.net"和"dotnetbuilds.azureedge.net"的網域是代管在edg.io上。但是該網域代管CDN業者Edgio破產，並通知微軟移轉到新的CDN，未來也將使用新網域。微軟預期，前述二個網域未來幾個月內也會永遠終止。</p> <p>Edgio保證到2025年1月15日還會營運，但微軟擔心它代管的網域會在之前突然停止運作。微軟要求開發商人員檢查軟體程式碼、scripts和配置是否和Edgio有關。此外，微軟預設將改用Azure Front Door，也要求開發人員驗證其資產和Azure Front Door是否相容。通常Azure Front Door和Edgio上的資產是相容的。若不相容，微軟也建議試試Akamai。</p> <p>微軟<a href="https://learn.microsoft.com/en-us/azure/cdn/edgio-retirement-faq" target="_blank">說明</a>，若開發人員在2025年1月7日前沒有採取行動，<a href="https://learn.microsoft.com/en-us/azure/frontdoor/migrate-cdn-to-front-door" target="_blank">前述二個下載網域將自動移轉到新的CDN</a>，即Azure Front Door。計畫轉移到Akamai和其他CDN業者，開發商必須為開發資產設定Feature Flag（DoNotForceMigrateEdgioCDNProfiles），以免被自動導向Azure Front Door。微軟也預告將在2025年1月3日，終止Edgio對Azure CDN的所有配置變更。</p> <p>其他網域如dotnet.microsoft.com或download.visualstudio.microsoft.com，都不受影響。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0102-Critica%EF%BC%9Adot%20NET%20Install%20links%20are%20changing_1226_02.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>12月中<a href="https://www.prnewswire.com/news-releases/akamai-completes-acquisition-of-select-assets-of-edgio-302331398.html" target="_blank">Akamai宣布</a>收購申請破產保護的Edgio部份CDN、安全資產以及非專屬授權，包括數百家新客戶聯絡資訊。</p> </div></div></div>
2025/1/2 12:24作者林妍溱https://www.ithome.com.tw/news/166784
居易VPN閘道設備存在命令注入漏洞，逾6.6萬臺設備曝險，臺灣有超過1萬臺曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>直接連上網際網路的閘道設備，像是路由器、VPN閘道，一有重大漏洞、若未盡快修補，受到攻擊的機會比其他設置在防火牆背後的系統更大，最近又有這類資安威脅形成！根據資安研究人員Netsecfish的分析，居易科技（DrayTek）VPN閘道設備Vigor2960、Vigor300B<a href="http://netsecfish.notion.site/Command-Injection-in-apmcfgupload-endpoint-for-DrayTek-Gateway-Devices-1676b683e67c8040b7f1f0ffe29ce18f">存在命令注入漏洞</a>，2024年12月27日這漏洞被通報，編號為CVE-2024-12987，攻擊者可操弄session參數注入任意命令，CVSS風險評分為7.3，估計有超過6.6萬臺設備曝險。</p> <p>此漏洞出現在VPN閘道的網頁管理介面，源自/cgi-bin/mainfunction.cgi/apmcfgupload一項未知的功能，攻擊者想要利用漏洞，會藉由發送惡意HTTP請求觸發，影響搭配1.5.1.4版韌體的Vigor2960、Vigor300B。</p> <p>目前有多少存在CVE-2024-12987的閘道暴露在網際網路上？研究人員透過物聯網搜尋引擎FOFA進行搜尋，結果發現66,463臺設備曝險，其中確認有47,471臺是Vigor2960、1,554臺是Vigor300B。</p> <p>關於受此漏洞影響的國家而言，越南、臺灣分居全球第一、二名，分別有20,521、11,155臺，其次為英國、墨西哥、香港，分別有4,496、3,679、3,599臺。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2024-12987.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2024-12987.png" style="width: 580px;" /></a></p> <p>針對這樣的情況，我們也向居易進一步詢問，該公司表示已在去年10月發布的1.5.1.5版韌體修補這項弱點，他們也確認其他機種不受影響。但為何這項已被修補的漏洞超過1年才被研究人員發現？該公司並未說明。</p> </div></div></div>
2025/1/2 11:53作者周峻佑https://www.ithome.com.tw/news/166783
Nvidia完成收購AI管理供應商Run:ai，將開放軟體原始碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia上周完成收購AI基礎架構管理軟體供應商Run:ai，並<a href="https://www.run.ai/blog/run-ai-joins-nvidia" target="_blank">宣布</a>將開放其軟體原始碼，以適用於競爭GPU。</p> <p>Nvidia是在今年4月<a href="https://www.ithome.com.tw/news/162517" target="_blank">宣布</a>收購這家以色列新創公司。<a href="https://www.reuters.com/technology/artificial-intelligence/us-justice-dept-is-investigating-nvidias-acquisition-ai-startup-politico-reports-2024-08-01/" target="_blank">美國司法部</a>和歐盟主管機關於10月<a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_24_6548" target="_blank">啟動</a>反托拉斯調查，兩者先後在12月中核准本案。Nvidia也在12月30日宣布完成收購。</p> <p>Run:ai則同時<a href="https://www.run.ai/blog/run-ai-joins-nvidia" target="_blank">宣布</a>加入Nvidia後的計畫。Run:ai表示在Nvidia組織中，將持續開放平臺路線，提供用戶選擇工具、平臺和開發框架的自由。另外，該公司宣布計畫開源軟體；目前Run:ai僅支援Nvidia GPU，開源後，它的軟體將可用於管理Intel與AMD等競爭GPU。</p> <p>不過Run:ai或Nvidia尚未公布開源的詳細時程或做法。</p> <p>創立於2018年的Run:ai提供Kubernetes為基礎的AI開放管理平臺，包含授權及訂閱模式，其產品提供集中管理介面管理GPU或GPU叢集資源，包括存取管理、集中資源與排序、限額，及監控資源使用情況。能集中管理GPU，不論是GPU一部分、數個GPU或不同叢集的多個GPU節點，能確保GPU叢集利用率。</p> <p>雙方未透露收購金額，不過媒體<a href="https://techcrunch.com/2024/12/30/nvidia-completes-acquisition-of-ai-infrastructure-startup-runai/" target="_blank">報導</a>，收購金額為7億美元。</p> </div></div></div>
2025/1/2 09:46作者林妍溱https://www.ithome.com.tw/news/166773
【資安日報】12月31日，駭客公布從思科、施耐德電機竊得的部分資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從上週到本週，有兩起重大的資料外洩事故後續，引起外界高度關注，其中一起是發生在10月，初始入侵管道掮客IntelBroker聲稱竊得大量思科開發資料，另一起則是發生在11月，勒索軟體駭客組織Hellcat宣稱入侵施耐德電機開發環境。</p> <p>其中較為值得留意的是思科的資料外洩事故，因為駭客已二度公布竊得的資料，迫使思科必須確認這批資料的真實性及影響範圍，釐清並未發生其他資安事故。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166757"><strong style="font-size: 22px;">駭客組織IntelBroker再度公布部分10月竊得的思科內部資料</strong></a></p> <p>為了對受害者形成壓力，願意付錢換取遭竊資料不被外流，駭客採用雙重勒索、三重勒索的手法相當常見，以多種管道施壓的方式逼迫就範。但如今有攻擊者選擇少量、多次公布資料的做法，使得受害企業在每次資料被公開後，必須不厭其煩地向外界澄清影響範圍並未擴大，確認駭客公布的資料，其實源自相同的資安事故。</p> <p>例如，今年10月中旬初始入侵管道掮客IntelBroker聲稱，他們竊得思科大量開發專案相關資料的事故，就是這種情形。這些駭客在事發兩個月後先是公布2.9 GB資料，不到兩個禮拜，這些駭客又公布了另一批檔案。</p> <p>根據資安新聞網站HackRead的報導，12月25日這些駭客公布了第二批思科資料，檔案大小約4.84 GB，涵蓋敏感資料，例如：軟體結構、網路組態、測試事件記錄、雲端伺服器映像檔、加密簽章、智慧財產等。駭客宣稱，這是他們竊得的4.5 TB資料一部分內容。</p> <p><a href="https://s4.itho.me/sites/default/files/images/hackers-release-second-batch-of-stolen-cisco-data-2.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/hackers-release-second-batch-of-stolen-cisco-data-2.jpg" style="width: 580px;" /></a></p> <p><a href="https://www.ithome.com.tw/news/166749"><strong style="font-size: 22px;">針對11月施耐德電機資料遭竊的事故，駭客於暗網公布相關檔案</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Schneider-Electric-leak.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Schneider-Electric-leak.png" style="width: 300px; float: right;" /></a></p> <p>11月名為Grep的人士在勒索軟體駭客組織Hellcat的地下網站發文，聲稱手中持有法國電機設備大廠施耐德電機（Schneider Electric）的檔案。駭客說是存取了施耐德電機的Atlassian Jira系統而得手這批資料，他們也要求價值12.5萬美元的加密貨幣及法國長棍麵包為贖金，但是如果該公司執行長公開承認被駭，贖金就可減半。施耐德電機之後證實遭駭。</p> <p>根據資安新聞網站Cybernews的報導，12月29日駭客在資料外洩網站上，公布施耐德電機的公司資料開放大眾存取，並表示這是作為對施耐德電機拒絕付贖金的報復。這批資料為40GB的檔案，內有該公司的專案、程式碼問題、外掛，以及超過40萬行的用戶資料。不過，截至目前為止，施耐德電機尚未對此做出評論。</p> <p><a href="https://www.ithome.com.tw/news/166747"><strong style="font-size: 22px;">針對BeyondTrust零時差漏洞攻擊事故，美國財政部傳出受害</strong></a></p> <p></p> <p>12月初BeyondTrust公告，部分採用其SaaS版遠端支援（Remote Support，RS）系統的用戶環境遭到入侵，後來該公司表示攻擊者利用CVE-2024-12356、CVE-2024-12686而能得逞，如今有受害組織曝光。美國財政部傳出因遭遇第三方遠端安全存取管理平臺漏洞攻擊波及，駭客存取員工電腦而導致部分資訊外流。</p> <p>這項消息的曝光，源於財政部管理助理祕書長本周向美國參議院金融、住宅與都市事務委員會主席發函告知此事。攻擊者利用此金鑰覆寫了BeyondTrust的安全設定，成功存取了數名員工的工作站電腦當中，特定的非機密文件。</p> <p>該單位會同網路安全暨基礎架構管理署（CISA）、聯邦調查局（FBI）及第三方數位鑑識業者的協助下廓清攻擊事件，初步研判攻擊者身分是中國政府資助的APT駭客。</p> <p><a href="https://www.ithome.com.tw/news/166731"><strong style="font-size: 22px;">福斯汽車集團資料庫配置不當，客戶資料在網際網路上曝露</strong></a></p> <p></p> <p>德國福斯（Volkswagen，VW）汽車集團因旗下軟體公司Cariad應用配置不當，導致VW、Seat、Audi和Skoda等品牌、逾80萬車主雲端資料庫可從網際網路存取而有外洩風險。不過，福斯汽車表示，目前並未出現資料遭竊的跡象。</p> <p>這項弱點的曝光，源於德國媒體明鏡（Spiegel）的報導，非營利白帽駭客組織Chaos Computer Club（CCC）接獲知情人士爆料，進行測試確認後，向Cariad及福斯通報此事。福斯集團指出，CCC於11月26日通知他們，Cariad後端系統API存在問題，致使任何人只要知道網址，都可以從外部網路存取到客戶資訊。</p> <p><a href="https://www.ithome.com.tw/news/166761"><strong style="font-size: 22px;">中國工控路由器高風險漏洞傳出已被用於攻擊行動，近1.5臺設備曝險</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/search_censys_io.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/search_censys_io.png" style="width: 300px; float: right;" /></a></p> <p>資安業者VulnCheck指出，他們發現針對命令注入漏洞CVE-2024-12856而來的攻擊行動，對象是中國網路設備廠商廈門四信科技（Four-Faith）的工業路由器，攻擊者用路由器的預設帳密，從而在未經身分驗證的情況下，遠端注入命令。他們利用威脅情報搜尋引擎Censys找到近1.5萬臺曝險的路由器，研究人員於12月20日向四信通報，但截至目前為止，四信尚未修補相關漏洞。</p> <p>值得留意的是，研究人員觀察到有人從IP位址178.215.238[.]91嘗試利用漏洞的跡象，他們留意到有研究人員已在11月初發現相關攻擊行動，並發現駭客使用的使用者代理字串（User Agent），與他們看到的漏洞利用嘗試行動大致符合，這代表利用這項漏洞的攻擊行動可能已經為期接近2個月。