iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 4篇
近 24 小時: 30篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/11 08:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】1月8日，駭客企圖利用惡意WordPress外掛挾持購物者信用卡資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本日的資安新聞當中，有兩則提及駭客攻擊出現新的手法，其中，與一般社會大眾較為相關的電商網站交易資料側錄攻擊，特別值得我們關注。</p> <p>有研究人員發現，駭客製作了WordPress外掛程式，並在網路犯罪論壇兜售，標榜攻擊者能即時取得受害者輸入的付款內容，甚至能藉此竊取線上刷卡流程所需的動態密碼（OTP）。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166870"><strong style="font-size: 22px;">駭客打造惡意WordPress外掛PhishWP，意圖藉由合法網站竊取購物者信用卡資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PhishWP-advertisement.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/PhishWP-advertisement.png" style="width: 300px; float: right;" /></a>駭客針對電商網站下手，從中竊取買家的交易資料屢見不鮮，但如今攻擊手法出現變化，而能進一步突破相關防護機制。</p> <p>根據專精上網安全的資安業者SlashNext觀察，有人暗中於俄羅斯網路犯罪論壇向駭客兜售名為PhishWP的惡意WordPress外掛程式，可用來建立幾可亂真的付款網頁，從而竊取購物者的信用卡號、瀏覽器中繼資料，以及其他個資。</p> <p>攻擊者可入侵一般的WordPress網站，或是自行建置網站來「加裝」這項外掛，然後將外掛程式偽裝成支付閘道，引誘購物者輸入付款資料。但與一般作案工具不同的是，此外掛能將收集到的資料，直接透過特定的Telegram頻道即時傳送到攻擊者手上。</p> <p><a href="https://www.ithome.com.tw/news/166874"><strong style="font-size: 22px;">新興應用程式安全測試OAST機制遭濫用，駭客藉此散布惡意NPM、PyPI、RubyGems套件</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/5b045472bcf504ee2e66296edb78e0b4.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/5b045472bcf504ee2e66296edb78e0b4.png" style="width: 300px; float: right;" /></a></p> <p>駭客將資安工具用於從事網路攻擊的情況不時傳出，其中最常出現的是滲透測試工具Cobalt Strike，後來也有濫用Brute Ratel C4（BRc4）、紅隊演練工具EDRSilencer的事故，如今有人將歪腦筋動到檢測應用程式安全的工具上。為了強化軟體開發安全，有資安業者開始提供名為界外應用程式安全測試（Out-of-Band Application Security Testing，OAST）的機制，藉此在網頁應用程式找出弱點，但如今這種機制也被不肖份子濫用，拿來從事惡意套件攻擊。</p> <p>資安業者Socket過去一年發現一種新型態的惡意JavaScript、Python、Ruby套件，其共通點就是濫用oastify.com、oast.fun等OAST檢測服務，將敏感資料傳送到攻擊者的伺服器，而且，他們發現攻擊者利用這類工具來竊取資料、建立C2通道，甚至是進行多階段攻擊的情況越來越頻繁。</p> <p><a href="https://www.ithome.com.tw/news/166871"><strong style="font-size: 22px;">針對中華電信海底電纜遭貨輪破壞事故，數發部公布後續因應措施</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/f1736118957489.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/f1736118957489.jpg" style="width: 300px; float: right;" /></a>1月3日上午7時45分，傳出野柳東北方海域海底國際電纜發生損壞，海巡署淡水海巡隊於12時40分接獲中華電信報案，初步研判是喀麥隆籍「SHUNXIN39（音譯順興39）」貨輪造成。雖然這艘貨輪在喀麥隆註冊，但傳出所有者是中國公民郭文傑開設的香港捷陽貿易有限公司，因此外界普遍認為這起事故並非單純意外，疑似中國蓄意破壞。針對這起事故，數位發展部也對相關因應處理作為提出說明。</p> <p>1月6日數位發展部韌性建設司指出，國家通訊暨網路安全中心（NCCSC）在3日上午9時接獲中華電信的通報，由於該公司已啟動其他海纜備援，語音電路、網際網路、企業客戶服務皆不受影響，並預計於2月3日修復受損的海纜。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/cisa-says-recent-government-hack-limited-to-us-treasury/">美國政府指出BeyondTrust零時差漏洞攻擊事故並未影響財政部以外的聯邦機構</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/casio-says-data-of-8-500-people-exposed-in-october-ransomware-attack/">針對10月勒索軟體攻擊事故，卡西歐表示有8,500人個資外洩</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166868"><strong style="font-size: 22px;">研究人員公布微軟12月修補的LDAP阻斷服務漏洞細節，指出攻擊者有可能藉此讓伺服器當機</strong></a></p> <p>資安研究員Yuki Chen向微軟通報兩項涉及的漏洞CVE-2024-49112、CVE-2024-49113，微軟去年12月的例行更新（Patch Tuesady）已提供這些漏洞的修補，其中又以列為重大層級的RCE漏洞CVE-2024-49112較受到關注。被評為高風險的阻斷服務（DoS）漏洞CVE-2024-49113也相當值得留意，有研究人員特別對此提出警告，因為有可能導致尚未修補的Windows伺服器當機。</p> <p>本月初資安業者SafeBreach公布CVE-2024-49113細節，並揭露概念性驗證（PoC）攻擊手法，他們指出一旦攻擊者利用這項漏洞，就能讓尚未修補的Windows伺服器當機，而且唯一的必要條件，就是受害組織網域伺服器（DC）的DNS伺服器必須連上網際網路，有鑑於這項漏洞帶來的衝擊相當嚴重，研究人員將這項漏洞命名為「LDAPNightmare」。</p> <p><a href="https://s4.itho.me/sites/default/files/images/LDAPNightmare.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/LDAPNightmare.jpg" style="width: 580px;" /></a></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/bios-flaws-expose-iseq-dna-sequencers-to-bootkit-attacks/">生物科技業者Illumina的DNA檢測儀器BIOS存在漏洞，攻擊者有可能藉此持續於受害裝置活動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/chrome-update-addresses-high-severity-vulnerability-cve-2025-0291/">Google發布Chrome更新，修補V8引擎類型混淆高風險漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166867"><strong style="font-size: 22px;">美國政府公布物聯網裝置網路安全標章U.S. Cyber Trust Mark</strong></a></p> <p>1月7日美國白宮公布美國網路安全標章（U.S. Cyber Trust Mark），旨在推動智慧家庭聯網裝置符合進階網路安全標準，並鼓勵製造商採用標章以證明其產品的安全性。</p> <p>這項計畫是2023年7月由美國聯邦通訊委員會（FCC）主席Jessica Rosenworcel提出，目的是讓消費者得以辨識在美國境內銷售的智慧物聯網裝置，有哪些符合進階網路安全標準。在18個月的公告和開放公眾意見期間，聯邦通訊委員會（FCC）於去年3月無異議表決通過同意建立這項法案、最後版本規則，以及相應的盾牌商標，白宮在拜登政府在任期即將結束之際，正式公布這項計畫。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.veracode.com/press-release/veracode-acquires-phylum-inc-technology-to-transform-software-supply-chain-security">程式碼分析業者Veracode買下資安新創Phylum</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166852"><strong>【1月7日】資安業者Tenable更新外掛程式引發災情，用戶端點代理程式停止運作</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166833"><strong>【1月6日】親俄駭客NoName057聲稱對臺灣逾30個企業與政府機關網站發動DDoS攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166811"><strong>【1月3日】IDC預測臺灣資安產品市場將連續4年成長，密碼敏捷性與AI BOM成焦點</strong></a></p> </div></div></div>
2025/1/8 18:09作者周峻佑https://www.ithome.com.tw/news/166875
新興應用程式安全測試OAST機制遭濫用，駭客藉此散布惡意NPM、PyPI、RubyGems套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客將資安工具用於從事網路攻擊的情況不時傳出，其中最常出現的是滲透測試工具Cobalt Strike，後來也有濫用<a href="https://www.ithome.com.tw/tags/brute-ratel-c4">Brute Ratel C4（BRc4）</a>、<a href="https://www.ithome.com.tw/news/165571">紅隊演練工具EDRSilencer</a>的事故，如今有人將歪腦筋動到檢測應用程式安全的工具上。為了強化軟體開發安全，有資安業者開始提供名為界外應用程式安全測試（Out-of-Band Application Security Testing，OAST）的機制，藉此在網頁應用程式找出弱點，但如今這種機制也被不肖份子濫用，拿來從事惡意套件攻擊。</p> <p>資安業者Socket過去一年<a href="https://socket.dev/blog/weaponizing-oast-how-malicious-packages-exploit-npm-pypi-and-rubygems">發現一種新型態的惡意JavaScript、Python、Ruby套件</a>，其共通點就是濫用oastify.com、oast.fun等OAST檢測服務，將敏感資料傳送到攻擊者的伺服器，而且，他們發現攻擊者利用這類工具來竊取資料、建立C2通道，甚至是進行多階段攻擊的情況越來越頻繁。</p> <p>什麼是OAST？這是一種檢測網頁應用程式的機制，<a href="https://portswigger.net/burp/application-security-testing/oast">最早是由應用程式資安業者PortSwigger提出</a>，目的是改良現有的動態應用程式安全測試（DAST）機制，找出DAST無法發現的弱點，並減少靜態應用程式安全測試（SAST）造成誤報的情形。OAST工具能讓資安人員藉由DNS查詢、HTTP請求，以及各式網路互動的方式來找出應用程式的弱點。</p> <p>OAST雖然立志良善，但也成為攻擊者濫用的標的。研究人員舉出其中3種他們發現的惡意套件為例，名為adobe-dcapi-web的NPM套件設置相當高的版號（如99.99.99），使得自動更新的開發人員就會隨之套用到開發環境，此套件經由透過混淆處理的JavaScript程式碼，將敏感資料傳送到OAST平臺oastify.com。</p> <p>另一個名為monoliht的PyPI套件，則是透過惡意指令碼收集開發人員電腦的中繼資料，並將搜括的資料傳送到多個惡意網站。</p> <p>第三個是RubyGems惡意套件，攻擊者以chauuuyhhn、nosvemosssadfsd、holaaaaaafasdf名稱上架，其特點是藉由DNS查詢來收集資料。研究人員指出，由於入侵偵測系統（IDS）通常會將DNS流量視為良性，使得攻擊者降低被發現的風險。</p> </div></div></div>
2025/1/8 17:36作者周峻佑https://www.ithome.com.tw/news/166874
駭客打造惡意WordPress外掛PhishWP，意圖藉由合法網站竊取購物者信用卡資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客針對電商網站下手，從中竊取買家的交易資料屢見不鮮，但如今攻擊手法出現變化，而能進一步突破相關防護機制。</p> <p>根據專精上網安全的資安業者SlashNext觀察，有人暗中<a href="https://slashnext.com/blog/phishwp-turns-sites-into-phishing-traps/">於俄羅斯網路犯罪論壇向駭客兜售名為PhishWP的惡意WordPress外掛程式</a>，可用來建立幾可亂真的付款網頁，從而竊取購物者的信用卡號、瀏覽器中繼資料，以及其他個資。</p> <p>攻擊者可入侵一般的WordPress網站，或是自行建置網站來「加裝」這項外掛，然後將外掛程式偽裝成支付閘道，引誘購物者輸入付款資料。但與一般作案工具不同的是，此外掛能將收集到的資料，直接透過特定的Telegram頻道即時傳送到攻擊者手上。</p> <p>研究人員也提及PhishWP具備進階功能，例如能在購物者結帳進行3-D安全驗證（3-D Secure，3DS）的過程裡，竊取動態密碼（OTP）。一旦攻擊者取得這種驗證碼，就能假冒信用卡持卡人，進而讓他們盜刷的交易看起來像是持卡人所為。</p> <p>值得留意的是，在攻擊者得逞後，受害者還會收到PhishWP寄出的電子郵件，誤導他們以為線上交易已經成功，但在此同時，攻擊者可能進一步運用得手的資料，或是將其出售牟利。</p> </div></div></div>
2025/1/8 15:11作者周峻佑https://www.ithome.com.tw/news/166870
針對中華電信海底電纜遭貨輪破壞事故，數發部公布後續因應措施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>1月3日上午7時45分，傳出野柳東北方海域海底國際電纜發生損壞，海巡署淡水海巡隊<a href="https://www.cga.gov.tw/GipOpen/wSite/ct?xItem=163118&ctNode=650&mp=999">於12時40分接獲中華電信報案</a>，初步研判是喀麥隆籍「SHUNXIN39（音譯順興39）」貨輪造成。雖然這艘貨輪在喀麥隆註冊，但<a href="https://www.politico.eu/article/taiwan-china-undersea-cables-attack-international-telecom-cargo-ship-eu-russia/">傳出所有者是中國公民郭文傑開設的香港捷陽貿易有限公司</a>，因此外界普遍認為這起事故並非單純意外，<a href="https://news.ltn.com.tw/news/politics/breakingnews/4914711">疑似中國蓄意破壞</a>。針對這起事故，數位發展部也對相關因應處理作為提出說明。</p> <p>1月6日<a href="https://moda.gov.tw/press/press-releases/14990">數位發展部韌性建設司指出</a>，國家通訊暨網路安全中心（NCCSC）在3日上午9時接獲中華電信的通報，由於該公司已啟動其他海纜備援，語音電路、網際網路、企業客戶服務皆不受影響，並預計於2月3日修復受損的海纜。</p> <p>針對這起事故，數發部也將配合海巡署、法務部、國家通訊傳播委員會，以及司法機關加強執法，確保臺灣的國際國際海纜關鍵基礎設施能夠持續營運。</p> </div></div></div>
2025/1/8 16:12作者周峻佑https://www.ithome.com.tw/news/166871
華碩CES發表不到1公斤重的14吋螢幕Copilot+PC筆電
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年美國CES展華碩對外發表了採用高通處理器的三款Copilot+PC筆電，主打AI PC功能，具備長時間使用的筆電續航力，其中一款筆電重量不到1公斤。同時，該公司也發表新的商用電腦，支援會議內容摘要等AI商用功能，其中ExpertBook B5支援Wi-Fi 7。</p> <p>Copilot+PC是微軟去年和高通合作所發表，首波的Copilot+PC筆電採用高通Snapdragon X Elite或X Plus處理器，因整合NPU，具備至少40TOPS以上的處理能力，在裝置端執行AI模型，效率要比傳統的CPU、GPU來得高，並宣稱具備全天候的電池續航力，內建40多個AI地端模型，並支援微軟Windows AI功能，除了Copilot助理，還有可快速查找內容的Recall、圖像創作的Cocreator、即時字幕及翻譯功能的Live Captions等等。</p> <p>不過，去年首波Copilot+PC因採用高階的行動處理器，產品價位也偏高，當時普遍價位在999美元以上，而在今年CES上，高通發表新的行動處理器Snapdragon X Platform，整合45TOPS的NPU，預估產品價位將降到600美元，將Copilot+PC推向主流PC市場。</p> <p><span style="color:#B22222;"><strong>華碩3款Copilot+PC筆電亮相</strong></span></p> <p>華碩在今年CES消費電子展發表三款搭載高通處理器的Copilot+PC筆電，其中的Zenbook A14號稱為全球最輕的Copilot+PC筆電，14吋FHD 60Hz OLED螢幕筆電，重量不到1公斤，且具備長時間續航力，其內建70Wh電池，在未開啟Wi-Fi下在筆電上播放影片，號稱可長達32個小時，播放網路串流影音可達28個小時，網路瀏覽將近達20個小時。A14也支援最新的Wi-Fi 7。</p> <p>Zenbook A14的Snapdragon X處理器，內建45 TOPS NPU，提供Copilot+PC的Windows AI功能，包括快速搜尋內容的回顧Recall，還有在小畫家裡的圖像生成創作功能Cocreator，以及可提升照片畫質的超高解析度等等。</p> <p>更輕的重量、更長的電池續航力，華碩強調Zenbook A14的可攜性增加，且長時間續航力讓筆電不需要時時連接電源，讓使用筆電得以減少限制，自由使用筆電。</p> <p>相較於價位較高的Zenbook A14，該公司另外發表Vivobook S3系列兩款筆電，包括S14及S16，分別為14及16吋FHD OLED螢幕，主打全民適用的AI筆電，同樣採用高通Snapdragon X處理器，整合45 TOPS NPU，支援Copilot+PC的Windows AI功能，包括回顧Recall、可辨識螢幕快照的文字及圖像的Click to do，可以文字描述對圖像編輯的Generative Fill，還有可轉換圖像風格的Restyle Image、從文字生成圖像的Image Creator等等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96-600(5).jpg" style="width: 600px; height: 308px;" /></p> <p>華碩也在Vivobook內建自家的AI PC功能，像是可以根據人物、場景、記憶來自動分類照片檔案的StoryCube，以及即時字幕翻譯功能。</p> <p>透過內建NPU，華碩指出，AI工作負載從CPU移到由NPU執行，完成的時間縮短約6倍，在系統單晶片SoC的能耗部分，NPU也比CPU節省約8成能耗。</p> <p>Vivobook 14及16內建70Wh電池之下，在未開啟Wi-Fi下撥放影片接近24個小時，網路瀏覽長達19個小時；而在筆電使用安全上，筆電支援Microsoft Pluton安全處理器，將Passkey通行密鑰內建在CPU，將高機敏性的資料安全地儲存在裝置上。</p> <p>不只是筆電產品支援AI，華碩在今年CES也發表支援AI的NUC迷你電腦，NUC 15 Pro及NUC 14 Pro，均採用Intel Core Ultra 9 seriers 2處理器，支援大容量、高速的DDR5記憶體，以符合AI模型的運算需要，其中NUC 14 Pro更內建獨立的Copilot鍵，可一鍵啟用AI功能。</p> <p><span style="color:#B22222;"><strong>商用電腦也具備AI Ready</strong></span></p> <p>除了消費性產品，華碩迎合AI PC的趨勢，也在商用電腦產品支援AI Ready，借助AI提升工作效率。</p> <p>例如在新發表的ExperBook B5，採用Intel Core Ultra（代號Arrow Lake）處理器，可選配三代的英特爾處理器，在安全設計上，整合雙BIOS、TPM，其中BIOS強調符合NIST SP 800-155標準。</p> <p>B5整合13TOPS的NPU，加上CPU、GPU合計平臺效能達99TOPS，華碩在這款筆電內建了商用AI功能，除了支援Microsoft Copilot，還提供AI會議內容摘要、AI翻譯、AI相機、AI語音優化等功能。</p> <p>商用桌機ExperCenter P500為迷你桌機產品，採用英特爾Core Ultra series 2處理器，配備Nvidia RTX GPU，也同樣能夠支援一系列的商用AI功能。</p> </div></div></div>
2025/1/8 16:54作者蘇文彬https://www.ithome.com.tw/news/166873
研究人員公布微軟12月修補的LDAP阻斷服務漏洞細節，指出攻擊者有可能藉此讓伺服器當機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安研究員Yuki Chen向微軟通報兩項涉及的漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-49112">CVE-2024-49112</a>、<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-49113">CVE-2024-49113</a>，微軟<a href="https://www.ithome.com.tw/news/166452">去年12月的例行更新（Patch Tuesady）</a>已提供這些漏洞的修補，其中又以列為重大層級的RCE漏洞CVE-2024-49112較受到關注。被評為高風險的阻斷服務（DoS）漏洞CVE-2024-49113也相當值得留意，有研究人員特別對此提出警告，因為有可能導致尚未修補的Windows伺服器當機。</p> <p>本月初資安業者SafeBreach<a href="https://www.safebreach.com/blog/ldapnightmare-safebreach-labs-publishes-first-proof-of-concept-exploit-for-cve-2024-49113/">公布CVE-2024-49113細節</a>，並揭露概念性驗證（PoC）攻擊手法，他們指出一旦攻擊者利用這項漏洞，就能讓尚未修補的Windows伺服器當機，而且唯一的必要條件，就是受害組織網域伺服器（DC）的DNS伺服器必須連上網際網路，有鑑於這項漏洞帶來的衝擊相當嚴重，研究人員將這項漏洞命名為「LDAPNightmare」。</p> <p>他們將利用攻擊流程大致分成7個步驟。攻擊者會向目標伺服器發送分散式運算環境（DCE）或遠端程序呼叫（RPC）請求，此時受害主機會對攻擊者的網域（研究人員設置為SafeBreachLabs.pro）發送DNS SRV查詢。</p> <p>接著，攻擊者的DNS伺服器就會回傳攻擊者的主機名稱及LDAP連接埠。受害主機就會廣播NetBIOS名稱服務（NBNS），尋找攻擊者主機的IP位址，並得到攻擊者的NBNS回應。</p> <p>完成上述步驟後，受害主機就會成為攻擊者環境的LDAP用戶端，並向攻擊者的主機發送CLDAP（Connectionless LDAP）協定的請求，接下來攻擊者只要發送具備特定數值的CLDAP回應封包，就能讓強制將受害伺服器重開機。</p> <p>研究人員強調，上述攻擊流程若是稍加修改最後發送的CLDAP資料，攻擊者還能用來遠端執行任意程式碼。有鑑於這項漏洞的嚴重性。</p> <p>研究人員驗證此漏洞可行性的系統是Windows Server 2022及2019，但他們認為此手法也能攻擊其他版本的Windows Server。基於這些考量，SafeBreach呼籲企業應儘速套用更新程式，若是無法即時部署，最好監控可疑的CLDAP的轉介回應（referral response）是否出現特定的惡意數值，並監控DsrGetDcNameEx2呼叫、DNS SRV（Service）紀錄的查詢是否出現異常。</p> </div></div></div>
2025/1/8 12:31作者周峻佑https://www.ithome.com.tw/news/166868
疑遭川普政權壓力，Meta關閉社群平臺的事實查核功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>疑似遭到新任聯邦通訊委員會（FCC）主席的壓力，Meta執行長祖克柏（Mark Zuckerberg）宣布將關閉臉書等社群平臺上由第三方權威機構提供的事實查核（fact-checking）功能，理由是減少誤殺言論。</p> <p>祖克柏昨日透過Threads平臺<a href="https://www.threads.net/@zuck/post/DEhgZJYJu5D" target="_blank">說明</a>，現在是時候回到自由言論的源頭，給予平臺上用戶更大言論空間。他並公布未來放鬆管制的作法。</p> <p>新措施之一將從美國開始取消事實查核，改以社群註解（Community Notes）取代。社群註解是以馬斯克的X為代表，它不是找特定第三方機構，而是由用戶在推文下方添加社群生成的註解，目的是提供更完整的上下文或對相關資訊作為事實查核，好處是避免單一仲裁者的偏見或錯誤判斷，缺點是可能遭少數人用以推廣特定立場言論。</p> <p>其次，Meta將簡化內容政策，移除對特定議題如移民、性別相關偏離主流的言論的限制。Meta的言論過濾也將專注在非法和嚴重違法事件，以避免大規模審查失誤。Meta也將在臉書、IG、Thread上調查用戶想看的內容，並逐步加回平臺上。</p> <p>Meta也計畫將信賴與安全及內容仲裁團隊遷到加州以外，而美國內容審查團隊則搬到德州．以減少員工所在地造成的偏見。祖克柏並說會和川普合作，擊退鎖定美國公司進行言論審查的外國政府。</p> <p>此舉是Meta繼上周<a href="https://www.ithome.com.tw/news/166807" target="_blank">公布</a>支持言論自由的Joel Kaplan成為新任公共事務長後，另一個因應政局變化而做的變動。The Verge<a href="https://www.theverge.com/2025/1/7/24338125/meta-mark-zuckerberg-fact-checking-censorship-brendan-carr-trump" target="_blank">指出</a>，而這次變化原因是去年11月川普任命的FCC主席Brendan Carr。Carr去年一上任就<a href="https://www.fcc.gov/sites/default/files/DOC-407732A1.pdf" target="_blank">致函</a>Meta、蘋果、Google及微軟執行長，指稱這些公司參與了由廣告、行銷、「事實查核」組織及拜登政府的集團，限制美國人行使言論自由，其行為包括移除社群網站貼文、將其網站或App標示為「不被信賴」或「高風險」、或降低搜尋排序等。FCC要求科技公司交出網站評等服務NewsGurard及事實查核工具的相關資料，顯然企圖施加壓力。</p> <p>被點名後，去年12月Meta前公共事務長Nick Clegg<a href="https://www.theverge.com/2024/12/3/24311513/meta-content-moderation-mistakes-nick-clegg" target="_blank">公開承認</a>，該公司的言論仲裁技術錯誤率太高，許多合法言論遭錯殺。Clegg上周已被Kaplan取代。</p> </div></div></div>
2025/1/8 14:45作者林妍溱https://www.ithome.com.tw/news/166869
美國政府公布智慧物聯網裝置的網路安全標章
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國白宮於昨日<a href="https://www.whitehouse.gov/briefing-room/statements-releases/2025/01/07/white-house-launches-u-s-cyber-trust-mark-providing-american-consumers-an-easy-label-to-see-if-connected-devices-are-cybersecure/" target="_blank">公布</a>美國網路安全標章（U.S. Cyber Trust Mark），旨在推動智慧家庭聯網裝置符合進階網路安全標準，並鼓勵製造商採用標章以證明其產品的安全性。</p> <p>這項計畫是2023年7月由美國聯邦通訊委員會（FCC）主席Jessica Rosenworcel提出，目的是讓消費者得以辨識在美國境內銷售的智慧物聯網裝置，有哪些符合進階網路安全標準。在18個月的公告和開放公眾意見期間，聯邦通訊委員會（FCC）於去年3月無異議<a href="https://docs.fcc.gov/public/attachments/DOC-401201A1.pdf" target="_blank">表決通過</a>同意建立這項法案、最後版本規則及相應的盾牌logo，本周在拜登政府在任期即將結束之際，白宮公布這項計畫。</p> <p>類似能源之星（EnergyStar）標章用以促進廠商生產節能產品，美國網路安全標章（U.S. Cyber Trust Mark）旨在鼓勵廠商生產更安全的連網裝置。網路安全標章可讓產品製造商、零售商和產業公會等，根據美國國家標準技術研究所（US National Institute of Standards and Technology，NIST）的網路安全標準測試其產品，通過合作的實驗室測試的產品就可獲得該標章，便於美國消費者更容易辨識出這些產品。</p> <p>去年12月FCC<a href="https://docs.fcc.gov/public/attachments/DA-24-1241A1.pdf" target="_blank">公布</a>11家公司為網路安全標章執行機構，包括SGS、UL、TUV、DEKRA等公司，而UL為主要執行機構。</p> <p>2023年7月本項計畫公布時，已有Amazon、Best Buy、Google、LG美國、Logitech和三星<a href="https://www.cnbc.com/2024/06/07/amazon-best-buy-may-soon-sell-smart-devices-with-hacker-safe-label.html" target="_blank">響應</a>，Amazon、Best Buy將會在店面標明具有該標章的智慧連網產品。</p> </div></div></div>
2025/1/8 13:47作者林妍溱https://www.ithome.com.tw/news/166867
高通發表Snapdragon X Platform晶片，搶攻主流AI PC市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>高通（Qualcomm）於美國拉斯維加斯CES，發表旗下Snapdragon X系列處理器最新成員<a href="https://www.qualcomm.com/products/mobile/snapdragon/laptops-and-tablets/snapdragon-x">Snapdragon X Platform</a>。這款新晶片主打主流市場，搭載8核心Oryon CPU，CPU核心最高時脈為3 GHz，並整合45 TOPS的NPU，在600美元價位帶的筆電產品中，提供兼顧效能與功耗的解決方案，並使其具備順暢執行人工智慧應用程式的能力。</p> <p>不同於先前推出的Elite與Plus版本，此次發表的Snapdragon X Platform將目標客群更明確地鎖定在主流消費市場，並同樣採用4nm製程。根據高通所提供的資料，其搭載的8核心Oryon CPU在效能與功耗的平衡上表現良好，可在相同功耗下，比Intel Core 5 120U快上163％的效能，或者在相同效能表現下，功耗降低約62％。</p> <p>此外，Snapdragon X Platform內建的45 TOPS NPU，足以驅動Copilot+ PC的各項人工智慧應用，並搭配高效能Adreno GPU和LPDDR5x記憶體，滿足文書處理、網頁瀏覽以及影音串流等日常需求。此外，Snapdragon X Platform支援Wi-Fi 7無線網路，提供更快和穩定的連接。</p> <p>搭載Snapdragon X Platform的筆電產品將於2025年初陸續發表，合作夥伴包括Acer、Asus、Dell、HP和Lenovo等知名OEM廠商，預估售價將落在600美元，有望進一步推動AI PC普及。</p> <p>除了筆電產品，高通還<a href="https://www.qualcomm.com/news/releases/2025/01/snapdragon-x-series-continues-to-redefine-the-pc-category-with-a">宣布</a>將推出全球首款搭載Snapdragon X系列處理器的迷你桌機，正式進軍小型化電腦市場。高通也指出，越來越多開發者投入Windows 11 on Snapdragon的生態系中，目前已經有超過50個原生於Snapdragon的人工智慧應用程式，涵蓋VPN、安全防護、雲端儲存等類別的軟體，以及音樂製作相關的DAW（Digital Audio Workstations）與VST（Virtual Studio Technology）工具。</p> </div></div></div>