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/global-cyber-collaboration-takes-down-plugx-worm/">資安業者聯手二十多國CERT及執法機關，清理中國蠕蟲程式PlugX</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/172467/hacking/an-x-user-claimed-a-7-zip-zero-day-vulnerability.html">有人聲稱解壓縮軟體7-Zip存在零時差漏洞，開發者表示該漏洞不存在</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://cyberscoop.com/south-korea-sanctions-north-koreans-it-worker-scams/">韓國對15名北韓IT工作者進行制裁，理由是這些人從事詐騙，並將不法所得資助北韓發展核武</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/atandt-and-verizon-say-networks-secure-after-salt-typhoon-breach/">在傳出遭遇中國駭客Salt Typhonn入侵後，美國電信業者AT&T、Verizon聲稱已將駭客「趕出去」</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166746"><strong style="font-size: 22px;">IBM商業智慧分析套件Cognos Analytics存在重大漏洞，有可能導致敏感資訊曝光、系統當機</strong></a></p> <p>12月19日IBM發布資安公告，指出商業智慧分析套件Cognos Analytics存在漏洞CVE-2024-40695、CVE-2024-51466，攻擊者有機會藉由具備特殊權限的使用者上傳惡意檔案，或是藉由表示式語言（Expression Language，EL）注入攻擊，遠端曝露敏感資訊及特定資源，影響12.0.0至12.0.4版、11.2.0至11.2.4 FP4版，該公司發布更新程式修補。</p> <p>根據CVSS風險評分，達到重大層級的表示式語言注入漏洞CVE-2024-51466需特別當心，攻擊者能夠遠端利用偽造的表達式語言聲明（statement）觸發這項漏洞，從而曝露敏感資訊、耗盡記憶體資源，甚至有機會造成伺服器當機，CVSS風險評分為9.0（滿分10分）。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/linux-systems-at-risk-gstreamer-vulnerabilities-threaten-millions/">Linux作業系統開源影音框架GStreamer存在一系列漏洞，恐成為攻擊者鎖定目標</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166700"><strong style="font-size: 22px;">以國家安全為考量，美國政府要求中國無人機業者大疆於一年內提出相關證明</strong></a></p> <p>在美國全面封鎖中國科技業者的同時，參議院近期通過一項新法案，要求無人機大廠大疆（DJI）一年時間證明自己並未威脅美國國家安全，否則將在2025年啟動封鎖令。</p> <p>美國參議院上周以85:14表決通過《國防授權法（National Defense Authorization Act，NDAA）》。NDAA涵蓋從軍費到國防技術廣泛領域。近年NDAA特別強調應對來自中國的技術與經濟威脅，包括供應鏈安全和高科技產品的依賴問題。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166744"><strong>【12月30日】駭客鎖定逾20款Chrome延伸套件發動供應鏈攻擊，意圖竊取使用者社群網站帳號</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166722"><strong>【12月27日】Palo Alto Networks防火牆阻斷服務漏洞傳出已有攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166704"><strong>【12月26日】日本航空傳出遭遇網路攻擊導致部分航班延誤</strong></a></p> </div></div></div>
2024/12/31 17:03作者周峻佑https://www.ithome.com.tw/news/166762
用GAI提升業務作業效率6倍，US Foods秘訣是不怕準確度低，盡早投入真人測試
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>US Foods是一間有250,000間餐飲客戶的美國大型食品經銷商。旗下3,000名業務人員，不只要負責推銷公司產品，還得扮演餐飲及開店顧問。每當餐廳提出諮詢需求，業務人員就得花上3至4小時，彙整餐廳提供資料，再查找自家內部資料作為參考，才能開始製作顧問提案。平均，一名業務要負責50至70間餐廳。不只工作時間，連下班和假日，都被這些數據整理作業佔滿。</p> <p>直到今年，US Foods ML工程部門打造了一套生成式AI知識管理助手，來支援業務人員的數據彙整作業，成功將原本3至4小時費時，大幅縮短到半小時以內，帶來超過6倍效率。這個KM助手前端是一個用React做的Web App，後端串接一系列數據處理模組及多模態LLM，來處理餐廳資料、比對US Foods內部資料，並提供業務人員製作顧問提案的建議。</p> <p>US Foods ML工程部門副總David Falck揭露此KM助手的開發及維運細節。他強調，這個KM助手能達到如此成效，關鍵是不畏懼GAI準確度低，早早將雛形投入大規模真人試用。</p> <p><span style="color:#0066ff;"><strong>不必過度在意準確度，實用性才是首要目標</strong></span></p> <p>如何降低生成式AI產生幻覺或回答不精確的機率，是企業應用此技術到實際業務流程中，一個常見品質控管環節。不過，David Falck表示：「我們打造KM助手學到的最大心得，就是不要太擔心準確度。應該聚焦實用性，盡早讓實際使用者告訴我們，工具好不好用。」</p> <p>早在ML工程部門從GAI專案發想階段，就開始注重實用性。</p> <p>生成式AI爆紅時，他們便決定大展身手，要從頭建置一套只有US Foods IT能打造的GAI應用，來解決專屬US Foods的業務痛點。他們開始四處訪談，尋找不同部門中，有哪些最麻煩的作業，適合用生成式AI解決。</p> <p>David Falck表示，他們最後鎖定業務人員餐飲顧問來打造GAI應用，是因為業務整理資料的流程枯燥費時、高度人工化，且需要處理手寫紙條、食物圖片、菜單等紙本非結構化資料。這便是生成式AI技術適合應對，且能發揮實用價值的好案例。</p> <p>到了第一次大型驗收，開發中的KM助手還遠遠不夠成熟，回答準確率只有5至6成，連介面都非常陽春。不過，當業務主管們看到這個工具雛形，還是愛不釋手。David Falck觀察，對業務們來說，就算GAI工具回答精確度不高，還是能協助他們整理數據，發揮節省時間的實用價值。</p> <p>這次經驗，也使ML工程部門更放心的讓更多第一線使用者試用這套KM助手。之後開發期間，他們逐步讓更多市場及地區的業務人員試用。「準確率遲早會提升，使用者回饋要趁早蒐集。」David Falck表示，這個做法使他們能盡快測試和發揮實際工具成效，更能根據大量第一線使用者的誠實回饋，鎖定優化方向。正式上線時，KM助手已經可以將3至4小時的資料整理時間，減少到20至30分鐘。</p> <p><span style="color:#0066ff;"><strong>持續優化和維運企業級應用的技術決策</strong></span></p> <p>David Falck說，ML工程團隊的技術決策，有助於快速分析試用結果和使用者回饋，並彈性調整系統。KM助手正式上線後，這些決策則使他們能在3,000名使用者同時使用的情況下，持續迭代、維運系統，並控管公有雲支出。</p> <p>貫穿許多技術做法的兩大原則是模組化與文件化。David Falck進一步說明，模組化不只是將不同功能串起來，更要妥善把不同功能和環節切割成獨立模組。</p> <p>開發過程中，US Foods團隊深刻體會了，妥善切割功能模組的重要性。KM助手的其中一段後端資訊流是，利用Textract OCR模組，來將餐廳提供資訊的圖文轉化成文字，再拋轉給LLM解析。David Falck回憶，某次他們嘗試用多模態LLM的圖文處理能力，來一口氣將餐廳提供資訊的圖文轉化成文字、比對內部數據、產出建議。結果，但KM助手最終生成結果不如預期時，他們無法判別，究竟是餐廳資訊轉化環節出錯，提示工程有誤，還是LLM解析資訊能力不足。最終，團隊回歸原本做法，將不同環節的功能獨立成不同模組，不僅方便排錯，也確保LLM更新時，不會一口氣影響到太多數據處理環節。</p> <p>連輸入KM助手的提示詞，他們都採取模組化做法。David Falck解釋，採用模組化且簡短的提示詞，能提升模型推論結果的一致性與準確性，避免業務天南地北的詢問，既造成額外支出又降低工具使用效率。「當未來代理型AI工具更加成熟，管理提示詞的經驗和工具也派得上用場。」</p> <p>David Falck口中的文件化做法，則包括製作技術文件、為重要系統活動留存易分析的紀錄，以及為使用者撰寫系統功能說明書。</p> <p>模組化提示詞做法，也是ML工程團隊文件化做法的一環。他們會記錄和分析，KM工具使用接收不同提示詞模板後，各自生成內容精確度和使用者滿意度。這有助於他們持續優化提示詞設計。</p> <p>另一個做法是設置專門儲存AI推論內容的資料庫。David Falck解釋，有許多業務詢問AI的問題，答案不會隨著時間而改變。類似問題只要有問過一次，之後都可從此資料庫找到答案，不需呼叫模型API。如此可以降低成本、加速系統回答效率。紀錄過往推論內容，更能讓ML團隊進一步比較不同AI模型版本間的問答內容，或研究AI回答不精確的原因。</p> <p>他們還為KM助手的功能撰寫詳細功能說明書，讓使用者能根據需求快速找到最適合功能，進而鼓勵他們重複使用每一個功能組件。</p> <p>除了上述KM助手的技術做法，David Falck強調，US Foods之所以能順利打造實用的生成式AI應用，平時基本功做足更是先決條件。這包括維持企業數據高可用性、隨時注重數據隱私及法遵措施、慣於控管雲端支出，以及重複使用模組化數據處理功能。「生成式AI只是你軟體開發百寶箱裡的另一個技術，平時該注重的最佳IT實踐方法，做GAI應用時也要做好。」他說。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/usf2.jpg" style="width: 600px;" /></p> <blockquote><p>US Foods生成式AI業務助手的系統架構圖。紅色框是前端App，業務輸入客戶文件及需求（A動作）後，資料走到後端的推論流程（藍色框），經過OCR模組、LLM模組、企業數據匹配模組等模組，產出推薦內容。業務會選擇接受、不接受、或調整建議（B動作）。業務的選擇，則會進入後端的真人回饋流程（綠色框），自動化、系統化的蒐集真人回饋，用來微調AI模型，提升回答品質。</p> <p>此工具後端有兩個重要資料庫，分別提升生成速度及生成準確度。推論結果資料庫會儲存過往AI推論結果，後續類似問答不須模型重新推論，而是從資料庫中提取，提升速度。混合向量資料庫則支援混合式搜尋（Hybrid Search），使系統能更好的匹配企業客戶提供的資料與所需企業內部數據，進一步提升生成精準度。</p> </blockquote> <p></p> </div></div></div>
2024/12/31 18:04作者郭又華https://www.ithome.com.tw/news/166764
金管會宣布成立金融市場發展及創新處，負責推動金融科技創新、綠色金融和擬訂金融市場發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會今日舉辦金融市場發展及創新處成立儀式，宣布自2025年1月1日正式成立金融市場發展及創新處（簡稱創新處），將針對金融科技與創新、綠色及轉型金融，及金融市場發展等議題擬定政策和統整資源。</p> <p>新上任的金融創新與市場處處長胡則華在成立儀式中致詞表示，創新處的重要使命主要有三，分別是主動前瞻、創新合作，和永續發展。她解釋，主動前瞻是要處室同仁運用主動的態度面對金融市場所有參與者，創新合作則是要促進金融市場參與者共同合作推動數位化和金融科技發展，永續發展則是要推動永續繁榮。</p> <p>金管會主委彭金隆則補充說明，未來期望創新處能從過去的被動等待任務，轉變為主動「找事做」，並且，他也期待，未來這個處室能協助做三件事來推動創新，一是做別人沒想到的事，二是做別人有想到，但沒有做的事，三則是做別人想做，但是沒做好的事。最後他也強調，創新處將會協助業者將市場規模做大，同時設立新的金融市場發展方向或業務，來擴大市場範疇，創造更多機會。</p> <p>金管會新成立的金融創新與市場處共有四科，分別是金融創新一科、金融創新二科、綠色金融科，和永續發展科。金融創新一科負責訂定金融創新發展相關規範、指引，和要點，例如業務是辦要點和創新實驗條例，另外也會成立單一窗口，統籌需要諮詢和評估的金融科技案件諮詢，和受理實際案件。胡則華解釋，未來這個科別將協助挖掘創新案件，在法規上協助業者做出突破。</p> <p>金融創新二科則負責管理創新園區、規劃與執行生態圈合作事項。胡則華表示，未來會透過和金融創新園區、金融科技共創平臺，和產業聯盟共同合作，探索具有發展性的應用領域。綠色金融科則是負責綠色和轉型金融相關事項，包括規劃執行綠色及轉型金融行動方案、推動先行者聯盟淨零工作平臺等工作。胡則華表示，配合國家淨零政策，金融市場發展及創新處將透過協助金融業，來帶動所有企業進行永續發展。</p> <p>最後一科，金融發展科，則是負責包含亞洲資產管理中心政策推動、辦理永續金融評鑑和精進永續金融證照等事項。胡則華也提到，未來永續發展科將會推出金融市場卓越計畫，全面檢視市場發展所需的關鍵面向，並針對不足之處提供協助，輔助業者將業務拓展至國外。</p> <p>彭金隆2024年5月上任時，就承諾將成立金融市場發展及創新處，僅隔七個月，金管會便在今日正式成立創新處。過去金融科技相關業務主要由金融科技發展與創新中心負責推動，如今，金融科技發展與創新中心已併入創新處，並由過去擔任綜合規劃處處長、金融科技發展與創新中心執行秘書的胡則華擔任創新處處長，持續負責推動金融科技創新。</p> <p></p> </div></div></div>
2024/12/31 15:51作者李昀璇https://www.ithome.com.tw/news/166760
中國工控路由器高風險漏洞傳出已被用於攻擊行動，近1.5臺設備曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不少中國廠牌的網路設備銷往全球，很可能存在於你我周遭的關鍵基礎設施（CI）環境，一旦出現漏洞，往往可能影響相當廣泛。繼本月上旬有資安業者Claroty揭露中國網路設備業者銳捷網路（Ruijie Networks）的<a href="https://www.ithome.com.tw/news/166718">雲端設備管理平臺Reyee漏洞</a>，如今再傳有中國工控路由器漏洞被用於攻擊行動情況。</p> <p>資安業者VulnCheck指出，他們發現<a href="https://vulncheck.com/blog/four-faith-cve-2024-12856">針對命令注入漏洞CVE-2024-12856而來的攻擊行動</a>，對象是中國網路設備廠商廈門四信科技（Four-Faith）的工業路由器，攻擊者用路由器的預設帳密，從而在未經身分驗證的情況下，遠端注入命令。他們利用威脅情報搜尋引擎Censys找到近1.5萬臺曝險的路由器，研究人員於12月20日向四信通報，但截至目前為止，四信尚未修補相關漏洞。</p> <p>這項漏洞存在於F3x24、F3x36兩款路由器，為作業系統層級的命令注入漏洞，攻擊者在通過身分驗證的狀態下，有機會藉由apply.cgi竄改受害裝置的系統時間，從而透過HTTP遠端執行任意作業系統命令，CVSS風險評為7.2分。由於這些路由器的韌體存在預設帳密的情況，若是使用者未曾修改，就有機會以未經授權的狀態利用上述漏洞，而能未經身分驗證遠端執行作業系統命令。</p> <p>值得留意的是，研究人員觀察到有人從IP位址178.215.238[.]91嘗試利用漏洞的跡象，他們留意到有研究人員<a href="https://ducklingstudio.blog.fc2.com/blog-entry-392.html">已在11月初發現相關攻擊行動</a>，並發現駭客使用的使用者代理字串（User Agent），與他們看到的漏洞利用嘗試行動大致符合，這代表利用這項漏洞的攻擊行動可能已經為期接近2個月。</p> <p>VulnCheck<a href="https://thehackernews.com/2024/12/15000-four-faith-routers-exposed-to-new.html">向資安新聞網站Hacker News進一步透露這波攻擊事故的態勢</a>，指出攻擊者數量並不多，但他們似乎企圖以極為緩慢的速率，轟炸整個網路環境，一旦得逞，攻擊者就會在受害裝置部署類似Mirai的殭屍網路病毒。</p> <p>我們循線利用Censys搜尋曝險的裝置，<a href="https://search.censys.io/search?resource=hosts&sort=RELEVANCE&per_page=25&virtual_hosts=EXCLUDE&q=same_service%28services.http.response.headers%3A+%28key%3A+%60Server%60+and+value.headers%3A+%60httpd_four-faith%60%29+and+services.http.response.protocol%3D%22HTTP%2F1.0%22+and+services.http.response.status_reason%3D%22Ok%22%29+or+services.http.response.favicons.shodan_hash%3D%22375199015%22">目前總共能找到14,853臺</a>，其中有6,681臺位於土耳其最多，其次依序為中國（4,554臺）、西班牙（1,518臺）、馬來西亞（402臺），上面沒有設置在臺灣的設備相關資訊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/search_censys_io.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/search_censys_io.png" style="width: 580px;" /></a></p> </div></div></div>
2024/12/31 16:46作者周峻佑https://www.ithome.com.tw/news/166761
KYC客戶識別受到挑戰，資安業者警告駭客於暗網系統性彙整能用於通過驗證的資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>道高一尺，魔高一丈，企業組織用來了解客戶的「認識你的客戶（Know Your Customer，KYC）」機制，有歹徒企圖收買真實資料來魚目混珠，用來捏造身分通過這種驗證機制。</p> <p>專精於生物辨識身分驗證解決方案的資安業者iProov指出，他們發現駭客於暗網<a href="https://www.businesswire.com/news/home/20241223578781/en/iProov-Discovers-Major-Dark-Web-Identity-Farming-Operation">研究如何繞過企業KYC的旁路攻擊手法</a>，該公司的安全營運中心於暗網發現一批資料，內含大量的身分證明文件、對應的臉部圖片，經他們確認這些資料就是駭客打算用來通過KYC驗證流程的工具。值得留意的是，研究人員指出，這些資料似乎並非偷來的，而是當事人同意的情況下付費取得。這些駭客主要活動範圍在拉丁美洲（LATAM），但類似的手法曾出現在東歐地區，不過研究人員暫時無法確認兩組犯罪集團之間是否有所關聯。</p> <p>研究人員指出，這項發現對企業組織執行KYC帶來多重挑戰，因為他們不僅要能夠檢測文件偽造的情況，還必須能察覺未經授權濫用他人真實個資的問題。</p> <p>根據KYC的流程，該公司提及在文件審核、臉部比對、生命特徵檢測（Liveness Detection）都有可能受到挑戰。</p> <p>針對文件審核的部分，由於這些歹徒使用了真實的個資，一般的偽造偵測機制有可能難以察覺異狀；而對於臉部比對的流程，基於歹徒運用與個資相符的大頭照，若是相關檢測系統僅將使用者提供的照片和文件進行比對，很可能就通過相關驗證。</p> <p>而對生命特徵檢測的部分，依據歹徒手法的程度不同，可能會播放事先錄好的使用者語音、利用深偽（Deepfake）技術換臉，甚至是利用自行打造的AI模型及專屬軟體產生能通過相關驗證的合成面孔。</p> <p>對此，iProov認為，企業組織應該透過四種層面的驗證來執行KYC流程，分別是：對的人、真實人類、即時回應，以及使用代管偵測與回應（MDR）機制，使得歹徒想要騙過身分驗證機制的難度變高，而能避免他們能濫用真實資料突破KYC的現象。</p> </div></div></div>
2024/12/31 11:48作者周峻佑https://www.ithome.com.tw/news/166755
駭客組織IntelBroker再度公布部分10月竊得的思科內部資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了對受害者形成壓力，願意付錢換取遭竊資料不被外流，駭客採用雙重勒索、三重勒索的手法相當常見，目的是以多種管道施壓的方式逼迫就範。但如今有攻擊者選擇少量、多次公布資料的做法，使得受害企業在每次資料被公開後，必須不厭其煩地向外界澄清影響範圍並未擴大，確認駭客公布的資料，其實源自相同的資安事故。</p> <p>例如，今年<a href="https://www.ithome.com.tw/news/165513">10月中旬</a>初始入侵管道掮客IntelBroker聲稱，他們竊得思科大量開發專案相關資料的事故，就是這種情形。這些駭客<a href="https://www.ithome.com.tw/news/166719">在事發兩個月後先是公布2.9 GB資料</a>，不到兩個禮拜，這些駭客又公布了另一批檔案。</p> <p>根據資安新聞網站HackRead的報導，<a href="https://hackread.com/hackers-release-second-batch-of-stolen-cisco-data/">12月25日這些駭客公布了第二批思科資料</a>，檔案大小約4.84 GB，涵蓋敏感資料，例如：軟體結構、網路組態、測試事件記錄、雲端伺服器映像檔、加密簽章、智慧財產等。駭客宣稱，這是他們竊得的4.5 TB資料一部分內容。</p> <p>這些公布的資料內容為何？HackRead指出，他們看到對方公布的內容裡，包含思科專屬軟體的開發檔案，包含Java二進位檔案、原始碼、應用程式封存檔；而其中部分檔案與網路相關，例如：XRv9K虛擬路由器映像檔及組態設定資料。</p> <p>此外，這批資料也包含測試的事件記錄資料及指令碼、零接觸安裝（Zero Touch Provisioning，ZTP）的作業資料、雲端伺服器映像檔，以及用於支付系統軟體開發套件（SDK）的加密簽章。</p> <p>對此，思科也是12月26日更新<a href="https://sec.cloudapps.cisco.com/security/center/resources/october_15_2024">資料外洩事故網頁的公告內容</a>，表示他們知悉IntelBroker在美國東部時間（EST）25日傍晚5時7分放出風聲，並於5時40分在駭客論壇BreachForums免費提供4.45 GB的資料給他人下載。</p> <p>根據該公司的分析，他們確認就是10月事故洩露的資料。思科也強調他們的（其他）系統並未遭到入侵，該公司生產力或企業環境的內部資訊並未出現外流的跡象。</p> </div></div></div>
2024/12/31 14:56作者周峻佑https://www.ithome.com.tw/news/166757
Apache基金會修補圖像資料庫系統HugeGraph身分驗證繞過漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週Apache基金會發布資安公告，指出圖像資料庫系統HugeGraph的伺服器元件<a href="https://lists.apache.org/thread/h2607yv32wgcrywov960jpxhvsmmlf12">HugeGraph-Server存在漏洞CVE-2024-43441</a>，影響1.0至1.3版，他們發布1.5.0版修補。</p> <p>HugeGraph是開源的分散式圖學資料庫，可搭配Apache TinkerPop3框架及Gremlin查詢語言運用，號稱能支援快速資料導入、毫秒等級的線上交易處理（OLTP）查詢能力，並支援大規模分散式圖學處理，提供圖學資料的線上分析處理（OLAP）。</p> <p>針對這項漏洞，該基金會指出，是因為被假定為無法竄改的資料具有弱點，造成身分認證程序可被略過的問題，但除此之外他們並未透露進一步細節，也沒有提供CVSS評分，因此後續影響有待觀察。</p> </div></div></div>
2024/12/31 11:23作者周峻佑https://www.ithome.com.tw/news/166745
IBM商業智慧分析套件Cognos Analytics存在重大漏洞，有可能導致敏感資訊曝光、系統當機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>12月19日IBM發布資安公告，指出<a href="https://www.ibm.com/support/pages/node/7179496">商業智慧分析套件Cognos Analytics存在漏洞CVE-2024-40695、CVE-2024-51466</a>，攻擊者有機會藉由具備特殊權限的使用者上傳惡意檔案，或是藉由表示式語言（Expression Language，EL）注入攻擊，遠端曝露敏感資訊及特定資源，影響12.0.0至12.0.4版、11.2.0至11.2.4 FP4版，該公司發布更新程式修補。</p> <p>根據CVSS風險評分，達到重大層級的表示式語言注入漏洞CVE-2024-51466需特別當心，攻擊者能夠遠端利用偽造的表達式語言聲明（statement）觸發這項漏洞，從而曝露敏感資訊、耗盡記憶體資源，甚至有機會造成伺服器當機，CVSS風險評分為9.0（滿分10分）。</p> <p>另一個漏洞CVE-2024-40695，則是屬於上傳危險檔案卻不受限制的弱點類型，起因是此系統的網頁介面並未驗證上傳檔案的內容，一旦攻擊者利用這項弱點上傳惡意執行檔，就有機會傳給受害者，從而發起進一步攻擊行動，CVSS風險評為8.0分。</p> <p>值得留意的是，IBM特別提及這些漏洞並無其他可用的緩解措施，呼籲用戶應儘速套用相關更新。</p> </div></div></div>
2024/12/31 11:42作者周峻佑https://www.ithome.com.tw/news/166746
資安院院長何全德闡述AI的機會與挑戰，正視與調適生成式AI的深度影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在當今科技快速發展的浪潮中，生成式AI成為人類科技史上少有的革命性技術，其深度、速度與廣度的影響超乎預期。國家資通安全研究院院長何全德日前以「新世代AI對資安治理的挑戰與機遇」為題發表演說，深入探討AI如何改變人類社會的治理模式與應用格局。他指出，AI就像人類腦袋植入的蒸汽機，不僅帶來效率的提升，更推動了全方位的社會變革。</p> <p>生成式AI的特點之一，是其應用場景的無限擴展性。這項技術突破傳統人工智慧的限制，不僅可用於文字生成與語言處理，還涉及圖像創作、決策支援以及醫療診斷等多方面應用。何全德進一步闡述，生成式AI正引領著數位化社會的快速發展，其潛在影響不僅限於技術領域，還深刻改變了社會結構與產業經濟。他說：「我們從未見過一項技術能以如此快的速度滲透至每一個領域，影響範圍之廣令人震驚。」</p> <h2><strong>生成式AI帶來各種無限應用的潛力</strong></h2> <p>AI技術的發展日新月異，從最初的聊天機器人到能夠操控電腦的AI代理人（AI Agent），每一項突破都令人耳目一新。何全德強調，AI應用正處於快速成長階段，未來將進一步帶來超越想像的科技創新。例如，數位雙生（Digital Twins）技術的普及，讓西門子等公司得以開發虛擬數位心臟，為醫療保健與精準治療注入新動能。</p> <p>何全德引述史丹福大學AI專家李飛飛的研究，則再次印證了AI在醫療領域的廣闊應用前景。從李飛飛的研究可以發現，透過AI技術可以做到即時監測醫護人員的手部衛生，以及病患在加護病房中的活動度，有效提高醫療品質。</p> <p>何全德指出，儘管目前生成式AI在醫療領域的應用尚處於早期階段，但隨著技術的不斷迭代，未來必將迎來更多智慧醫療的創新應用，幫助醫生作出更精準的診斷與決策。</p> <p>AI的應用潛力還遠不止於此。在製造業領域，數位雙生的應用也使得工業生產流程更加透明化、精準化。例如，通過建立產品或系統的虛擬模型，企業可以模擬生產過程中的可能變數，實現預測性維護並最大化生產效率。同時，在環境監測領域，AI技術被用於分析大量的氣象資料，也可以協助政府制定更為精準的應對氣候變化策略。</p> <h2><strong>數位與淨零轉型的雙軌驅動</strong></h2> <p>何全德進一步分析，「數位轉型」與「淨零轉型」是全球未來發展的關鍵方向。他指出，生成式AI正迅速成為數位轉型的重要推手，不僅提升產業效率，也有助於資源最佳化應用。數位轉型是許多企業面對新時代競爭壓力時的重要策略，「AI作為核心驅動力，正在徹底改變傳統商業模式。」他說。</p> <p>具體而言，生成式AI能夠協助企業在生產過程中減少能源消耗與浪費，例如，一些大型企業已經開始利用AI技術進行供應鏈優化，將產品運輸路線與儲存方式進行精準規畫，不僅節約物流成本，還降低了碳排放量。</p> <p>淨零轉型則是更為宏大的全球挑戰，目的就是希望通過技術創新的方式，以實現碳中和的目標。何全德提到，目前許多國家正積極推動AI技術進行淨零轉型中的應用，例如，利用生成式AI進行能源消耗的資料分析，協助企業改進工廠設計，進而降低對環境的負面影響。他指出，AI不僅是提高效率的工具，更是一種幫助全球實現可持續發展的關鍵技術。</p> <h2><strong>AI發展的過程，對人類社會是矛也是盾</strong></h2> <p>然而，AI的快速發展也引發人類對於潛在風險的擔憂。何全德以蒸汽機時代為例，指出每一次科技革命都伴隨著生存秩序的變化，並帶來就業挑戰與其他負面影響。他特別強調，生成式AI大型語言模型的核心在於資料的品質，如果模型訓練使用了不準確的資料，可能導致錯誤的結果產生。因此，如何在享受AI帶來的效率提升的同時，降低其風險，是當前必需解決的重要課題。</p> <p>因此，他表示，對於AI潛在風險的防範與治理，已經是AI發展過程中，人類必須承擔的必然責任。何全德特別引用2024年諾貝爾物理學獎得主約翰·霍普菲爾德（John Hopfield）與「深度學習之父」傑佛瑞·辛頓（Geoffrey Hinton）在類神經網路和人工智慧（AI）領域的研究論述，強調面對AI發展應該抱持審慎態度。</p> <p>傑佛瑞·辛頓曾警告，「大多數人低估了人工智慧的潛在益處，就像他們低估其風險一樣。」當AI系統的智能超越人類時，是否能有效控制這些系統仍是未知數。何全德則進一步指出，無論悲觀或樂觀的預測，AI風險與機遇並存，因此應以謹慎且務實的態度推動AI技術應用。</p> <p>「生成式AI帶來的風險與傳統軟體安全有顯著不同。」何全德指出，大型語言模型壓縮了全球數位化資料，其優勢在於廣泛應用，但風險也不容忽視。他警告，當模型被惡意資料「毒害」時，可能對關鍵決策造成不可挽回的影響。因此，企業與政府在應用AI時，必須關注核心模型的資料來源與準確性，確保技術的安全性與可信度。