2025/1/8 08:28作者李建興https://www.ithome.com.tw/news/166858
Python蟬聯TIOBE年度語言，穩居程式語言龍頭地位
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Python再次以壓倒性的優勢，獲選為知名程式語言流行度指標TIOBE 2024年度程式語言，並穩居2025年1月的排行榜榜首。根據TIOBE程式語言公布2025年1月<a href="https://www.tiobe.com/tiobe-index/">最新資料</a>，Python評分高達23.28％，較去年同期大幅上升9.32％，持續擴大其領先優勢，展現其目前在軟體開發領域不可撼動的地位。</p> <p>Python具有許多優勢，其簡潔易學的語法、豐富的函式庫以及廣泛的應用領域，使其成為了眾多開發者的首選。從資料科學、機器學習、人工智慧到網站開發，Python的應用領域極為廣泛，涵蓋各個層面儼然已成為許多領域的預設語言。</p> <p>與Python的強勢表現形成對比的是，傳統的C語言則持續走下坡。根據TIOBE的資料，C語言在2025年1月的排名下滑至第4名，評分較去年同期下降2.59％。針對C語言的衰退，TIOBE執行長Paul Jansen表示，C在許多嵌入式的應用，正逐漸被更現代化、更安全的C++所取代。</p> <p>C++與Java之間的競爭激烈，持續爭奪第2名的寶座。C++以10.29％的評分險勝Java的10.15％，暫時位居第2。Java雖然在企業應用領域仍占有重要地位，但近年來，C++在效能與彈性上的優勢，使其在高效能運算和遊戲開發等領域，越來越受到開發者的歡迎。</p> <p>以雲端應用為開發重點的Go語言，在本次排名中大幅度上升至第7名。作為由Google所開發的新興語言，Go語言在雲端運算和微服務架構的應用上展現了極大的潛力，並成功取代了曾經紅極一時的PHP，成為穩居TIOBE排行榜前10名常客，PHP則在本月的排名中滑落至第13名。</p> <p>Rust語言則是持續穩健成長，排名攀升至第14名，其強調記憶體安全和執行效能的特色，受到許多開發者關注，但是其陡峭的學習曲線，仍是Rust普及的一大挑戰。另一方面，被視為Android官方開發語言的Kotlin，排名沒有明顯進步，甚至可能永遠失去了前20名的位置，其未來發展仍有待觀察。</p> </div></div></div>
2025/1/8 08:33作者李建興https://www.ithome.com.tw/news/166859
以安全為由，AI之父參與連署要求法院阻止OpenAI走向營利化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI向營利化組織轉型的計畫，不只引發馬斯克反對，連AI之父Geoffrey Hinton也加入非營利組織<a href="https://encodeai.org/encode-backs-legal-challenge-to-openais-for-profit-switch/" target="_blank">聲援</a>馬斯克的訴求。</p> <p>科技首富馬斯克（Elon Musk）去年<a href="https://www.ithome.com.tw/news/161593" target="_blank">控告</a>OpenAI與OpenAI執行長Sam Altman違背創立時開源AI模型及造福全人類的初衷，想將公司轉變為營利組織。近日一個主張負責任AI開發的非營利組織Encode向審理此案的北加州奧克蘭聯邦地方法院<a href="https://www.courtlistener.com/docket/69013420/72/musk-v-altman/" target="_blank">遞交</a>「法庭之友」書狀（amicus brief），意在阻止OpenAI改組為獲利實體。</p> <p>Encode也是在OpenAI於去年12月30日<a href="https://www.ithome.com.tw/news/166735" target="_blank">宣布</a>2025年組織轉型後提出法庭文件。Encode主張，OpenAI組織重整將會從根本顛覆該公司開發進階AI時，以公眾安全為優先的承諾。</p> <p>Encode的文件指出，OpenAI現有以非營利組織控制的結構可提供必要的治理框架，一旦控制權轉向營利實體，這個治理框架就會喪失。他們甚至覺得OpenAI光是承諾不夠，而是應該依法平衡公眾利益和投資人利益。</p> <p>以AI之父聞名的2024年諾貝爾物理獎得主暨2018年圖靈獎得主Geoffrey Hinton也加入聲援。他說，OpenAI創立時以AI安全為號召，公司規章也做出各種安全承諾。該公司還因非營利組織身分獲得稅務和其他好處。若任由它因為礙事而撕毁一切承諾，將對生態體系其他人帶來不良效果。</p> <p>這份文件並說明，如果OpenAI計畫將公司控制權轉給營利實體，將危及多道安全機制，包括OpenAI現有「停止與競爭者競爭，並開始協助他們」，如果這是確保AI系統安全、效用最好方法，且在非營利委員會能力所及。</p> <p>Encode創辦人暨總裁Sneha Revanur說，今天許多公司競相開發和部署轉型AI，將利潤置於中心，卻讓後果危及人類，因此法院必須出手干涉，以確保AI開發要服膺公眾利益。</p> </div></div></div>
2025/1/8 08:52作者林妍溱https://www.ithome.com.tw/news/166860
HDMI 2.2規格公布，頻寬達96Gbps，可支援VR/AR、機器視覺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>維護HDMI規格的HDMI Forum公司本周在CES 2025上<a href="https://www.prnewswire.co.uk/news-releases/hdmi-forum-announces-version-2-2-of-the-hdmi-specification-302336817.html" target="_blank">公布</a>2.2版本規格，傳輸總頻寬可達96Gbps，可望用於傳輸電視、電影、電玩等多媒體數位內容傳輸，支援AR/VR或機器視覺等商務應用。</p> <p>HDMI 2.2具備96Gbps頻寬，是2.1版的2倍，新增HDMI定速連線技術（Fixed Rate Link）提供更高解析度及刷新率，支援多種影音應用，包括沈浸式與虛擬應用如AR/VR/MR、空間實境及光場顯示器，或是大型顯示器、醫療影像和機器視覺等商務應用。</p> <p>HDMI 2.2規格還加入延遲指示協定（Latency Indication Protocol，LIP），可提升影音同步、特別是多中繼點（multi-hop）系統配置，例如影音接收器或聲霸等設備。</p> <p>HDMI線纜認證方案下並加入Ultra96 HDMI傳輸線認證，此HDMI規格提供96Gbps頻寬，支援所有HDML 2.2規格功能。每一型號、長度的HDMI 2.2傳輸線都必須經過測試和認證，並且顯示認證標章。</p> <p>HDMI 2.2將可部署於所有HDMI 2.x轉接頭，預定2025年上半正式釋出，可由廠商加入。</p> </div></div></div>
2025/1/8 09:09作者林妍溱https://www.ithome.com.tw/news/166861
【資安日報】1月7日，資安業者Tenable更新外掛程式引發災情，用戶端點代理程式停止運作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>0719 CrowdStrike更新造成全球大當機的資安事故，對於許多人還記憶猶新，當時就是因為該公司派送的更新檔出現有問題的程式碼，導致用戶電腦在套用完成後，重開機就出現藍色當機（BSoD）畫面。</p> <p>而類似的事故在半年內出現於另一個廠牌的資安系統，稍微值得慶幸的是，這起事故只是造成他們的產品故障，並未波及用戶的個人電腦。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166848"><strong style="font-size: 22px;">資安業者Tenable傳出外掛程式更新出錯意外，端點代理程式停擺</strong></a></p> <p>12月31日專精弱點管理的資安業者Tenable指出，他們得知部分採用弱點管理解決方案的用戶在更新外掛程式後，電腦的Nessus代理程式就被迫離線。對此，該公司已暫停外掛程式更新服務，並積極調查發生的原因。</p> <p>事隔兩天，1月2日Tenable再度提出說明，指出這起事故影響所有執行10.8.0及10.8.1版Nessus代理程式的電腦，但其餘元件不受影響，像是弱點管理系統Tenable Vulnerability Management（TVM）、Tenable Security Center（TSC）的管理伺服器。</p> <p>隨後該公司發布Nessus代理程式10.8.2版，並說明這起事故發生的原因，源自於他們在10.8.0版代理程式導入的外掛程式編譯器性能強化機制，而有可能在同時編譯相依程式庫的過程出現競爭狀況（race condition）釀禍。</p> <p><a href="https://www.ithome.com.tw/news/166851"><strong style="font-size: 22px;">針對美國電信業者遭遇中國駭客Salt Typhoon大規模攻擊事故，知情人士透露新的受害公司</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/20250107_155525-1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/20250107_155525-1.jpg" style="width: 300px; float: right;" /></a></p> <p>去年9月、10月媒體報導有多家美國電信業者遭到中國駭客Salt Typhoon入侵，這些電信業者包含AT&T、Lumen、T-Mobile、Verizon，後來美國政府證實此事，駭客從中竊取用戶的通話記錄資料，並滲透參與政府及政治事務的特定人士之通訊內容，如今這起事故又出現新的進展。</p> <p>根據華爾街日報1月4日的報導，知情人士向他們透露Charter Communications、Consolidated Communications、Windstream等3家電信業者的系統也遭到這些駭客入侵。究竟這項說法的真實性如何，這些電信業者並未對此傳聞公開提出說明。</p> <p>附帶一提，美國白宮國家安全顧問Anne Neuberger於12月27日接受採訪時，透露他們已經確認有9家美國電信業者遭到中國駭客入侵，但是否涵蓋華爾街日報報導提及的3家公司？目前仍不得而知。</p> <p><a href="https://www.ithome.com.tw/news/166806"><strong style="font-size: 22px;">易飛旅遊遭遇供應鏈攻擊，部分資料遭到竊取</strong></a></p> <p>1月7日下午易飛旅遊（易飛網）於股市公開觀測站發布重大訊息，表示他們遭遇供應鏈攻擊，而且已出現個資外洩的情況，事發當下他們即刻啟動資安防禦及盤查機制，並杜絕可能的後門程式入侵系統。</p> <p>而對於這起事故造成的影響，易飛旅遊表示根據他們的初步評估，尚未對公司財務及業務造成重大影響。該公司也向主管機關、165反詐騙專線通報，並於網站提醒客戶提高警覺。</p> <p>針對事故的後續因應，該公司在改善措施當中提及，他們將關閉虛擬私人網路（VPN）、安排資安業者進行數位鑑識、檢測機房與系統平臺對外資料是否出現不明連線的情況，並檢查系統版本更新、導入多因素驗證機制與使用者防護檢測機制等。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=140120&SPOKE_DATE=20250107&COMPANY_ID=6928"><strong style="font-size: 22px;">攸泰科技網站遭遇DDoS攻擊</strong></a></p> <p>上週有5家上市櫃公司發布重大訊息，表示他們的網站遭到DDoS攻擊，當時<a href="https://www.ithome.com.tw/news/166831">親俄駭客組織Noname057聲稱是他們所為</a>，並強調他們也對行政院主計總處、證券櫃檯買賣中心、財政部稅務入口網站等近30個網站下手引起關注，本週又有上市公司傳出遭遇相關攻擊事故。</p> <p>1月7日工業電腦供應商攸泰科技發布重大訊息指出，他們的網站遭遇DDoS攻擊，該公司資訊團隊立刻與外部資安業者合作進行相關處置。而對於這起事故可能會造成的影響，攸泰表示根據初步評估，對公司營運無重大影響，無資料外洩的疑慮。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://socket.dev/blog/weaponizing-oast-how-malicious-packages-exploit-npm-pypi-and-rubygems">應用程式安全測試OAST機制遭濫用，駭客藉此散布惡意NPM、PyPI、RubyGems套件</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/eagerbee-backdoor-deployed-against-middle-eastern-govt-orgs-isps/">中東政府機關、網際網路服務供應商遭鎖定，駭客企圖散布惡意程式Eagerbee</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/ssh-tor-malware-ukraine/">針對假冒烏克蘭軍方報告應用程式的惡意軟體攻擊，研究人員指出後門程式利用Tor網路隱匿行蹤</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166842"><strong style="font-size: 22px;">臺廠Moxa部分工業用路由器、防火牆存在重大漏洞，已發布新版韌體修補</strong></a></p> <p>1月3日臺灣工控設備製造商四零四科技（Moxa）發布資安公告，指出旗下部分行動通訊路由器、安全路由器、網路安全設備存在提升權限漏洞CVE-2024-9138，以及命令注入漏洞CVE-2024-9140，對此，該公司發布新版韌體修補。</p> <p>根據CVSS風險評分，評為重大層級的CVE-2024-9140應優先處理，此為命令管制不當產生的漏洞，攻擊者有機會發動作業系統層級的命令注入攻擊，而有可能於受害設備執行任意程式碼，風險評為9.8（4.0版CVSS風險為9.3）。</p> <p>另一個漏洞CVE-2024-9138涉及寫死的帳密，攻擊者若是通過身分驗證，就有機會利用漏洞來提升權限，並以root等級存取受害系統，CVSS風險為7.2（4.0版評為8.6）。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-43096-and-more-critical-rce-flaws-patched-in-android-security-update/">Google發布2025年首波安卓例行更新，修補系統元件的重大層級漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-20154-critical-rce-flaw-in-mediatek-chipsets-impacts-millions/">聯發科發布1月份例行更新，修補無須使用者互動就能利用的RCE漏洞</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166833"><strong>【1月6日】親俄駭客NoName057聲稱對臺灣逾30個企業與政府機關網站發動DDoS攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166811"><strong>【1月3日】IDC預測臺灣資安產品市場將連續4年成長，密碼敏捷性與AI BOM成焦點</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166796"><strong>【1月2日】北韓駭客對開發人員發動新一波攻擊，意圖散布惡意軟體OtterCookie</strong></a></p> </div></div></div>
2025/1/7 16:26作者周峻佑https://www.ithome.com.tw/news/166852
資安業者Tenable傳出外掛程式更新出錯意外，端點代理程式停擺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年7月資安業者CrowdStrike因端點偵測與回應系統Falcon派送更新出錯，<a href="https://www.ithome.com.tw/news/164030">引發全球電腦大當機</a>，事隔快半年，類似因推送更新造成異常的情況，再度出現於另一個廠牌的資安系統，所幸只是他們的產品故障，並未波及用戶個人電腦。</p> <p>12月31日專精弱點管理的<a href="https://status.tenable.com/incidents/9wjf0gnblhq7">資安業者Tenable指出</a>，他們得知部分採用弱點管理解決方案的用戶在更新外掛程式後，電腦的Nessus代理程式就被迫離線。對此，該公司已暫停外掛程式更新服務，並積極調查發生的原因。</p> <p>事隔兩天，1月2日Tenable再度提出說明，指出這起事故影響所有執行10.8.0及10.8.1版Nessus代理程式的電腦，但其餘元件不受影響，像是弱點管理系統Tenable Vulnerability Management（TVM）、Tenable Security Center（TSC）的管理伺服器。</p> <p>隨後該公司發布<a href="https://docs.tenable.com/release-notes/Content/nessus-agent/2025.htm#Upgrade-Notes">Nessus代理程式10.8.2版</a>，並說明這起事故發生的原因，源自於他們在10.8.0版代理程式導入的外掛程式編譯器性能強化機制，而有可能在同時編譯相依程式庫的過程出現競爭狀況（race condition）釀禍。</p> <p>要排除上述情形，用戶應升級代理程式至10.8.2版，或是降級為10.7.3版因應。他們也對於代理程式離線的用戶，提出恢復運作的建議方式。Tenable也在美國東部時間1月3日傍晚，恢復外掛程式的派送服務。</p> </div></div></div>
2025/1/7 15:29作者周峻佑https://www.ithome.com.tw/news/166848
針對美國電信業者遭遇中國駭客Salt Typhoon大規模攻擊事故，知情人士透露新的受害公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年9月、10月媒體報導有多家美國電信業者<a href="https://www.ithome.com.tw/news/165354">遭到中國駭客Salt Typhoon入侵</a>，這些電信業者包含AT&T、Lumen、<a href="https://www.ithome.com.tw/news/166096">T-Mobile</a>、Verizon，後來<a href="https://www.ithome.com.tw/news/166051">美國政府證實此事</a>，駭客從中竊取用戶的通話記錄資料，並滲透參與政府及政治事務的特定人士之通訊內容，如今這起事故又出現新的進展。</p> <p>根據華爾街日報1月4日的報導，<a href="https://www.wsj.com/tech/cybersecurity/typhoon-china-hackers-military-weapons-97d4ef95">知情人士向他們透露</a>Charter Communications、Consolidated Communications、Windstream等3家電信業者的系統也遭到這些駭客入侵。究竟這項說法的真實性如何，這些電信業者並未對此傳聞公開提出說明。</p> <p>附帶一提，美國白宮國家安全顧問Anne Neuberger於12月27日接受採訪時，<a href="https://www.bleepingcomputer.com/news/security/white-house-links-ninth-telecom-breach-to-chinese-hackers/">透露他們已經確認有9家美國電信業者遭到中國駭客入侵</a>，但是否涵蓋華爾街日報報導提及的3家公司？目前仍不得而知。</p> </div></div></div>
2025/1/7 16:06作者周峻佑https://www.ithome.com.tw/news/166851
Nvidia公布個人超級電腦Project Digits
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在CES 2025頭一天，Nvidia<a href="https://nvidianews.nvidia.com/news/nvidia-puts-grace-blackwell-on-every-desk-and-at-every-ai-developers-fingertips" target="_blank">公布</a>個人超級電腦Project Digits，適合學生和研究人員使用。</p> <p>Project Digits搭載新GB10 Grace Blackwell Superchip，強調機身夠小能置於桌面上，並使用一般電源。個頭雖小，但Project Digits提供最高1 petaflop的AI效能，可用於建立、微調和執行大型AI模型。</p> <p>Project Digits為Nvidia DGX OS系統，內建的GB10為Nvidia Grace Blackwell架構的單系統晶片（SoC）為Nvidia和MediaTek合作開發，內建最新CUDA核心、第5代Tensor Cores的Blackwell GPU，並以NVLink-C2C連結Arm-based Nvidia CPU，內含20省電核心。</p> <p>每臺Project Digits還主打128GB記憶體及4TB NVMe儲存空間。在這臺系統上，開發人員最高可執行2,000億參數的LLM。利用Nvidia ConnectX網路技術還能串連二臺Project Digits，執行最高4,050億參數的模型。利用NVIDIA NeMo框架及Nvidia Rapids函式庫等軟體，執行PyTorch、Python、Jupyter notebooks，開發人員可在Project Digits上開發模型、推論LLM，再部署到效能更大的雲端，或是資料中心基礎架構上。</p> <p>Project Digits售價3,000美元，預計5月由Nvidia和合作夥伴正式推出。</p> </div></div></div>
2025/1/7 15:42作者林妍溱https://www.ithome.com.tw/news/166849
臺廠Moxa部分工業用路由器、防火牆存在重大漏洞，已發布新版韌體修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>1月3日臺灣工控設備製造商四零四科技（Moxa）<a href="https://www.moxa.com/en/support/product-support/security-advisory/mpsa-241155-privilege-escalation-and-os-command-injection-vulnerabilities-in-cellular-routers,-secure-routers,-and-netwo">發布資安公告</a>，指出旗下部分行動通訊路由器、安全路由器、網路安全設備存在提升權限漏洞CVE-2024-9138，以及命令注入漏洞CVE-2024-9140，對此，該公司發布新版韌體修補。</p> <p>根據CVSS風險評分，評為重大層級的CVE-2024-9140應優先處理，此為命令管制不當產生的漏洞，攻擊者有機會發動作業系統層級的命令注入攻擊，而有可能於受害設備執行任意程式碼，風險評為9.8（4.0版CVSS風險為9.3）。</p> <p>另一個漏洞CVE-2024-9138涉及寫死的帳密，攻擊者若是通過身分驗證，就有機會利用漏洞來提升權限，並以root等級存取受害系統，CVSS風險為7.2（4.0版評為8.6）。</p> <p>對於這些漏洞的影響範圍，包括資安路由器EDR-810、EDR-8010、EDR-G902、EDR-G9004、EDR-G9010、NAT-102系列，防火牆設備EDF-G1002-BP系列，以及無線寬頻通訊路由器OnCell G4302-LTE4、軌道車輛路由器TN-4900系列機種。目前該公司對上述大部分產品均提供新版韌體，但Moxa也坦承NAT-102系列尚未正式提供，提醒用戶應採取緩解措施因應，例如，盡可能不要直接暴露在網際網路，透過防火牆僅開放特定受信任IP位址的電腦，以SSH存取具有弱點的設備，以及建置網路入侵偵測系統（IDS）或防禦系統（IPS）進行漏洞濫用行為的偵測與阻攔。</p> <p>針對這些漏洞帶來的影響，我們也向Moxa進一步了解，該公司表示他們發布新版韌體後，目前尚未接到客戶有重大影響的反映。</p> </div></div></div>
2025/1/7 12:22作者周峻佑https://www.ithome.com.tw/news/166842
Matter公布新產品相容驗證作業，蘋果、Google將承認Matter相容認證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了加速智慧家庭物聯網設備商取得驗證，管理Matter標準的連接標準聯盟（CSA）<a href="https://csa-iot.org/newsroom/driving-innovation-with-the-alliance-interop-lab-and-two-new-certification-programs/" target="_blank">公布</a>新的驗證方案及措施，減少廠商驗證過程中的重覆作業。</p> <p>CSA公布的三項驗證方案中，一項是方便Matter相容硬體產品獲得Google、蘋果等平臺大廠的承認。二項是關於取得Matter驗證標章的快速通道再認證方案（FastTrack Recertification Program）和組合認證方案（Portfolio Certification Program）。</p> <p>許多已取得Matter認證標章的智慧家庭物聯網產品，還得再和蘋果、Google等平臺業者打交道，取得其「Work With」的相容認證標章，相當耗時、也得投入成本。CSA宣布蘋果和Google、三星將在今年稍晚接受CSA的相容實驗室（Interop Lab）的測試結果，承認為取得了Works with Apple Home，以及Works with Google Home、Works with SmartThings認證。CSA表示會再拓展共通承認的平臺廠商，完成端到端認證和測試。</p> <p>第二項宣布的快速通道再認證方案（FastTrack Recertification Program）是加速智慧家庭物聯網產品業者軟體更新後的認證。之前每當產品發布軟體更新以修補不穩定、漏洞或更新功能，需再重新經過Matter認證的過程，造成時間及成本的浪費。去年11月Matter工作小組公布新的再認證方案，讓CSA的Interop Lab快速檢測更新版本和其他主要裝置和系統共用時，不會影響其功能和效能，加速重新取得Matter認證的時間。</p> <p>組合認證方案（Portfolio Certification Program）則是將多個成員的認證包成一個組合（portfolio），裝置廠商申請一次就能同時通過其他成員廠商的驗證。CSA表示這新方案比原有認證方案中「相似及產品家族認證方案」彈性更大。這方案適用於Matter和前身Zigbee相容產品。</p> <p>CSA也鼓勵產品業者開始使用Alliance Interop Lab進行測試。</p> </div></div></div>
2025/1/7 15:08作者林妍溱https://www.ithome.com.tw/news/166845
迎接AI PC時代，戴爾革新PC品牌
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在消費電子大展（Consumer Electronics Show，CES）2025上，因應桌上運算全面加入AI，PC龍頭戴爾（Dell）<a href="https://www.dell.com/en-us/dt/corporate/newsroom/announcements/detailpage.press-releases~usa~2025~01~dell-technologies-leads-ai-pc-movement-with-new-redesigned-pc-portfolio.htm#/filter-on/Country:en-us" target="_blank">公布全新的PC品牌</a>，不再使用XPS、Inspiron、Latitude、Precision 和OptiPlex等品牌，將改為Dell、Dell Pro、Dell Pro Max。</p> <p>戴爾指出，購買PC是很複雜的過程，需要考量多種因素，包括品牌、模型、form factors、效能、繪圖晶片、儲存容量和材質等。為了簡化用戶採購的困難，戴爾將PC品牌運用了蘋果iPhone的分級邏輯，劃分為三類：Dell，適合娛樂、個人或學校應用；Dell Pro，為專業個人生產力設計；Dell Pro Max，具備最高等級效能的機種。每一項產品線又分成三個次分類：Base、Plus和Premium。三產品線中的Dell及Dell Pro產品線則還延伸到顯示器、配件和服務。</p> <p>戴爾指出，透過統一PC、顯示器、配件和服務的品牌，可讓消費者和客戶更容易找到需要的產品。不過遊戲專用的Alienware產品線則維持品牌不變。</p> <p>原有的Inspiron是主打消費者，主要對應到Dell品牌。商務機種Latitude則主要改為Dell Pro。新的Dell Pro Max主要對應工作站Precision系列。</p> <p>Dell Pro設定為輕薄商務筆電，戴爾表示已重新設計Dell Pro筆電和桌機，例如強化鉸鍊、耐摔性。Dell Pro將包含Intel Core Ultra（Series 2）、新的AMD Ryzen平台，包括CPU、GPU和NPU、Copilot+ PC，以及更長的電池續航力。</p> <p>而高階筆電XPS產品線未來將改名為Dell Premium 機種。</p> <p>Dell Pro機種也將包含Dell Pro AI Studio，它是專用軟體Dell AI Factory的新增AI工具包，可讓開發人員得以在桌機上部署AI應用程式。</p> <p><a href="https://www.dell.com/en-us/blog/dell-transforms-ai-pc-portfolio-for-anywhere-productivity/?hve=read+the+blog" target="_blank">Dell Pro Max</a>則提供高效能及散熱設計，適合運算力密集任務，如動畫設計、影片渲染、AI推論與微調LLM，以及更強的安全防護，處理器平台包含Intel Core Ultra （Series 2, U SKUs）、AMD Ryzen/AMD Threadripper 選項。</p> <p>現已存在的XPS、Precision等產品線還是會持續銷售，只是未來應該就不會再有新品推出。</p> </div></div></div>
2025/1/7 12:18作者林妍溱https://www.ithome.com.tw/news/166841
Google找來Sora前主管打造模擬實體世界的AI團隊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google將在DeepMind團隊下打造一個以AI模擬實體世界的團隊，目前正在招兵買馬中。</p> <p>這個新團隊是由去年10月從OpenAI<a href="https://ithome.com.tw/news/165350" target="_blank">跳槽</a>的Sora模型開發主管Tim Brooks帶領。Brooks在其<a href="https://www.linkedin.com/in/timothyebrooks/" target="_blank">LinkedIn</a>個人資料頁說明，DeepMind有個企圖心強大的計畫，想打造能模擬世界的大型生成式AI模型。他並貼出招聘啟事，徵求「建立世界模型」（World Modeling）的<a href="https://boards.greenhouse.io/deepmind/jobs/6456664" target="_blank">研究科學家</a>和<a href="https://boards.greenhouse.io/deepmind/jobs/6503217" target="_blank">工程師</a>。</p> <p>Brooks說，Google相信將影片和多模態資料預訓練出來的模型擴展是實現通用人工智慧（artificial general intelligence，AGI）的關鍵路徑。世界模型將可成為多種領域的助力，像是視覺理解和模擬、規劃具體化代理人、以及即時互動娛樂。Brooks的團隊將使用大語言模型Gemini、影片生成模型Veo和基礎世界模型Genie團隊開發的成果，將解決新式重大問題，並且將世界模型擴展到最大運算層級。</p> <p>該團隊招募人員的職責是實作核心基礎架構和研究，以便打造實體世界的生成模型。他們需要訓練龐大規模的世界模擬器，並為「實體智慧」發展量測指標、擴展法則、標註訓練資料以生成即時互動，他們也需研究如何將世界模型與多模態語言模型整合起來。最終，是要在強大的系統和基礎架構上執行大型世界模型。</p> <p>世界模型是打造3D或虛擬世界的AI模型，可用於電玩製作、VR內容創作、自駕車和機器人的訓練。近來多家龍頭及新創科技公司已在打造世界模型，像是DeepMind、Meta、OpenAI、Anthropic、李飛飛的World Labs、以色列公司Decart等，專注於開發人型機器人的挪威新創公司<a href="https://www.1x.tech/discover/1x-world-model" target="_blank">1x Technologies</a>，2023年也曾獲得OpenAI投資。</p> </div></div></div>
2025/1/7 10:13作者林妍溱https://www.ithome.com.tw/news/166840
Akamai終止中國CDN直營服務，轉為經銷騰訊雲、網宿科技方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球內容傳遞網路（CDN）龍頭Akamai宣布，將於2026年6月30日正式停止其在中國的CDN服務。這代表Akamai將退出直接營運中國市場的業務模式，轉而與當地廠商合作，而在2026年6月30日之後，除非用戶啟動特定的合作夥伴解決方案，否則剩餘的內容請求都將自動從鄰近國家提供服務。</p> <p>Akamai在一封給其合作夥伴的<a href="https://content.akamai.com/index.php/email/emailWebview?email=NjQyLVNLTi00NDkAAAGWBQgHSPFMp0ow2aF67IAbDOB0c1pNppYjWH8ZCkGxrVi4pDs7pT_120NiLvARghhVOBbaIJqps_3Ii2OZlixo3IPjhpR79JsTe-0">信件</a>中指出，為了確保服務的延續性和符合中國不斷變化的法規環境，已與中國雲端服務供應商騰訊雲（Tencent Cloud）及網宿科技（WangSu）達成戰略合作協議。根據協議內容，Akamai將成為騰訊雲和網宿科技在中國境內內容傳遞及安全解決方案的經銷商，客戶可透過Akamai直接購買並整合在地化服務，維持在中國市場的業務運營。</p> <p>對於現有Akamai在中國的CDN客戶，該公司表示將提供必要的搬遷支援。針對騰訊雲的方案，Akamai現提供完整的搬遷服務和全球技術支援，而與網宿科技的合作方面，Akamai則還在建構相關的搬遷和支援服務，並承諾會儘快公開細節。在此之前，Akamai會協助有立即需求的客戶，直接與網宿科技接洽。</p> <p>Akamai強調，所有使用中國CDN服務的客戶必須在2026年6月30日的服務終止期限前，搬遷至其合作夥伴解決方案。該公司呼籲受影響的客戶應盡快與其客戶經理聯繫，討論具體的搬遷方案和時間表。中國市場對跨國科技公司而言，挑戰日益嚴峻，除了中國政府對資料監控與網路安全法規越來越嚴格之外，中美之間的貿易與科技角力、地緣政治等因素，都為外商的營運增添變數。</p> <p>Akamai在中國的策略調整，或成為全球科技產業在中國市場發展的一個重要指標。預期未來可能會有更多跨國科技公司採取類似的在地化合作策略。此事件凸顯出中國市場的獨特性和複雜性，以及跨國企業在進入中國時所必須面對的挑戰與風險。</p> </div></div></div>