</p> <p>因為AI技術發表標誌著人類文明的新篇章，何全德呼籲政府與企業在推動AI發展時，應該同時注重風險防範與治理，確保AI技術的潛力能夠被安全且高效地發揮。他強調，AI既是「矛」也是「盾」，關鍵在於如何找到平衡點，使其成為人類社會進步的助力而非阻礙。</p> <h2><strong>應用AI應關注資安、倫理和治理風險</strong></h2> <p>在生成式AI快速崛起的浪潮中，許多大型企業已經採取積極措施，應對不可預測的風險。何全德表示，這些企業內部普遍設立了多層次的防護措施，例如，進行紅隊演練（Red Team），或推行所謂的攻擊性「提示多樣性注入」（Prompt Diversity Injection）機制，藉此預先引導並排除可能出現的風險。</p> <p>他指出，紅隊的角色是模擬外部攻擊者的行為，測試內部AI系統的防禦能力；而「提示多樣性注入」的測試則是檢測生成式AI可能產生的不當或錯誤內容，以便在產品正式推出前排除潛在的問題。</p> <p>此外，已經有企業成立了AI道德倫理委員會，專門負責制定AI開發與應用的相關規範，確保技術開發符合社會價值觀。他認為，從提示式規則到資料安全訓練的對抗，意味著應用AI的企業已經開始審視生成式AI帶來的挑戰，這也顯示出企業對AI安全問題的高度重視。</p> <p>何全德以其40年負責推動政府E化的公務員經驗來看，生成式AI以前所未見的速度對全球產生影響，這種影響不僅限於科技領域，也波及經濟、文化與政策制定。</p> <p>像是生成式AI的出現，讓自動化和效率提升至全新層次；其應用從內容生成、語言翻譯、醫療診斷到產品設計各個方面，也迅速滲透到人類生活的各個層面。這不僅引發國際間的關注，也促使主要國家攜手合作應對AI治理風險。</p> <p>例如，英國與美國等國正共同進行跨國界合作，辨識AI風險，進行分類與分級治理。這種全球性的合作在過去科技發展中極為罕見，這也彰顯出：生成式AI的潛在影響力非常巨大。</p> <p>他認為，生成式AI的風險不僅限於使用或誤用，其生成內容可能涉及侵權、資訊整合不當，甚至對環境帶來負面影響。舉例而言，隨著生成式AI的需求激增，美國計畫建設多座資料中心以應對日益增長的運算需求。這些資料中心雖然能提升技術能力，但也對能源供應和環境保護帶來巨大挑戰，包括增加碳排放和消耗大量水資源、電力等，因此，各國在推廣生成式AI的同時，也需同步考量其對環境的長期影響。</p> <h2><strong>AI技術風險與管理挑戰</strong></h2> <p>何全德表示，生成式AI的風險可分為三類：技術性風險、管理性風險與社會性風險。首先，技術性風險主要來自AI模型本身的漏洞與局限，例如生成不準確內容或受惡意利用進行攻擊。</p> <p>其次，管理性風險則涉及企業如何部署AI系統，包括如何確保資料安全、隱私保護以及模型的透明性和可解釋性；第三，社會性風險則涵蓋生成式AI對社會結構的影響，例如可能引發的職業替代與倫理爭議。</p> <p>他認為，AI幻覺現象則是目前技術性風險中的重要挑戰之一。所謂AI幻覺，指的是AI系統生成看似合理，但實際上不正確或無意義的內容，根據麥肯錫的調查，導入AI的美國企業面臨的兩大挑戰，分別為：AI的不準確性（Inaccuracy），以及智慧財產權（IPO）相關問題，其中，AI不準確性可能導致錯誤決策，而IPO問題則涉及AI生成內容的版權歸屬與使用權界定。</p> <p>為了應對這些挑戰，麥肯錫制定一系列指導原則，提出10項應對AI風險的考量，包括模型的有效性、安全性、可靠性、透明性等多個方面。麥肯錫強調，建立負責任的AI（Responsible AI）框架，是推動技術與社會協調發展的關鍵。</p> <h2><strong>制定法規為AI發展奠基</strong></h2> <p>美國與歐盟相繼推出AI風險治理與應用評估標準，為全球樹立了良好的範例。美國在國家層面加強對AI技術的監管，歐盟則透過《AI法案》（AI Act）提出一系列法規，涵蓋高風險AI應用的審核機制和透明度要求。</p> <p>臺灣在這一波潮流中，數位發展部數位產業署則成立了「AI產品與系統評測中心」，致力於為本地AI產品提供評測服務。該中心則針對安全性（Safety）、可解釋性（Explainability）、韌性（Resiliency）、公平性（Fairness）、準確性（Accuracy）等10個評測項目，建立標準化的評估體系，幫助企業提升技術競爭力。</p> <p>此外，何全德表示，政府也推動《AI基本法草案》，希望可以為AI技術在臺灣的發展提供法律依據，並應對生成式AI帶來的資安與倫理挑戰。例如，基本法中對AI技術的應用範疇與風險控制提出明確指導，為科技創新與社會利益之間的平衡奠定基礎。</p> <p>生成式AI被認為是資安攻擊與防禦的利器，其應用特點可分為以下幾點特性。第一，攻擊速度加快，防護難度提高：AI技術的發展使攻擊更加精準且自動化，企業需投入更多資源應對這些新型威脅。例如，AI生成的深偽技術（Deepfake）可用於製造逼真的虛假影片與音頻，對信息安全構成嚴重威脅。</p> <p>第二，資安威脅情報的收集與預測分：AI可以快速分析大量資料，發現潛在威脅並進行預測。未來，AI化的資安監控中心（SOC）將成為主流，幫助企業在威脅發生前採取行動。</p> <p>第三，安全產品生命周期的設計：安全設計思維（Security by Design）已成為產品開發的核心理念，這種方法要求開發者在產品設計階段就考量安全性，而不是事後再進行補救。所以，產品開發者需要提供預設安全（Security by Default）的功能，使用者則需提出安全需求（Security by Demand），形成上下游的良性互動。</p> <p>第四，AI安全的基礎：資料可信度。因為安全可靠的資料是AI可信任的基礎，傳統程式依賴人工編寫邏輯，而生成式AI則需要大規模資料支撐。這意味著，企業需建立完善的資料治理體系，確保資料的來源合法且品質可靠。</p> <p>美國網路安全與基礎設施安全局（CISA）局長Jen Easterly先前也提出「以安全為核心設計」（Secure-by-Design）的原則，就是強調在AI工具開發初期引入安全機制的重要性，以降低後期補救的成本與效率問題。</p> <h2><strong>四個AI風險的應對策略</strong></h2> <p>何全德也引述Jen Easterly所關注的AI風險四個關鍵面向（Velocity、Vulnerability、Veracity、Vigilance），希望可以作為臺灣制定AI安全政策時的參考。</p> <p>第一個V就是技術發展速度（Velocity）：AI技術進步與威脅出現的速度加快，需事前防範策略。例如，AI技術的快速迭代可能導致企業難以及時更新其防禦系統，從而暴露於新型威脅之下。</p> <p>第二個V指涉系統脆弱性（Vulnerability）：許多AI工具在設計階段未充分考慮安全性，易受攻擊。例如，AI生成的模型可能含有未被發現的漏洞，這些漏洞可被惡意利用進行資料竊取或服務癱瘓攻擊。</p> <p>第三個V強調資料真實性（Veracity）：AI模型的輸入資料品質對其結果有直接影響。為確保結果準確性，企業需建立資料來源審核機制，防止不良資料對決策造成影響。</p> <p>最後一個V則是持續警覺性（Vigilance）：政府與企業需保持高度警惕，建立快速偵測回應機制。例如，針對生成式AI可能引發的深偽技術濫用，需建立常態化的監控機制，以防範假消息對社會的影響。</p> <p>AI技術的發展將改寫資安遊戲規則，不僅提升生產效率，也帶來更多挑戰。例如，在未來的智慧城市建設中，AI將負責大數據的分析與決策，若無妥善的安全機制，將面臨巨大風險。因此，他認為，臺灣應持續強化自身的AI安全政策，結合技術與管理雙重手段，確保AI技術在安全與效率間取得最佳平衡，為未來科技的可持續發展鋪平道路。</p> <h2><strong>從開發階段重視資安，並從駭客視角看資安防護</strong></h2> <p>何全德指出，從Internet開始，許多資安的觀念隨著科技發展而不斷進步。過去的資安技術以防火牆為主，後來演進到入侵檢測系統（IDS）與入侵防禦系統（IPS）。</p> <p>然而，隨著網路威脅日益多樣化，他說，現在的資安理念已從信任的架構逐漸轉變為零信任模式（Zero Trust）。這種轉變反映出數位化時代資安挑戰的複雜性與多樣性，也要求企業從技術層面到管理架構進行全方位的改變。</p> <p>何全德強調，我們必須從資安到韌性（Security to Resilience）進行全面升級，這不僅僅是技術革新，更是戰略上的長期規畫。他提到，韌性意味著組織在遭遇攻擊或災害時，能夠迅速恢復營運的能力，並可減少損失影響。「這是一種對抗當前與未來資安威脅的必須能力。」他說。</p> <p>此外，他提出了幾個重要觀點，包括：資安向左移動（Shift Left Security）的重要性。這一個主張，重點是將資安考量前置於軟體開發的早期階段，以避免事後補救的高昂成本。何全德表示，許多企業忽視了早期介入資安的重要性，導致產品上市後出現許多漏洞，不僅影響使用者體驗，更可能對品牌信譽造成損害。</p> <p>同時，他還建議應該從駭客視角強化資安策略，模擬潛在攻擊者的行為，有助於企業能更準確地識別系統漏洞，並提前部署應對措施。這是一種更為主動的資安管理方式，尤其是在攻擊手段日益多樣化的今天，預測和防範比事後應對更加重要。</p> <p>另一個不可忽視的重點是資料保護的重要性。他指出，系統故障可能重建，但資料的遺失卻可能是無法挽回的。因此，企業不僅要關注資料的儲存與備份、還原，還需對資料的傳輸、使用與存取設計都設計更全面性的安全機制。</p> <h2><strong>生成式AI的應用與挑戰</strong></h2> <p>在生成式AI的浪潮中，何全德特別指出，這項技術為我們帶來了前所未有的機遇與挑戰。他強調，我們應以「睜大雙眼的態度擁抱生成式AI」（Embrace Gen AI with eyes wide open）。這句話意味著：在接納AI創新價值的同時，也必須保持高度警惕，深刻理解其可能帶來的潛在風險。</p> <p>他進一步分析了生成式AI應用的多方面挑戰。首先，是算力需求的持續增長，這對於中小企業而言是個大門檻。其次，全球AI人才的短缺更是限制技術推廣的重要因素。第三，他援引數據資料指出，目前中文資料在AI訓練資料的占比僅為1.7％，其中正體中文更低於0.5%。這導致多數AI模型在處理正體中文的表現不佳，無法滿足臺灣本地市場的需求。</p> <p>為應對這個訓練模型的問題，國科會推動基於正體中文的大型語言模型「台德」（TAIDE，Trustworthy AI Dialogue Engine）。該模型目的在於：在打造符合臺灣文化特性，並滿足本地需求的AI技術平臺。這不僅是臺灣數位轉型的重要一步，也為全球提供支持多元語言與文化的AI範例。</p> <p>此外，他認為生成式AI的潛在風險還包括：資料安全與模型偏見。例如，AI生成的內容可能在無意間洩露機密資料，或者因訓練資料的不平衡而導致偏頗的決策。要解決這些問題，就必須要求開發者在設計階段，就納入更高的安全與公平性標準。</p> <p>另一個備受關注的議題是：AI技術在資安領域的雙面性。他說，AI一方面可以用於快速檢測與防禦潛在威脅，例如通過分析巨量資料，識別異常行為；另一方面，AI也可能被惡意使用，開發更加精密的攻擊工具。「因此，如何用AI對抗AI，成為當前資安策略中的重要一環。」他說。</p> <p>何全德深信，AI技術將對臺灣未來的社會與經濟發展產生深遠影響。他提到，AI不僅能提高生產效率，還能改善生活品質。例如，未來的視障人士將可能透過AI技術攔下計程車，或者使用AI協助日常生活中的複雜任務。這些應用場景不僅展現了AI的潛力，也讓人類看到了技術與人性結合的美好前景。</p> <p>他進一步提到，AI還將推動臺灣的產業升級與提升國際競爭力。例如，在製造業中，AI可實現供應鏈的全方位優化；在醫療領域，AI能加速新藥研發，並提升診斷的準確性。他認為，這些技術應用不僅能為企業帶來經濟效益，也能為社會創造更大的公共價值。</p> <p>何全德引用法國作家馬塞爾·普魯斯特的名言：「真正的發現之旅，不在於尋找新的風景，而在於擁有新的眼光。」這句話強調了創新思維的重要性，他認為，尤其是在AI快速發展的時代，傳統的觀念與方法已無法應對新興挑戰，我們需要以全新的視角重新審視技術、治理與社會發展的關係。</p> <p>最後，他呼籲臺灣應從簡單的風險管控開始，逐步適應並快速行動。他強調，未來的成功取決於我們如何用新的思維看待治理與技術運用，並為臺灣的社會與經濟發展注入新動能。</p> <p>何全德說：「在AI時代，臺灣應該善用自身的創新能力，打造具本地特色的應用場景，讓AI成為促進社會公平、經濟發展與技術進步的重要支柱。」</p> <p> </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E8%87%BA%E7%81%A3%E5%88%B6%E5%AE%9AAI%E5%AE%89%E5%85%A8%E6%94%BF%E7%AD%96%E5%9B%9B%E5%80%8B%E5%8F%83%E8%80%83.jpg" style="width: 600px; height: 602px;" /></p> <blockquote><p>資安院院長何全德引述美國CISA局長Jen Easterly對AI風險關注的四個面向，並認為，未來政府在制定AI安全政策時，也可以將這四個面向作為參考。</p> </blockquote> </div></div></div>
2024/12/31 10:51作者黃彥棻https://www.ithome.com.tw/news/166748
美財政部因第三方SaaS漏洞波及遭中國駭客存取員工電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國財政部受使用的第三方遠端安全存取管理平臺漏洞攻擊波及，讓駭客存取員工電腦，而導致部份資訊外流。</p> <p><a href="https://www.documentcloud.org/documents/25472698-letter-from-treasury-re-december-2024-cyberattack/" target="_blank">財政部管理助理祕書長</a>本周向美國參議院金融、住宅與都市事務委員會主席發函告知此事。財政部於12月8日接獲使用的特權遠端存取（Privilege Remote Access）及遠端支援（Remote Support）雲端業者BeyondTrust通知，該業者提供財政部辦公室（Treasury Departmental Office，TDO）SaaS版員工遠端技術支援所使用的金鑰遭攻擊者取得。這批攻擊者利用此金鑰覆寫了BeyondTrust的安全設定，成功存取了數名員工的工作站，並且存取了工作站中特定非機密文件。</p> <p>12月初BeyondTrust公告，部分採用其SaaS版遠端支援（Remote Support，RS）系統的用戶遭到入侵。12月16日該公司<a href="https://www.ithome.com.tw/news/166615" target="_blank">公布</a>初步調查結果，攻擊者是濫用了重大風險的命令注入漏洞CVE-2024-12356，以及中度風險的CVE-2024-12686，可注入惡意指令，而能冒充網站合法用戶執行動作。</p> <p>美財政部已在美國網路安全暨基礎架構管理署（CISA）、聯邦調查局（FBI）及第三方數位鑑識業者的協助下廓清攻擊事件。分析入侵指標顯示，攻擊來源指向中國政府資助的進階持續性威脅（Advanced Persistent Threat，APT）即國家駭客。</p> <p>財政部也說，使用的BeyondTrust服務目前已經下線，目前的追蹤顯示，資訊外洩已經未再持續。</p> <p>BeyondTrust已在12月16日<a href="https://www.beyondtrust.com/trust-center/security-advisories/bt24-10" target="_blank">發布</a>新版本RS & RPA 22.1.x版解決漏洞。CISA也在12月19日<a href="https://www.cisa.gov/news-events/alerts/2024/12/19/cisa-adds-one-known-exploited-vulnerability-catalog" target="_blank">通令</a>美聯邦政府部門更新軟體版本。</p> </div></div></div>