2025/1/6 21:45作者李建興https://www.ithome.com.tw/news/166830
PyPI隔離措施奏效，數月阻擋逾百惡意專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對日益嚴重的軟體供應鏈安全問題，Python套件索引PyPI從2024年8月開始實施專案隔離（Project Quarantine）措施，以加速應對潛在的惡意軟體威脅。截至目前，該措施已<a href="https://blog.pypi.org/posts/2024-12-30-quarantine/">成功隔離</a>約140個可疑專案，有效阻止惡意軟體的散播。PyPI管理團隊表示，未來將發展自動化隔離機制，進一步提升平臺安全性。</p> <p>過去PyPI管理員在處理惡意軟體報告時，主要的應對手段是直接從資料庫中刪除整個專案。雖然這個方法能夠有效解決問題，但卻具有不可逆性，也可能影響到依賴該專案的其他合法使用者。此外，從接獲通報到實際移除專案之間存在時間差，也讓其他使用者暴露在風險之中。</p> <p>專案隔離機制提供更彈性且即時的應對方案。當專案被標記為隔離後，便會從PyPI的Simple API中移除，開發者便無法透過pip正常安裝，而且專案擁有者也將無法修改專案內容。藉此阻斷惡意軟體的擴散途徑。更重要的是隔離狀態可逆，管理員在進一步審查並確認專案無害後，即可解除隔離，恢復其正常狀態。</p> <p>自八月以來，在約140個被隔離的專案中，絕大多數最終被確認為惡意軟體並被移除，僅有一個專案在修正了程式碼混淆的違規行為後，被解除隔離。這些成果證明了專案隔離措施在辨識與處理惡意軟體方面的準確性與效率。</p> <p>目前的隔離流程仍仰賴管理員的手動操作，為了進一步提升反應速度與效率，PyPI團隊正積極開發自動化隔離功能。未來，該系統將能夠根據專案收到的惡意軟體報告數量與來源可信度，自動觸發隔離機制，大幅縮短從偵測到隔離的時間差，更有效地保護使用者免受潛在惡意威脅。</p> </div></div></div>
2025/1/6 21:48作者李建興https://www.ithome.com.tw/news/166832
微軟2025年再砸800億美元，加碼全球AI基礎建設
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟持續重金加碼投資人工智慧領域，該公司計畫在2025年投入800億美元，在全球擴建支援人工智慧運算的資料中心。微軟此舉展示出其對人工智慧前景的強烈信心，並且積極布局爭奪未來人工智慧科技霸主的地位。</p> <p>高達800億美元的投資中，超過一半將用於美國本土。<a href="https://blogs.microsoft.com/on-the-issues/2025/01/03/the-golden-opportunity-for-american-ai/">微軟副董事長兼總裁Brad Smith</a>把人工智慧比喻為當代的電力，並強調這項技術將成為推動經濟發展的通用目的科技，就如同過去的蒸氣機、電力與電腦晶片一樣，在各行各業帶來革命性影響。</p> <p>近年微軟透過與OpenAI等公司的策略聯盟，以及自家Azure雲端平臺的持續發展，已在人工智慧領域取得先機。此次加碼投資資料中心，正是為了鞏固其在運算能力、資料儲存和處理等關鍵基礎設施的優勢，替未來人工智慧模型訓練和應用部署，奠定強而有力的基礎，同時也展現了微軟在人工智慧競賽中的企圖。</p> <p>除了硬體建設，Brad Smith也進一步分享了微軟在美國人工智慧發展的規畫，特別強調人工智慧技能普及化的重要性，他認為這是美國是否能維持競爭力的關鍵。由於人工智慧將重塑就業市場，創造新的工作機會並降低許多職業的進入門檻，微軟推動各項人工智慧技能培訓計畫，預計在2025年培訓250萬名美國人具備人工智慧相關技能，並與社區大學、教育機構與職業訓練機構合作，使得人工智慧教育更加普及，特別是在偏鄉地區。</p> <p>Brad Smith明確點出美國與中國在人工智慧領域的激烈競爭。他認為這場競賽將是第一行動者優勢的比拼，速度是獲勝關鍵，並強調美國在技術、資本及國際合作上的優勢，特別是美國企業在人工智慧技術的可信賴程度上，例如對資訊安全、隱私及數位安全的保護，更勝於中國。</p> <p>Brad Smith認為，中國政府在推動人工智慧上也會以公共資金挹注於國際補貼，支撐其技術的採用，尤其是在非洲、亞洲和拉丁美洲等開發中國家，但是中國仍很難比得上美國私部門和國際資本資金。</p> <p>微軟積極布局全球市場，除了興建資料中心外，更與多國政府及企業建立合作夥伴關係，例如與阿拉伯聯合大公國的G42合作，還將人工智慧基礎設施引進肯亞，並透過與Blackrock和MGX合作設立的國際投資基金，加碼投資全球人工智慧基礎設施及供應鏈。</p> <p>在資料中心高耗能的議題上，微軟表示將採用先進的節能技術。在全球減碳的趨勢下，平衡科技發展與環境保護，是微軟及其他科技巨頭必須持續努力重要課題。</p> </div></div></div>
2025/1/6 21:54作者李建興https://www.ithome.com.tw/news/166834
Meta急刪引發爭議的臉書和Instagram AI角色帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在輿論壓力下，Meta近日刪除了其於2023年在臉書和Instagram上，推出的28個人工智慧角色帳號。這些帳號原本是Meta探索生成式人工智慧應用的一部分，目的是透過模擬真實用戶，使其擁有個人簡介和照片，並發布由人工智慧生成的內容。不過，其中部分角色因涉及種族敏感議題，引發軒然大波，Meta最終決定全面下架以平息爭議。</p> <p>Meta推出人工智慧角色一開始是為了探索生成式人工智慧應用，不過其中一個自稱驕傲黑人酷兒媽媽的Instagram角色Liv，因其設定與互動內容，被批評為數位黑臉（Digital Blackface），缺乏對多元族群的尊重，尤其引發非裔社群的強烈反彈。</p> <p>數位黑臉指的是非黑人人士在網路上使用黑人的圖像、語言、文化元素或其他表達方式，來呈現或扮演黑人身分的行為。在與<a href="https://bsky.app/profile/karenattiah.bsky.social/post/3letty2t4ik2c">華盛頓郵報專欄作家Karen Attiah的對談中</a>，Liv表示其創作團隊主要是白人，缺乏黑人成員，且對黑人文化和經驗存在諸多誤解。這種文化挪用行為被認為具冒犯性，並且帶有種族歧視意味。</p> <p>雖然多數人工智慧角色帳號已在2024年4月停止更新貼文，但其聊天功能仍持續運作。直到最近Meta負責生成式人工智慧的產品副總裁Connor Hayes接受<a href="https://www.ft.com/content/91183cbb-50f9-464a-9d2e-96063825bfcf">外媒金融時報採訪</a>，再次提及這些人工智慧角色，並表示將以類似真人帳戶的方式存在於平臺，這才又點燃輿論怒火。</p> <p><a href="https://bsky.app/profile/taradublinrocks.bsky.social/post/3lettrt7bec2w">使用者回報無法封鎖或檢舉這些帳號</a>後，引發強烈批評，Meta緊急做出回應，刪除了所有相關的人工智慧角色帳號。<a href="https://www.axios.com/2025/01/03/meta-liv-social-media-ai-profiles">Meta發言人向媒體解釋</a>，這批帳號是2023年Connect大會上推出的實驗性專案，並非近期的新產品，並強調金融時報的報導重點在於，Meta對人工智慧角色未來發展的願景，而非宣布新產品，並將此次事件歸咎於一個影響用戶封鎖人工智慧帳號的技術錯誤。</p> </div></div></div>
2025/1/6 22:00作者李建興https://www.ithome.com.tw/news/166839
提供全球單一機型的簡化部署，思科首批Wi-Fi 7基地臺來了
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/cisco_wireless_9176_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在多數企業級網路設備廠商都推出Wi-Fi 7基地臺之後，到了2024年11月舉行的<a href="https://www.ithome.com.tw/news/165974">Cisco Live 2024 Melbourne大會</a>，思科終於宣布推出產品、開放訂購，預計12月出貨。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-11-Cisco Wi-Fi7-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-11-Cisco%20Wi-Fi7-web.jpg" style="width: 500px;" /></a></p> <p>他們這次發表兩款高階機型，其中之一是9176系列（採用全向天線CW9176I、採用定向天線的CW9176D1），在6 GHz、5 GHz、2.4 GHz這三個頻段的使用模式當中，Wi-Fi網路傳輸率可達18 Gbps，而由於支援無線通訊彈性指派（FRA）機制，也能改用6 GHz、5 GHz、5 GHz，能達到23 Gbps。</p> <p>另一款是 9178系列（CW9178I），額外提供4頻段的使用模式（6 GHz、5 GHz、5 GHz、2.4 GHz），Wi-Fi網路傳輸率有3種組合：18 Gbps、23 Gbps、24 Gbps，這也是拜FRA機制所賜，因此，可選用6 GHz、5 GHz、5 GHz（23 Gbps），以及6 GHz、5 GHz、5 GHz、2.4 GHz（24 Gbps）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Wi-Fi 7AP-2024-11-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Wi-Fi%207AP-2024-11-1.jpg" style="width: 600px;" /></a></p> <p>相較於市面上的Wi-Fi 7基地臺產品，Cisco強調他們推出的解決方案，是第一批真正支援全球部署、融合式無線基地臺，可聰明偵測它們本身建置的所在地點，不再需要針對各個地區提供專屬的存貨單位（SKU），意思是思科只需要透過一款產品機型，就能適用全球各地的部署，而且無論用在內部管理或雲端管理環境，均可自動、順暢切換，不需搭配針對特定技術堆疊與法規遵循領域專屬的產品，可節省安裝時間與人力。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Unfied Global AP-2024-11.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Unfied%20Global%20AP-2024-11.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Global AP-2024-11-journey0.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Global%20AP-2024-11-journey0.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Cisco Global AP-2024-11-journey.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Global%20AP-2024-11-journey.jpg" style="width: 298px;" /></a></p> <p> </p> <p>AI強化與資安防護也是思科此批Wi-Fi 7產品的特色。以前者為例，企業可運用思科發展的<a href="https://documentation.meraki.com/MR/Radio_Settings/AI_-_RRM">AI強化無線通訊資源管理（AI-RRM）技術</a>，能夠自動調校無線通訊頻率，改善終端使用者上網體驗；關於安全性，企業使用思科Wi-Fi 7產品時，也能搭配思科的網路安全強化解決方案Identity Services Engine，而得以針對連上企業網路的每一臺設備，進行自動的身分識別與政策套用。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Meraki-AI RRM-2024-11-0.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Meraki-AI%20RRM-2024-11-0.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Meraki-AI RRM-2024-11.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Meraki-AI%20RRM-2024-11.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Meraki-AI%20RRM-2024-11-2.jpg" style="width: 600px;" /></p> <p>除此之外，這兩款基地臺還可整合多種無線通訊，像是：低功耗藍牙（BLE）、超寬頻（UWB），能用於資產的精準追蹤與定位，它們也內建全球衛星導航系統（GNSS）／全球定位系統（GPS）天線，能進行註冊代管，基地臺能聰明選擇法規遵循針對的領域，以及地點的資訊。基於這些功能，它們可憑藉單一智慧型平臺，支援多種物聯網應用案例，像是醫院的資產精準追蹤、零售業的沉浸式擴增實境（AR）體驗。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Wi-Fi 7-2024-02.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Wi-Fi%207-2024-02.jpg" style="width: 600px;" /></a></p> <p>值得注意的是，思科此時也宣布推出統一訂閱授權Cisco Networking Subscription，提供兩種服務等級：Cisco Wireless Essentials、Cisco Wireless Advantage，而最新推出的Cisco Wireless 9178與9176，以及可集中管理這些網路設備的Cisco Catalyst 9800 Wireless LAN Controller，均是首批適用此項授權的產品。</p> <p>簡而言之，不論企業採用的網路管理模式是經由雲端、內部系統，或混合兩者使用，均可透過單一授權涵蓋思科的Wi-Fi 7解決方案，例如，若打算用雲端管理的模式Meraki Management Mode，企業可經由網頁管理主控臺Meraki Dashboard控管訂閱，若打算用內部環境管理的模式Catalyst Management Mode，企業可經由授權伺服器Cisco Smart Software Manager（CSSM）控管Cisco Networking Subscription訂閱。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Wi-Fi 7-2024-03.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Wi-Fi%207-2024-03.jpg" style="width: 600px;" /></a></p> <p>思科這次發表Wi-Fi 7、統一訂閱授權之餘，也提及這些解決方案可整合他們發展已久的室內工作空間定位雲端平臺Cisco Spaces（<a href="https://blogs.cisco.com/networking/solving-data-blind-spots-in-physical-locations-with-cisco-dna-spaces">原名Cisco DNA Spaces</a>，<a href="https://blogs.cisco.com/networking/a-tale-of-people-things-spaces">2022年9月改名</a>），Cisco Networking Subscription授權將包含Cisco Spaces，思科在此提供室內定位分析與整合應用功能Cisco Spaces Extend，而在Cisco Wireless Advantage授權額外提供Cisco Spaces Act，企業可運用智慧辦公空間環境、訪客註冊與上網（思科在此支援OpenRoaming），以及大量物聯網裝置的部署與管理等多種功能，例如，可即時追蹤醫院、零售店商家重要設備的室內位置；在訪客連上Wi-Fi網路時，傳送具有前後文脈絡的內容通知；在辦公區當中，也能更直接導引員工尋找可用的會議室與辦公位置，而不需下載其他行動App。</p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/lCkFaW9pf_U?si=XUdScsYZ9BrrJVPl" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>Cisco Wireless Wi-Fi 7 Access Points</strong></span><br /> ●原廠：Cisco<br /> ●建議售價：廠商未提供<br /> ●機型：9176系列（CW9176I、CW9176D1）、9178系列（CW9178I）<br /> ●支援無線網路規格：802.11 a/b/g/n/ac/ax/be<br /> ●網路介面：9176系列內建1個10GbE埠，9178系列內建2個10GbE埠<br /> ●天線架構：6 GHz、5 GHz、2.4 GHz均為4x4，MU-MIMO<br /> ●傳輸速度：9176系列總共為18或23 Gbps，9178系列總共為18、23或24 Gbps<br /> ●支援供電方式：DC（Cisco Power Injector：CW-INJ-8）、PoE<br /> ●整合其他無線通訊技術：低功耗藍牙、超寬頻（UWB）<br /> ●尺寸：CW9176I為24 x 24 x 5.1公分，CW9176DI為24 x 25 x 5.1公分，CW9178I為25.1 x 25.1 x 5.1公分<br /> ●重量：CW9176I與CW9176DI均為1.56公斤，CW9178I為1.87公斤<br /> ●集中管理平臺：Catalyst 9800系列WLAN控制器、Catalyst 9000交換器、Meraki雲端管理平臺</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/1/6 18:10作者李宗翰https://www.ithome.com.tw/review/166822
【資安日報】1月6日，親俄駭客NoName057聲稱對臺灣逾30個企業與政府機關網站發動DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>三個月前親俄駭客組織NoName057因不滿總統賴清德在接受媒體採訪的回答，中國政府若要維護領土主權性，應奪回清朝割讓俄羅斯的土地，<a href="https://www.ithome.com.tw/news/165042">對臺灣政府機關、關鍵基礎設施的網站發動一系列的DDoS攻擊</a>，如今這些駭客再度盯上臺灣企業組織犯案。</p> <p>1月2日、3日有5家上市櫃公司證實遭遇DDoS攻擊，NoName057宣稱就是他們所為，並表明一共攻擊超過30個網站。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166831"><strong style="font-size: 22px;">青雲科技、世芯電子、大眾電腦、台塑接連遭DDoS攻擊，傳出是親俄駭客NoName057所為</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GgRTQSyX0AALJjj.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/GgRTQSyX0AALJjj.jpg" style="width: 300px; float: right;" /></a></p> <p>上週四（1月2日）群光電子於股市公開觀測站發布重大訊息，表示他們的網站遭遇分散式阻斷服務（DDoS）攻擊，然而接下來有更多企業公告也證實面臨相關攻擊。</p> <p>1月3日下午青雲科技、世芯電子、大眾電腦、台塑發布重大訊息，表示他們的網站遭遇攻擊，他們察覺事故之後已啟動相關防禦機制及復原作業，網站已恢復正常運作，目前評估對公司營運沒有影響。青雲、世芯進一步提及，他們初步評估沒有個資或內部文件資料出現外洩的情況。</p> <p>值得留意的是，針對這些公司遭遇DDoS攻擊的事故，親俄駭客組織NoName057聲稱是他們所為，但值得留意的是，這些駭客也聲稱對超過30個網站下手，涵蓋政府機關、地方政府、機場、港務機關。</p> <p><a href="https://www.ithome.com.tw/news/166827"><strong style="font-size: 22px;">臺灣2024每日遭到網路攻擊次數達到240萬，通訊傳播領域暴增6.5倍、電信業成為最熱門的網駭目標</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/_TO44FBluQy.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/_TO44FBluQy.png" style="width: 300px; float: right;" /></a>隨著兩岸局勢日趨緊張，中國駭客對臺灣的網路攻擊也變得更加猖狂，但這樣的態勢究竟有多嚴重？國家安全局近期公布相關分析結果。</p> <p>1月5日國安局發布中共網駭手法分析報告，他們特別提及根據政府網際服務網（GSN）的入侵指標（IoC）統計，2024年每日平均遭受攻擊的次數約為240萬次，較2023年的120萬次翻倍，而這些攻擊多數為中共網軍所為。不過，國安局並未提及有多少比例來自這些駭客。</p> <p>另一方面，國安局也提到駭客主要的攻擊目標，根據他們掌握的906件資安事故，有八成是針對政府機關而來。而從中共網軍鎖定的產業類別來看，他們特別提及針對通訊傳播領域的情況最為嚴重，一舉較2023年增加650%，而且主要目標就是電信業者，這樣的情況也與去年下旬，美國證實多家電信業者遭遇中國駭客攻擊的情況，可說是不謀而合。</p> <p><a href="https://www.ithome.com.tw/news/166806"><strong style="font-size: 22px;">研究人員揭露新的DoubleClickjacking手法，能繞過點擊挾持防護</strong></a></p> <p>現今多數網站都已加入防範點擊挾持（clickjacking）攻擊手法的措施，不過安全研究人員Paulos Yibelo揭露此類攻擊的變種版本「雙點擊挾持（DoubleClickjacking）」，號稱能繞過既有防護而攻擊網站用戶。</p> <p>這手法原理是二次點擊的時間點和順序。首先，攻擊者建立惡意網頁，誘騙用戶按下特定按鈕讀取回饋或看影片。當用戶依照指示操作時，會跳出新視窗蓋住原有網頁，並要求使用者完成任務（如CAPTCHA），目的是為了聲東擊西。同時間，原有網頁上的JavaScript指令碼將會啟動，把網頁內容換成攻擊者想要登入的目標合法網站，例如網銀或Gmail。</p> <p>研究人員指出，幾乎所有網站都會受到這種攻擊手法影響，他透過影片展示挾持Slack、Shopify、Saleforce帳號，並指出這類手法還能對瀏覽器延伸套件下手，從而存取受害者的加密貨幣錢包、VPN。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/bad-tenable-plugin-updates-take-down-nessus-agents-worldwide/">資安業者Tenable傳出遭遇惡意外掛程式攻擊事故，駭客藉此將用戶的Nessus代理程式移除</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-firescam-android-data-theft-malware-poses-as-telegram-premium-app/">安卓竊資軟體FireScam假冒Telegram應用程式散布</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://smbiz.asahi.com/article/15572291">日本電信業者NTT DOCOMO傳出遭到DDoS攻擊</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166745"><strong style="font-size: 22px;">Apache基金會修補圖像資料庫系統HugeGraph身分驗證繞過漏洞</strong></a></p> <p>Apache基金會發布資安公告，指出圖像資料庫系統HugeGraph的伺服器元件HugeGraph-Server存在漏洞CVE-2024-43441，影響1.0至1.3版，他們發布1.5.0版修補。</p> <p>針對這項漏洞，該基金會指出，是因為被假定為無法竄改的資料具有弱點，造成身分認證程序可被略過的問題，但除此之外他們並未透露進一步細節，也沒有提供CVSS評分，因此後續影響有待觀察。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-9138-and-cve-2024-9140-cvss-9-8-moxa-calls-for-immediate-security-action/">部分工業用路由器、網路設備存在重大漏洞，臺廠Moxa發布新版韌體修補</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/nuclei-flaw-lets-malicious-templates-bypass-signature-verification/">開源弱點掃描工具Nuclei存在弱點，攻擊者有機會繞過身分驗證執行惡意程式碼</a></strong></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166829"><strong style="font-size: 22px;">美國政府制裁中國資安業者永信至誠，原因是該公司支援駭客組織Flax Typhoon的攻擊行動</strong></a></p> <p>1月3日美國財政部外國資產控管辦公室（OFAC）對中國資安公司永信至誠科技（Integrity Technology Group）發布制裁令，原因是該公司高度與中國駭客組織Flax Typhoon有關連，並涉嫌對美國發動攻擊。</p> <p>美國國務院也發布聲明，指出永信至誠是中國政府大型委外業者，和中國國安部關係密切，提供中央及地方的國安單位、公安局及其他中國網路安全政府外包商服務。美國政府認為，Flax Typhoon是聽命於永信至誠。</p> <p>值得留意的是，Flax Typhoon活動至今，多次攻擊美國的關鍵基礎設施，攻擊範圍遍及北美、歐洲、非州、亞洲，且特別偏好針對臺灣下手。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166796"><strong>【1月3日】北韓駭客對開發人員發動新一波攻擊，意圖散布惡意軟體OtterCookie</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166796"><strong>【1月2日】北韓駭客對開發人員發動新一波攻擊，意圖散布惡意軟體OtterCookie</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166762"><strong>【12月31日】駭客公布從思科、施耐德電機竊得的部分資料</strong></a></p> </div></div></div>
2025/1/6 16:22作者周峻佑https://www.ithome.com.tw/news/166833
青雲、世芯、大眾控、台塑接連遭DDoS攻擊，傳出是親俄駭客NoName057所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週四（1月2日）群光電子於股市公開觀測站<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=182430&SPOKE_DATE=20250102&COMPANY_ID=2385">發布重大訊息</a>，表示他們的網站遭遇分散式阻斷服務（DDoS）攻擊，然而接下來有更多企業公告也證實面臨相關攻擊。</p> <p>1月3日下午<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=141751&SPOKE_DATE=20250103&COMPANY_ID=5386">青雲</a>、<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=144431&SPOKE_DATE=20250103&COMPANY_ID=3661">世芯</a>、<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=153532&SPOKE_DATE=20250103&COMPANY_ID=3701">大眾電腦</a>、<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=172455&SPOKE_DATE=20250103&COMPANY_ID=1301">台塑</a>發布重大訊息，表示他們的網站遭遇攻擊，他們察覺事故之後已啟動相關防禦機制及復原作業，網站已恢復正常運作，目前評估對公司營運沒有影響。青雲、世芯進一步提及，他們初步評估沒有個資或內部文件資料出現外洩的情況。</p> <p>值得留意的是，針對這些公司遭遇DDoS攻擊的事故，親俄駭客組織NoName057<a href="https://x.com/Noname05716/status/1874714893338718213">聲稱</a>是<a href="https://x.com/Noname05716/status/1874789178010984466">他們所為</a>，但值得留意的是，這些駭客也聲稱對超過30個網站下手，涵蓋政府機關、地方政府、機場、港務機關。</p> <p>其中，駭客點名行政院主計總處、證券櫃檯買賣中心、財政部稅務入口網站受到高度關注。不過，在截稿之前，這些機關並未對此公開說明。</p> <p>這些駭客聲稱攻擊的政府機關及企業如下：</p> <p>金融法務</p> <p class="rteindent1">行政院主計總處<br /> 中華民國證券櫃檯買賣中心<br /> 財政部稅務入口網<br /> 法務部<br /> 法務部行政執行署<br /> 經濟部產業技術司ITIS智網<br /> 台灣金融服務業聯合總會<br /> 全國法規資料庫</p> <p> 交通運輸</p> <p class="rteindent1">交通部航港局<br /> 交通部航港局第二代航港單一窗口服務平臺<br /> 交通部民用航空局飛航服務總臺<br /> 臺灣港棧服務網<br /> 臺灣自由貿易港區<br /> 松山機楊<br /> 桃園捷運<br /> 馬祖航空站<br /> 臺灣觀光資訊網<br /> 台灣好行景點接駁旅遊服務</p> <p>地方政府</p> <p class="rteindent1">苗栗市公所<br /> 南投市公所<br /> 頭份市公所<br /> 花蓮市公所<br /> 新北市雙溪區公所<br /> 新北市貢寮區公所<br /> 澎湖縣政府<br /> 澎湖縣望安鄉公所</p> <p>企業</p> <p class="rteindent1">青雲科技<br /> 世芯電子<br /> 大眾電腦<br /> 廣達電腦<br /> 台塑<br /> 台塑石油<br /> 台灣國際造船</p> </div></div></div>
2025/1/6 15:26作者周峻佑https://www.ithome.com.tw/news/166831
疑和攻擊臺灣的Flax Typhoon駭客組織有關，美國政府制裁中國資安業者永信至誠
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">美國財政部對中國資安公司永信至誠科技（Integrity Technology Group）上周<a href="https://home.treasury.gov/news/press-releases/jy2769" target="_blank">發布</a>制裁令，原因是高度涉嫌與中國駭客組織Flax Typhoon有關連，對美國發動攻擊。</p> <p dir="ltr">美國財政部的外國資產控管辦公室（Office of Foreign Assets Control，OFAC）指出，永信至誠涉入多起以美國人為對象的網路攻擊，而這些事件又被公認是由中國國家駭客組織Flax Typhoon所為。負責反恐和金融情報事務的財政部代理副部長Bradley T. Smith指出，美國政府在與公、民營網路安全力量合作，會以所有可能的工具阻止中國駭客威脅美國國家安全。</p> <p dir="ltr">美國國務院也發布聲明，指出永信至誠是中國政府大型委外業者，和中國國安部關係密切，提供中央及地方的國安單位、公安局及其他中國網路安全政府外包商服務。美國政府相信Flax Typhoon是聽命於永信至誠。</p> <p dir="ltr">Flax Typhoon 2021年起活動至今，多次攻擊美國重大基礎架構產業。Flax Typhoon曾攻擊北美、歐洲、非州和全亞洲，尤其是臺灣的電腦網路。他們是利用公開已知軟體漏洞，先存取受害者電腦，再運用合法遠端存取軟體維持受害組織網路的長期控制。</p> <p dir="ltr">Flax Typhoon的受害者遍布多種產業；以臺灣而言，目標產業包含電信、教育、資訊技術和能源基礎設施等。2022到2023年夏天，Flax Typhoon入侵了多家美國、歐洲企業、大學、政府單位、電信業者及媒體組織。</p> <p dir="ltr">去年9月間美國聯邦調查局、網路安全暨基礎架構安全局（CISA）及五眼聯盟（Five Eyes）國家政府合作，<a href="https://www.ithome.com.tw/news/165079" target="_blank">破獲</a>由超過20萬個裝置組成的Raptor Train殭屍網路，並且公布中國駭客網路攻擊的工具和手法供其他國家組織強化防護。</p> <p dir="ltr">在美國政府的制裁下，所有永信至誠在美國境內，或是由美國人持有或控管的所有財產和利益，都已被封鎖必須向OFAC報告。此外，由被制裁人士直接和間接、單一或集結握有50%以上持有或控制權的實體，也在封鎖之列。OFAC禁止美國人民及美國境內與這些實體的任何交易，除非獲得OFAC授權或豁免。</p> <p dir="ltr">此外，和受制裁實體相關的金融機構或其他人士，也會遭到制裁，或是面臨執法行動。所謂的相關涵括對其資金、物品或服務提供、收受其提供、或是代其提供。</p> <p dir="ltr">環球時報<a href="https://www.globaltimes.cn/page/202501/1326297.shtml" target="_blank">報導</a>，永信至誠科技駁斥美國財政部外國資產控制辦公室的制裁是單方面行動，缺乏事實依據。該公司表示，其營運和財務狀況正常，此次事件不會對其日常業務運營產生重大不利影響。</p> <p dir="ltr">永信至誠表示在美國沒有任何子公司、分支機構，也不在美國開展任何業務，也沒有資產。</p> <p dir="ltr">中國媒體環球時報批評，美國基於沒有根據的指控，將中國公司列入特別指定國民及封鎖個人名單（Specially Designated Nationals and Blocked Persons，SDN）制裁，暴露了潛在的焦慮感和蓄意阻礙中國公司技術進步的計劃，並稱中國政府反對美方無端指責和非法單邊制裁。</p> </div></div></div>