2024/12/31 10:59作者林妍溱https://www.ithome.com.tw/news/166747
疑拒絕付贖金，施耐德電機公司資料被公布於暗網
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Cybernews<a href="https://cybernews.com/security/schneider-electrics-data-breach/" target="_blank">報導</a>，施耐德電機（Schneider Electric）的公司專案、客戶資料上周遭駭客公布於暗網上。</p> <p>11月一個名為Grep的駭客在勒索軟體駭客組織Hellcat的地下網站<a href="https://www.ithome.com.tw/news/165854" target="_blank">貼文</a>，聲稱手中持有這家法國電機設備大廠公司檔案。駭客說是存取了施耐德電機的Atlassian Jira系統而得手這批資料，他們也<a href="https://www.forbes.com/sites/daveywinder/2024/11/06/ransomware-gang-demands-125000-payment-in-french-bread-and-crypto/" target="_blank">公開說</a>，他們向受害者要求價值12.5萬美元的加密貨幣及法國長棍麵包為贖金，但是如果該公司執行長公開承認被駭就可降低到一半。施耐德電機之後證實遭駭。</p> <p>不過12月29日，駭客在資料外洩網站公布施耐德電機的公司資料開放大眾存取，作為對施耐德電機拒絕付贖金的報復。這批資料為單一個40GB的檔案，內有該公司的專案、程式碼問題、外掛，以及超過40萬行的用戶資料。但目前施耐德電機尚未對此做出評論。</p> <p>Hellcat之前也<a href="https://www.ransomware.live/group/hellcat" target="_blank">駭入</a>過約旦教育部、以色列國會、坦桑尼亞商學院，以及美國電信業者Pinger的通訊App。Hellcat和Grep的關係不得而知。</p> <p>這也是施耐德電機近18個月來第三次重大網路攻擊事件。2024年2月名為Cactus的勒索軟體組織<a href="https://www.ithome.com.tw/news/161180" target="_blank">宣稱</a>竊走其1.5TB的敏感資料。2023年該公司又因MOVEit Transfer零時差漏洞，遭CI0p勒索軟體<a href="https://www.ithome.com.tw/news/157532" target="_blank">攻擊</a>。</p> </div></div></div>
2024/12/31 11:15作者林妍溱https://www.ithome.com.tw/news/166749
【資安日報】12月30日，駭客鎖定逾20款Chrome延伸套件發動供應鏈攻擊，意圖竊取使用者社群網站帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Chrome瀏覽器的使用者注意！上週有資安業者公布他們經營Chrome延伸套件的開發帳號遭到入侵，導致用戶有可能面臨社群網站帳號遭竊的風險，但這並非單一事故，因為後續有研究人員發現，還有超過20款延伸套件也是這波駭客下手的對象。</p> <p>值得留意的是，部分套件下載次數突破10萬，影響相當廣泛，其中最多的是Visual Effects for Google Meet、Reader Mode，分別有超過90萬、30萬次下載。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166742"><strong style="font-size: 22px;">25款Chrome延伸套件遭遇供應鏈攻擊而成為駭客幫兇，目的是竊取使用者的社群網站帳號</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/vcwXOeEfp4.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/vcwXOeEfp4.png" style="width: 300px; float: right;" /></a></p> <p>攻擊者針對開源套件、瀏覽器延伸套件發動供應鏈攻擊的事故不時傳出，其中有不少是針對軟體開發套件開發者而來的事故，如今有專門針對瀏覽器套件開發者的情況傳出。</p> <p>這起事故的曝光，源於12月27日資料保護業者Cyberhaven發布的資安公告，他們表示在聖誕節前夕遭遇惡意Chrome延伸套件的攻擊行動，有人在24日假借Google的名義，透過釣魚攻擊滲透該公司員工的帳密資料，得逞後藉由他們的名義上架惡意版本Chrome延伸套件，該公司資安團隊於25日世界協調時間（UTC）晚點11時54分察覺此事，並於一個小時內將惡意套件下架。</p> <p>然而，Cyberhaven並非唯一遭到鎖定的Chrome Web Store開發團隊。資安業者Nudge Security共同創辦人暨技術長Jaime Blasco警告，還有其他延伸套件的開發人員疑似遭到鎖定，他根據駭客使用的C2伺服器IP位址進行比對，指出還有另外14個延伸套件也可能受害。資安業者Secure Annex也公布他們的調查結果，並彙整受到這起事故影響的延伸套件列表，截至目前為止，已有25個套件遇害，這些有問題的套件累積下載次數超過229萬，使用者資料恐面臨外流的情形。</p> <p><a href="https://www.ithome.com.tw/news/166736"><strong style="font-size: 22px;">殭屍網路Ficora、Capsaicin崛起，鎖定D-Link路由器已知漏洞而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig01-dlink-botnet.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig01-dlink-botnet.jpeg" style="width: 300px; float: right;" /></a>鎖定D-Link網路設備漏洞的攻擊行動接連傳出，其中有不少是針對研究人員剛發現的新漏洞而來，如今有攻擊者一口氣針對多個已知漏洞下手，意圖控制裝置、將其納入殭屍網路大軍。</p> <p>資安業者Fortinet在2024年10月至11月發現兩個殭屍網路的活動大幅增加的情況，其中一個是Mirai變種Ficora，另一個則是源自Kaiten變種的Capsaicin，而這些殭屍網路的散布方式，就是針對特定型號的D-Link無線基地臺已知漏洞而來，涵蓋CVE-2015-2051、CVE-2019-10891、CVE-2022-37056，以及CVE-2024-33112（CVSS風險評分皆達到9.8）。</p> <p>攻擊者利用上述的已知漏洞，從而遠端濫用家庭網路管理協定（Home Network Administration Protocol，HNAP），於受害裝置執行任意程式碼。</p> <p><a href="https://www.ithome.com.tw/news/166737"><strong style="font-size: 22px;">遭到Cleo零時差漏洞攻擊的企業超過60家？勒索軟體Clop揚言不付錢就揭露受害公司名稱</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cleo-victims-list.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cleo-victims-list.png" style="width: 300px; float: right;" /></a>12月初Cleo旗下MFT檔案傳輸系統傳出遭遇零時差漏洞CVE-2024-55956攻擊，此漏洞疑為Cleo處理重大漏洞CVE-2024-50623修補不全產生，CVSS風險評為9.8分（滿分10分）。12月中旬勒索軟體駭客組織Clop聲稱這波攻擊行動是他們所為，究竟有多少企業組織受害？近期這些駭客有了新的說法。</p> <p>根據資安新聞網站Bleeping Computer的報導，Clop聲稱於網站有66個企業組織遭遇攻擊，但他們僅有列出已聯繫並未收到回應的企業組織，因此可能有更多組織受害。</p> <p>另一家資安新聞網站SecurityWeek指出，駭客在網站公布超過60個受害組織的部分名稱，僅有透露其中一個是SaaS軟體服務供應商Blue Yonder。這些駭客向受害組織施壓，要脅若不付錢，他們將在12月30日公布這些受害組織的完整名稱。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=163221&SPOKE_DATE=20241227&COMPANY_ID=6202"><strong style="font-size: 22px;">針對MCU競賽網站遭受攻擊的事故，半導體業者盛群查出徵才網站也受害</strong></a></p> <p></p> <p>12月18日上市半導體業者盛群傍晚於股市公開觀測站發布重大訊息，表示他們針對MCU創意競賽「盛群盃」架設的網站遭到攻擊。上週末該公司公布進一步的調查結果，指出他們另一個網站也遭駭客上下其手。</p> <p>27日盛群發布重大訊息指出，他們針對競賽網站事故著手深入調查，結果發現求職者履歷後端管理平臺也遭到攻擊，該公司已找到攻擊來源並予以阻斷。值得留意的是，他們透露該網站有部分資料可能出現外洩的跡象，但並未說明影響範圍。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/hackers-release-second-batch-of-stolen-cisco-data/">駭客組織IntelBroker傳出再度公布部分10月竊得的思科內部資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/a-9th-telecoms-firm-has-been-hit-by-a-massive-chinese-espionage-campaign-the-white-house-says/">針對中國駭客Salt Typhoon大規模網路間諜攻擊行動，美國政府透露有第9家遇害的電信業者</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/12/cloud-atlas-deploys-vbcloud-malware.html">駭客組織Cloud Atlas利用方程式編輯器已知漏洞，散布惡意軟體VBCloud</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166728"><strong style="font-size: 22px;">Java網路應用程式框架Apache MINA存在風險滿分的重大漏洞</strong></a></p> <p>12月25日Apache基金會發布Java網路應用程式框架Apache MINA更新2.2.4、2.1.10、2.0.27版，主要是為了修補遠端程式碼執行（RCE）漏洞CVE-2024-52046，這項漏洞影響2.0.0至2.2.3版，CVSS風險評分達到10分（滿分10分），相當危險。</p> <p>MINA（Multipurpose Infrastructure for Network Applications）是開源的網路應用程式框架，其特色是提供抽象事件導向異步API，而能夠簡化網路應用程式的TCP/IP、UDP/IP等網路傳輸。而這項漏洞出現在ObjectSerializationDecoder元件，此元件透過Java原生去序列化通訊協定處理輸入的序列化資料，但缺乏必要的安全檢查及防禦機制而產生這項弱點。</p> <p>關於漏洞的善後，Apache基金會特別提及，IT人員光是部署更新無法完全緩解漏洞，還要明確地在ObjectSerializationDecoder允許特定類別的解碼器，並提及有3種方法可用。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/critical-ssrf-vulnerability-cve-2024-53353-found-in-invoice-ninja/">開源發票及專案管理平臺Invoice Ninja存在重大漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/12/15000-four-faith-routers-exposed-to-new.html">Four-Faith路由器高風險漏洞傳出已被用於攻擊行動</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166734"><strong style="font-size: 22px;">為強化Splunk SIEM產品線，思科計畫併購威脅偵測與防禦廠商SnapAttack</strong></a></p> <p></p> <p>網路與伺服器大廠思科Splunk宣布有意併購威脅偵測與防禦（Threat Detection and Defense）業者SnapAttack，以強化Splunk安全資訊和事件管理（SIEM）產品陣容。而對於併購SnapAttack的金額，思科並未透露。</p> <p>思科在買下SnapAttack之後，會將SnapAttack的威脅偵測與工程（threat detection and engineering，TD/E）技術、智慧財產與Splunk Enterprise Security整合，加速其「偵測即程式碼」（detection-as-code）藍圖擴展。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166722"><strong>【12月27日】Palo Alto Networks防火牆阻斷服務漏洞傳出已有攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166704"><strong>【12月26日】日本航空傳出遭遇網路攻擊導致部分航班延誤</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166671"><strong>【12月25日】美國政府下令萬豪、喜達屋旅館集團強化資安</strong></a></p> </div></div></div>
2024/12/30 17:03作者周峻佑https://www.ithome.com.tw/news/166744
零售IT雙周報第48期：2024年最後一波，超商雙雄各出會員數據經營新招
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000ff;"><strong>重點新聞(1215~1228)</strong></span></p> <p>2024年最後，超商雙雄各自祭出了會員OMO數據經營新招。全家延續著經營開店平臺的戰略，鎖定買賣家同門市交貨場景，推出智慧寄物服務，進一步了解會員的電商行為，如何與實體消費行為串聯。小七則推出了整合集團全通路的OpenPoint會員入口網站，嘗試一站式蒐集會員橫跨旗下不同通路的數位足跡。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電商物流 #OMO零售 #會員數據</span></span></strong><br /> <strong>全家推出電商寄物服務，蒐集OMO消費數據新面向</strong></p> <p>全家推出「寄物+」門市寄物服務，主要用於電商同門市交貨，也可用於個人寄物情境。目前，此服務可於全臺4,200間店舖的Kiosk機臺申請使用，未來則能在全家官網、會員App及線上Kiosk App等通路申請使用。</p> <p>這是全家透過電商物流服務，來經營OMO會員數據的又一做法。如同他們過往蒐集門市電商取貨數據，全家也會蒐集寄物服務數據，分析取貨者和寄貨者的行為特徵等個人級別數據，以及熱門服務時段和地點等門市級別數據，來輔助會員及門市經營決策。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#集團綜效 #OMO零售 #會員經營</span></span></strong><br /> <strong>統一集團推出集團會員入口網站，一站式串聯會員橫跨各通路的足跡</strong></p> <p>統一集團推出了Uniopen網站，這是一個集團全通路的入口網站，一站式串聯了跨通路的電商功能、生活資訊、優惠資訊。在此，可以用關鍵字同時搜尋跨通路商品、官方資訊文章，以及社群文章。</p> <p>此網站可以登入橫跨統一不同通路的OpenPoint會員，不過，除了可以查詢訂單跟收藏商品等個人化查詢功能，統一沒有提到其他個人化服務。</p> <p>目前，此網站對於集團內不同通路的資訊串聯和系統整合程度不一。整合度最低的Yahoo商城，目前只是一個外部連結，無法在搜尋功能中找到站上商品。博客來等其他通路整合度則略高，可以在Uniopen找到商品，但點入商品頁面後，無法直接帶入會員身分。記者實測時，從Uniopen搜尋頁面點擊商品，到博客來買書的過程中，需要登入會員身分至少三次，且每次都需要接收OTP簡訊，體驗仍不算流暢。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #自建GAI應用</span></span></strong><br /> <strong>用GAI提升業務作業效率6倍，US Foods秘訣是不怕準確度低，早早投入真人測試</strong></p> <p>如何降低生成式AI產生幻覺或回答不精確的機率，是企業應用此技術到實際業務流程中，一個重要品質控管環節。不過，有一家企業反其道而行，早在生成式AI的KM助手開發初期，就廣泛應用回答準確率只有50%的陽春版雛型，成為他們正式版產品成功提升業務人員作業6倍效率的關鍵。</p> <p>US Foods是一間有250,000間餐飲客戶的美國大型食品經銷商，他們的3,000名業務人員，不只要負責推銷公司產品，還要提供餐飲及開店建議。每當餐廳想要諮詢，業務人員就得扮演顧問角色，花上3至4小時，彙整餐廳提供資料，綜合參考自家內部資料，才能開始製作顧問提案。平均，一名業務要負責50至70間餐廳，不只工作時間，就連假日和下班時間都被這些數據整理作業佔滿，是業務人員最費時的工作內容。US Foods ML工程團隊希望用生成式AI來降低麻煩，最後成功將業務彙整資料縮短到半小時以內，效率超過6倍。</p> <p>US Foods ML工程團隊主管David Falck指出，KM工具達到這樣的效果，關鍵在於他們不會擔心GAI回答準確度太低，就不敢讓真人測試。他表示，早早讓業務人試用雛形，不僅可以盡快測試實際工具成效，更能根據大量第一線使用者的誠實回饋，鎖定優化方向。開發過程中，他們也不斷擴大測試規模，讓更多市場及地區的業務人員試用不同版本的雛型，來蒐集更多使用者回饋，並盡早讓工具發揮降低工時的價值。</p> <p>ML工程團隊的技術決策，也使他們能快速分析試用結果和使用者回饋，並彈性調整系統。這些做法包括妥善切割功能模組、打造自動化再訓練機制、留存推論結果紀錄、規定提示詞模板等。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #LLM開發 #GPU資源應用</span></span></strong><br /> <strong>酷澎如何開發和應用生成式AI，並在過程中壓低GPU成本</strong></p> <p>近期，酷澎揭露了自家如何應用和開發LLM，以及過程中的軟硬體技術做法。在生成式AI爆紅前，酷澎一年就已經執行了超過600個ML專案、10萬個工作流程。LLM問世後，酷澎則開始用LLM及多模態LLM的文字及圖像理解能力，來強化既有AI/ML做法，尤其是原本就會運用大量圖文資料的推薦類和內容理解類模型。</p> <p>常見3大LLM應用是，利用多模態LLM同時根據圖像和文字數據，來生成嵌入向量；用LLM大規模生成中英韓三種語言的弱標註（Weak Labels）數據，來支援其他模型的訓練；以及綜合商品分類與屬性提取，來取代原本個別商品類別的ML分類模型。</p> <p>導入LLM，使酷澎需要大量增添供應短缺且要價昂貴的GPU資源。他們控管GPU支出及確保可用性的做法包括，定期進行測試是否能用更低規格GPU來處理小LLM的作業、利用跨區及混合雲模式來調度硬體資源、嘗試新技術框架來降低硬體負擔，以及混搭CPU和GPU來降低高端GPU需求等。（<a href="https://www.ithome.com.tw/news/166732">更多技術細節詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RMN3.0 #會員數據 #第三方數據交換</span></span></strong><br /> <strong>RMN 3.0平臺帶動會員經濟進一步規模化，企業搭上浪潮得靠數據力</strong></p> <p>2025年，將有更多企業，有機會採用RMN這個新型零售數據應用型態。2023到2024年，臺灣RMN環境經歷了1.0和2.0階段，前者是企業在自家通路行銷，後者則是將行銷活動推及外部通路。這兩階段，大多只有具備雄厚IT能力或資本的企業，能打造RMN，來經營會員經濟。</p> <p>2024年底，市場則出現了更多RMN 3.0選項。這個型態的RMN，由平臺方打造IT基礎建設，綜合多家零售商數據，可以利用平臺方與參與企業的通路，再加上第三方廣告通路來行銷。也就是說，IT門檻較低，顧客數據來源、行銷可觸及的通路，都更加多元。</p> <p>採用RMN 3.0模式，企業IT不需從頭建置聯播網系統，大幅降低了利用RMN來經營會員經濟的門檻。此時，要抓住這個新會員經營的機會，關鍵是數據力。開放自家通路及會員數據後，如何處理大量外部流量，以及如何確保第三方數據交換的隱私與法遵，都是重要課題。（<a href="https://www.ithome.com.tw/news/166714">詳全文</a>）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態</span></strong></span></p> <p>1. <a href="https://www.linkedin.com/posts/veesionsas_veesion-spar-despar-activity-7274762855193755648-4hVQ">全球有13,990間門市的SPAR超市開始導入AI影像辨識系統來防盜</a></p> <p>2. <a href="https://www.lekkerland.de/presse/in-koblenz-lekkerland-eroeffnet-ersten-kassenlosen-rewe-to-go-shop-in-einem-bahnhof/">大型零售集團REWE於德國科布倫茨總站開設無人超商，結合身分證件掃描設備來自動化販售菸酒商品</a></p> <p>3. AI零售科技商<a href="https://nrfbigshow2025.smallworldlabs.com/listings/item/26/1383">Trigo推出新電腦視覺防盜應用，串聯不同店內監視器影像、貨架數據及結帳數據</a>來追蹤商品動向</p> <p>資料來源：iThome整理，2024年12月</p> <p>責任編輯：郭又華</p> <p>圖片來源：全家、統一超</p> <p></p> </div></div></div>
2024/12/30 17:46作者郭又華https://www.ithome.com.tw/news/166741
25款Chrome延伸套件遭遇供應鏈攻擊而成為駭客幫兇，目的是竊取使用者的社群網站帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>攻擊者針對開源套件、瀏覽器延伸套件發動供應鏈攻擊的事故不時傳出，其中有不少是針對軟體開發套件開發者而來的事故，如今有專門針對瀏覽器套件開發者的情況傳出。</p> <p>這起事故的曝光，源於12月27日<a href="https://www.cyberhaven.com/blog/cyberhavens-chrome-extension-security-incident-and-what-were-doing-about-it">資料保護業者Cyberhaven發布的資安公告</a>，他們表示在聖誕節前夕遭遇惡意Chrome延伸套件的攻擊行動，有人在24日假借Google的名義，透過釣魚攻擊滲透該公司員工的帳密資料，得逞後藉由他們的名義上架惡意版本Chrome延伸套件，該公司資安團隊於25日世界協調時間（UTC）晚點11時54分察覺此事，並於一個小時內將惡意套件下架。</p> <p>對此，Cyberhaven進一步透露整起事故的影響範圍，他們提及受影響的延伸套件版本僅有24.10.4版，於12月25日上午1時32分至26日2時50分之間，透過自動更新升級延伸套件的使用者，有可能受到影響。</p> <p>他們進一步清查受害範圍，確認該公司的CI/CD流程，以及簽署程式碼的金鑰，或是其他系統未受到波及。而對於電腦被植入惡意套件的使用者，可能外流的資訊，包括：部分網站的瀏覽器的Cookie，以及通過身分驗證的連線階段（Session），該公司初步判斷駭客的攻擊目標，是特定社群網站及AI平臺的帳密資料。</p> <p>對於受到影響的使用者，他們呼籲不僅要儘速將延伸套件更新為24.10.5版以上版本，並輪替、註銷所有未導入FIDO2的所有密碼，以及檢視事件記錄是否出現惡意行為。</p> <p>然而，Cyberhaven並非唯一遭到鎖定的Chrome Web Store開發團隊。資安業者Nudge Security共同創辦人暨技術長Jaime Blasco警告，<a href="https://x.com/jaimeblascob/status/1872445912175534278">還有其他延伸套件的開發人員疑似遭到鎖定</a>，他根據駭客使用的C2伺服器IP位址進行比對，指出還有<a href="https://x.com/jaimeblascob/status/1872447430362611810">另外14個延伸套件</a>也可能受害。<a href="https://secureannex.com/blog/cyberhaven-extension-compromise/">資安業者Secure Annex也公布他們的調查結果</a>，並彙整受到這起事故影響的<a href="https://docs.google.com/spreadsheets/d/15xOLbYgz5DQnCWYE6a_LXGcqYC_bNPPzdBqdLofz6-E/edit?gid=0#gid=0">延伸套件列表</a>，截至目前為止，已有25個套件遇害、逾229萬使用者資料恐面臨外流的情形。</p> <p><a href="https://s4.itho.me/sites/default/files/images/vcwXOeEfp4.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/vcwXOeEfp4.png" style="width: 580px;" /></a></p> </div></div></div>
2024/12/30 15:59作者周峻佑https://www.ithome.com.tw/news/166742
遭到Cleo零時差漏洞攻擊的企業超過60家？勒索軟體Clop揚言不付錢就揭露受害公司名稱
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>12月初Cleo旗下MFT檔案傳輸系統傳出<a href="https://www.ithome.com.tw/news/166461">遭遇零時差漏洞CVE-2024-55956攻擊</a>，此漏洞疑為Cleo處理重大漏洞CVE-2024-50623修補不全產生，CVSS風險評為9.8分（滿分10分）。12月中旬<a href="https://www.ithome.com.tw/news/166535">勒索軟體駭客組織Clop聲稱這波攻擊行動是他們所為</a>，究竟有多少企業組織受害？近期這些駭客有了新的說法。</p> <p>根據<a href="https://www.bleepingcomputer.com/news/security/clop-ransomware-is-now-extorting-66-cleo-data-theft-victims/">資安新聞網站Bleeping Computer的報導</a>，Clop聲稱於網站有66個企業組織遭遇攻擊，但他們僅有列出已聯繫並未收到回應的企業組織，因此可能有更多組織受害。</p> <p>另一家資安新聞網站SecurityWeek指出，<a href="https://www.securityweek.com/cl0p-ransomware-group-to-name-over-60-victims-of-cleo-attack/">駭客在網站公布超過60個受害組織的部分名稱</a>，僅有透露其中一個是<a href="https://www.ithome.com.tw/news/166416">SaaS軟體服務供應商Blue Yonder</a>。這些駭客向受害組織施壓，要脅若不付錢，他們將在12月30日公布這些受害組織的完整名稱。</p> <p>由這些說法來看，更讓外界認為Clop很有可能與勒索軟體Termite有關，因為這個惡意團體聲稱對Blue Yonder下手，不過Clop迄今並未進一步說明。</p> </div></div></div>
2024/12/30 12:54作者周峻佑https://www.ithome.com.tw/news/166737
殭屍網路Ficora、Capsaicin崛起，鎖定D-Link路由器已知漏洞而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定D-Link網路設備漏洞的攻擊行動接連傳出，其中有不少是針對研究人員剛發現的新漏洞而來，如今有攻擊者一口氣針對多個已知漏洞下手，意圖控制裝置、將其納入殭屍網路大軍。</p> <p>資安業者Fortinet在<a href="https://www.fortinet.com/blog/threat-research/botnets-continue-to-target-aging-d-link-vulnerabilities">2024年10月至11月發現兩個殭屍網路的活動大幅增加</a>的情況，其中一個是Mirai變種Ficora，另一個則是源自Kaiten變種的Capsaicin，而這些殭屍網路的散布方式，就是針對特定型號的D-Link無線基地臺已知漏洞而來，涵蓋<a href="https://nvd.nist.gov/vuln/detail/cve-2015-2051">CVE-2015-2051</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2019-10891">CVE-2019-10891</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2022-37056">CVE-2022-37056</a>，以及<a href="https://github.com/advisories/GHSA-q9cc-2q3j-jfm7">CVE-2024-33112</a>（CVSS風險評分皆達到9.8）。</p> <p>攻擊者利用上述的已知漏洞，從而遠端濫用家庭網路管理協定（Home Network Administration Protocol，HNAP），於受害裝置執行任意程式碼。</p> <p>這兩波攻擊行動何時發生？是否鎖定特定國家地區？研究人員指出Ficora攻擊來自2個荷蘭的IP位址，攻擊範圍遍及世界各地，因此他們推測攻擊者並未針對特定國家而來。</p> <p>另一個殭屍網路Capsaicin的攻擊行動與Ficora相當不同，攻擊只發生兩天：10月21日、22日，而且，駭客僅有針對日本、臺灣下手。</p> <p>針對Ficora的攻擊行動，攻擊者會先在受害裝置下載名為multi的Shell指令碼並執行，確認受害裝置的系統架構，然後下載對應版本的Ficora。一旦成功部署殭屍網路病毒，攻擊者就可能將其用來發動DDoS攻擊。此外，該殭屍網路病毒也具備掃描器的功能，因為研究人員在程式碼當中，發現一組寫死的帳號及密碼組合，可供駭客對其他設備的登入進行暴力破解。</p> <p>而對於Capsaicin的攻擊過程，攻擊者也是利用特定的Shell指令碼來確認受害裝置架構，並部署對應版本的Capsaicin，然後從C2接收攻擊命令。</p> </div></div></div>