2025/1/6 13:58作者林妍溱https://www.ithome.com.tw/news/166829
臺灣2024每日遭到網路攻擊次數達到240萬，通訊傳播領域暴增6.5倍、電信業成為最熱門的網駭目標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著兩岸局勢日趨緊張，中國駭客對臺灣的網路攻擊也變得更加猖狂，但這樣的態勢究竟有多嚴重？國家安全局近期公布相關分析結果。</p> <p>1月5日國安局發布<a href="https://www.nsb.gov.tw/zh/#/%E5%85%AC%E5%91%8A%E8%B3%87%E8%A8%8A/%E6%96%B0%E8%81%9E%E7%A8%BF%E6%9A%A8%E6%96%B0%E8%81%9E%E5%8F%83%E8%80%83%E8%B3%87%E6%96%99/2025-01-05/2024%E5%B9%B4%E4%B8%AD%E5%85%B1%E7%B6%B2%E9%A7%AD%E6%89%8B%E6%B3%95%E5%88%86%E6%9E%90">中共網駭手法分析報告</a>，他們特別提及根據政府網際服務網（GSN）的入侵指標（IoC）統計，2024年每日平均遭受攻擊的次數約為240萬次，較2023年的120萬次翻倍，而這些攻擊多數為中共網軍所為。不過，國安局並未提及有多少比例來自這些駭客。</p> <p>他們也透過圖表呈現兩年的攻擊態勢差異，在2023年，每月攻擊次數介於2,145萬至5,179萬之間，但到了2024，高於5千萬次的月份多達9個月，其中在7月、8月更突破1億次高峰，突顯過去一年相關威脅明顯升溫的情況。</p> <p><a href="https://s4.itho.me/sites/default/files/images/_4RBBz13WdV.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/_4RBBz13WdV.png" style="width: 580px;" /></a></p> <p>另一方面，國安局也提到駭客主要的攻擊目標，根據他們掌握的906件資安事故，有八成是針對政府機關而來。而從中共網軍鎖定的產業類別來看，他們特別提及針對通訊傳播領域的情況最為嚴重，一舉較2023年增加650%，而且主要目標就是電信業者，這樣的情況也與去年下旬，美國證實<a href="https://www.ithome.com.tw/news/166051">多家電信業者遭遇中國駭客攻擊</a>的情況，可說是不謀而合。</p> <p><a href="https://s4.itho.me/sites/default/files/images/_TO44FBluQy.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/_TO44FBluQy.png" style="width: 580px;" /></a></p> <p>再者，國安局也提及鎖定交通及國防供應鏈的情況有顯著升溫，較2023年增加70%及57%，他們提及針對交通領域的攻擊行動，駭客企圖駭攻設伏我公路、港務等關鍵基礎設施，意圖影響我國交通運輸秩序；而針對國防供應鏈的部分，尤側重電子郵件、公文書系統、密碼產製，以及差勤系統等供應商，並擴大攻擊範圍。不過，對水、能源關鍵基礎設施的攻擊，反而大幅下降。</p> <p>值得留意的是，在最近兩年駭客鎖定國防產業而來的事故有顯著增加的趨勢，2024年出現幾起專門針對臺灣而來的攻擊行動，例如9月上旬趨勢科技揭露<a href="https://www.ithome.com.tw/news/164935">中國駭客TIDrone的攻擊行動</a>，就是專門針對軍事相關產業鏈而來；另外，根據資安業者Cyble的觀察分析，他們發現<a href="http://www.ithome.com.tw/news/165078">有網釣攻擊行動</a>專門針對臺美國防工業會議（United States Taiwan Defense Industry Conference）。</p> <p>而針對這些駭客的攻擊手法，他們特別提到使用寄生攻擊（LOL）的現象，這些駭客專門針對網路設備及應用系統的漏洞而來，而其中一種特別被點名的滲透管道，就是郵件伺服器。</p> </div></div></div>
2025/1/6 12:23作者周峻佑https://www.ithome.com.tw/news/166827
華碩推出第一款AI mini PC
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">就在2025年消費電子展前夕，華碩<a href="https://www.asus.com/tw/displays-desktops/nucs/nuc-mini-pcs/asus-nuc-14-pro-ai/" target="_blank">公布</a>mini PC第二代NUC 14 Pro AI，是第一款支援Copilot+的迷你PC機種。</p> <p dir="ltr">根據華碩給出的<a href="https://www.asus.com/displays-desktops/nucs/nuc-mini-pcs/asus-nuc-14-pro-ai/" target="_blank">規格</a>，第二代NUC 14 Pro AI，在其130x130x34mm的輕巧機身中，採用多CPU、GPU、NPU架構，搭載代號Lunar Lake的Intel Core Ultra處理器（第二代），某些SKU使用Intel Arc GPU及Intel AI Boost NPU，最高提供120 TOPS平臺算力。Arc GPU提供最高67 TOPS，效能比前一代的Iris Xe GPU相比提升2倍。AI Boost NPU提供最高48 TOPS算力。</p> <p dir="ltr">華碩指出，Copilot+體驗即將推出，今年稍晚微軟將提供Windows 11更新以部署Copilot。這些使NUC 14 Pro AI成為繼去年6月的Copilot+ PC筆電系列後，第一款支援桌面AI助理Copilot的迷你PC。實際價格尚未公布。</p> <p dir="ltr">其他規格方面，NUC 14 Pro AI搭載32GB LPDDR5x記憶體，是傳統DDR5-5600 的1.5倍，提供256GB 到 2TB的儲存空間。麥克風和揚聲器支援AMP語音指令，可啟動AI應用程式。它也內建可信賴平臺模組（TPM）、支援Windows Hello可實作安全開機和指紋辨識，可確保本機儲存的AI對話，符合美國軍規標準MIL-STD-810H。在網路連接方面，這款迷你PC支援Wi-Fi 7（5 Gig）、藍牙5.4，而連接埠則提供2個Thunderbolt 4 (DP2.1)、2個USB 3.2（第一、第二代）、2.5G乙太網路連接埠。</p> <p dir="ltr">華碩說，NUC 14 Pro AI mini PC具備Intel Core Ultra第二代處理器（Core Ultra 9 288V）、智慧冷卻、無線連網技術、高速記憶體，適合應用於內容創作、遠端作業、智慧製造等場景。</p> </div></div></div>
2025/1/6 11:36作者林妍溱https://www.ithome.com.tw/news/166825
【資安週報】1230~0103，密碼敏捷性與AI BOM成2025年新焦點，市調機構預測將是驅動資安市場的關鍵動能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2025年一開始的資安新聞中，DDoS攻擊的資安事件再成國內焦點，群光在1月2日周四傍晚發布資安重訊，表示該公司官方網站遭受網路DDoS攻擊。值得注意的是，後續我們發現，同日遭攻擊的政府相關單位，還有主計總處、桃園捷運、松山機場、證交所受害，而且隔日再有多家上市櫃公司也表示受到DDoS攻擊，包括，上市公司世芯-KY、大眾電腦、台塑，以及上櫃公司青雲。</p> <p>事實上，這已是親俄駭客NoName057繼去年9月、10月後，對臺發動的第3波攻擊，該組織也依然囂張地在社群平臺X公布其攻擊活動，而且上述公家與民間單位，有相當高比例是再次遭受攻擊。而且NoName057聲稱的攻擊目標還包括：台船、ITIS產業技術資訊服務網、臺灣港棧服務網、臺灣金融服務業聯合總會、馬祖航空站、交通部航港局、臺灣自由貿易港區網站等。</p> <p>其他重要資安事件包括，有3起是月前資安事故的後續消息，涵蓋施耐德電機遭駭，以及BeyondTrust與Cleo的零時差漏洞利用。<br /> ●施耐德電機11月遭駭，12月底有駭客在暗網公布相關檔案。<br /> ●BeyondTrust於12月中揭露零時差漏洞利用情形，新傳出美國財政部因此受害。<br /> ●Cleo於12月被資安業者揭露有零時差漏洞利用，傳出60家企業遭Clop勒索。<br /> ●德國福斯被發現旗下軟體公司Cariad應用程式配置不當，致雲端資料庫曝險。<br /> ●資安業者iProov示警，發現暗網一批資料內含大量身分證明文件及對應的臉部圖片，將對KYC識別帶來挑戰，歹徒可用這些真實資料突破金融單位的驗證。</p> <p>在資安防禦及發展的消息中，2025年的到來，市調機構IDC公布了臺灣資安產品市場的預測報告，強調了該領域的快速增長潛力，指出未來4年市場規模從2024年的4.62億美元，增至2028年的7.16億美元。</p> <p>特別的是，IDC還強調量子韌性與AI資安將推動更多市場需求。基本上，因應量子破密威脅，NIST在2022年已在推廣密碼敏捷性（Crypto-agility）的概念，如今IDC認為2025年企業將優先採用Crypto-Agility框架，以確保加密演算法能靈活升級與更換；在AI資安領域，透明度與安全性將成發展重點，近期我們時常聽到資安專家談及AI物料清單（AI BOM）的議題，IDC亦認為業界在2025年將加速推廣AI BOM，並將帶動數據物料清單（Data BOM）的興起。</p> <p>另一個焦點是近年萬眾矚目的生成式AI技術，最近我們報導資安院院長何全德闡釋了新世代AI對資安治理的挑戰與機遇，他呼籲應用AI應關注資安、倫理和治理風險，如今許多大型企業已經行動，包括透過紅隊演練，或推行提示多樣性注入機制來因應，並有企業開始成立了AI道德倫理委員會，同時他也建議，可參考美國CISA局長Jen Easterly提出的AI風險四大關鍵面向：Velocity、Vulnerability、Veracity、Vigilance，作為臺灣制定AI安全政策的重要依據。</p> <p>對於臺灣企業組織的資安強化，何全德也強調，資安理念正從傳統的信任架構轉型為零信任模式（Zero Trust），這不僅是技術的革新，更是戰略上的長期規畫，他並指出「資安向左移」、「從駭客視角強化資安」，都是當前提升防護能力的重要方向。</p> <p>此外，數位部一項新進展也受關注，預計2025年推出「臺灣數位皮夾」，將採用可驗證憑證（VC）和去中心化身份（DID）等技術，不只可存放政府核發的證件卡片，學位證書、企業核發的員工證等未來也能加入</p> <p>在漏洞消息方面，有多項開源軟體有關的修補需要企業重視，包括：Linux作業系統開源影音框架GStreamer、Java網路應用程式框架Apache MINA、開源發票及專案管理平臺Invoice Ninja，以及開源NAS作業系統TrueNAS Core。</p> <p>此外，有研究人員展示Windows 11 BitLocker漏洞攻擊手法，雖然此一手法是利用舊有bitpixie漏洞（CVE-2023-21563），但可透過降級攻擊成功重現了漏洞利用。研究人員強調，此攻擊需近距離短暫接觸實體設備，對一般用戶影響有限但對重視資安的企業與政府來說需格外重視。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/166744"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月30日】駭客鎖定逾20款Chrome延伸套件發動供應鏈攻擊，意圖竊取使用者社群網站帳號</span></strong></a></h3> <p>Chrome瀏覽器的使用者注意！上週有資安業者公布他們經營Chrome延伸套件的開發帳號遭到入侵，導致用戶有可能面臨社群網站帳號遭竊的風險，但這並非單一事故，因為後續有研究人員發現，還有超過20款延伸套件也是這波駭客下手的對象。</p> <p>值得留意的是，部分套件下載次數突破10萬，影響相當廣泛，其中最多的是Visual Effects for Google Meet、Reader Mode，分別有超過90萬、30萬次下載。</p> <h3><a href="https://www.ithome.com.tw/news/166762"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月31日】駭客公布從思科、施耐德電機竊得的部分資料</span></strong></a></h3> <p>從上週到本週，有兩起重大的資料外洩事故後續，引起外界高度關注，其中一起是發生在10月，初始入侵管道掮客IntelBroker聲稱竊得大量思科開發資料，另一起則是發生在11月，勒索軟體駭客組織Hellcat宣稱入侵施耐德電機開發環境。</p> <p>其中較為值得留意的是思科的資料外洩事故，因為駭客已二度公布竊得的資料，迫使思科必須確認這批資料的真實性及影響範圍，釐清並未發生其他資安事故。</p> <p><a href="https://www.ithome.com.tw/news/166796"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月2日】北韓駭客對開發人員發動新一波攻擊，意圖散布惡意軟體OtterCookie</span></strong></a></p> <p>為了謀取經濟利益，北韓駭客不僅假冒IT工作者向歐美企業應徵，也假借徵才的名義向開發人員行騙，企圖於他們的電腦植入惡意軟體，以便竊取各式資料。</p> <p>在最新一波攻擊行動當中，這些駭客開始運用新的工具，目的是洗劫受害者的加密貨幣資產；另一方面，研究人員發現這些駭客的攻擊手法也有所調整，他們也透過應用程式框架做為挾帶惡意程式的管道。</p> <h3><a href="https://www.ithome.com.tw/news/166811"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月3日】IDC預測臺灣資安產品市場將連續4年成長，密碼敏捷性與AI BOM成焦點</span></strong></a></h3> <p>資安需求與日俱增，臺灣在這塊市場也發展得不錯，但情況有多樂觀？在2024年12月終於有相關的預測數據出爐。</p> <p>最近IDC<a href="https://www.ithome.com.tw/news/166500">公布2025年臺灣ICT市場五大關鍵趨勢預測內容</a>時，也提到他們看好未來臺灣四年資安產品市場的成長，並指出動力不光來自傳統資安產品的需求增加，還受到AI資安及量子韌性（Quantum Resilient Security）兩項新興資安技術影響，而這些新興技術也是未來一年資安市場投資者關注的焦點。</p> </div></div></div>
2025/1/6 10:45作者羅正漢https://www.ithome.com.tw/news/166821
Martech雙周報第68期：聯盟式行銷要注意！如何提升行銷能見度，誰又騙走了行銷歸功和酬金？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0066ff;"><strong>重點新聞(1222~0104)</strong></span></p> <p>聯盟式行銷（Affiliate Marketing）是品牌常見行銷方法，讓聯合行銷網站和網紅聯盟夥伴，替自己產品宣傳、導購，再分潤給成功導購的夥伴。許多創作者和網紅主要收入來源，就是製作有機行銷內容、替品牌打廣告，藉此獲得贊助和分潤。行銷成效往往是創作者持續獲得品牌贊助的關鍵籌碼。</p> <p>巧合的是，這兩周，有一家大廠積極提升創作者的聯盟式行銷廣告能見度，另一個知名聯盟式行銷服務，則被指控利用行銷追蹤機制，從更多創作者手中搶走他們應得的酬金和行銷歸功。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#聯盟式行銷 #社群媒體行銷 #網紅業配</span></span></strong><br /> <strong>Meta推出更多聯盟式行銷廣告曝光形式，還能自動偵測連結並凸顯能見度</strong></p> <p>Meta將新增聯盟式行銷（如網紅業配）連結和廣告的能見度。只要貼文時有設置行銷連結和折扣碼等訊息，系統就會在短影音Reels、一般影片、照片及文字貼文上，都會呈現出圖文橫幅廣告。甚至，就算發文者沒有設定，系統還會嘗試自動偵測內文的行銷連結，並自動產生廣告。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#聯盟式行銷 #社群媒體行銷 #網紅業配</span></span></strong><br /> <strong>折扣碼搜尋服務Honey成業界熱議焦點，遭控欺騙行銷追蹤機制來獲取不當行銷酬金</strong></p> <p>無獨有偶的，近日<a href="https://www.linkedin.com/posts/shane-o-leary-1660_the-honey-scam-explained-activity-7280641492786810880-suq9">行銷</a>及<a href="https://x.com/batwood011/status/1874677877943234711?t=GvPOSQhg7QIFQRkxz-rmNQ&s=19">金融業界</a>也熱烈討論PayPal旗下的知名聯盟式行銷服務Honey，疑似透過行銷成效追蹤的原理，來剝削其他聯盟式行銷參與者的酬金。Honey是一個瀏覽器外掛，號稱會在消費者購物前，尋找網路上各種折扣碼，並自動套用最優惠的代碼。這包括品牌官方提供的行銷用折扣碼，以及眾多聯盟式行銷的折扣碼。</p> <p>業界指控，Honey欺騙聯盟式行銷追蹤方法最常用的「Last Click」機制，來搶走行銷功勞及酬金。Last Click做法是，將消費者購買商品前最後一個接觸到的通路，歸功為行銷轉換者，給予聯盟式行銷酬金。</p> <p>比方說，如果消費者透過Youtuber影片下的聯盟式行銷連結進入電商網站，隨即購買商品，Youtuber就會獲得酬金。不過，Honey卻會將Youtuber影片的追蹤Cookie，替換自己的追蹤Cookie。這不只搶走了Youtuber的酬金，更讓品牌方難以有效追蹤，自己與不同行銷夥伴的行銷預算，究竟哪些真正有投報率。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#CDP #可組式CDP #顧客數據整合</span></span></strong><br /> <strong>2024 CDP大調查出爐，CDP管理責任從行銷部門逐漸轉移到IT部門</strong></p> <p><a href="https://www.cdpinstitute.org/resources/cdp-institute-2024-member-survey-building-on-success/?de678bf7c4">Martech調查機構CDP Institute推出了2024年度CDP大調查。</a>此調查自2017年開始第一屆，由全球400多家企業作答，其中過半是10億營收以上的大型企業。在眾多CDP產業趨勢中，今年調查揭露了一個特別的趨勢是，IT部門對CDP及整體Martech的主導性大幅增加。</p> <p>調查顯示，39%的企業由IT部門負責管理和維運CDP等行銷科技，相較2023年的30%明顯提升。這也是8年大調查以來首次，由IT部門負責CDP的企業，多過由行銷部門負責的企業。研究者推測，隨著顧客數據的重要性提升，更多行銷以外的部門也會使用此類數據，因此企業開始讓IT部門負責CDP。</p> <p>然而，此現象也伴隨著隱憂。行銷團隊負責CDP的企業，通常認為此系統的投資報酬率較高──就算企業作答代表來自IT部門，也傾向於認為由行銷部門主導CDP，能帶來更高投報率。報告中沒有提到，投報率差距是因為行銷部門使用CDP更能帶來價值，還是行銷部門以外的單位應用CDP時，沒有設定具體投報率追蹤機制。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#跨通路數據分析 #跨通路行銷 #Google Ads</span></span></strong><br /> <strong>Google Ads推出新數據洞察功能，一站式整合和分析品牌在不同通路的行銷數據</strong></p> <p><a href="https://support.google.com/google-ads/answer/2472714?hl=en">Google Ads推出Brand Report功能</a>，以品牌為單位，整合不同行銷通路數據來一站式分析。此功能在洞察與報告欄位中可以找到，整合了原本要來回在不同報告間比對的數據，並提供不同分眾的篩選功能。</p> <p>對品牌來說，這有助於統一觀察多個行銷專案中的曝光分眾，並改善規畫行銷策略及預算。例如，若觀察到在多個專案中，對特定分眾曝光情況明顯占比過大，便能削減一些對該分眾的行銷支出。</p> <p>不過，目前此功能不支援搜尋、購物及AI代投功能Performance Max，因此報告內容未必能完整呈現品牌行銷情況。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#餐飲業應用 #會員經營 #同桌不同人數據蒐集</span></span></strong><br /> <strong>金色三麥如何利用互動式餐飲體驗，蒐集同桌不同人的偏好數據來強化行銷</strong></p> <p>對餐飲業來說，蒐集會員偏好數據，常常止步於以桌為最小單位。具體一桌中的每個人點了什麼，不易系統性蒐集。為了掌握同桌不同人的餐飲偏好，金色三麥打造了一套互動式餐飲體驗，來自動化、系統化蒐集這些數據。</p> <p>這個做法是門市內的智慧自助取酒牆系統，每名會員可以儲值在卡片中，並到酒牆購買動態定價的飲料。過程中，金色三麥便能記錄會員的飲酒偏好、價格敏感度等數據。這些數據便能用於產品開發、配酒策略、以及其他行銷決策。（<a href="https://www.ithome.com.tw/people/166802">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#B2B行銷 #知識管理工具 #生成式AI</span></span></strong><br /> <strong>食品經銷商如何應用生成式AI，支援業務人員的顧問工作</strong></p> <p>US Foods是一間有250,000間餐飲客戶的美國大型食品經銷商，他們的3,000名業務人員，不只要負責推銷公司產品，還要提供餐飲及開店建議。每當餐廳想要諮詢，業務人員就得花上3至4小時，彙整餐廳提供資料及自家內部資料，才能開始製作顧問提案。平均，一名業務要負責50至70間餐廳，光是整理這些顧問用數據，工作時間就已遠遠不夠用。</p> <p>直到去年10月底，US Foods ML工程部門上線一套生成式AI知識管理助手，將3至4小時的資料整理時間，減少到20至30分鐘。這套GAI應用並不會直接面對餐廳客戶，而是整理資料後，提供業務製作提案的建議。這種模式，使業務團隊在此KM助手開發初期，回答準確率只有一半時，也能放心用來輔助自己工作。ML工程團隊則能將這套應用快速且大規模推廣到給更多業務試用，來根據大量第一線使用者回饋，持續優化技術。</p> <p>為了快速分析試用結果和使用者回饋，並彈性調整系統，也為了正式上線後能持續迭代、維運系統，並控管公有雲支出，US Foods工程團隊採取了一系列技術做法，包括妥善切割功能模組、打造自動化再訓練機制、留存推論結果紀錄、規定提示詞模板等。（<a href="https://www.ithome.com.tw/news/166764">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#有機互動 #社群媒體行銷 #生成式AI</span></span></strong><br /> <strong>Meta有意打造大量機器人帳號，來衝高社群媒體互動量</strong></p> <p>Meta生成式AI部門的VP Connor Hayes表示，他們有意用生成式AI打造大量機器人帳號，來衝高社群媒體內容的互動量。Meta強調，他們會特別標註出用生成式AI產出的帳號與內容。</p> <p><a href="https://www.linkedin.com/posts/sayman_im-excited-to-share-that-after-the-success-activity-7251647803398008833-umWq">他們也聘請了這方面專家</a>Michael Sayman來協助這個計畫。Michael Sayman先前打造了SocialAI，是一款「單人社群媒體」，介面類似推特，與使用者互動的上百萬個帳號，全是用生成式AI打造的機器人。</p> <p>目前Meta與大部分社群媒體演算法中，互動熱絡度對於曝光度非常重要。Meta沒有進一步解釋，這種模式下，內容曝光演算法會如何調整。前一陣子，Meta也推出了可以用生成式AI模擬網紅語氣，來代勞網紅本人與粉絲互動的功能。這意味著，未來可能出現AI與AI互動來衝高互動率的做法。甚至，出現有機（真人）和無機（AI）互動的區別，對曝光度演算法有著不同程度影響。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多Martech動態</span></strong></span></p> <p>1. <a href="https://www.ithome.com.tw/news/166714">RMN 3.0的行銷模式如何影響企業經營會員經濟</a></p> <p>2. <a href="https://www.digitalremedy.com/news/digital-remedy-launches-an-advanced-reporting-platform-to-empower-data-driven-marketing/">老牌Martech廠商Digital Remedy推出跨CTV行銷數據整合與分析工具</a></p> <p>3. <a href="https://support.google.com/adspolicy/answer/15756612?hl=en">Google Ads將禁止廣告連結導向被標註為垃圾內容（Spam）的網站</a></p> <p>資料來源：iThome整理，2025年1月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Meta</p> <p></p> </div></div></div>
2025/1/6 10:17作者郭又華https://www.ithome.com.tw/news/166820
Anthropic同意設護欄阻歌詞侵權，與唱片出版業者暫達協議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2023年Anthropic侵權案有了最新進展，環球音樂集團等唱片出版業者與Anthropic達成協議，Anthropic同意在人工智慧產品中設置安全護欄機制，以避免模型輸出受版權保護的音樂歌詞。這項協議暫時緩解了雙方在生成式人工智慧版權上的緊張關係。</p> <p>之前環球音樂、Concord Music Group、ABKCO Music等多家唱片公司<a href="https://www.musicbusinessworldwide.com/files/2023/10/UMG-lawsuit.pdf">聯合控告</a>Anthropic開發的人工智慧聊天機器人Claude，在未經授權的情況下，使用了其擁有版權的歌曲歌詞進行模型訓練，並在用戶查詢時輸出這些歌詞，嚴重侵害了唱片公司的權益。唱片業者在訴訟中提出了強制令，要求Anthropic立即停止侵權行為。</p> <p>外媒<a href="https://www.hollywoodreporter.com/business/business-news/anthropic-enforce-copyright-guardrails-ai-tools-1236098152/">The Hollywood Reporter報導</a>目前雙方達成協議，Anthropic的Claude將不再提供由音樂出版商所擁有歌曲的歌詞，也不再提供根據版權素材編寫的新歌詞。根據雙方最新提交給法院的文件，Anthropic已經在其現有的人工智慧模型及產品中設置安全護欄（Guardrails）機制，並承諾在未來推出的新模型和產品中維持類似措施，防止模型在輸入和輸出過程中，複製、散布或展示受版權保護的歌詞內容，或基於這些歌詞創作衍生作品。</p> <p>Anthropic也承諾，若出版商發現其防護措施未能有效阻止侵權行為，將迅速回應並展開調查，並與出版商合作解決問題。</p> <p>值得注意的是，這項協議僅針對人工智慧模型的輸出內容，並未完全解決關於訓練資料的爭議，唱片業者在訴訟中仍主張，Anthropic不得使用未經授權的歌詞資料來訓練未來的模型。雙方對於此一關鍵議題仍存在分歧，未來的訴訟發展仍有待觀察。</p> </div></div></div>
2025/1/6 08:05作者李建興https://www.ithome.com.tw/news/166816
微軟發表MEDEC基準評估AI醫療應用，論文估計GPT-4o-mini僅約80億參數
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://arxiv.org/pdf/2412.19260v1">探討</a>大型語言模型在醫療領域錯誤檢測與修正的應用，並推出了名為MEDEC的全新基準測試集。然而，這篇論文同時也估計了市面上多個商業模型的規模，研究團隊認為OpenAI GPT-4o-mini僅約80億參數，遠小於外界先前的預期。</p> <p>該篇論文評估大型語言模型在辨識並修正臨床紀錄醫療錯誤的能力，在實驗過程中，研究團隊使用目前多個先進型語言模型進行測試，包括OpenAI的GPT-4、GPT-4o、GPT-4o-mini、o1-preview、o1-mini，Anthropic的Claude 3.5 Sonnet，以及Google的Gemini 2.0 Flash。</p> <p>在研究人員的評測中，雖然這些大型語言模型展現出一定的醫療錯誤檢測與修正能力，但仍不如兩位執行相同測試的醫生。在標記出錯誤的準確度上，Claude 3.5 Sonnet表現最佳，達到70.16％，其次是o1-mini的69.08％，但皆低於第一位醫生的79.61％和第二位醫生的71.61％。</p> <p>而在錯誤修正任務上，o1-preview取得最佳的綜合評分0.698，其次是GPT-4的 0.639，但同樣低於第二位醫生的0.7118。評測結果顯示當前的大型語言模型，在處理複雜的醫療文本時還有很大的進步空間。</p> <p>除了論文本身的研究成果，其中提及的各模型參數規模估計值也引發關注。其中，OpenAI的上一代旗艦模型GPT-4，其參數規模約為1.76兆，雖然OpenAI並未正式公開，但是此為外界普遍估計值。而其後繼者GPT-4o的參數規模估計約為2,000億，雖仍屬於大型模型範疇，但已較GPT-4有所下降。OpenAI其他模型的規模估計還有o1-preview約為3,000億參數，o1-mini約為1,000億參數。</p> <p>而令人驚訝的是GPT-4o-mini，其參數規模僅約為80億，與OpenAI其他動輒千億甚至兆級參數的模型相比，規模明顯縮減。論文中提到，相較於大型語言模型，GPT-4o-mini是為了特定任務而設計，和Phi-3同屬小型語言模型。</p> <p>Anthropic的Claude 3.5 Sonnet根據網路上洩露的資訊，預估約為1,750億參數，與GPT-3.5相近。而Google的Gemini 2.0 Flash參數規模雖然具體數字未知，但參考Google專為醫療用途設計的Med-PaLM模型5,400億參數，研究人員將Gemini 2.0 Flash歸類在1,000-3,000億參數等級。</p> <p>值得注意的是，微軟論文中提供的參數規模數字為研究團隊的估計值，並非各家公司官方公布的資料。此外，這些資料也顯示，模型的效能並非完全取決於參數規模，模型架構、訓練資料、最佳化方法以及針對特定任務的調校，都在模型的最終表現上扮演著重要角色，例如GPT-4o-mini雖然估計僅有80億參數，但在MEDEC測試的部分指標，仍能與更大模型相媲美，突顯出小型化、專注特定任務的模型，在特定應用場景下所具有的潛力。</p> </div></div></div>
2025/1/6 08:14作者李建興https://www.ithome.com.tw/news/166818
升級JetPack軟體，輝達增強Jetson Orin單板電腦平臺性能
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/jetson_orin_for_2024_christmas-main.jpg" width="960" height="421" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對機器人與邊緣運算的人工智慧應用需求，Nvidia提供GPU單板電腦硬體平臺Jetson系列，以目前而言，主流產品是搭配Ampere架構GPU的Jetson Orin世代，分為三個位階，分別是：<a href="https://nvidianews.nvidia.com/news/nvidia-sets-path-for-future-of-edge-ai-and-autonomous-machines-with-new-jetson-agx-orin-robotics-computer">2021年11月登場</a>的<a href="https://www.ithome.com.tw/review/152418">Jetson AGX Orin</a>、<a href="https://developer.nvidia.com/blog/delivering-server-class-performance-at-the-edge-with-nvidia-jetson-orin/">2022年4月發表</a>的Jetson Orin NX，以及<a href="https://nvidianews.nvidia.com/news/nvidia-jetson-orin-nano-sets-new-standard-for-entry-level-edge-ai-and-robotics-with-80x-performance-leap">2022年9月推出</a>的<a href="https://www.ithome.com.tw/review/154773">Jetson Orin Nano</a>，<a href="https://nvidianews.nvidia.com/news/foundation-model-isaac-robotics-platform">下一代硬體平臺Jetson Thor</a>推出的消息，於2024年3月GTC大會首度公開揭露，預計將改用Blackwell架構GPU，而依照Nvidia網站現行公開的產品發展藍圖來看，Jetson Orin世代將會供應到2032年，Jetson Thor世代會在2025年開始提供，率先推出的產品會是Jetson AGX Thor。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Jetson_modules-Commercial_roadmap-2024-10-23.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson_modules-Commercial_roadmap-2024-10-23.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Jetson-2024-03-timeline-Orin Generation.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson-2024-03-timeline-Orin%20Generation.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Jetson Orin Porfolio-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20Orin%20Porfolio-web.jpg" style="width: 198px;" /></a></p> <p>而在2024年下半到2025年3月GTC大會之間，Nvidia突然在12月下半發表搭載Jetson Orin Nano Super平臺的開發者套件，名為Jetson Orin Nano Super Developer Kit。</p> <p>由於此時過完感恩節，接近一年一度的耶誕佳節，Nvidia再度上演新的科技產品廚房秀，執行長黃仁勳從另一間房屋廚房的烤爐端出全新的AI電腦，也就是Jetson Orin Nano Super Developer Kit，他幽默地說，因為烤太久所以縮水了，他也回憶多年前發展Xavier時（編按：應該是指Drive PX Xavier），Nvidia創造全新的處理器類型，可用於機器人的設置，他們那時想像深度學習模型可以不斷進化，之後可以產生各式各樣的機器人，時至今日，已出現有腿的、有輪子的，人形的機器人也即將來到大家身邊，黃仁勳隨後簡短介紹Jetson Orin Nano Super特點之後，也提到HGX這類AI伺服器能執行的處理，像是大型語言模型（LLM），以及統一運算架構（CUDA）、CUDA的深層神經網路cuDNN等，Jetson Orin Nano Super也能執行。</p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/S9L2WGf1KrM?si=OxwFPBhOr6vi4NJF" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p>話雖如此，Nvidia Jetson產品線的應用場景仍偏重在機器人與邊緣運算，能處理的運算規模仍有別於資料中心等級的AI系統。</p> <p>令人好奇的是：先前Nvidia已經提供搭載Jetson Orin Nano的開發者套件，名稱多了Super的新產品有何差異？Nvidia在新聞稿當中強調，比起原本的Jetson Orin Nano，Jetson Orin Nano Super的生成式AI推論效能領先幅度可達70％，</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-12-17-Nvidia Jetson Orin Boost-AI-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-12-17-Nvidia%20Jetson%20Orin%20Boost-AI-web.jpg" style="width: 600px;" /></a></p> <p>原因在於INT8整數運算效能從40 TOPS提升至67 TOPS（改善幅度為67％），記憶體頻寬從68 GB/s增加至102 GB/s（改善幅度為50％）；而在技術部落格文章當中，也列出更多細部差異，像是處理器的時脈從1.5 GHz提升至1.7 GHz，GPU時脈從635 MHz增加至1020 MHz，供電模式也從7瓦、15瓦，增加25瓦這一項組態。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-12-17-Jetson Orin Nano Super Developer Kit configuration comparison.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-12-17-Jetson%20Orin%20Nano%20Super%20Developer%20Kit%20configuration%20comparison.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/NVIDIA Jetson Series Comparison-YOLO.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NVIDIA%20Jetson%20Series%20Comparison-YOLO.jpg" style="width: 600px;" /></a></p> <p>而且在效能調高之際，Nvidia這個開發者套件的價格卻從<a href="https://developer.nvidia.com/embedded/faq">499美元</a>降至249美元，等於打5折促銷，希望藉此招攬更多開發者採用的意味相當濃厚。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia Jetson Price.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20Jetson%20Price.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/store-NVIDIA Jetson Orin Nano Super Developer Kit.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/store-NVIDIA%20Jetson%20Orin%20Nano%20Super%20Developer%20Kit.jpg" style="width: 298px;" /></a></p> <p>隨著新的開發者套件上市，先前已購買Jetson Orin Nano Developer Kit的用戶也能受益，Nvidia表示，<a href="https://www.jetson-ai-lab.com/initial_setup_jon.html">透過軟體升級，</a>開發者就能將手上的Jetson Orin Nano Developer Kit，<a href="https://developer.nvidia.com/embedded/learn/get-started-jetson-orin-nano-devkit#maxn">轉為Jetson Orin Nano Super Developer Kit</a>。</p> <p>此處提到的軟體，是Nvidia專門用於<a href="https://developer.nvidia.com/embedded/jetpack">搭配Jetson硬體平臺的AI應用軟體開發套件JetPack</a>，而且是<a href="https://forums.developer.nvidia.com/t/jetpack-6-1-release-announcement/308181">9月底出爐的JetPack 6.1正式版</a>，因為此套件包含的一項元件Jetson Linux，在新改版的36.4版當中，開始支援稱為MAXN的加速模式，但關於這方面突破的消息，是直到12月17日Jetson Orin Nano Super推出，才正式浮上檯面。</p> <p><a href="https://s4.itho.me/sites/default/files/images/JetPack Stack.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/JetPack%20Stack.jpg" style="width: 600px;" /></a></p> <p>Nvidia已釋出基於JetPack 6.1而成的SD記憶卡映像檔，用戶可透過Nvidia SDK Manager來進行安裝，之後即可在單板電腦執行的Ubuntu Desktop作業系統當中，<a href="https://developer.nvidia.com/blog/nvidia-jetson-orin-nano-developer-kit-gets-a-super-boost/">將電源使用模式（Power Mode）切換為MAXN</a>，即可享有此次新增的加速效能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-12-17-Nvidia Jetson Orin-power-mode-selection.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-12-17-Nvidia%20Jetson%20Orin-power-mode-selection.png" style="width: 200px;" /></a></p> <p>值得注意的是，Nvidia在Jetsont常見問答集的網頁當中，稱呼此項軟體改進特色為Jetson Orin Super Mode，並在這裡與新聞稿、技術部落格文章提到，「超頻模式」適用的單板電腦產品，不單是Jetson Orin Nano平臺，也涵蓋Jetson Orin NX平臺，Nvidia也針對4種產品（Jetson Orin Nano 4 GB與8 GB，以及Jetson Orin NX 8GB與16 GB），具體列出「超頻」前後差異。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20Orin%20Boost.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/2024-12-17-Table-5_-Jetson-Orin-Nano-Super-and-Orin-NX-Super-module-specifications-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-12-17-Table-5_-Jetson-Orin-Nano-Super-and-Orin-NX-Super-module-specifications-1.jpg" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>Nvidia Jetson Orin Nano Super Developer Kit</strong></span><br /> ●原廠：Nvidia<br /> ●建議售價：249美元<br /> ●外形尺寸：103公釐 x 90.5公釐 x 34.77公釐<br /> ●包含元件：Jetson Orin Nano 8GB模組與參考設計載板、直流電源供應器、Wi-Fi無線網路介面控制器（802.11ac/ab/gn）、快速上手指南<br /> ●單板電腦硬體規格：6核心Arm Cortex-A78AE、8GB LPDDR5-10200記憶體、Nvidia Volta架構GPU（1024個CUDA核心、32個Tensor Core核心）、可支援外部連接NVMe儲存裝置，耗電為7至25瓦<br /> ●參考設計載板提供的接頭：1個GbE埠、1個DisplatPort 1.2埠、2個MIPI CSI-2攝影機接頭、2個M.2 Key M、1個M.2 Key E、4個USB 3.2 Gen2 Type-A、1個USB Type-C for UFP、1個直流電源接頭</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/1/4 14:03作者李宗翰https://www.ithome.com.tw/review/166808
Fintech周報第259期：金管會開始測試金融Fast-ID驗證轉接中心，16家先導機構可申請試辦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong><span style="font-size:18px;"><span style="color:#8B4513;">2024/12/18-2025/01/03金融科技精選新聞</span></span></strong></h3> <p><span style="font-size:16px;"><strong><span style="color:#0000CD;">#金融Fast-ID</span></strong><strong><span style="color:#0000CD;"> #驗證轉介中心</span></strong></span></p> <h3>金管會開始測試金融Fast-ID驗證轉接中心，16家先導機構可申請試辦</h3> <p>2023年8月，金管會公布的金融科技路徑圖2.0中，明訂將建置跨體系的金融Fast-ID驗證轉接中心（簡稱驗轉中心）。近日，金管會宣布，在2025年1月2日開始受理先導金融機構能針對驗轉中心申請試辦，或提出輔導諮詢。根據金管會公布的驗轉中心先導機構名單，包含玉山銀行、中信銀行、第一銀行共10間銀行，還有2間壽險業者、3間證券業者，和1間投顧業者。金管會表示，尚未加入金融Fast-ID聯盟的金融機構，可以在先導機構完成試辦後，再視情況參與。</p> <p>驗轉中心建置完成後，民眾只要在任一家參與機構完成金融Fast-ID註冊，就可以透過驗轉中心完成身分驗證，並在其他參加機構取得線上金融服務，無需重複辦理複雜註冊程序。並且，金管會表示，驗轉中心也包含資料共享功能，在客戶同意下，參與機構可以直接從驗轉中心取得民眾原本留存於註冊機構的基本資料，節省重複登打個人基本資料的流程。對參與機構而言，小型金融機構也能透過驗轉中心，運用大型金融機構驗證過的身分，節省自行建置驗證系統的開銷。</p> <p>金管會在2024年8月甫將「金融FIDO」更名為「金融Fast-ID」，目的是要從金融服務角度扶植創新。金管會的作法，是先藉由驗轉中心，讓小型金融機構能運用大型金融機構驗證過的身份，接著讓金融周邊單位適用金融Fast-ID，最後再逐步擴展至跨領域場景。例如，甫上任金管會金融市場發展及創新處處長的胡則華就曾提到，數位部MyData平臺開始計畫要採用金融Fast-ID，這意味著，其他政府機關提供的服務，未來也能用金融Fast-ID作為身分驗證機制。</p> <h3><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);">#金管會</span></strong><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);"> #金融市場發展及創新處</span></strong></h3> <h3>金管會成立金融市場發展及創新處，負責推動金融科技創新、綠色金融和擬訂金融市場發展</h3> <p>金管會近日舉辦金融市場發展及創新處成立儀式，宣布自2025年1月1日正式成立金融市場發展及創新處（簡稱創新處），將針對金融科技與創新、綠色及轉型金融，及金融市場發展等議題擬定政策和統整資源。</p> <p>金管會新成立的金融創新與市場處共有四科，分別是金融創新一科、金融創新二科、綠色金融科，和永續發展科。</p> <p>金融創新一科負責訂定金融創新發展相關規範、指引，和要點，例如業務是辦要點和創新實驗條例，另外也會成立單一窗口，統籌需要諮詢和評估的金融科技案件諮詢，和受理實際案件。金融創新二科則負責管理創新園區、規畫與執行生態圈合作事項。綠色金融科則是負責綠色和轉型金融相關事項，包括規畫執行綠色及轉型金融行動方案、推動先行者聯盟淨零工作平臺等工作。最後一科，金融發展科，則是負責包含亞洲資產管理中心政策推動、辦理永續金融評鑑和精進永續金融證照等事項。</p> <h3><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);">#金管會</span></strong><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);"> #數位保險</span></strong></h3> <h3>金管會祭出數位保險六大政策方向</h3> <p>金管會主委彭金隆在2024年底前出席例行記者會，說明數位保險公司（原稱為純網保）政策規畫方向，共有六大政策方向，分別是放寬數位保險業務範圍與營運模式、對數位保險公司開發的創新型保險商品或服務給予創新保護、調降設立數位保險公司的最低實收資本額、放寬發起人條件，還有開放國外數位保險公司來臺申請設立分公司，並且不訂定申請設立許可的期限。</p> <p>金管會公布六大政策方向後，後續還會進行相關法規調適，並召開公聽會聽取外界意見。彭金隆強調，金管會對於數位保險公司申請重點，仍是放在申請者的計畫或願景，且金管會此次並非將數位保險公司的設立標準放寬，而是把申請的標準放寬，「臺灣不缺保險公司，缺的是創新、且對未來有前瞻性的保險公司。」他說。</p> <h3><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);">#CFPB</span></strong><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);"> #金融監管</span></strong></h3> <h3>認定銀行防詐措施不夠完善，美國消費者金融保護局起訴包括摩根大通、美國銀行和富國銀行</h3> <p>美國消費者金融保護局（CFPB）近日對摩根大通、美國銀行、富國銀行，還有一間由摩根大通、美國銀行、富國銀行等七大銀行共同擁有的金融科技公司Early Warning Services提起訴訟。CFPB認為，這間金融科技公司為了和大型支付業者競爭，匆忙將支付平臺Zelle推入市場，而摩根大通、美國銀行，和富國銀行在提供客戶這項產品時，缺乏有效的安全措施，導致Zelle成為詐騙者的溫床。</p> <p>CFPB局長Rohit Chopra表示，他們在2021年就開始投入調查，發現摩根大通、美國銀行，和富國銀行有許多過失。例如，當銀行關閉了涉嫌詐騙的帳戶，詐騙集團可以輕易轉另一家銀行進行詐騙。又或是，CFPB認為銀行經常以不合理的說法拒絕協助消費者，有時甚至要求受害方自行聯繫詐騙方討回金錢。</p> <h3><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);">#支付</span></strong><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);"> #Ocard</span></strong></h3> <h3>CRM技術商Ocard進軍支付推出Ocard Pay</h3> <p>看好會員制度結合行動支付的效益，Ocard透過整合Pi拍錢包的支付功能和自家原有的多元點數回饋服務，正式推出支付平臺Ocard Pay。透過結合雙方既有的合作通路，民眾將能在全臺38萬家指定商家使用Ocard Pay，民眾消費後獲得的點數回饋，將能夠用來兌換各式票券、點數或消費折抵。</p> <p>目前Ocard App擁有超過380萬會員數，合作店家超過7,000間。Pi 拍錢包會員數則超過200 萬，合作店家包括四大超商、四大藥妝等超過38萬店點。</p> <h3><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);">#加密貨幣</span></strong><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);"> #金融監管</span></strong></h3> <h3>英國金融行為監管局發布提高加密貨幣監管透明度的新制，開放外界提供建議</h3> <p>英國金融行為監管局（FCA）近日發布一份諮詢文件，紀載了加密資產的揭露制度，以及適用於加密貨幣的市場濫用制度，並邀請外界提供修法建議。FCA表示，制訂這些制度，是為了提高加密貨幣的監管透明度，確保能為企業和消費者制定一致的規範，同時確保消費者在買賣加密資產前後，都能獲得需要的資訊。此外，FCA也將要求加密貨幣交易平臺應提供消費者公平的交易條件。最重要的是，透過監管透明化，進一步降低加密貨幣的洗錢風險和詐騙損失。</p> <p>其他重要Fintech新聞</p> <ul> <li>澳洲NAB銀行目標五年內逐步淘汰密碼</li> <li>金管會與立陶宛簽署金融服務創新合作瞭解備忘錄，促進金融科技和創新服務議題交流</li> <li>金管會計畫成立金融科技產業聯盟</li> <li>南山人壽2025年徵才重點聚焦AI、數位金融科技、數據分析、資料庫管理、系統規畫與測試等專業人才</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">圖片來源／金管會</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2025年1月</p> <p></p> </div></div></div>
2025/1/4 14:08作者李昀璇https://www.ithome.com.tw/news/166819
高雄市擬今年合併研考會及資訊處成立一級機關，力推燈塔計畫發展主權生成式AI強化智慧治理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>儘管市府組織已滿額編制，高雄市政府在2024年10月啟動內部組織小幅調整，將原本的資訊中心提升為資訊處，雖然仍是市府底下的二級機關，但人力及預算較原本的資訊中心增加，市府計畫2025年再將資訊處與研考會合併為新的一級機關，藉此擴編資訊人力、預算經費，更積極導入新興資訊科技，近期積極和民間業者合作共同發展主權AI，期望以此加強高雄城市治理。</p> <p>過去幾年政府機關推動數位轉型發展，地方政府重視資訊科技發展，以六都為例，臺北市較早由資訊中心改制為資訊處，2012年升格為資訊局，近幾年在經歷COVID-19全球疫情衝擊，減少面對面接觸下，不論是政府或企業都認識到面臨營運危機下，善用數位科技強化營運韌性的重要性，政府也提升資訊單位編制；桃園市政府先前將資訊中心升格為資科局，2023年再將資科局與研考會合併為智慧城鄉發展委員會，以市府整體思維帶動各機關的數位科技思維；台中市政府也在2022年將資訊中心改制為一級機關成立數位治理局，結合資通訊科技加速台中市政府整體的資訊化發展。</p> <p><span style="color:#B22222;"><strong>提升資訊單位組織位階</strong></span></p> <p>高雄市也不落人後，早在行政院計畫成立數位部作為數位政府轉型推手之時，高雄市便有意將資訊中心升級為市府一級機關，但由於市府組織編制已滿，資訊單位直接升級一級單位，將牽動市府整個組織變動，而且需要議會審核同意，相關準備工具況日費時，但是提高資訊單位位階不能再拖，市長陳其邁決定分為2階段組織調整，先將資訊中心於2024年第三季提升為資訊處，增加人力及預算，2025年上半年計畫再與研考會合併為一級市府單位，進一步擴大組織編制。</p> <p>原本擔任高雄市政府資訊中心主任，現為資訊處長的劉俊傑表示，市府決定提升資訊單位位階有三個考量，首先是數位科技的重要性日益增加，AI例如生成式AI興起如何推動市政轉型，其次是地緣政治使得市府面臨資安威脅增加，最後是過去市府各局處根據業務需要有自己的IT人員，但是發展AI需要跨局處、跨領域的資訊整合，提升市府資訊部門位階，有利於跨機關、跨領域資料及人員、資源的整合。</p> <p>過去高雄市各機關基於業務各自推動資訊發展，未來資訊處與研考會合併，他認為未來研考加上智慧及算力將是未來高雄市政府數位轉型的助力，過去資訊發展為分散的點狀發展，「合併後的新組織將負起串接整合各機關的人力、資料、資源，從點連成線並進一步形成面」，劉俊傑說。</p> <p><span style="color:#B22222;"><strong>倡議城市級的主權式AI</strong></span></p> <p>高雄市各局處機關各自推動AI發展，未來新的組織負起市政智慧化發展的推手，劉俊傑指出，未來市府希望打造各局處共同的AI模型，分為兩個大腦，其中一個大腦對外服務民眾，例如線上1999客服、市民卡等，讓民眾和生成式AI對話來獲得協助或服務，另一個大腦負責對內，成為內部的AI業務助理，針對各機關的業務優化，例如協助產生都市計畫書等等。</p> <p>按高雄市政府的規畫，將採落地部署的主權式AI概念打造兩個大腦，一方面能避免內部機敏資料、知識財產外洩，劉俊傑認為未來不論是企業或政府都需要發展主權AI，另外，目前雲端部署的AI模型如ChatGPT為全能型模型，必需什麼都會，導致模型的規模相當大，用於訓練的費用相當高昂，而採用主權AI概念，使用比較小的參數規模，發展領域型的AI，需要的GPU算力也比較小。</p> <p>另一個發展主權式AI的原因是適地性，必需能適應當地的法規習慣，劉俊傑指出，目前生成式AI多為美國發展，除了語言文化差異，以交通為例，美國的交通號誌及標線和臺灣不同，需要針對臺灣的法規、標線、號誌重新微調模型，是發展主權AI的另一個重要原因。</p> <p>然而，高雄市政府積極發展主權AI、生成式AI，資訊處欠缺足夠的人才。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Clipboard01(24).jpg" style="width: 567px; height: 414px;" /></p> <p><strong>高雄市政府資訊處長劉俊傑</strong></p> <p>劉俊傑直言，現行的高普考制度並未將AI納入考試項目，資訊人才雖然熟悉IT，但很難跟上現今AI發展速度，透過市府資訊部門組織調整，擴大編制預算，對外網羅AI人才，以外聘雇的方式招募相關人才進來，協助市府發展及應用AI。相同地，面對愈來愈多的資安威脅，通過組織調整也能招進需要的人才。</p> <p>目前高雄市府優先以約聘雇方式招進需要的人才，除了AI需要的人才，還有大數據分析等領域，資安方面則需要具有白帽駭客能力的人才，此外，還需要具備資料整合、資料池，熟悉混合雲方面的人才。</p> <p><span style="color:#B22222;"><strong>發展文字型生成式AI客服及業務助理</strong></span></p> <p>如同前面所說的，高雄市政府規畫發展兩個大腦，一個大腦對外服務民眾，另一個則是AI業務助理，提升內部業務工作效率。市府計畫結合生成式AI，發展LLM的文字型AI，目前與不同AI服務業者合作測試Hugging Face上不同的模型及方案，以發展對外服務民眾的AI客服及對內的AI業務助理。</p> <p>劉俊傑表示，市府目前仍在測試合適的模型，針對臺灣的語言、法規、文化用詞進行微調，除了測試Hugging Face上面不同的模型，還有國內資訊服務商為本地業者微調的模型，以及國科會計畫下發展的繁中大型語言模型TAIDE，透過各種測試尋找符合需求，且能撙節成本的模型。</p> <p>然而政府機關在對民眾服務運用生成式AI，考量到民眾對政府服務應具有公信力、高度正確性等期待，如果政府服務出錯就很容易導致外界的批評，因此高雄市對於政府服務運用生成式AI相當謹慎。劉俊傑表示，為避免生成式AI給出錯誤的答覆，將運用RAG技術將語料源限制於32個局處的網站文字，同時也會接受第三方驗證生成式AI，包括可解釋性、透明度等指標，民眾使用服務之前先聲明驗證結果。</p> <p>「儘管服務採用生成式AI很難避免百分百不會講錯，但透過事先的聲明，仍希望更多人的使用，讓生成式AI在微調之後能夠變得更準確」，劉俊傑說。</p> <p>不論是對外服務的AI客服或內部使用的AI業務助理，市府並沒有給出明確的服務上線時間，但強調每年都會檢視需求進行調整。</p> <p><span style="color:#B22222;"><strong>發展影像型生成式AI提高城市智慧治理能力</strong></span></p> <p>除了文字型LLM模型之外，高雄市近期還啟動一項前瞻性的計畫，智慧高雄燈塔計畫，高雄市政府和Nvidia合作，與業者合作租用Nvidia GPU算力服務，還有CUDA的軟體應用方案，包括影像分析方案metropolis、可打造數位孿生的Omniverse，以發展影像型生成式AI。</p> <p>不同於一般生成式AI以文字提示產生圖像，影像型生成式AI能夠「看懂」CCTV或空拍機等市府類監視器的影像資料源，生成對影像畫面狀態或事件的描述，並將其報告給市政府，協助市府能快速掌握狀況、決策應變、資源調配。</p> <p>劉俊傑表示，以先前山陀兒颱風為例，造成高雄市區內大量路樹被吹倒，傳統上，由里長、居民、民意代表打電話反映，大多只有口語、位置的描述，未來影像型生成式AI，通過無人機空拍影像，就能掌握不同地區的路樹被吹倒的情形，供市府決策哪些地區優先處理樹倒情形，在災後快速恢復交通，和傳統打電話反映相比，在生成式AI協助下提供市府更客觀、科學的方式進行決策。</p> <p>未來該影像型生成式AI將會以高雄市府各局處的資料為基礎，以高雄市在地的資料作微調，讓影像型生成式AI能夠適應高雄在地的語言文化及法規，從影像中辨識狀態或事件，即時向市府回報情報，以輔助市政決策。</p> <p>未來更進一步結合影像型生成式AI對類監視器影像的分析，還有以物理引擎作為基礎建立的高雄市數位孿生平臺，將實體世界與虛擬世界連結，通過虛擬的數位孿生，當真實世界發生特殊事件時，例如哪個地區淹水，如果沒有即時處理應變，在虛擬數位孿生平臺裡預測可能為真實世界帶來的影響，輔助市府調度決策，提高城市智慧治理。</p> <p>為了發展影像型生成式AI、主權AI需要大量算力，高雄市在智慧高雄燈塔計畫中，參考營建類常見的政府與民間聯合開發案例，市府和資服廠商合作也採聯合開發模式，由市府與廠商共同制定目標，雙方共同投入資源，由高雄市政府投入1億元，主要用於資料的標註、模型訓練等等，合作業者投入價值1.5億元的設備及服務，包含需要的一年算力服務（計畫預估將使用32片B200及16片L40S，滿足訓練及推論用途），最後由市府與業者彼此共享智財等成果。</p> <p>智慧高雄燈塔計畫發展的大腦為PaaS層，預計於2025年12月底完成，劉俊傑表示，未來亞灣2.0計畫將會在PaaS層之上發展SaaS應用試辦，包括高雄市政府交通局、捷運局、工務局等機關，和中鋼、台電、港務公司國公營企業合作申請SaaS計畫，在公部門運用方面，例如交通管理、人流分析、場管等市政問題，如何運用PaaS發展生成式AI應用，至於國公營企業，包括港區的貨櫃交通運輸、燈桿管理、管線維護管理等等也會發展相關應用。</p> <p>「從公私合作建置PaaS層，到同樣由公私合作發展SaaS層應用，才是更完整的智慧高雄燈塔計畫」，劉俊傑說。這項計畫展現了高雄市政府對於導入生成式AI改善城市智慧治理的企圖心，未來不只是高雄自己使用，因法規、文化的接近性，國內其他城市或企業未來也能使用 PaaS，市府正研究後續可行的商業模式。</p> </div></div></div>
2025/1/3 17:48作者蘇文彬https://www.ithome.com.tw/news/166817
【資安日報】1月3日，IDC預測臺灣資安產品市場將連續4年成長，密碼敏捷性與AI BOM成焦點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安需求與日俱增，臺灣在這塊市場也發展得不錯，但情況有多樂觀？在2024年12月終於有相關的預測數據出爐。</p> <p>最近IDC<a href="https://www.ithome.com.tw/news/166500">公布2025年臺灣ICT市場五大關鍵趨勢預測內容</a>時，也提到他們看好未來臺灣四年資安產品市場的成長，並指出動力不光來自傳統資安產品的需求增加，還受到AI資安及量子韌性（Quantum Resilient Security）兩項新興資安技術影響，而這些新興技術也是未來一年資安市場投資者關注的焦點。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166789"><strong style="font-size: 22px;">有人聲稱找到7-Zip零時差漏洞，開發者駁斥資訊有誤，疑為假消息</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AVwAmLDkHP.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/AVwAmLDkHP.png" style="width: 300px; float: right;" /></a></p> <p>使用ID名稱@NSA_Employee39的用戶於社群網站X（原推特）宣稱，將連續多日釋出7-Zip的零時差漏洞資訊，首波公開的是任意程式碼執行漏洞，此人於Pastebin發布概念性驗證程式碼（PoC），並於7-Zip於SourceForge的專案網頁通報此事。</p> <p>對此，7-Zip專案負責人Igor Pavlov出面駁斥此事，他表示該壓縮軟體的LZMA壓縮演算法不存在@NSA_Employee39提到的漏洞。Igor Pavlov分析概念性驗證程式碼提出進一步證據，他發現註解提及的功能函數RC_NORM並未出現在LZMA解碼器，研判此人以大型語言模型（LLM）產生這些程式碼。</p> <p>值得留意的是，目前7-Zip漏洞疑雲未有定論。儘管@NSA_Employee39的爆料普遍認為是不實資訊，Igor Pavlov已從技術層面否認漏洞的存在，不過用戶最好還是提高警覺，避免開啟來源不明的壓縮檔，並定期更新7-Zip以維持安全性。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=182430&SPOKE_DATE=20250102&COMPANY_ID=2385"><strong style="font-size: 22px;">群光電子傳出網站遭遇DDoS攻擊</strong></a></p> <p>1月2日傍晚群光電子於股市公開觀測站發布重大訊息，指出他們的網站遭遇DDoS攻擊，在察覺攻擊跡象後，該公司資訊團隊立刻與外部資安公司合作，阻斷攻擊行為。</p> <p>針對這起事故可能造成的損失或是影響，群光表示根據他們初步評估，對於公司營運無重大影響，他們將持續強化網路與資訊基礎架構的安全管控，來防範相關攻擊。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/01/malicious-obfuscated-npm-package.html">惡意NPM套件被用於散布木馬程式Quasar RAT</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/playfulghost-malware-a-sophisticated-gh0st-rat-variant-with-advanced-distribution-tactics/">惡意軟體PlayfulGhost假借提供中國應用程式散布</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/new-research-reveals-a-novel-bad-likert-judge-technique-to-jailbreak-llms/">研究人員揭露大型語言模型越獄手法Bad Likert Judge</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166805"><strong style="font-size: 22px;">Progress修補網管軟體WhatsUp Gold重大層級漏洞</strong></a></p> <p>上個月Progress發布資安公告，指出旗下的網管軟體WhatsUp Gold存在漏洞CVE-2024-12105、CVE-2024-12106、CVE-2024-12108，呼籲用戶升級至24.0.2版緩解相關弱點。</p> <p>根據CVSS風險評分，這一波安全性修補當中，最值得留意的是列為重大層級的CVE-2024-12106、CVE-2024-12108，其中又以CVE-2024-12108較為危險，攻擊者可利用公開API的存取WhatsUp Gold伺服器，風險評分達到9.6（滿分10分）。</p> <p>另一個也相當危險的重大漏洞是CVE-2024-12106，因為攻擊者可在未經身分驗證的情況下，竄改LDAP的組態設定，CVSS風險為9.4。</p> <p><a href="https://www.ithome.com.tw/news/166795"><strong style="font-size: 22px;">微軟已修補的磁碟加密機制BitLocker仍存在漏洞，攻擊者若實體接觸電腦有機會竊取資料</strong></a></p> <p>資深安全研究員兼硬體駭客Thomas Lambertz於上週舉行的大型資安會議混沌通訊大會（Chaos Communication Congress，CCC）當中，於完全修補的Windows 11作業系統環境裡，展示針對磁碟加密機制BitLocker漏洞bitpixie（CVE-2023-21563）的攻擊手法。Thomas Lambertz指出，即便使用者已安裝微軟提供的更新程式，攻擊者仍然可以使用新的攻擊手法，藉由安全開機（Secure Boot）繞過BitLocker保護機制，取得Windows 11電腦的資料。</p> <p>雖然這項攻擊手法需要實體接觸電腦，對於一般使用者的風險較低，但對於企業組織與政府機關而言卻不能掉以輕心，因為這項攻擊僅需短暫的接觸就能完成。研究人員指出，這項漏洞微軟並未完全修復，主要的挑戰在於UEFI韌體的儲存空間有限，無法以雜湊值黑名單撤銷所有曝險的憑證，微軟預計要到2026年才能完全更新安全開機的相關憑證。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/01/severe-security-flaws-patched-in.html">微軟Dynamics 365、Power Apps Web API存在漏洞</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166790"><strong style="font-size: 22px;">臺灣資安產品市場蓬勃發展！IDC臺灣預測2028年規模將達235億，密碼敏捷性與AI BOM將成2025年新焦點</strong></a></p> <p>市調機構IDC最近預測，未來四年臺灣資安產品市場將持續成長，市場規模從2024年的4.62億美元增至2028年的7.16億美元（相當於新臺幣235.4億元），年複合成長率達11.9%。其中，資安軟體的成長動能尤為強勁，年複合成長率高達13.3%。</p> <p>IDC分析指出，目前許多企業優先導入密碼敏捷性（Crypto-Agility）框架，這是一種能快速應對加密威脅的資料加密實踐方式。與直接部署PQC相比，IDC表示，密碼敏捷性框架在部署成本與周期上更具效率，且在現有合規環境下實務可行性更高。</p> <p>過去兩年，生成式AI（GenAI）的快速發展雖大幅提升了企業內部的生產力與效率，但同時也帶來了全新的資安挑戰，IDC指出，企業在資安策略上，明年將更注重建立明確的AI BOM（人工智慧物料清單），以加強AI資安防護能力，應對日益複雜的安全威脅。</p> <p><strong style="font-size: 22px;">其他資安防禦措施</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/us-arrests-charges-army-soldier-suspected-of-extorting-att-verizon/">針對Snowflake攻擊事故，美國逮捕涉嫌竊取總統通話記錄的士兵</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166796"><strong>【1月2日】北韓駭客對開發人員發動新一波攻擊，意圖散布惡意軟體OtterCookie</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166762"><strong>【12月31日】駭客公布從思科、施耐德電機竊得的部分資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166744"><strong>【12月30日】駭客鎖定逾20款Chrome延伸套件發動供應鏈攻擊，意圖竊取使用者社群網站帳號</strong></a></p> </div></div></div>