2024/12/30 12:15作者周峻佑https://www.ithome.com.tw/news/166736
【資安週報】1216~1220，年度威脅分析師高峰會揭露中國APT攻擊態樣與假訊息潮流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>告別2024年在即，回顧12月第4個星期的資安新聞，我們優先推薦TeamT5威脅分析師高峰會上的重要揭露，他們解析這一年來的中國APT攻擊態樣與假訊息態勢，惡意活動顯著增加，不僅結合AI與邊緣裝置漏洞發動精準攻擊，而且過去由政府資助的中國駭客組織，因經濟壓力而必須自力更生，於是，不只攻擊國家、軍方與大企業，也開始以金錢為目的鎖定中小企業攻擊。</p> <p>另一重要消息，在於資安防護層面的作法。由於中國駭客對美電信業發動網路間諜攻擊，美CISA在12月初針對電信業者發布資安強化指引，到了18日，再發布行動通訊最佳實作指引，呼籲政府機關的高層等高風險用戶，應改用iOS與Android雙平臺皆支援全程加密（E2EE）的加密通訊軟體，以因應中國駭客入侵電信業的間諜活動威脅。</p> <p>此外，繼上星期美國政府傳出禁用TP-Link路由器，該國參議院通過新一年度國防授權法，當中要求無人機大廠大疆（DJI）在一年內證明自己並未威脅美國國家安全，否則美FCC將禁止其產品在美國境內銷售，也不會授權DJI廣播其無線電波使用美國固網連線。</p> <p>在威脅態勢上，有3起資安事件與殭屍網路病毒相關，其中兩起突顯資安界一直提醒的網路設備安全管理問題：使用Admin、0000等預設密碼、使用廠商停產且不再支援的設備。這些不安全狀態遲遲無法改善，持續成為攻擊者積極鎖定的目標。</p> <p>●Juniper Networks發布資安公告，指出有用戶回報其Session Smart Router路由器遭植入殭屍網路病毒Mirai，並指出受害設備共通點是使用預設密碼的狀況。<br /> ●臺廠永恒數位通訊（Digiever）已EOL的NVR設備DS-2105 Pro遭鎖定，被散布Mirai殭屍網路病毒變種Hail Cock，Akamai指出駭客可能利用零時差漏洞入侵。<br /> ●惡意軟體BadBox攻擊升溫，德國12月中旬以DNS陷坑技術中斷當地BadBox運作，全球仍有19.2萬臺安卓裝置被駭客控制並組成殭屍網路，其中包括Yandex智慧電視與海信智慧手機。</p> <p>還有一項消息涉及開源軟體供應鏈攻擊，企業與開發者需重視，有資安業者揭露新的Python惡意套件，指出Zebo與Cometlogger這兩款套件看似一般開源程式，但利用合法Python函式庫結合混淆技術，來隱藏其竊取憑證的目的。</p> <p>在資安事件方面，這一星期有合晶美國子公司Helitek、日本航空JAL遭駭，另外，有兩起多年前發生的資安事故如今有後續消息。</p> <p>●上櫃半導體業合晶在12月26日代子公司Helitek公告發生網路資安事件，說明部分資訊系統遭受攻擊。<br /> ●日本航空（JAL）在12月26日早上公告連接內外網路環境的路由器設備出現異常，導致國內外航班延誤，當地媒體指出是伺服器遭DDoS攻擊造成。<br /> ●思科10月傳出資料遭竊的事故，如今有駭客聲稱握有4.5 TB資料。<br /> ●2014到2020年間萬豪國際及喜達屋連鎖飯店發生大規模資料外洩，美FTC指控飯店謊稱具合理適當的資安防護，如今祭出新和解條件，限期半年內強化資安。<br /> ●Meta、WhatsApp在5年前對以色列間諜軟體公司NSO Group提告，指控其利用WhatsApp零時差漏洞入侵逾1,400臺行動裝置，如今判決WhatsApp勝訴。</p> <p>在物聯網雲端平臺安全議題上，資安業者Claroty發現中國網路設備業者銳捷網路（Ruijie Networks）雲端設備管理平臺的10個漏洞，已通報該業者修補，並指出MQTT通訊協定實作的問題。</p> <p>在漏洞利用方面，有個零時差漏洞利用活動需關切後續發展，苦主是資安廠商Palo Alto Networks，他們修補防火牆與Prisma Access的漏洞CVE-2024-3393，並指出該漏洞已被用於攻擊行動。</p> <p>在重要漏洞修補動向上，Apache基金會針對Tomcat重大RCE漏洞（CVE-2024-50379）修補不全，再度發布資安公告，要求用戶調整Java元件部分組態因應，另也針對開源CDN軟體Traffic Control修補重大漏洞。</p> <p>其他可留意的漏洞修補消息，包括基於Git而成的程式碼管理系統Gogs修補一系列漏洞，Sophos修補兩項防火牆漏洞，以及MinIO修補物件儲存平臺漏洞等。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/166628"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月23日】羅馬尼亞駭客組織Diicot再度利用Linux主機挖礦</span></strong></a></h3> <p>駭客針對Linux主機從事挖礦攻擊的情況，不時有研究人員揭露相關事故，如今在羅馬尼亞駭客Diicot（或稱Mexals）的攻擊行動裡，出現過往極為罕見的手法。</p> <p>資安業者Wiz指出，這些駭客一改過往的作風，他們不再眷戀雲端環境，而是鎖定企業內部環境的Linux伺服器而來，目的是為了避免攻擊行動東窗事發。</p> <h3><a href="https://www.ithome.com.tw/news/166656"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月24日】鎖定M365帳號的網釣工具包FlowerStorm現身</span></strong></a></h3> <p>本月初揭露的網釣工具包Rockstar 2FA，資安業者Trustwave指出它的前身是DadSec、Phoenix，但最近有新的調查指出，疑似即將重出江湖的Rockstar 2FA平臺網路犯罪業者，近期改為經營新的網釣工具包租用服務。</p> <p>資安業者Sophos指出，他們留意到駭客一個月前開始關閉Rockstar 2FA部分基礎設施，事隔數週，名為FlowerStorm的工具包開始出現相關活動的跡象。</p> <p><a href="https://www.ithome.com.tw/news/166671"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月25日】美國政府下令萬豪、喜達屋旅館集團強化資安</span></strong></a></p> <p>最近幾年旅館集團萬豪國際（Marriott International）傳出多起資料外洩事故，至少超過3.4億旅客資料外洩，美國聯邦交易委員會（FTC）在經過調查後於10月提告，如今這起事件有了新的進展。</p> <p>FTC根據當時要求達成和解的條件，正式下令該集團與旗下子公司（Starwood Hotels & Resorts）必須導入完善的資安方案，來避免類似的大規模資料外洩事故再度重演。</p> <h3><a href="https://www.ithome.com.tw/news/166704"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月26日】日本航空傳出遭遇網路攻擊導致部分航班延誤</span></strong></a></h3> <p>鎖定關鍵基礎設施（CI）的攻擊行動日益頻繁，其中一種標的，便是航空運輸產業，但過往鎖定這類目標的攻擊事故，多半發生在美洲和歐洲，如今有出現在東南亞的事故，引起當地高度關注。</p> <p>今天早上日本航空（Japan Airlines，JAL）傳出遭遇網路攻擊，並導致部分航班延後起飛的情況，引起日本媒體高度關注，他們根據掌握的情報，指出日本航空很有可能受到DDoS攻擊。</p> <h3><a href="https://www.ithome.com.tw/news/166722"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月27日】Palo Alto Networks防火牆阻斷服務漏洞傳出已有攻擊行動</span></strong></a></h3> <p>近期公布的重大漏洞相當多，例如：Apache開源CDN軟體<a href="https://www.ithome.com.tw/news/166697">Traffic Control重大層級SQL注入漏洞CVE-2024-45387</a>、<a href="https://www.ithome.com.tw/news/166703">程式碼管理系統Gogs重大漏洞</a>CVE-2024-39930、CVE-2024-39931、CVE-2024-39932等，這些都需要儘快完成修補或緩解作業，但還有一些喘息與觀望時間，如果是已經出現攻擊行動的漏洞，企業必須馬上動手處理。</p> <p>今天資安業者Palo Alto Networks公布的阻斷服務漏洞CVE-2024-3393，就是典型的例子。雖然該公司將漏洞僅列為高風險，但由於已有實際攻擊行動，IT人員最好儘速處理。</p> </div></div></div>
2024/12/30 11:06作者羅正漢https://www.ithome.com.tw/news/166733
OpenAI宣布轉型為營利導向的公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI上周<a href="https://openai.com/index/why-our-structure-must-evolve-to-advance-our-mission/" target="_blank">宣布</a>新的組織架構，計畫將轉變成公益法人（Public Benefit Corporation，PBC），以加速轉型為營利導向組織的目標。</p> <p>OpenAI董事會解釋OpenAI轉型成營利組織的必要性。OpenAI 2015年創立之初的目標是「推進數位智慧以造福全體人類、不受限於創造財務回報的需求」，非營利架構、仰賴捐款的作業型態是適當的。2019年OpenAI從實驗室變成了新創公司，在組織結構上，則建立一個中心是非營利組織，<a href="https://www.ithome.com.tw/news/129281" target="_blank">外圍是營利組織的輻輳式架構</a>，只求取回饋股東和員工的有限利潤，那年OpenAI獲得了包含微軟10億美元在內的投資。</p> <p>OpenAI指出，之後的成果如ChatGPT、o系列模型等帶動了整個業界投入AI開發及催生AI經濟蓬勃發展。這使他們必須募集更多資金跑在更前面，同時又有許多投資人想投資該公司，但巨額資金需要更傳統的資金流動，以及非輻輳式的組織結構。因此在2025年OpenAI想從新創再轉型為能永續營運的公司，以持續推進研發AGI造福人類的使命。</p> <p>董事會計畫2025年轉型為德拉瓦州公益法人（Delaware Public Benefit Corporation⁠），具備一般股票，而OpenAI的使命是該公司的公共利益。未來PBC和非營利組織是並行的。非營利組織將可持有PBC股份，其價值由獨立財務顧問判定。</p> <p>現有架構中，不允許董事會直接決定營利組織的利益，非營利組織也無法執行超過控制營利組織以外的事務。未來，PBC將執行和控管OpenAI的營運和業務，而非營利組織則會聘請領導團隊和成員，繼續推進慈善計畫，如醫療、教學和科學。</p> <p>OpenAI表示，這個PBC結構為許多其他公司所用（包括Anthropic 和馬斯克的xAI），其決策可兼顧股東利益、利害關係人利益及公共利益。而且，由於非營利組織將獲得財源，他們相信這將能創造「史上資源最豐足的非營利組織」以實踐其使命。</p> <p>早在OpenAI募集更多資金，已成為AI龍頭業者時，就遭到馬斯克批評違背初衷，並以實際法律行動<a href="https://www.ithome.com.tw/news/161593" target="_blank">阻止</a>。2024年12月初，馬斯克還<a href="https://www.ithome.com.tw/news/166292" target="_blank">請求</a>法院阻止OpenAI轉為營利機構，及和微軟合作鞏固市場壟斷等行為。</p> </div></div></div>
2024/12/30 12:11作者林妍溱https://www.ithome.com.tw/news/166735
國泰金控雲端資料湖倉平臺架構大公開！自行研發ETL工具、ML平臺也上雲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國泰金控在今年獲金管會核准數據上雲計畫，開始在雲端環境中搭建資料湖倉平臺。這是國內金融業者中，第一家業者開始在雲端環境中搭建不限定用途的資料湖倉平臺，能利用資料倉儲處理交易資料的能力，也能結合資料湖支援處理非結構化資料的能力，支持業務更多樣性的數據需求。在今年的國泰技術年會中，國泰金控數數發中心數據暨人工智慧發展部協理劉浩翔進一步揭露團隊如何設計雲端資料湖倉平臺架構，並公開現代化數據架構的資料治理要點。</p> <p>早在2020年，國泰金控就啟動了集團上雲的現代化計畫，並在2021年喊出5年100套系統上雲目標。截至今年9月，國泰金控已有71套系統完成遷雲。為了以更快速有效的方式應對數據分析需求、強化即時處理數據的效率，國泰在2023年決定將機器學習平臺和大數據平臺遷移上雲，開始盤點地端數據架構、進行上雲評估。</p> <p>目前，金融業在地端環境發展大數據時，最常使用資料倉儲和資料湖儲存資料。「但兩者各有優缺點。」劉皓翔解釋，資料倉儲在查詢和處理資料的速度較快，但無法滿足非結構化資料處理需求，且建置成本較高。資料湖則是具有高度彈性，能同時處理結構化、半結構化與非結構化資料，但缺乏處理交易資料的能力，查詢和分析資料的效能也不比資料倉儲好。</p> <p>考量到資料倉儲和資料湖各自優勢，劉浩翔指出，國泰在設計雲端資料架構時，決定結合兩者特長，包括資料湖的彈性和資料倉儲的查詢、分析效率，將打造湖倉平臺作為核心設計理念。他解釋，資料湖倉是建立在資料湖的基礎上，融合了資料層、目錄層和計算層。而在資料層上，資料湖倉建立了元數據管理，能利用這些元數據來實現資料倉儲才具備的單筆寫入儲存功能。</p> <h3>雲端資料湖倉平臺架構細節</h3> <p>國泰的現代化數據架構可分為6層，每項資料皆會從資料來源層，流通至資料注入層、資料湖倉層，和資料使用層，最後再到應用層。而資料治理層則是貫穿所有資料管道的底層服務。其中，資料湖倉層和資料使用層，是國泰要在雲端環境中構建資料湖倉平臺的核心部分。</p> <p>劉浩翔進一步揭露資料湖倉層和資料使用層的設計主軸。除了採用湖倉平臺設計，國泰還有自行研發自動化ETL工具PIGEON，來進行資料處理。透過建置數據字典作為資料來源，開發人員只要輸入資料查詢和加值邏輯，PIGEON就能自動產生ETL排程。此外，PIGEON也支持事件驅動機制，取代傳統以時間排程的觸發方式。例如，當資料到檔事件發生時，就能即時觸發ETL排程，確保資料的新鮮度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%9B%B2%E7%AB%AF%E8%B3%87%E6%96%99%E6%B9%96%E5%80%89%E5%B9%B3%E8%87%BAETL%E5%B7%A5%E5%85%B7.png" style="width: 600px;" /></p> <blockquote><p>在雲端資料湖倉平臺中，國泰採用自研發的自動化ETL工具PIGEON來進行資料處理，PIGEON能自動生成資料管道，也支持事件驅動機制。（圖片來源：國泰金控）</p> </blockquote> <p>另外，在資料使用層中包含一套ML平臺。劉浩翔表示，這套ML平臺包含三大特色，第一，平臺包含AI治理功能模組，具有國泰自行開發的負責任AI工具包，能針對AI模型進行評測。第二大特色，平臺透過容器化技術，將模型從開發、訓練到部署的過程管道化。