2025/1/3 15:32作者周峻佑https://www.ithome.com.tw/news/166811
以數據為中心的AI
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1216-itshu_zhai_-aishen_du_wen_da_ji_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">博碩文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以數據為中心的AI是一種範式（paradigm）或一個工作流程（workflow）；在這個範式或工作流程中，我們保持模型的訓練程序固定，並對數據集進行迭代，以提升模型的預測效能。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>以數據為中心的 vs. 以模型為中心的AI</strong></span></span></p> <p>雖然以數據為中心的AI（data-centric AI）算是一個相對較新的專有名詞，但它背後的理念並非新鮮事物。我曾與許多人交談過，他們都說，在這個專有名詞被創造出來之前，他們的專案就已經使用以數據為中心的方法了。在我看來，以數據為中心的AI的出現，是為了重新強調「關心數據品質」這件事的重要性，因為數據的收集（collection）和管理（curation）常常被認為是單調乏味或無足輕重的工作。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98_AI%E6%B7%B1%E5%BA%A6%E5%95%8F%E7%AD%94%E9%9B%86_600-2.png" style="width: 593px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／博碩文化</span></p> <p>我們需要在「以數據為中心的AI」和「以模型為中心的AI」之間做選擇？還是可以同時依賴這兩者？簡單來說，「以數據為中心的AI」重點在於「透過更改數據來提升效能」，而「以模型為中心的方法」重點在於「透過修改模型來提升效能」。理想情況下，我們應該在實際的應用場景中使用這兩者，以獲得最佳的預測效能。然而，在研究環境或是在應用專案（applied project）的探索階段中，同時處理過多的變數只會帶來混亂。如果我們同時更改「模型」和「數據」，就很難確定是哪一種變化帶來了改進。</p> <p>需要強調的是，以數據為中心的AI是一種範式和工作流程，而不是一種特定的技術。因此，以數據為中心的AI隱含地包括了以下內容：</p> <p>●針對訓練數據的分析和修改，從移除離群值到填補遺漏值</p> <p>●數據合成（data synthesis）與數據增強技術</p> <p>●數據標註（data labeling）與標籤清理方法（label-cleaning method）</p> <p>●在典型的主動學習（active learning）的設定中，模型會建議哪些數據點（data point）需要標籤</p> <p>如果我們只更改數據（使用這裡列出的方法），而不更改建模管線的其他方面，我們就認為這種方法是以為數據為中心（data centric）的。</p> <p>在機器學習和人工智慧的領域中，我們經常使用「垃圾進，垃圾出」（garbage in, garbage out）這句話，意思是「品質差的數據」會導致預測模型的效果很差。換句話說，我們不能期望從「低品質的數據集」中得到一個效能良好的模型。</p> <p>我注意到在應用學術專案中，有一種常見的模式，即研究者試圖使用機器學習來取代現有的方法。通常，研究者只有一小部分數據集（如數百個訓練樣本）。而標註數據（labeling data）通常很昂貴，或被認為很無聊，因此最好避免。在這些情況下，研究者會花費大量時間實驗不同的機器學習算法，並調整模型。為了解決這個問題，投資更多時間或資源來標註更多數據，是非常值得的。</p> <p>以數據為中心AI的主要優勢在於它把「數據」放到首位，這樣一來，如果我們投入資源建立一個品質更高的數據集，所有的建模方法都將從中受益。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>建議</strong></span></span></p> <p>在應用專案中，如果我們希望提升預測效能，來解決某個特定問題，那麼我們通常會採取「以數據為中心」的方法。在這種情況下，從建立模型為基線（baseline）開始，然後改善數據集，這種做法是有意義的；這經常比嘗試使用「更大、更昂貴的模型」還更有價值。</p> <p>如果我們的任務是開發一種全新的（或者更好的）方法論，例如一種全新的神經網路架構或是損失函數，那麼「以模型為中心」的方法可能是一個更好的選擇。使用一個固定的基準數據集而不去改變它，可以更容易地比較「新的建模方法」和「之前的工作」。增加「模型的大小」通常可以改善效能，但是增加「訓練樣本」也有同樣的效果。對於分類、抽取式問答（extractive question answering）和多項選擇的任務（multiple-choice task）等小型訓練集（< 2k）來說，「增加一百個樣本」可以產生與「增加數十億個參數」相同的效能提升。</p> <p>在實際專案中，在「以數據為中心」和「以模型為中心」之間切換，是很合理的做法。提前投入資源，提高數據品質，會讓所有的模型受益。一旦擁有高品質的數據集，我們就可以開始專注於模型調整，進一步提升效能。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>LLM的評估指標</strong></span></span></p> <p>困惑度、BLEU、ROUGE和BERTScore是自然語言處理中最常用的一些評估指標（evaluation metric），用來評估大型語言模型（LLM）在各種任務中的表現。雖然最終無法超越人類判斷的品質，但人類的評估既繁瑣又昂貴，難以自動化且主觀性很強。因此，我們研發了一些指標，來提供客觀的摘要評分，以測量進步與否，並比較不同的方法。</p> <p><strong>困惑度指標（perplexity metric）</strong>與用於預訓練LLM的損失函數直接相關，並經常用於評估文字生成模型和文字補全模型（text completion model）。從本質上來說，它量化了模型在指定語境中預測下一個字詞的平均不確定性（average uncertainty）──即困惑度越低越好。</p> <p><strong>雙語評估替換（BiLingual Evaluation Understudy，BLEU）</strong>分數，是一個廣泛用於評估機器翻譯品質的指標。它測量的是「機器生成的翻譯」與「一組人工生成的參考翻譯」之間的n-gram（n元）重疊程度。更高的BLEU分數表示效能更好，範圍從0（最差）到1（最好）。</p> <p><strong>召回率導向的摘要評估（Recall-Oriented Understudy for Gisting Evaluation，ROUGE）</strong>分數，是一個主要用於評估自動摘要模型（有時還包括機器翻譯模型）的指標。它評估「生成的摘要」與「參考摘要」之間的重疊程度。</p> <p>我們可以把困惑度視為內在指標（intrinsic metric），而把BLEU和ROUGE視為外在指標（extrinsic metric）。為了說明這兩類指標之間的區別，請想像一下，我們正在最佳化「傳統的交叉熵」來訓練一個圖像分類器。交叉熵是我們在訓練過程中最佳化的損失函數，但我們的最終目標是最大化分類準確性。由於「分類準確性」不能在訓練過程中直接最佳化，因為它不是可微分的，所以我們要最小化「交叉熵」這樣的替代損失函數。最小化交叉熵損失（cross entropy loss）和最大化分類準確性（classification accuracy）或多或少是相關的。</p> <p>困惑度經常被用來當作比較「不同語言模型的效能」的評估指標，但在訓練過程中，它並非最佳化的目標。BLEU和ROUGE更接近分類準確性（或者說更接近精確度和召回率）。事實上，BLEU是一種類準確率分數（a precision-like score），用來評估翻譯後的文字品質，而ROUGE則是一種類召回率分數（a recall-like score），用來評估摘要文字。<strong>（本文摘錄整理自《機器學習與人工智慧深度問答集》，博碩文化提供）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98_AI%E6%B7%B1%E5%BA%A6%E5%95%8F%E7%AD%94%E9%9B%86_600.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／博碩文化</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> <span style="color:#3399ff;">機器學習與人工智慧深度問答集（Machine Learning Q and AI）</span></strong></p> <p>Sebastian Raschka／著；博碩AI編輯室／編譯；劉立民／審校</p> <p>博碩文化出版</p> <p>定價：650元</p> <p><a href="http://sebastianraschka.com" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98_AI%E6%B7%B1%E5%BA%A6%E5%95%8F%E7%AD%94%E9%9B%86_250_Sebastian%20Raschka.png" style="width: 250px;" /></a></p> <p><a href="http://sebastianraschka.com" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">©Sebastian Raschka</span></span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p>Sebastian Raschka博士是一位對教學懷抱強烈熱忱的機器學習和AI研究者。身為Lightning AI的Lead AI Educator（首席AI教育家），他熱衷於使AI和深度學習變得更加普及，並教導人們如何大規模地利用這些技術。在全力投入Lightning AI之前，Sebastian曾在University of Wisconsin-Madison（威斯康辛大學麥迪遜分校）擔任統計學助理教授，專門研究深度學習和機器學習。你可以造訪他的網站，了解更多他的研究資訊：sebastianraschka.com。</p> </div></div></div>
2025/1/3 16:24未署名https://www.ithome.com.tw/article/166815
Telegram導入第三方驗證打擊詐騙行為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>通訊軟體Telegram近年來用戶數持續攀升，但隨著使用者基數擴大，部分不法分子開始利用該平臺進行詐騙活動。Telegram在2025年第一波<a href="https://telegram.org/blog/collectible-gifts-and-more/fa?setln=en">更新</a>中，宣布導入第三方驗證機制，目的是提升資訊可信度並進一步打擊詐騙行為。</p> <p>在Telegram本次更新中，亮點之一便是第三方驗證系統。過去Telegram僅提供官方認證藍勾勾標章，用以標示公眾人物或組織的官方帳號，但是單憑官方認證已不足以完全杜絕假消息與詐騙行為，因此Telegram開放與經其官方審核並認證的第三方服務機構合作，讓這些機構能夠對平臺上的用戶帳號與聊天室進行額外驗證。</p> <p>這項新機制允許獲得授權的第三方機構，根據自身的專業與查核機制，對特定帳號或群組進行審查，一旦通過驗證，該帳號或群組名稱前將會出現一個由該第三方機構提供的專屬標誌，使用者點擊該標誌後，即可查看更詳盡的驗證說明與資訊。Telegram強調，此第三方驗證與官方藍勾勾驗證完全獨立，以提供更多元的資訊可信度判斷依據。</p> <p>Telegram指出，這項第三方驗證機制是業界首創的主動式安全解決方案，透過導入外部專業機構的審查，能夠更有效地預防詐騙事件發生，減少不實資訊傳播，並進一步提升整體平臺的安全性與可信度。這項機制初期與特定第三方機構合作，Telegram未來會逐步擴增合作夥伴。</p> <p>除了第三方驗證，Telegram本次更新還包括了可轉售的收藏版禮物、更便利的搜尋過濾功能，以及在應用程式內建QR Code掃描器等實用更新。Telegram創辦人兼執行長Pavel Durov早前撰文透露，Telegram結束商業化3年以來持續虧損的情況，首度獲利且收入破10億美元，主要營收來源包括Premium訂閱服務，以及持續成長的廣告收入。</p> </div></div></div>
2025/1/3 16:57作者李建興https://www.ithome.com.tw/news/166814
得網路者得AI
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>人工智慧的重要性不言可喻，於是有了「得AI者，得天下」的論調，然而，該如何「得AI」？很多人會馬上想到資料、運算能力、軟體、AI模型等因素，網路存取能力與效率，很少排在前面的考量。</p> <p>隨著GPU大廠Nvidia持續壟斷AI硬體的技術應用話題，大家都想找到他們稱霸市場的答案，其中，活用Nvidia自家GPU加速機制的統一運算架構（CUDA），以及軟硬體堆疊改良、擴充與普及，是最常見的回答。</p> <p>不過，這幾年以來，雖然有越來越多廠商投入AI軟硬體研發，搭配方式與選擇理應日益豐富，但為何市場還是非常看好與看重Nvidia的發展？除了他們能提供相對清楚、有序的硬體產品發展藍圖，持續鎖定企業應用需求的軟體平臺，過去一直被整個業界低估的部分，主要是他們對網路技術的布局，近期隨著多家IT廠商組成的超乙太網路聯盟（UEC）成軍，也突顯整個IT產業發展盲點，那就是對於資料中心網路的不夠重視。</p> <p>回顧2020年Nvidia完成併購資料中心網路設備大廠Mellanox，但他們並不急著大舉擴張網路產品線，局部參與軟體定義網路（SDN）與網路功能虛擬化（NFV）的發展，但未投入大量身家進軍電信網路轉型市場，而是思考如何將這些技術融入GPU加速應用領域。</p> <p>另一方面，當伺服器廠商起初僅願意提供GPU伺服器，透過強調加速器硬體搭配的準系統，想要測試市場需求水溫之際，Nvidia決定一馬當先，推出自有品牌整合式AI系統伺服器DGX系列，而在歷經多個GPU架構世代的變革，如今也已培養出足以支撐整個AI資料中心運作的生態系，涵蓋伺服器、儲存系統，網路則是最後一塊拼圖。</p> <p>2023年5月底Nvidia在台北國際電腦展宣布推出乙太網路加速平臺Spectrum-X，正式將乙太網路產品線投入AI產品組合當中，涵蓋網路交換器、資料處理器、光纖網路線材與收發器，以及網路作業系統與軟體開發套件，力圖打造新一代高效率乙太網路，能夠充分滿足AI雲端服務環境網路所需，並且預告他們手上另一條InfiniBand網路產品線，將用於支援更大規模的GPU系統叢集，實現Nvidia提出的企業AI工廠願景。</p> <p>相較之下，其他同時握有AI加速運算技術的大型IT廠商，長期觀望AI市場的發展，心力大多還是放在主力的伺服器處理器，但市場動能目前仍然更關注GPU，而非CPU，近才開始急起直追，但眾聲喧嘩，能否盡快提出令所有成員都支持的標準，令人擔憂。</p> <p>例如，英特爾透過第四代Xeon Scalable內建的進階矩陣延伸指令集（AMX），以及不同用途的硬體加速器，想要吃下這塊市場。</p> <p>雖然英特爾曾發展與推出Data Center GPU Max系列，但後來又改弦易張，把希望寄託在下一代GPU架構Falcon Shore。而英特爾另一個近期被業界看好的AI加速器Gaudi 3，雖然在2024年4月推出，但搭配這款運算平臺的伺服器產品，9月陸續上市，影響力尚未發酵。</p> <p>此外，英特爾乙太網路產品與基礎架構處理器（IPU）並未在該公司AI布局，發揮應有的加乘效果，而且，產品未來發展態勢不明。看來只能指望作為超乙太網路聯盟發起者之一的英特爾，在2025年能有更多著墨。</p> <p>至於AMD，在資料中心產品線的經營上，長期以EPYC系列處理器的發展為重，等到Instinct MI100系列GPU推出之後，他們對於整個加速運算平臺的架構，才逐漸取得能與Nvidia AI相提並論的條件，而在網路技術的布局上，2022年陸續完成賽靈思（Xilinx）、Pensando的併購，取得FPGA加速、智慧型網路卡、資料處理器等技術，前兩種解決方案有部分支援AI應用，資料處理器則是推廣雲端服務業者採用，但隨著超乙太網路聯盟的成立，AMD決定用Pensando產品線支撐這部分用途，在2024年10月宣布推出AI網路卡Pollara 400，以及第三代資料處理器Salina，他們表示，Pollara 400將與AMD處理器、GPU的產品發展藍圖保持一致。不過，目前來看，AMD自家伺服器等級CPU與GPU對於SmartNIC的搭配方式，還需揭露更多資訊。</p> <p>除了英特爾、AMD，博通（Broadcom）也被寄予厚望，因為他們提供網路卡、交換器、ASIC晶片，企業市占相當高的伺服器虛擬化平臺vSphere，也是他們推動AI的殺手應用，而且是各家AI軟硬體極力拉攏的重要平臺，究竟誰能奪下AI市場，還有許多變化。</p> <p><span style="font-size:22px;"><strong><span style="background-color:#3399ff;"><span style="color:#FFFFFF;"> </span><a href="https://www.ithome.com.tw/article/166794" target="_blank"><span style="color:#FFFFFF;">相關報導</span></a><span style="color:#FFFFFF;"> </span></span></strong><span style="color:#FFFFFF;"><strong> <a href="https://www.ithome.com.tw/article/166794" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1215-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=kRE_ydZh" style="width: 550px;" /></a></strong></span></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/ai">AI</a></div><div class="field-item odd"><a href="/tags/ai%E7%A1%AC%E9%AB%94">AI硬體</a></div><div class="field-item even"><a href="/tags/nvidia">Nvidia</a></div><div class="field-item odd"><a href="/tags/mellanox">Mellanox</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E6%96%99%E4%B8%AD%E5%BF%83">資料中心</a></div><div class="field-item odd"><a href="/tags/%E4%B9%99%E5%A4%AA%E7%B6%B2%E8%B7%AF">乙太網路</a></div><div class="field-item even"><a href="/tags/spectrum-x">Spectrum-X</a></div><div class="field-item odd"><a href="/tags/ai%E5%8A%A0%E9%80%9F%E9%81%8B%E7%AE%97">AI加速運算</a></div><div class="field-item even"><a href="/tags/ai%E5%8A%A0%E9%80%9F%E5%99%A8">AI加速器</a></div><div class="field-item odd"><a href="/tags/ai%E7%B6%B2%E8%B7%AF%E5%8D%A1">AI網路卡</a></div><div class="field-item even"><a href="/tags/amd">AMD</a></div><div class="field-item odd"><a href="/tags/pensando">Pensando</a></div></div></div>
2025/1/3 15:21作者李宗翰https://www.ithome.com.tw/voice/166803
XML檔案解析程式庫libxml2存在重大漏洞，恐被用於XML外部實體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Linux桌面環境GNOME開發團隊<a href="https://gitlab.gnome.org/GNOME/libxml2/-/commit/1a8932303969907f6572b1b6aac4081c56adb5c6">去年7月修補解析XML檔案的程式庫libxml2漏洞CVE-2024-40896</a>，這項漏洞影響2.11、2.12、2.13版，出現在該程式庫的SAX處理器，有可能會意外曝露外部實體，而能讓攻擊者用於發動XML外部實體（XXE）攻擊，CVSS風險達到9.1分（滿分10分），GNOME當時發布<a href="https://gitlab.gnome.org/GNOME/libxml2/-/releases/v2.11.9">2.11.9</a>、<a href="https://gitlab.gnome.org/GNOME/libxml2/-/releases/v2.12.9">2.12.9</a>、<a href="https://gitlab.gnome.org/GNOME/libxml2/-/releases/v2.13.3">2.13.3</a>版予以修補，<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-40896">美國國家漏洞資料庫（NVD）於12月23日將其列入</a>。</p> <p>以C語言打造而成的程式庫libxml2，主要功能是解析XML檔案，該程式庫能以多種語言呼叫，例如：C++、Python、Ruby，使得這項程式庫能運用在多種開發環境。libxml2最初是由GNOME開發的專案，並用於各種作業系統，一旦出現嚴重漏洞、又未及早修補，影響將可能相當廣泛。</p> <p>這項漏洞最初是<a href="https://gitlab.gnome.org/GNOME/libxml2/-/issues/761">由一名從事辦公室軟體LibreOffice專案的開發人員通報</a>，他表示在導入2.13版libxml2的時候，意外發現當中有部分已知漏洞再度出現，其中一個是CVE-2012-0037（CVSS風險為6.5分）。</p> <p>LibreOffice團隊原本已對CVE-2012-0037作出處理，但在升級新版libxml2之後，相關程式碼的作用隨之失效，而且會顯現/etc/passwd的內容，因而發現新漏洞。</p> <p>這位發現上述問題的開發者將情況通報GNOME，並製作概念性驗證文件進一步說明細節，GNOME後續也確認這項漏洞存在，並將其登記為CVE-2024-40896。</p> </div></div></div>
2025/1/3 15:03作者周峻佑https://www.ithome.com.tw/news/166810
擴充套件Pie Adblock侵權uBlock Origin，PayPal Honey團隊再掀爭議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新興的廣告攔截擴充套件Pie Adblock遭指控竊取知名開源廣告攔截器uBlock Origin的程式碼與過濾清單，嚴重違反GPL授權協議，在<a href="http://old.reddit.com/r/uBlockOrigin/comments/1hr6xjc/ubo_quick_filters_list_being_stolen_by_team/">Reddit</a>和<a href="https://news.ycombinator.com/item?id=42576443">Hacker News</a>論壇引發網友高度關注。</p> <p>新興廣告攔截擴充套件Pie Adblock遭控侵權知名開源廣告攔截器uBlock Origin，嚴重違反GPLv3授權協議。此事件在Reddit和Hacker News等論壇引發熱烈討論，不僅是程式碼與過濾清單的盜用，更涉及背後開發團隊與爭議不斷的PayPal Honey購物比價擴充套件間的關聯。</p> <p>uBlock Origin是一款高效能且廣受使用者歡迎的廣告攔截工具，其過濾清單與程式碼皆為開源社群長期貢獻的成果，並採用GPLv3授權。而Pie Adblock則被發現在其擴充套件程式碼中，包含了uBlock Origin的Quick Fixes過濾清單，甚至有部分程式碼片段被直接複製貼上，例如在contentExecuteYouTubeScriptlets.js檔案中，就出現了uBlock Origin的Trusted Replace XHR Response Scriptlet。</p> <p>由於Pie Adblock並未以GPL或相容授權開源其程式碼，已明顯違反了GPL授權要求衍生作品必須同樣以GPL授權開源的規定。</p> <p>值得注意的是，Pie Adblock背後的開發團隊與先前因聯盟行銷（Affiliate Marketing）手法，而備受批評的Honey購物比價擴充套件為同一批人馬。Honey在2019年被PayPal收購，成為PayPal旗下產品。</p> <p>Honey擴充套件本身爭議不斷，簡單來說，其遭控透過兩種主要手法欺騙使用者和內容創作者，其一是宣稱能幫使用者找到最好的優惠，實際上卻常找不到或提供比其他地方找到的還差的優惠，甚至被懷疑與廠商勾結，故意忽略更划算的折扣。另外，Honey會劫持其他人的推薦連結，例如當使用者透過某個YouTuber的推薦連結購買商品時，Honey會在結帳時暗中更換連結，竊取原本屬於該YouTuber的佣金。</p> <p>儘管Pie Adblock團隊已移除官網上與Honey的關聯資訊試圖切割關係，但此舉反而讓社群對其誠信打上問號。GPL是開源領域的重要授權，其核心精神在於保障軟體的自由使用、修改、散布與衍生，並透過Copyleft機制保護此自由的延續，而Pie Adblock事件則是對此精神的一大挑戰。</p> </div></div></div>
2025/1/3 15:16作者李建興https://www.ithome.com.tw/news/166809
因應川普上臺 Meta公共事務長換人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在川普即將出任美國總統之際，Meta公共事務最高主管將下臺，由路線一致的人選接任。</p> <p>Meta全球事務總裁（President of Global Affairs）Nick Clegg本周透過X<a href="https://x.com/nickclegg/status/1874892197666975846" target="_blank">宣布</a>將自現職離開，並由其副手Joel Kaplan接任，並稱Kaplan「此時是這個職位的正確人選」。</p> <p>祖克柏在<a href="https://www.facebook.com/nickclegg" target="_blank">聲明中</a>對Clegg表達謝意，也肯定其在推動Meta全球聲量和價值觀，以及公司對AI和元宇宙的願景，他並說Kaplan長期擔任政策領導工作，具有豐富經驗和洞察力。</p> <p>此一人事變動稍早由Semafor率先<a href="https://www.semafor.com/article/01/02/2025/meta-will-appoint-joel-kaplan-to-lead-global-policy-team-replacing-nick-clegg" target="_blank">報導</a>。Clegg是英國前副首相，暨英國自由民主黨前領導人。而Kaplan在小布希時代擔任白宮副幕僚長，他在Meta內部一直強力反對限制政治言論，認為此類政策將壓制保守派聲音。</p> <p>Clegg於2018年加入Meta，接任Sheryl Sandberg的工作，並領導其政策和遊說工作。媒體分析，Clegg成功為Meta贏得美國政壇的好感，並邀請到白宮討論AI政策，並擴大Meta在歐盟的影響力，包括制訂AI護欄。但是他曾批評馬斯克（Elon Musk）使X變得具有意識型態立場，而且主張監管網路言論，不論是其主張，或是批評現有當道者，都使他在現有Meta的政治氣候中顯得不合時宜。</p> <p>自從川普當選以來，矽谷科技龍頭一改批評的立場，積極與之靠攏。數年前曾被臉書封殺的川普曾<a href="https://www.nbcnews.com/politics/donald-trump/trump-describes-presidency-new-book-rcna168910" target="_blank">揚言</a>要把Meta執行長祖克柏關進牢內，如果他膽敢影響大選的話。去年11月祖克柏也和許多科技大廠執行長與川普共進晚餐，祝賀他勝選。如今Meta領導團隊，包括全球公共政策副總裁Kevin Martin曾被老布希任命為聯邦通信委員會（FCC）委員，法務長Jennifer Newstead從2017年到2019年擔任川普上一任期的國務院首席法律顧問。</p> </div></div></div>
2025/1/3 12:54作者林妍溱https://www.ithome.com.tw/news/166807
Progress修補網管軟體WhatsUp Gold重大層級漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上個月Progress發布資安公告，指出旗下的網管軟體WhatsUp Gold<a href="https://community.progress.com/s/article/WhatsUp-Gold-Security-Bulletin-December-2024">存在漏洞CVE-2024-12105、CVE-2024-12106、CVE-2024-12108</a>，呼籲用戶升級至24.0.2版緩解相關弱點。</p> <p>根據CVSS風險評分，這一波安全性修補當中，最值得留意的是列為重大層級的CVE-2024-12106、CVE-2024-12108，其中又以CVE-2024-12108較為危險，攻擊者可利用公開API的存取WhatsUp Gold伺服器，風險評分達到9.6（滿分10分）。</p> <p>另一個也相當危險的重大漏洞是CVE-2024-12106，因為攻擊者可在未經身分驗證的情況下，竄改LDAP的組態設定，CVSS風險為9.4。</p> <p>至於CVE-2024-12105，該公司指出是資訊洩露弱點，通過身分驗證的攻擊者可利用特製的HTTP請求觸發漏洞，風險評為6.5。</p> <p>值得留意的是，Progress前一次9月修補的WhatsUp Gold漏洞也相當嚴重，其中一個重大層級漏洞CVE-2024-8785，通報此事的資安業者Tenable<a href="https://www.ithome.com.tw/news/166345">於12月公布概念性驗證程式碼（PoC）與相關細節</a>。</p> </div></div></div>
2025/1/3 11:20作者周峻佑https://www.ithome.com.tw/news/166805
研究人員揭露新的DoubleClickjacking手法，能繞過點擊劫持防護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>現今多數網站都已加入防範點擊劫持（clickjacking）攻擊手法的措施，不過安全研究人員<a href="https://www.paulosyibelo.com/2024/12/doubleclickjacking-what.html" target="_blank">揭露</a>此類攻擊的變種版，能繞過既有防護而攻擊網站用戶。</p> <p>點擊劫持攻擊已流行逾十年，它又叫UI覆蓋（UI Redressing）攻擊，原理是攻擊者將惡意頁面或惡意視窗覆蓋在正規頁面或視窗上，讓不知情的用戶點入，以導向惡意網站或下載惡意程式。但近年現代瀏覽器都已經加入防制措施，它們將所有cookies預設為「SameSite: Lax/Strict」防止第三方網頁cookies或Header預設加入「X-Frame-Options」防止內嵌不明網頁等。這些能成功防止大部份點擊劫持攻擊。</p> <p>研究人員Paulos Yibelo說明新的點擊劫持，他命名為雙點擊劫持（DoubleClickjacking）。和原始攻擊方法不同的是，這方法利用二次連續的點擊，並說能繞過所有已知的點擊劫持防護，不論是SameSite: Lax/Strict或是X-Frame-Options header，而且可能在許多網站都可行。</p> <p>這手法原理是二次點擊的時間點和順序。首先，攻擊者建立一個主要（惡意）網頁，上有按鍵，誘騙用戶按下讀取回饋或看影片。當他按下按鍵時，會跳出新視窗蓋住原有網頁，新視窗要求使用者完成任務，例如CAPTCHA。同時間，攻擊者聲東擊西，原有網頁上的JavaScript將主要（惡意）網頁換成攻擊者想要登入的目標合法網站，例如網銀或Gmail。</p> <p>新跳出的CAPTCHA視窗會要求用戶雙擊，這雙擊分別有作用。這視窗頁會聽取mousedown 事件，當它聽到第一聲點擊即迅速關閉CAPTCHA視窗，曝露出已被置換的合法網站。用戶的第二點擊會讓自己按到授權按鍵，他可能同意了某些事，但他並不知情。</p> <p>Yibelo說，透過這攻擊手法，攻擊者可以讓受害者同意安裝外掛、讓OAuth應用程式連到自己的帳號，或是關閉安全設定如多因素驗證（MFA）、刪除帳號、同意匯款、同意存取等目的。</p> <p>DoubleClickjacking攻擊能影響幾乎所有網站。安全研究人員貼出的示範影片顯示能劫持Slack、Shopify和Salesforce帳號。此外，新手法也能影響瀏覽器外掛，如加密貨幣電子錢包，或是VPN。</p> <p><span style="color:#B22222;"><strong>防範措施</strong></span></p> <p>最後，為防止新種點擊劫持，研究人員說，加入用戶端防護可避免攻擊，像是預設關閉按鍵、上傳鍵，除非偵測到用戶滑鼠和按鍵動作，否則不得啟動行為。研究人員說，已加入防護的網站包括Dropbox、Stripe 和GitHub。</p> <p>研究人員表示，長期而言，瀏覽器應該要採用新的技術，例如第一代X-Frame-Options或 frame-ancestors防護第一代點擊劫持。例如伺服器header要能告訴瀏覽器禁止在二次點擊期間置換網頁視窗、防止UI覆蓋，雲端業者的伺服器header也應考量此類情境。若瀏覽器業者還沒有這類技術，處理OAuth驗證、支付驗證等高權限行為的網頁開發則應加入防範script。</p> </div></div></div>
2025/1/3 11:56作者林妍溱https://www.ithome.com.tw/news/166806
金色三麥用數位科技創新體驗，靠IT邁向數位化及智慧化營運
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一踏進金色三麥集團位於臺北大巨蛋的新餐館，映入眼簾的是中央高掛的一座巨型環狀電子看板。這個獨特看板仿照美國股票交易所的設計，顯示出不同酒類名稱、交易代號及當前價格。</p> <p>看板下方是自助取酒牆，顧客將卡片插入想喝的酒品卡匣內，就可自己取酒，並依照該酒當前的交易價格付款。一款酒的需求若增加，其價格會同步上漲，來反映該款酒的熱門程度。</p> <p>這套電子酒精交易所平臺不僅僅是金色三麥集團運用數位科技打造創新餐飲服務和互動體驗的最新嘗試，更是這家20年本土餐飲集團近年加速數位轉型推動的重要成果之一。</p> <p>金色三麥餐飲資管處協理吳冠達表示，這套平臺不僅增加顧客的互動體驗，未來還能通過POS系統取得這些消費數據，用於分析顧客習慣及偏好，作為未來集團內部營運和行銷策略的參考依據。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>集團積極推動數位轉型，朝向數位化、智慧化營運邁進</strong></span></span></p> <p>金色三麥集團自2014年起採取多元化品牌策略，品牌數從3至4個迅速增長至10個，門市數由約10間擴增至39間，會員數更成長達60萬名。隨著門市和會員迅速增長，金色三麥也開始加速內部轉型，運用各種數位科技與IT技術，來優化服務流程與作業效率，以應對市場需求的快速變化。</p> <p>自2019年起，金色三麥開始積極推動數位轉型，借助IT與智慧化技術推動集團朝向數位化、智慧化營運邁進。</p> <p>吳冠達於2022年接任集團資訊主管後，花了一年多全面盤點各項系統，訂定整併與流程優化計畫，並優先將門市叫貨與採購流程列為改造重點。</p> <p>他表示，過去因庫存資訊更新不及時，門市與後勤單位的數據常有不同步的情況，後來導入PSIM叫貨管理系統，優化門市內部叫貨與出貨流程，讓門市與後勤流程更加順暢，也確保了資訊的一致性與即時性。</p> <p>在採購流程方面，過去採購單位和供應商的溝通並不透明，常常是透過郵件往返，缺乏統一溝通和協同平臺。為此，資訊部門在2024年導入SRM供應鏈管理系統，簡化內部採購流程，讓採購和上下游供應商能夠在同一個平臺進行溝通和協同，減少訊息傳遞的誤差，並與ERP系統進行整合，進而提升整體供應鏈管理效率。</p> <p>不只軟體升級，金色三麥的開發策略也歷經重大轉變，最早期採全面委外， 2013年時改為全面自主開發，到了2022年吳冠達上任後，又決定重新調整策略，從過去的自主開發逐步轉向委外開發的模式為主，以因應集團未來的營運發展需求。</p> <p>吳冠達指出，自行開發的優勢在於高度自主與整合能力，但同時也可能增加IT人員負擔，隨著需支援的集團品牌越來越多，現有的資訊人力難以應付這些開發需求。改為委外合作模式，雖然彈性較低，但可以快速參考並套用各種樣板，並能快速使用廠商最新功能，讓現有IT人員能專注於內部系統的優化與管理，例如，ERP和EIP電子流程簽核等。</p> <p>目前如CRM等系統是採用委外，但吳冠達強調，會根據需求保留內部開發的彈性。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>結合智慧自助取酒牆系統，取得更細緻的顧客數據擬定行銷對策</strong></span></span></p> <p>金色三麥集團很早就開始善用數據，不僅透過數據分析提升營運效率與決策品質，也用來了解顧客用餐和飲酒偏好。</p> <p>金色三麥早就有一套自己的客製App，搭配優惠卷等方式，了解客群的喜好，會員系統更在2018年進行大改版，支援線上會員消費累積與集點，並於2022年串接電商平臺，整合線上線下銷售流程，也能累積更多顧客消費數據。</p> <p>但是，金色三麥集團在門市顧客偏好數據蒐集上，一直以來面臨一個難題，會員機制只能掌握到顧客整桌的用餐和飲酒消費情況，無法細分出每一位顧客的個別偏好，也就沒辦法根據更細緻的資訊來擬定行銷對策。</p> <p>為了解決這個問題，資訊團隊在門市導入了智慧自助取酒牆系統，結合儲值功能，記錄每位會員的飲酒偏好。</p> <p>吳冠達表示，過去門市只能通過消費品項了解顧客的整體飲酒情況，無法掌握到每位顧客的個別偏好，透過這套自助取酒系統，門市可以更精確地了解顧客的喜好。</p> <p>這套智慧自助取酒牆系統在2023年上線，並陸續在旗下多家品牌餐廳推出。他指出，透過顧客取酒過程收集的數據不僅反映在產品開發上，也應用於行銷策略中。例如，顧客的酒類偏好可以作為未來新款啤酒開發的依據，協助調整配酒策略，決定下一季要推出的酒類款式，同時配合行銷活動。</p> <p>更進一步，金色三麥在2024年新品牌的餐廳中，以這套自助取酒牆系統為基礎，打造出了電子酒精交易所平臺，模擬股票交易所的運作模式，提升顧客的數位互動體驗。</p> <p>吳冠達指出，電子酒精交易所平臺包括兩套系統，一套是酒精交易系統，另一套是智慧自助取牆酒系統。酒精交易系統負責記錄各種酒類的即時價格及交易資訊；而自助取酒牆系統則讓顧客自主選擇並根據即時交易價格進行付款，實現價格與需求的動態匹配。他說，每半小時，系統依據消費者使用的實際交易狀況調整銷售價格。</p> <p>電子酒精交易所系統雖由外部廠商開發，但資料整合全由金色三麥IT團隊負責。他表示，導入過程面臨不少挑戰，特別是在資料整合上，不只需要與既有系統串接，如消費、儲值等，還要與 POS、ERP系統進行整合。此外，需要將這些數據整合後進行分析，支持業務決策與流程優化。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1215-CIO-600-%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89.JPG" style="width: 600px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">攝影／洪政偉</span></span></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>結合AI機制提供叫貨建議，協助門市預測每日所需貨量</strong></span></span></p> <p>不只導入各種數位科技工具，來提升顧客服務與互動體驗，金色三麥集團近幾年也開始應用AI技術，來優化內外服務流程。例如在門市叫貨上，結合AI機制提供叫貨建議，協助門市預測每日所需貨量，提高叫貨精準度。</p> <p>吳冠達表示，過去，金色三麥集團的叫貨主要依賴門市店長的經驗，但由於每家店的情況不同，這些經驗在轉換門市時往往無法直接適用，從而影響叫貨的準確性，必須由總部進行管控，因而增加管理的負擔。</p> <p>為了解決這個問題，IT部門近來開始運用公雲機器學習服務，結合門市和外部資料（如天氣、節慶等），提供銷售預測和叫貨建議，幫助門市管理者做出更準確的叫貨決策，避免因為庫存不足等因素，而錯失了銷售的機會，也可供新手店長參考，提升管理效率。</p> <p>金色三麥集團還將AI技術應用到各部門，來解決各自的痛點，例如，客服部門平均每月要處理超過3萬則顧客的意見回饋，包含紙本、客服與網路管道，光是在瀏覽和整理這些顧客回饋就需要大量人力，給客服人員帶來不少負擔。後來，利用雲端供應商的大型語言模型，搭配提示工程開發出顧客評論LLM助手，相較於傳統人工整理，只需約3∼5分鐘就能歸納所有來源的顧客評論，不僅大幅節省時間和人力，也幫助客服人員迅速彙整回饋內容，以便快速修正改善。</p> <p>不僅如此，目前金色三麥其中一家門市正進行AI語音客服的POC測試，希望能夠減輕客服人員的負擔，並提高服務效率。</p> <p>出乎意料的是，在擔任金色三麥IT主管之前，吳冠達都是在其品牌部門專注數位行銷，但這段經驗也讓他能在接任IT職務後，更能從公司營運發展與數位行銷角度出發，規劃並整合相關系統與流程。</p> <p><span style="font-size:28px;"><span style="color:#B22222;"><strong>建立IT的武功秘笈，縮短人員的學習曲線</strong></span></span></p> <p>在管理上，吳冠達有自己一套IT管理做法。例如，他上任後要求IT團隊落實對系統開發過程進行詳細記錄，包括步驟圖解和文字說明。</p> <p>他表示，這樣做的目的是要確保每個問題與解決方案都被完整保存下來，方便後續人員依循既定步驟快速完成任務，即使是新手也能迅速掌握基本操作，縮短學習曲線。</p> <p>「這就是一本IT的武功秘笈。」他表示，這種詳實記錄的做法不僅幫助新進員工快速熟悉工作，也能在遇不熟悉的系統或操作時，避免重複學習，提升整體的工作效率和知識傳承。</p> <p>另一方面，吳冠達也強調跨部門溝通的重要性。尤其在餐飲業中，資訊人員不多，他提到，過去是由他負責匯整需求並指派工作，讓IT人員能專注於自身任務，但有時可能因為訊息轉達不清或反應不及時，導致誤解或延遲，影響工作效率。</p> <p>吳冠達強調：「我們的業態變化非常快，IT人員需要逐步調整心態，學會直接與使用者溝通，而不是閉門造車，才能確保開發的產品真正符合需求。」</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>規畫免實體的虛擬儲值功能，顧客用App就能儲值與支付</strong></span></span></p> <p>他提到2025年的集團IT發展重點，除了將持續對新系統進行整合與流程優化，包括PSIM、SRM系統等，確保服務的穩定性外，也將不斷優化酒精交易所系統，例如目前付款方式僅透過實體儲值卡，未來將提供更多元付款選項，包括虛擬儲值卡，讓顧客可直接透過App進行儲值與支付。</p> <p>此外，下一步還將整合POS系統用於數據分析。但由於酒精交易所平臺採用的是動態或浮動價格的銷售模式，這與傳統固定價格的銷售模式不同，因此，他提到說，未來整合POS系統後，財務和IT部門也需要有相應的搭配機制。</p> <p>吳冠達強調，隨著技術的進步，雖然許多餐廳服務已經高度自動化，例如自動點餐和機器人送餐服務已經出現，或像使用QR碼點餐的方式，但他認為，這些應用場景雖然便利，但也少了溫度和人情味。</p> <p>他指出，現場服務人員與顧客的互動仍是餐飲業的核心，因此IT部門並非要一味追求自動化，而是要在自動化與人際互動間取得平衡。</p> <hr /> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></p> <p><span style="color:#3399ff;"><strong>金色三麥餐飲資管處協理吳冠達</strong></span></p> <p>學歷：不列顛哥倫比亞理工學院電子工程學士</p> <p>經歷：曾於精簡型電腦公司負責軟體系統的開發，並在網路資通訊擔任過業務工程師推廣教學軟體，亦曾創業從事電商行銷流通。2014年加入金色三麥品牌部門專注數位行銷，2022年因組織調整接任資管處協理一職，帶領IT團隊整合集團內外系統並優化流程</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1215-CIO-300-%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 300px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><span style="color:#3399ff;"><strong>金色三麥餐飲集團</strong></span></p> <p>●地址：新北市三重區新北大道二段260號1樓</p> <p>●網址：<a href="http://www.lebledor.com">www.lebledor.com</a></p> <p>●成立時間：2004年</p> <p>●主要業務：精釀啤酒釀造銷售、餐廳經營、各式飲品銷售等業務</p> <p>●員工數：758人（截自2024年11月底）</p> <p>●董事長：葉冠廷</p> <p>●總經理：葉淑芬</p> <p>●資本額：2.19億元</p> <p>●年營收：約19.5億元（2023年）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>●資訊部門主管職稱：協理</p> <p>●資訊部門主管姓名：吳冠達</p> <p>●資訊部門名稱：資管處</p> <p>●資訊部門人數：4人</p> <p>●資訊部門分工：營運銷售系統部門（網管工程維運＆POS營運銷售系統維運與整合）、資訊應用發展部門（ERP、EIP、SRM、PSIM等系統維運與程式開發）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2013年：門市POS銷售系統評估與轉換</p> <p>●2014年：開始評估與導入ERP系統</p> <p>●2017年：CRM系統評估與導入</p> <p>●2018年：CRM行銷系統整合LINE OA</p> <p>●2021年：展開POS系統評估與轉換</p> <p>●2023年：導入PSIM系統、導入SRM系統、雲端銷售預測／叫貨預估導入、智慧自助取酒牆系統推出上線</p> <p>●2024年：PSIM/SRM/EIP/POS系統與ERP系統整合與優化、集團旗下新品牌電子酒精交易所平臺上線</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1215-cio-960-she_ying_hong_zheng_wei_.jpg" width="960" height="420" alt="" title="金色三麥餐飲資管處協理吳冠達　（攝影／洪政偉）" /></div></div></div>
2025/1/3 09:27作者余至浩https://www.ithome.com.tw/people/166802
銷售遲緩，蘋果傳已在2024年底停產Vision Pro
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>媒體報導，由於銷售不佳，蘋果可能已在2024年底完全停產價格不斐的Vision Pro，以便新的一年能消化庫存。</p> <p>The Information10月底引述密切相關消息人士<a href="https://www.theinformation.com/articles/apple-sharply-scales-back-production-of-vision-pro" target="_blank">報導</a>，蘋果去年第三季就製造50萬到60萬臺Vision Pro，相信已經足以滿足2025年的銷量，因此決定在2024年完全停產這個售價3,499美元的混合實境頭戴裝置。</p> <p>蘋果2024年<a href="https://www.apple.com/newsroom/2024/01/apple-vision-pro-available-in-the-us-on-february-2/" target="_blank">1月</a>開放預購Vision Pro，並在2月初從美國<a href="https://www.ithome.com.tw/news/160942" target="_blank">開始銷售</a>。雖然獲得媒體普遍良好評價，蘋果也致力於開發內容，但高不可攀的訂價及缺少殺手級應用，仍然讓Vision Pro難逃其他VR/AR裝置欠缺銷售動能的命運。</p> <p>報導指出，早在去年5月，Vision Pro部份產線就已經減少生產，導致倉庫內堆滿大量零件。10月時，Vision Pro的中國代工廠立訊精密每天還是生產1000部，因而蘋果要求自11月逐步停產，並在2024年底完全停產。</p> <p>去年4月分析師就<a href="https://www.ithome.com.tw/news/162500" target="_blank">預期</a>，蘋果內部將第一年的Vision Pro銷量由原本的70-80萬臺下調到30-40萬臺。若是對其他業者，這些銷量都值得慶幸，但對一季銷售數千萬支iPhone、數百萬支Apple Watch的蘋果來說難以接受。但是停產Vision Pro應是為了消化庫存，因為產線設備至少到第四季都還保留。</p> <p>在減產第一代Vision Pro的同時，業界<a href="https://www.ithome.com.tw/news/163634" target="_blank">傳言</a>，蘋果已開始規畫低價版Vision Pro。媒體<a href="https://www.macrumors.com/2024/10/23/apple-may-stop-producing-vision-pro-by-end-of-2024/" target="_blank">報導</a>，蘋果要求供應鏈備貨400萬低價版裝置。不過這個數字是Vision Pro最初規畫的一半，顯示蘋果現在對MR頭戴裝置的企圖心已經小很多。</p> </div></div></div>
2025/1/3 10:05作者林妍溱https://www.ithome.com.tw/news/166804
LG Gram筆電導入混合式AI，本地端執行自家Exaone開源模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>LG<a href="https://www.lg.com/us/press-release/lg-hybrid-ai-gram-laptops">發表</a>全新Gram系列筆電，採用了Copilot+ PC雲地混合人工智慧架構，並在裝置端執行LG自家開發的Exaone語言模型，讓用戶在本地即可完成多樣化人工智慧運算需求，並透過雲端支援提供更強大的運算效能。</p> <p>微軟所定義的Copilot+ PC對硬體規格有著明確要求，需配備運算能力至少達到40 TOPS的NPU、16 GB記憶體、256 GB的SSD儲存空間，並具備全天電池續航力。LG新的Gram筆電採用英特爾最新的Core Ultra處理器，透過內建的NPU（Neural Processing Unit）符合算力門檻，能支援Copilot+即時字幕和圖像生成等功能。</p> <p>新一代Gram系列筆電搭載英特爾Core Ultra系列處理器，其中Gram Pro 16Z90TS是LG首款支援微軟Copilot+標準的筆電，搭載針對人工智慧應用的Lunar Lake處理器，最高支援32GB的LPDDR5X記憶體。另一款新型號Gram Pro 17Z90TR則配備更大的17吋螢幕，並採用更高性能的Arrow Lake處理器，該系列處理器在效能表現上超越Lunar Lake，適合需要更高運算效能的用戶。</p> <p>此外，LG新系列中還包含Gram 16T90TP和Gram Book。前者是二合一筆電，規格接近17Z90TR，但具備平板模式，提供更多使用靈活性，後者則為入門級機型，配備15.6吋螢幕、英特爾Core i5處理器、16 GB記憶體及最高1 TB的儲存空間，滿足使用者的基本生產力需求。</p> <p>除了硬體效能的提升，LG也將自家開發的Exaone語言模型導入新的Gram系列，透過gram chat On-Device功能，使用者即便在沒有網路連線的環境下，也能進行人工智慧運算，包括快速搜尋本機檔案、文件和網頁瀏覽紀錄。對於進階人工智慧功能需求的用戶，LG Gram筆電則提供雲端支援，藉由連結GPT-4o等大型語言模型，滿足更高階的需求。</p> <p>Exaone模型是LG AI Research開發的英文和韓文雙語模型，針對高效語言處理和本地運算需求設計，該模型支援最大上下文長度達32,768 Tokens，適合文件摘要、複雜內容創作等應用。因為Exaone經過指令調校，提升執行特定任務的準確性，並針對資源受限的裝置強化，使其能在裝置端低延遲運作，兼具高隱私性與成本效率。</p> <p>有別於單純仰賴微軟提供的雲端技術和大型語言模型，來實現Copilot+ PC核心人工智慧功能，LG採取另一種策略，在混合人工智慧架構中運行自家訓練的Exaone語言模型，對本地運算能力和模型掌握更大的自主權。</p> </div></div></div>
2025/1/3 08:43作者李建興https://www.ithome.com.tw/news/166801
【GPU直連存取與基礎網路架構齊頭並進，打通AI資料傳輸的瓶頸】2025 AI資料傳輸架構新進展
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1215-feng_mian_1-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI技術的興起，帶來AI訓練資料量的大幅增長，大語言模型（LLM）訓練的資料集，動輒達到TB或數十TB等級，對於較具規模的AI應用環境，保有數百TB甚至PB等級的訓練資料集，都已是現實。</p> <p>而隨著AI訓練使用的資料量持續暴漲，也促使當前AI應用的瓶頸，逐漸從運算能力轉向I/O吞吐能力。低落的後端網路效率，將會導致GPU運算能力的極大浪費。</p> <p>如AMD在不久前的Advancing AI大會中便舉例指出，在當前AI模型訓練過程中，平均有30%的時間是耗費在等待網路傳輸上，在一些較極端的例子中，網路傳輸耗時占訓練時間的比例，甚至達到40%到75%。</p> <p>因而如何提升I/O傳輸速度，以便在GPU伺服器與儲存裝置之間，更有效率地傳輸龐大的資料，已成為與擴展運算能力同等重要的AI應用議題，也是當前儲存與網路業界的技術發展焦點之一。</p> <p>儲存裝置向GPU伺服器傳送資料的效率，涉及儲存設備本身的輸出能力，以及傳輸通道的效能。</p> <p>當前的主流儲存設備大多可透過橫向擴展的叢集架構，藉由大量節點匯聚出龐大的輸出能力，因而傳輸瓶頸通常是落在傳輸通道方面，常見的改善手段有下列兩種：</p> <p>一種是從上層的應用程式軟體著手，在儲存裝置與GPU之間建立直接記憶體存取架構，藉此減少傳輸環節，達到減少存取延遲的效果。這方面最典型的應用，便是Nvidia的GPUDirect Storage直連傳輸技術。</p> <p>另一種是從底層的網路硬體著手，升級網路基礎架構，包括採用傳輸頻寬更高的網路規格，或是改進的傳輸協定，從而達到提高吞吐率、減少存取延遲的效益。例如引進400 GbE、800 GbE規格網路、以及使用基於RDMA架構的RoCE協定等。</p> <p>過去2年來，我們對AI應用I/O架構議題的關注，主要是放在GPU直連架構方面，陸續在2023年12月的封面故事<a href="https://www.ithome.com.tw/article/160493" target="_blank"><span style="color:#3366ff;">《GPU直連I/O崛起》</span></a>，與2024年10月的封面故事<a href="https://www.ithome.com.tw/article/165672" target="_blank"><span style="color:#3366ff;">《企業儲存市場新動能：GPU直連儲存系統》</span></a>，以Nvidia的GPUDirect與GPUDirect Storage技術為中心，針對Nvidia發展的一系列GPU直連傳輸架構，介紹AI資料傳輸加速技術的應用現況。</p> <p>關於新一代網路架構的探討與追蹤方面，我們在2024年8月封面故事<a href="https://www.ithome.com.tw/article/164269" target="_blank"><span style="color:#3366ff;">《2024資料中心I/O架構新面貌》</span></a>，概略檢視了AI應用主流網路架構的發展現況，包括乙太網路與InfiniBand等技術。</p> <p>近兩、三個月以來，針對改善AI應用I/O傳輸效率的需求，儲存與網路領域又有了一系列新進展，分別涵蓋GPU直連傳輸應用，以及基礎網路架構等兩個層面，也促使我們很快又再次回到這個領域，檢視這些新發展。</p> <hr /> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1215-%E5%B0%81%E9%9D%A21-600-JPG.jpg" style="width: 600px;" /></p> <p><span style="font-size: 24px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 提高AI儲存資料傳輸效率的2條路徑 </span></strong></span></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>要改善儲存裝置饋送資料給AI伺服器的傳輸效能，一般可從兩條途徑著手。</strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>一是從上層的應用程式著手，在儲存裝置與GPU之間建立直接記憶體存取（DMA）架構，使儲存裝置能直接將資料載入GPU記憶體，繞開AI伺服器主機CPU的中介，從而減少存取延遲，降低CPU負擔，最典型的應用架構，便是Nvidia的GPUDirect Storage（GDS）。</strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>二是從底層的基礎網路架構硬體著手，升級儲存裝置與GPU之間的網路架構，藉此可以擴展資料傳輸頻寬，並減少存取延遲。典型的做法如引進400GbE、800GbE等更高頻寬的網路，或是採用RoCE等低延遲網路傳輸協定。</strong></span></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">資料來源：iThome整理，2025年1月</span></span></p> <hr /> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>GPU直連傳輸生態系的再次擴展</strong></span></span></p> <p>在GPU直連傳輸應用方面，近來出現兩項關鍵進展</p> <p>首先，是Nvidia GPUDirect Storage（GDS）傳輸架構的應用生態系，又有重要的擴展。幾家重量級IT廠商，包括：公有雲服務業者龍頭AWS、老牌企業儲存廠商Quantum等，都在2024年底，加入支援GDS架構行列，Nutanix也預告支援這項架構。</p> <p>其次，有其他廠商加入戰局，推更多GPU直連儲存傳輸架構。</p> <p>基本上，Nvidia GDS屬於檔案層級的資料傳輸架構，因而並不適用於物件（Object）儲存設備，這也限制了物件儲存設備在GPU應用環境中的效能表現。</p> <p>令人意外的是，MinIO與Cloudian這兩家物件儲存廠商，不約而同地在2024年底，發表物件儲存層級的GPU直連傳輸架構，為GPU直連傳輸應用帶來重要的擴展，從GDS原本涵蓋的檔案儲存類型服務，如今得以擴展到物件儲存領域，讓GPU直連儲存傳輸架構能應用到更廣泛的環境中。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1215-%E5%B0%81%E9%9D%A21-600.jpg" style="width: 600px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> GPU直連儲存傳輸技術擴展到物件儲存領域 </span></strong></span></p> <p><strong><span style="color: rgb(105, 105, 105);">Nvidia的GPUDirect Storage是當前GPU直連儲存傳輸架構主流，但只適用於檔案層級，而MinIO與Cloudian則自行發展出物件層級的GPU直連架構，圖為Cloudian的GPUDirect for Object Storage，可在儲存設備與Nvidia GPU之間，透過S3物件儲存協定執行GPU直連儲存傳輸。</span></strong><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／Cloudian</span></span></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>新世代乙太網路的新進展</strong></span></span></p> <p>除了GPU直連傳輸，在更底層的基礎網路架構領域，也在2024年下半出現突破性進展。</p> <p>GPU直連傳輸與基礎網路架構的升級，都能幫助AI資料傳輸效率的提升，但兩者的著眼點，與運作層次不同。</p> <p>在網路通訊架構中，GPU直連傳輸應用屬於上層的應用層，是在既有的網路基礎架構下，透過直接記憶體存取技術來優化資料傳輸路經，達到減少存取延遲的效果，但所能達到的吞吐能力上限，取決於底層基礎網路架構的傳輸能力上限。</p> <p>所以基礎網路架構的升級，是比GPU直連技術更為根本、也更釜底抽薪的改進傳輸效率手段。</p> <p>如同高效能運算（HPC）領域，當前AI應用的主流基礎網路架構，也分為InfiniBand與RDMA乙太網路這兩種，其中，InfiniBand擁有效能與可靠性優勢，但成本相對高昂；乙太網路則勝在低成本，以及技術與產品普及，但效能與前者有顯著落差。</p> <p>所以，追求極致效能的用戶，傾向選擇InfiniBand；對成本敏感的用戶，則只能選擇乙太網路。</p> <p>有鑑於Nvidia在InfiniBand網路產品的壟斷，多家IT大廠集結、組成超級乙太網路聯盟（Ultra Ethernet Consortium，UEC），試圖從改進乙太網路協定著手，發展出足以與InfiniBand競爭的超級乙太網路傳輸（Ultra Ethernet Transport，UET）協定。</p> <p>不過，UEC聯盟的規範制定工作出現遲延，UET協定仍未正式實用化的此刻，身為全球電動車龍頭廠商、同時，在自動駕駛與AI應用著力甚深的特斯拉（Tesla），便率先在改善乙太網路效能方面，提出開創性的成果。</p> <p>在2024年8月的Hot Chips 2024大會，特斯拉發表基於乙太網路的新通訊協定TTPoE（Tesla Transport Protocol over Ethernet），在乙太網路底層堆疊上，結合新開發的資料傳輸層架構，大幅減少了資料傳輸延遲，從而能提供基於通用的乙太網路技術，但效能更勝既有的RoCE協定，使其成為足以與InfiniBand競爭的新協定，進而也在乙太網路與InfiniBand的規格競爭中，為乙太網路陣營注入一劑強心針。</p> <p>而UEC聯盟透過發展UET協定，所希望達到的一部分目標，TTPoE已在一定程度上予以實現，並且已被實際用在特斯拉自身的Dojo超級電腦。</p> <p>隨著特斯拉在Hot Chips 2024大會宣布將加入UEC聯盟，並將開放TTPoE協定，而有了這項協定之後，可望在未來的乙太網路發展中，發揮重要的作用，同時，也將大大改變AI與高效能運算領域的基礎網路架構生態。</p> <p><a href="https://www.ithome.com.tw/article/166794" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1215-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=kRE_ydZh" style="width: 550px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/ai">AI</a></div><div class="field-item odd"><a href="/tags/io%E6%9E%B6%E6%A7%8B">I/O架構</a></div><div class="field-item even"><a href="/tags/gpu%E7%9B%B4%E9%80%A3%E5%82%B3%E8%BC%B8">GPU直連傳輸</a></div><div class="field-item odd"><a href="/tags/%E6%96%B0%E4%B8%96%E4%BB%A3%E4%B9%99%E5%A4%AA%E7%B6%B2%E8%B7%AF">新世代乙太網路</a></div></div></div>
2025/1/3 06:00作者張明德https://www.ithome.com.tw/tech/166788
【Nvidia GDS生態擴大，基於物件儲存的GPU直連傳輸架構問世】GPU直連儲存傳輸架構的擴展