最後，平臺提供模型中心Model Hub，提供多種模型選擇，包含雲端、地端、開源或閉源模型，也提供標準化API接口，能介接各種服務。Model Hub也提供成本管理功能，協助開發者管控模型使用開銷。</p> <h3>資料治理四大原則</h3> <p>在現代化數據架構中，資料治理層貫穿了所有資料管道，包含了統一元數據管理、資料虛擬化、資料共享，和資料分層管理。</p> <p>為了提升資料管理的效率與安全性，國泰採用了元數據管理平臺。「這套解決方案將會是未來雲端上的數據治理中的重要基底。」劉浩翔強調，進行元數據管理後，能加速資料調閱與管理，同時做到權限管理和自動化軌跡留存，「未來就有辦法回溯資料血緣，了解每個資料取用的上下游脈絡。」</p> <p>另外，劉浩翔提到，在地端環境管理數據時，往往因缺乏能整合不同資料源頭的平臺，需要經常將資料搬移至集中化儲存空間，才能檢視所有資料的系統來源。然而，「在某些場景中，搬移資料十分困難，常常造成數據孤島問題。」劉浩翔說。為了解決這項痛點，國泰運用資料虛擬化技術，透過建立虛擬化中心，快速取得來自不同系統的資料，減少ETL工具的開發成本。同時，透過增加虛擬層，更快完成跨系統間的資料共享。</p> <p>在資料治理層中，國泰也有進行資料分層管理。當子公司各類系統輸入資料至國泰的雲端湖倉平臺時，資料會經過五個數據分層進行處理，先從暫存數據層進入原始數據層，對資料進行清洗、去敏和加密動作，接著進入數據彙總層，建立資料模型（Data Model），將資料化為通用性較高的資料表，再進入數據加值層，按數據主題產出數據產品的資料市集（Data Mart），例如產出各項風險指標。最後才進到數據服務層，服務業務人員的數據需求。劉浩翔強調，透過數據分層，平臺能區隔明碼區和暗碼區，確保使用資料的人員不會接觸到明碼區。</p> <h3>雲端人才不足，國泰計畫3年對內培育200位雲端數據人才</h3> <p>在推動上雲的過程中，劉浩翔坦言，雲端人才短缺，仍是最大痛點，「所有邁向雲端的業者都會面臨一個問題，就是雲端人才到底在哪裡？」意識到僅依賴外部招募無法滿足人才需求，國泰啟動名為「雲世代」的培育計畫，目標在3年內對內培養出200位雲端數據人才。</p> <p>劉浩翔表示，國泰金控計畫每半年會從四間子公司招募40名種子學員，透過系統性課程、期末專題和團體活動，提升種子學員的雲端技能和技術應用能力。培訓結束後，集團會以總經理為首，邀請50位集團長官、主管共同見證培訓結果。</p> <p>「這項計畫絕對是國泰數據成功上雲的關鍵。」劉浩翔強調，若沒有及早啟動人才培育，即便技術與管理機制完善，缺乏對應的人才支撐，最終仍可能導致計畫失敗。</p> <p>「雲端和AI息息相關。」劉浩翔期待，國泰邁向雲端後，未來能充分利用雲端算力和已開發的原生服務，「不僅推動業務成長，還能在AI發展上實現雙向賦能，推動業務前進。」</p> <p></p> </div></div></div>
2024/12/30 10:31作者李昀璇https://www.ithome.com.tw/news/166609
福斯汽車集團資料庫配置問題致客戶資料公開網上
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>德國福斯（Volkswagen，VW）汽車集團因旗下軟體公司Cariad一個應用配置不當，導致多個品牌數十萬車主雲端資料庫可從外部存取而有外洩風險。但福斯汽車表示並沒有資料被竊取的跡象。</p> <p>德國媒體明鏡（Spiegel）報導，非營利白帽駭客組織Chaos Computer Club（CCC）是獲得消息人士爆料進行測試確認後，再分別通報Cariad及福斯。福斯集團<a href="https://www.audi.com/en/data-info-cariad.html" target="_blank">指出</a>，CCC是於2024年11月26日通知該公司，Cariad後端系統API存在問題，致使任何人都可以從外部網路存取到客戶資訊，如果他們取得網址的話。</p> <p>報導先是引述<a href="https://www.bleepingcomputer.com/news/security/customer-data-from-800-000-electric-cars-and-owners-exposed-online/" target="_blank">Cariad</a>官方說法，CCC的安全研究人員先是獲知內部2個IT應用配置不當的漏洞，使其得以繞過安全措施而存取車主資料庫，但該公司聲稱，由於資料庫內使用假名，即使是專家也要一點工夫才能拼湊出車主真實資料。</p> <p>不過明鏡周刊找來數位安全專家證明並沒有這麼困難。他們利用開源工具就能從曝光的Cariad系統找到憑證，循線存取Cariad內部應用的記憶體內容，再由其中挖掘出AWS上車主資料庫的存取金鑰。最後，他們看到這個AWS資料庫儲存了VW、Seat、Audi和Skoda等車款的逾80萬車主的個資，VW及Seat車款甚至有精確到以公分計的定位資訊。</p> <p>以車主身分而言，80萬車輛中，有46萬車子定位資訊外洩。而近半車主是德國人，其中有30輛車子屬於漢堡市警局，還有一些屬於情報機關員工，車主還有至少2名德國政治人物。其他車主國籍包含英國、法國、比利時、荷蘭和丹麥及挪威。</p> <p>Cariad公司對媒體指出，這批資訊只影響連網，且有註冊線上服務的車輛。福斯汽車則明確指出，API問題影響啟用線上功能及連結雲端的Audi Q4 e-tron和Q6 e-tron。可能曝險的資料包含主要使用者姓名、暱稱、電子郵件、用戶ID、VIN以及停車的位置，以及特定事件（哩程、氣候、警示訊息等）。支付或銀行資訊、密碼等敏感資訊未包含在內。</p> <p>儘管曝險的資料很敏感，這家汽車大廠說，沒有證據顯示CCC以外還有別人曾經存取該API，且CCC也明確表示沒有資料外流。Cariad及福斯都說問題已經解決，客戶也不必變更密碼或任何存取碼。</p> <p>這是福斯汽車今年第二度曝光的資安事件。2024年4月，報導<a href="https://www.ithome.com.tw/news/162589" target="_blank">指出</a>福斯汽車在2010年到2015年間疑似遭中國駭客入侵，後者存取了近2萬份和電動車有關的敏感文件。</p> </div></div></div>
2024/12/30 09:26作者林妍溱https://www.ithome.com.tw/news/166731
酷澎如何開發和應用生成式AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>靠ML/AI等大數據應用做到全韓國99%訂單於一天內送達的電商巨頭，如何將生成式AI融入開發與營運流程？近期，酷澎揭露了自家開發LLM與多模態LLM的方法與挑戰、如何將這些模型用來強化既有ML應用，以及投入新應用場景。</p> <p><span style="color:#0066ff;"><strong>從傳統ML/AI到生成式AI</strong></span></p> <p>酷澎自稱無情的優化主義者（Ruthless Prioritization），數據人員遍布不同部門，使作業流程各個環節，都能利用數據分析技術來支持決策。在導入生成式AI之前，他們就已經應用AI/ML在搜尋、廣告、目錄整理與呈現、推薦、物流、定價、交通等領域。</p> <p>其中，3種任務類別的ML模型占最大宗。首先是推薦系統模型，主要用於個人化和推薦介面，如電商、外送和娛樂應用程式中的首頁、搜尋和廣告。第二是內容理解模型，各產品團隊會透過產品目錄數據、用戶生成內容、用戶和商家數據等資料來源，讓模型理解產品、客戶和商家的特徵，並用於後續改善購物體驗。第三則是預測模型，也是酷澎打造超快速物流的關鍵推手。酷澎在韓國有超過100多座物流中心。預測建模在這些產品的定價、物流、配送方面扮演著關鍵角色。</p> <p>甚至，為了管理大量ML專案，他們打造了一個ML平臺，來標準化開發與作業流程、促成管理CI/CD，並控管運算資源支出。一年內，這個平臺上執行了超過600個ML專案、10萬個工作流程。</p> <p>LLM問世後，酷澎更開始用LLM及多模態LLM的文字及圖像理解能力，來強化既有AI/ML做法，上述類別的模型中。尤其，前兩類模型原就是利用超大量圖文資料進行推論，尤其適合用多模態LLM的圖文理解能力來增強。</p> <p><span style="color:#0066ff;"><strong>酷澎3大常見LLM應用</strong></span></p> <p>酷澎內部常用的三大類LLM應用，包括了圖像與語言理解、大規模弱標籤生成，以及分類與屬性提取。</p> <p>第一類圖像與語言理解。酷澎從實驗得知，利用多模態LLM同時根據圖像和文字數據，來生成嵌入向量，準確度高於單獨用用圖片向量或是單獨用文字向量的檢索。他們會將多模態向量，匯入其他下游ML模型，用於廣告資料檢索、相似性搜尋、商品推薦等場景。</p> <p>另外，他們也會直接用LLM將韓文產品標題翻成中文、提升購物流中的圖像品質、摘要用戶評論，以及為產品和賣家生成關鍵詞。</p> <p>第二類是大規模生成弱標註（Weak Labels）數據。準備ML模型訓練數據時，人工標註數據是成本高昂且困難的任務。尤其，酷澎同時需要英文、韓文和繁體中文語料，更凸顯了這個挑戰。</p> <p>於是，他們用LLM，生成大量文本內容的標註。酷澎經實驗發現，這些標註用於弱監督式訓練時，效果可媲美人工標註資料。打造新領域ML模型時，缺乏過往高品質標註資料時，這種做法尤其有幫助。</p> <p>第三大類則是分類與屬性提取。為產品分類和提取屬性時，酷澎舊有做法是為每個商品類別部署一個單獨的ML模型。這是因為，跨類別的分類模型，常常會對長尾商品產生準確度過低或雜訊過高的預測結果。隨著酷澎商品品項與類別增加，團隊也需要管理更多模型，造成了維運負擔。</p> <p>相對於傳統ML模型，酷澎發現，LLM對產品標題、描述、評論、賣家信息等數據可以有更深入和準確的理解。他們不僅可以用單個LLM來支援分類系統，處理所有商品類別，甚至，還提升了不同分類的準確度。</p> <p><strong><span style="color:#0066ff;">酷澎LLM的開發周期與技術選擇</span></strong></p> <p>酷澎將LLM對齊任務目標的方法，依照難度與時間成本排序，分為情境內學習（ICL，In Context Learning）、檢索增強生成（RAG，Retrieval-augmented Generation）、監督式微調（SFT，Supervised Fine-tuning），以及持續預訓練（CPT，Continuous Pre-training）。其中，ICL和SFT是最常用的做法。</p> <p>需要SFT或CPT時，酷澎LLM從測試到應用分為三階段。</p> <p>第一階段是小規模測試，決定模型種類、模型參數規模、提示詞模板。準備數據時，酷澎利用Apache Zeppelin筆記本，來發派和管理Spark等大數據處理工具。測試模型及提示詞模板作業，在GPU容器中的Jupyter筆記本進行。</p> <p>第二階段是實際訓練，進行微調或預訓練，並評估模型成效。酷澎最常使用DeepSpeed Zero作為訓練框架，看重此框架快速完成訓練設定的能力及對Hugging Face上大多數熱門模型的支援度。</p> <p>模型訓練環境，酷澎選擇Kubernetes分散式Training operator上的平行模型訓練功能，PyTorchJob，並使用Polyaxon來管理更細緻的ML訓練生命周期。酷澎的LLM訓練周期，與既有ML訓練周期的步驟相同。</p> <p>第三階段則是投入應用，常見做法包括蒸餾與嵌入。前者是從訓練好的LLM蒸餾出較小模型，用於即時推論。後者則是利用LLM生成嵌入向量，應用於其他ML模型中。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/mlinfra3steps.png" style="width: 600px;" /></p> <p>他們使用OpenAI推出來用GPU開發開發機器學習演算法的程式語言Triton，來從LLM提取出推論內容，用於蒸餾或嵌入。要打造同時利用CPU和GPU處理的推論管道（Inference Pipeline）時，使用Ray和vLLM。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/prototypingnexp.png" style="width: 600px;" /></p> <p>酷澎主要選用中文、韓文及日文語言表現比較強的開源模型，包括Qwen、Llama 3、Orion、Polyglot、Orion、T5、BERT等，並根據不同應用場景，選擇不同參數規模版本。翻譯、標註生成、RAG用途的模型，選擇100億個參數以上版本；實體抽取（Entity extraction）及關鍵字生成，使用10億到100億個參數版本；生成嵌入向量等用途，則使用10億以下版本。</p> <p><strong><span style="color:#0066ff;">如何因應硬體限制的挑戰</span></strong></p> <p>導入生成式AI前，酷澎ML訓練架構沒有支援分散式訓練，且部署架構完全使用CPU。這使他們大規模導入生成式AI後時，需要大量增添供應短缺且要價昂貴的GPU資源。</p> <p>為了控管GPU支出及確保可用性，酷澎模型構建團隊會定期進行基準測試，以評估不同GPU應用於不同模型的訓練和推論時，各自的價格與性能比例。這樣一來，就能更準確根據作業所需算力規模，來分配硬體資源。尤其，測試和應用參數規模較小的時LLM時，能放心使用性能較低的設備。</p> <p>訓練模型時，他們也採取跨區及混合雲模式來調度硬體資源。這包括使用亞太及美國區域的雲端GPU資源，以及地端A100/H100資源。不過，隨之而來的挑戰是確保基礎架構（存儲與網路）和開發者體驗的一致性，目前他們仍未完全解決。</p> <p>酷澎也持續嘗試新技術，來提升生成式AI工程效率，並降低硬體需求。例如，他們嘗試用vLLM推論框架，將許多推論作業的吞吐量提升了接近20倍。他們也嘗試將模型參數卸載到CPU的技術，成功搭配低RAM數的GPU來微調LLM，有效紓緩高端GPU需求。</p> <p></p> </div></div></div>
2024/12/30 09:51作者郭又華https://www.ithome.com.tw/news/166732
Java網路應用程式框架Apache MINA存在風險滿分的重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>12月25日Apache基金會發布Java網路應用程式框架Apache MINA更新2.2.4、2.1.10、2.0.27版，<a href="https://lists.apache.org/thread/6hhxg5431jm7c9c180syfvx510hp4nxj">主要是為了修補遠端程式碼執行（RCE）漏洞CVE-2024-52046</a>，這項漏洞影響2.0.0至2.2.3版，CVSS風險評分達到10分（滿分10分），相當危險。</p> <p>MINA（Multipurpose Infrastructure for Network Applications）是開源的網路應用程式框架，其特色是提供抽象事件導向異步API，而能夠簡化網路應用程式的TCP/IP、UDP/IP等網路傳輸。而這項漏洞出現在ObjectSerializationDecoder元件，此元件透過Java原生去序列化通訊協定處理輸入的序列化資料，但缺乏必要的安全檢查及防禦機制而產生這項弱點。</p> <p>若是攻擊者想要利用這項漏洞，他們會透過發送特製的惡意序列化資料，透過反序列化處理程序觸發漏洞，從而遠端執行任意程式碼。</p> <p>附帶一提的是，這項漏洞出現必須搭配特定條件，那就是採用MINA核心程式庫的應用程式運作過程裡，指定類別與實體新增過程裡受到特定的方法IoBuffer#getObject()呼叫，其MINA核心程式就會受到影響。</p> <p>關於漏洞的善後，Apache基金會特別提及，IT人員光是部署更新無法完全緩解漏洞，還要明確地在ObjectSerializationDecoder允許特定類別的解碼器，並提及有3種方法可用。</p> </div></div></div>
2024/12/30 10:05作者周峻佑https://www.ithome.com.tw/news/166728