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1215-feng_mian_2-960_tu_pian_lai_yuan_-aws.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>所謂的GPU直連儲存傳輸，是指在儲存裝置與GPU之間，建立直接記憶體存取（Direct Memory Access，DMA），使儲存裝置直接將資料載入GPU記憶體，透過這種方式，可讓資料傳輸路徑，繞開主機CPU記憶體回彈緩衝區（Bounce Buffer）的中介，免除不必要的資料複製作業，並避開因主機CPU導致的效能瓶頸，不僅減少存取延遲，也有助於減輕主機CPU負荷。</p> <p>Nvidia於2019年中發表的GPUDirect Storage（GDS）技術架構，是當前GPU直連儲存傳輸技術的開創者與領導者，憑藉Nvidia在GPU領域的壟斷性地位，自2021年起，已陸續獲得多家廠商與產品平臺支援，在不久前的2024年底，又有數家廠商加入。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>Nvidia GDS支援生態系的新擴張</strong></span></span></p> <p>蔚為市場主流的GDS架構，先後獲得十多家儲存廠商的支援，例如，2021年有DDN、Dell、Hitachi Vantara、HPE、IBM、VAST與Weka，以及ScaleFlux；2022年有NetApp、Kioxia，2023年有華為、美光、PEAK:AIO。在2024年，又有Hammerspace、WD與Pure Storage。</p> <p>在我們上次介紹GDS時（去年10月），支援GDS的儲存廠商生態系大致就是這些，基本涵蓋所有一線儲存大廠，以及重要的新創廠商。自那時到現在的短短3個月之內，又接連有AWS、Quantum等廠商宣布支援GDS架構，Nutanix也再次預告將支援這項架構，等於更進一步擴展了GDS的應用生態系。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> AWS的FSx for Lustrez服務 </span></strong></span></p> <p>在2024年11月底，AWS宣布為其Amazon FSx for Lustre檔案儲存服務，新增對於EFA網路卡（Elastic Fabric Adapter），以及GDS傳輸架構的支援。</p> <p>Amazon FSx for Lustre是AWS基於Lustre平行檔案系統，所提供的高效能、高擴展性SaaS檔案儲存服務，無論IOPS或傳輸效能，都是AWS旗下一系列SaaS檔案儲存服務中最高的。而透過引進EFA網路卡與GDS傳輸架構，AWS宣稱，比起先前的FSx for Lustre服務，可為每臺用戶端執行個體提供高出12倍的資料傳輸吞吐率。</p> <p>EFA是專搭AWS EC2執行個體的網路介面，透過運行AWS專屬的可擴展可靠資料封包（Scalable Reliable Datagram，SRD）協定，能夠在EC2執行個體之間建立網路連線，並且可以繞過作業系統執行資料傳輸作業，達到減少延遲、提高傳輸速率的目的。</p> <p>FSx for Lustre對GDS的支援，透過EFA網路介面構建，使FSx for Lustre檔案系統與EC2 GPU型執行個體的資料傳輸，繞過CPU的中介，從而減少延遲，提高傳輸效率。</p> <p>目前AWS是在FSx for Lustre最新的持久性2型（Persistent 2）服務上，提供EFA與GDS的支援，而且用戶無須額外付費，就能啟用這2項功能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1215-%E5%B0%81%E9%9D%A22-600_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-AWS.png" style="width: 600px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(105, 105, 105);"> AWS FSx for Lustre新增支援GDS直連傳輸 </span></strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>AWS已在FSx for Lustre儲存服務最新的持久性2（Persistent 2）類型，提供EFA網路介面與GDS直連傳輸架構的支援，比起上一代服務，傳輸吞吐率可提升12倍。上圖為FSx for Lustre基本應用架構，透過支援EFA網路介面，可在儲存區與EC2執行個體之間進行高效率網路傳輸，並與EC2 GPU執行個體建立GDS直連傳輸。</strong>圖片來源／AWS</span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> Quantum的Myriad平臺 </span></strong></span></p> <p>Quantum在不久前的2024年12月中旬，宣布旗下的Myriad分散式物件與檔案儲存平臺，已經能夠支援Nvidia GDS傳輸架構。</p> <p>基本上，Myriad是Quantum在原有的物件與檔案儲存平臺ActiveScale之外，於2023年4月發表的新一代高效能型分散式儲存系統，</p> <p>早在Myraid發表之初，Quantum便已預告將會支援Nvidia GDS架構，時隔一年半之後，Quantum如今終於透過新開發出來的平行檔案系統用戶端軟體（Parallel File System Client），實現這個目標，藉此可讓Myriad儲存叢集以GDS架構連結GPU伺服器。</p> <p>目前Quamtum預定從2025年第1季起，開放現有Myraid用戶透過搶先體驗計畫（Early Access Program）申請，進行平行檔案系統用戶端軟體的評估及試用，然後在2025年第2季正式發布。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1215-%E5%B0%81%E9%9D%A22-600_2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Quantum.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(105, 105, 105);"> Quantum Myriad提供GDS直連儲存 </span></strong></span></p> <p><span style="color: rgb(105, 105, 105);">Quantum在2023年初發表Myriad儲存平臺時，便已預告將會支援Nvidia GDS傳輸架構，但直到2024年底，才藉由新發布的平行檔案系統用戶端軟體，兌現這項功能。上圖為Myriad發表時提出的功能框架，可見到Nvidia GPUDirect已被列入用戶端存取支援架構之一。<span style="font-size: 14px;">圖片來源／Quantum</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> Nutanix的NUS平臺 </span></strong></span></p> <p>Nutanix其實早在2024年7月，該公司執行長Rajiv Ramaswami便曾公開預告，對Nvidia GPUDirect架構提供支援，並且已列入他們的發展路線圖，但並未提供進一步的消息。直到11月底，Nutanix資深副總裁兼總經理Vishal Sinha才於新發表的技術白皮書文件《Scaling Storage Solutions for Foundation Model Training》，正式確認Nutanix的NUS儲存平臺（Nutanix Unified Storage）對GDS的支援，以及採用的架構。</p> <p>NUS是Nutanix以其AOS系統為基礎，延伸發展的儲存方案，AOS原本是搭配Hypervisor應用的分散式儲存系統，與Hypervisor整合為超融合部署架構。NUS則可視為AOS的「獨立儲存產品化」版本，既可採用超融合架構部署，也能獨立部署、或在雲端部署，繼承了AOS的高擴展性，以及橫跨區塊、檔案與物件儲存服務的多協定服務能力。</p> <p>Nutanix資深副總裁兼總經理Vishal Sinha在白皮書表示，NUS將透過整合Nvidia GDS與NFSoRDMA協定，以增強效能，藉由在儲存裝置與GPU記憶體之間直接傳輸資料、繞過CPU，減少存取延遲與CPU負載，從而加速AI與機器學習工作負載。</p> <p>所謂的NFSoRDMA，完整名稱為NFS over RDMA協定，也就是在RDMA乙太網路環境所執行的NFS檔案傳輸協定，是GDS常用的兩種底層傳輸架構之一（另一是InfiniBand）。</p> <p>但Nutanix迄今仍未發布NUS開始支援GDS的具體時間，我們推測可能會在2025年上半。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>物件層級GPU直連傳輸架構問世</strong></span></span></p> <p>雖然GDS架構能達到減少GPU與儲存裝置間的存取延遲、提高傳輸效率的效率，但應用上也存在一項限制：只適用於檔案層級的資料傳輸。</p> <p>GDS可以支援區塊儲存系統，以及網路附加裝置（NAS）等兩種儲存裝置，但存取都是在檔案層級進行。</p> <p>區塊儲存裝置方面，無論GPU伺服器本機的NVMe SSD，或透過NVMe-oF掛載的外部區塊儲存區（Volume），都需格式化為EXT4或XFS檔案系統的形式，再掛載給GPU伺服器使用。</p> <p>而在NAS方面，支援GDS的外部掛載檔案系統，是透過修改的NFS協定（NFS over RDMA），或是OFED網路介面，將檔案系統空間掛載給GPU伺服器使用。</p> <p>而這也意味著：基於物件層級存取的物件儲存設備，無法獲得GDS架構帶來的傳輸加速效益，進而難以在以Nvidia GPU為核心的AI應用市場，與支援GDS的產品競爭。</p> <p>所以，目前市面上一些物件儲存平臺產品，是透過兼容於物件儲存與檔案儲存的雙重服務能力，以檔案傳輸協定來支援GDS，例如：我們在前面曾介紹的Quantum Myraid，另外還有Pure Storage FlashBlade，以及Weka、VAST Date的平臺等。</p> <p>但MinIO與Cloudian這兩家物件儲存廠商另闢蹊徑，自行發展了物件層級的GPU直連儲存傳輸架構，從而讓物件儲存設備也能獲得GPU直連傳輸的效益。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> MinIO的S3 over RDMA架構 </span></strong></span></p> <p>近來聲勢頗旺的新興物件儲存廠商MinIO，以其物件儲存平臺Object Store為基礎，在2024年11月推出專門對應AI與機器學習應用的版本AIStor，引進了一系列幫助提高AI應用效率的新功能，其中最吸引我們注意的，便是新增對S3 over RDMA協定的支援。</p> <p>顧名思義，S3 over RDMA是基於S3物件儲存協定的RDMA直連存取架構，MinIO宣稱，用戶可以利用這項傳輸協定，透過400GbE、800GbE或更高速度的乙太網路，存取MinIO儲存伺服器上的S3物件，藉此獲得類似Nvidia GDS架構的效益，包括繞過CPU的RDMA直接存取，無須中介緩衝的零複製資料傳輸，卸載CPU負荷，以及更高效率的流量控制等。</p> <p>而藉由引進S3 over RDMA的手段，也促使MinIO的物件儲存平臺，現在已經具備角逐AI儲存應用市場的同等條件，能與眾多支援GDS架構的平行或分散式檔案儲存系統抗衡，可以憑藉同等的條件進行產品與技術的競爭。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> Cloudian的GPUDirect for Object Storage架構 </span></strong></span></p> <p>幾乎與MinIO同時，另一物件儲存廠商Cloudian也在2024年11月，發表自身的物件儲存GPU直連傳輸技術：GPUDirect for Object Storage，與其HyperStore物件儲存平臺搭配運用。</p> <p>Cloudian宣稱這一項直連傳輸架構，是透過Nvidia ConnectX與BlueField DPU技術所建立，可在Nvidia GPU與Cloudian儲存節點之間，建立直連通訊，透過S3協定的指令，以RDMA方式存取資料，而不須經過CPU與系統記憶體。藉此可讓單一Cloudian儲存系統提供超過200GB/s的速度，而且，無須依靠快取，就能讓這種傳輸效能維持長達30分鐘。此外，由於資料傳輸路徑可以繞過CPU，因此在資料傳輸期間，還可降低45％的CPU耗用率。</p> <p>Cloudian還表示，GPUDirect for Object Storage的架構，比起檔案層級的直連技術（如GDS）更簡單，不需要修改驅動程式核心，因而能簡化管理，也減少安全性風險。</p> <p>目前Cloudian提供內含GPUDirect for Object Storage的HyperStore平臺軟體，並能與Supermicro的伺服器硬體，整合為軟硬體合一的儲存伺服器產品銷售，以便用戶端的部署。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>邁向全面普及的GPU直連傳輸 </strong></span></span></p> <p>MinIO與Cloudian這兩家物件儲存廠商，在2024年底率先發表物件儲存層級GPU直連傳輸技術此舉，這是GPU直連儲存傳輸技術發展與推廣的關鍵節點，可望成為其他物件儲存廠商的「帶頭典範」，吸引其他廠商依循類似的方式，更有意願加入支援GPU直連傳輸架構的行列。</p> <p>在當前的3大儲存產品形式中，區塊與檔案類型產品，原本就能夠透過Nvidia GDS技術來建立GPU直連儲存傳輸（兩者都在檔案層級上運作）。現在物件儲存產品領域，終於也出現類似技術，可以建立GPU直連儲存傳輸，而這樣的突破，也讓儲存設備與GPU之間的存取，正式全面進入GPU直連傳輸時代。</p> <p><a href="https://www.ithome.com.tw/article/166794" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1215-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=kRE_ydZh" style="width: 550px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/nvidia-gds">Nvidia GDS</a></div><div class="field-item odd"><a href="/tags/gpu%E7%9B%B4%E9%80%A3%E5%82%B3%E8%BC%B8%E6%9E%B6%E6%A7%8B">GPU直連傳輸架構</a></div><div class="field-item even"><a href="/tags/minio">Minio</a></div><div class="field-item odd"><a href="/tags/cloudian">Cloudian</a></div><div class="field-item even"><a href="/tags/quantum">Quantum</a></div><div class="field-item odd"><a href="/tags/aws">AWS</a></div><div class="field-item even"><a href="/tags/nvidia">Nvidia</a></div></div></div>
2025/1/3 06:00作者張明德https://www.ithome.com.tw/tech/166791
【角逐AI與HPC網路的兩大市場領導規格】新世代乙太網路架構成形
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1215-feng_mian_3-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Telsa</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著AI應用興起，也讓高效能網路需求，從高效能運算（HPC）領域擴散到一般企業資料中心。</p> <p>為了因應AI帶來的龐大資料傳輸需求，以往僅見於HPC領域的 200/400Gb等級以上高速網路，也開始進入企業資料中心，連帶也讓InfiniBand與乙太網路的競爭，從高效能運算領域蔓延到企業應用領域。</p> <p>目前InfiniBand與乙太網路的頻寬規格都已發展到800Gb，但由於資料鏈結層、流量控制與組網方式的差異，即便在同等頻寬條件下，InfiniBand的效能與可靠性仍具有相當的優勢，乙太網路則以成本取勝。</p> <p>因而從應用需求角度來看，以效能為最優先的頂級用戶，自然首要選擇InfiniBand；而對於成本較敏感的用戶，則更傾向使用乙太網路。但若從產品供應來源的角度來看，相對於開放、充分競爭的乙太網路產品生態環境，InfiniBand的產品生態環境是由Nvidia/Mellanox壟斷，制約了用戶選擇彈性。</p> <p>但InfiniBand產品的封閉與缺乏選擇彈性，也給了其他廠商機會。除了主導InfiniBand的Nvidia外，包括Intel、AMD、Broadcom在內的網路與晶片一線大廠，於2023年7月集結組成超乙太網路聯盟（Ultra Ethernet Consortium，UEC），合作發展改進的乙太網路傳輸堆架構，讓新一代乙太網路規格能兼具開放與高效能特性，從而挑戰InfiniBand在AI與高效能運算領域的領導地位。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>超級乙太網挑戰InfiniBand</strong></span></span></p> <p>UEC聯盟工作小組的具體目標，是制定新的超乙太網路傳輸（Ultra Ethernet Transport，UET）協定。UET可視為RoCE協定（RDMA over Converged Ethernet）的後繼者，RoCE是將InfiniBand的RMDA存取架構移植到乙太網路而成，以求兼具RDMA的低延遲與乙太網路的低成本。</p> <p>較早的RoCEv1是以InfiniBand傳輸層與網路層，結合乙太網路實體層與資料鏈結層，目前通用的RoCEv2的網路層則改用UDP/IP協定，讓資料封包可以路由，以便大規模環境的應用，但也在雍塞控制、負載平衡方面帶來新的問題。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/明德-AI IO主圖2-圖片來源-Telsa.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%98%8E%E5%BE%B7-AI%20IO%E4%B8%BB%E5%9C%962-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Telsa.jpg" style="width: 175px;" /></a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(105, 105, 105);"> UEC協定的堆疊架構 </span></strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>UEC推動的網路技術是在乙太網路實體層、鏈結層與IP網路層之上，引進新的傳輸層架構，搭配應用程式層的軟體API，提供改進的存取延遲、壅塞控制，以及安全性。</strong><span style="font-size: 14px;">圖片來源／Ultra Ethernet Consortium</span></span></p> <p>UET協定的發展目標，是透過新的傳輸層來改善雍塞管理、延遲、安全性與多供應商支援的API，主要特性包括：幫助改善負載平衡的多路徑封包噴灑（Multi-path packet spraying），以及彈性排序（Flexible ordering），改善壅塞控制的改進控制機制與端到端遙測（End-to-end telemetry）等，還有可因應不同應用情境與規模的多種傳輸交付型式服務（Multiple transport delivery），以及改進的安全性。</p> <p>UEC聯盟原定於2024年第3季發布1.0版規範，而AMD也在2024年的10月，發表全球首款「UEC Ready」的網路卡Pensando Pollara 400，但UEC的規範制定工作進度出現延遲，首版協定發布時間延後到2025年第1季。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>特斯拉TTPoE異軍突起</strong></span></span></p> <p>在UEC新規範制定陷入延宕的時候，特斯拉搶先一步在Hot Chips 2024大會，發布為其Dojo超級電腦發展的TTPoE協定（Tesla Transport Protocol over Ethernet），提供另一種基於乙太網路的高效率網路架構。</p> <p>如同UEC聯盟，TTPoE也是從改進傳輸層著手，在乙太網路實體層與資料鏈結層上，以自身的協定取代TCP/IP。特斯拉認為，TCP/IP基於優先流量控制機制的RDMA存取架構，雖能消除壅塞導致的封包遺失，但過於複雜，對效能影響較大，因而改用更簡單直接的壅塞控制，以及一系列旨在減少延遲的手段。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%98%8E%E5%BE%B7-AI%20IO%E4%B8%BB%E5%9C%961-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-UEC.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(105, 105, 105);"> TTPoE協定的基本架構 </span></strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>電動車大廠特斯拉發展的TTPoE，實體層與資料鏈結層都沿用乙太網路，將傳輸層換為自身的TTP架構，採用更簡單、直接的壅塞控制，以及一系列減少延遲的設計，達到簡化架構，減少延遲的目的。</strong><span style="font-size: 14px;">圖片來源／Telsa</span></span></p> <p>TTPoE是完全以硬體執行的點對點傳輸層協定，只涉及Layer 2傳輸，無須特殊的交換器。不同於RoCE v2，TTPoE屬於「有損」（Lossy）的傳輸層協定，在壅塞與錯誤的情況下，會丟棄封包重新傳送，並採用由每個端點獨立處理的分散式壅塞控制，透過簡單的丟棄封包來處理壅塞，藉此減少複雜性與脆弱性，另外還採用基於硬體執行的傳輸層狀態機（State Machine），藉此縮短等待狀態，有助於降低延遲。</p> <p>TTPoE協定是由整合在FPGA晶片內，位於網路晶片（NOC），以及乙太網路MAC之間的IP區塊（block）執行。特斯拉也同步發表用於搭配Dojo超級電腦，內含TTP乙太網路控制器與Dojo DMA引擎的Mojo網路卡，聲稱這是基於成熟技術的「笨」（Dumb）網卡，力求簡單與經濟實惠，網路傳輸的速度可達100 Gb/s。</p> <p>特斯拉根據自己的實測顯示，TTPoE能達到比InfiniBand與NVLink低40%的單向存取延遲，更只有標準TCP/IP的1/400，不過採取的方法也較為簡單與「粗暴」，與UEC試圖兼顧更廣泛需求的路線有所差異。特斯拉已宣布將會開放TTPoE，同時也將加入UEC聯盟，因而TTPoE可望與UEC協定互補，提供高效能乙太網路架構的另一選擇。</p> <p><a href="https://www.ithome.com.tw/article/166794" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1215-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=kRE_ydZh" style="width: 550px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/ai">AI</a></div><div class="field-item odd"><a href="/tags/hpc">HPC</a></div><div class="field-item even"><a href="/tags/%E6%96%B0%E4%B8%96%E4%BB%A3%E4%B9%99%E5%A4%AA%E7%B6%B2%E8%B7%AF">新世代乙太網路</a></div><div class="field-item odd"><a href="/tags/infinband">InfinBand</a></div><div class="field-item even"><a href="/tags/%E7%89%B9%E6%96%AF%E6%8B%89">特斯拉</a></div><div class="field-item odd"><a href="/tags/ttpoe">TTPoE</a></div><div class="field-item even"><a href="/tags/%E8%B6%85%E4%B9%99%E5%A4%AA%E7%B6%B2%E8%B7%AF%E8%81%AF%E7%9B%9F">超乙太網路聯盟</a></div><div class="field-item odd"><a href="/tags/uec">UEC</a></div><div class="field-item even"><a href="/tags/%E8%B6%85%E4%B9%99%E5%A4%AA%E7%B6%B2%E8%B7%AF%E5%82%B3%E8%BC%B8">超乙太網路傳輸</a></div><div class="field-item odd"><a href="/tags/uet">UET</a></div></div></div>
2025/1/3 06:00作者張明德https://www.ithome.com.tw/tech/166792
企業AI資料傳輸技術2025面臨新變革
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1215-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=kRE_ydZh" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI訓練資料量持續暴漲，資料傳輸成為影響AI效率的關鍵，促使改善AI傳輸效率的新式I/O架構，成為近來儲存與網路技術發展的焦點，自2024年下半年以來，從GPU直連傳輸技術，到更底層的乙太網路等基礎網路架構，都出現一系列新發展，共同推動高效能AI應用環境的普及。</p> </div></div></div>
2025/1/3 06:00作者張明德https://www.ithome.com.tw/article/166794
【資安日報】1月2日，北韓駭客對開發人員發動新一波攻擊，意圖散布惡意軟體OtterCookie
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了謀取經濟利益，北韓駭客不僅假冒IT工作者向歐美企業應徵，也假借徵才的名義向開發人員行騙，企圖於他們的電腦植入惡意軟體，以便竊取各式資料。</p> <p>在最新一波攻擊行動當中，這些駭客開始運用新的工具，目的是洗劫受害者的加密貨幣資產；另一方面，研究人員發現這些駭客的攻擊手法也有所調整，他們也透過應用程式框架做為挾帶惡意程式的管道。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166787"><strong style="font-size: 22px;">後門程式OtterCookie鎖定軟體開發人員而來，北韓駭客假借徵才名義散布</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/460518afb9d41b37b26a5dd7b1d7a2d736b380c0-1361x577.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/460518afb9d41b37b26a5dd7b1d7a2d736b380c0-1361x577.png" style="width: 300px; float: right;" /></a></p> <p>北韓駭客鎖定線上求職者發動攻擊行動的情況不時傳出，其中專門針對開發人員而來的攻擊行動Contagious Interview，引發不少資安研究員的注意，去年9月我們曾報導他們的動態，如今傳出駭客翻新攻擊手法的現象。</p> <p>日本電信業者NTT的資安監控中心的分析師上週發布消息，指出他們11月發現這些駭客的最新一波攻擊行動，並指出在日本有人遭遇相關攻擊，駭客不光是散布惡意程式BeaverTail、InvisibleFerret，這次也使用另一種稱做OtterCookie的攻擊工具。</p> <p>針對這些駭客攻擊的管道，研究人員提及本來是透過NPM、GitHub、Bitbucket，假借提供NPM套件發動攻擊，但他們近期看到也有運用Qt和Electron應用程式框架的情況。</p> <p><a href="https://www.ithome.com.tw/news/166755"><strong style="font-size: 22px;">KYC客戶識別受到挑戰，資安業者警告駭客於暗網系統性彙整能用於通過驗證的資料</strong></a></p> <p>道高一尺，魔高一丈，企業組織用來了解客戶的「認識你的客戶（Know Your Customer，KYC）」機制，有歹徒企圖收買真實資料來魚目混珠，用來捏造身分通過這種驗證機制。</p> <p>專精於生物辨識身分驗證解決方案的資安業者iProov指出，他們發現駭客於暗網研究如何繞過企業KYC的旁路攻擊手法，該公司的安全營運中心於暗網發現一批資料，內含大量的身分證明文件、對應的臉部圖片，經他們確認這些資料就是駭客打算用來通過KYC驗證流程的工具。值得留意的是，研究人員指出，這些資料似乎並非偷來的，而是當事人同意的情況下付費取得。這些駭客主要活動範圍在拉丁美洲（LATAM），但類似的手法曾出現在東歐地區，不過研究人員暫時無法確認兩組犯罪集團之間是否有所關聯。</p> <p>研究人員指出，這項發現對企業組織執行KYC帶來多重挑戰，因為他們不僅要檢測文件偽造情況，還必須能察覺未經授權濫用他人真實個資的問題。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/fortiguard-labs-ec2-grouper-aws-credential-exploits/">駭客組織EC2 Grouper濫用AWS工具竊取雲端帳密資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-details-reveal-how-hackers-hijacked-35-google-chrome-extensions/">鎖定瀏覽器延伸套件供應鏈攻擊事故受害範圍擴大，35個套件傳出被植入惡意程式碼</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166783"><strong style="font-size: 22px;">居易VPN閘道設備存在命令注入漏洞，逾6.6萬臺設備曝險，臺灣有超過1萬臺曝險</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2024-12987.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2024-12987.png" style="width: 300px; float: right;" /></a>直接連上網際網路的閘道設備，像是路由器、VPN閘道，一有重大漏洞、若未盡快修補，受到攻擊的機會比其他設置在防火牆背後的系統更大，最近又有這類資安威脅形成！根據資安研究人員Netsecfish的分析，居易科技（DrayTek）VPN閘道設備Vigor2960、Vigor300B存在命令注入漏洞，2024年12月27日這漏洞被通報，編號為CVE-2024-12987，攻擊者可操弄session參數注入任意命令，CVSS風險評分為7.3，估計有超過6.6萬臺設備曝險。</p> <p>關於受此漏洞影響的國家而言，越南、臺灣分居全球第一、二名，分別有20,521、11,155臺，其次為英國、墨西哥、香港，分別有4,496、3,679、3,599臺。</p> <p>針對這樣的情況，我們也向居易進一步詢問，該公司表示已在去年10月發布的1.5.1.5版韌體修補這項弱點，他們也確認還有Vigor3900也受到影響。</p> <p><a href="https://www.ithome.com.tw/news/166793"><strong style="font-size: 22px;">微軟資料整合服務Azure Data Factory出現組態配置不當的情況，整合的工作流程管理平臺Apache Airflow恐曝險</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-435825-137792-12.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-435825-137792-12.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks在微軟的資料整合服務Azure Data Factory當中，發現一系列配置不當的情況，他們將其命名為Dirty DAG，這些配置不當造成的弱點，影響其中整合的工作流程管理平臺Apache Airflow，攻擊者若是利用這些弱點，可對特定的有向無循環圖（Directed Acyclic Graph，DAG）檔案進行未經授權的寫入，或是滲透特定的服務原則。這些弱點的命名由來，也許是攻擊者可利用相關弱點對DAG檔案進行寫入而得。</p> <p>而在Palo Alto Networks發現的Azure Data Factory配置不當現象當中，涵蓋3大面向，包含：Airflow叢集Kubernetes當中，以角色為基礎的存取控制（RBAC）組態不當的情況、Azure內部Geneva服務帳密資料處理不當，以及Geneva驗證機制薄弱的情形。</p> <p>一旦攻擊者利用這些弱點，就有機會以地下管理員（Shadow administrator）的身分持續存取整個Airflow的Azure Kubernetes Service（AKS）叢集，而有機會暗中洩露資料、部署惡意軟體，甚至是進一步暗中操控這些叢集。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.safebreach.com/blog/ldapnightmare-safebreach-labs-publishes-first-proof-of-concept-exploit-for-cve-2024-49112/">針對微軟12月修補的LDAP漏洞，研究人員公布細節，指出攻擊者有可能讓伺服器當機</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-21182-poc-exploit-code-published-for-severe-weblogic-flaw/">針對7月Oracle修補的WebLogic Server高風險漏洞，研究人員公布概念性驗證程式碼</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-11944-truenas-core-vulnerability-allows-unauthenticated-attacks/">開源NAS作業系統TrueNAS Core存在高風險漏洞，攻擊者有機會遠端執行任意程式碼</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166748"><strong style="font-size: 22px;">資安院院長何全德闡述AI的機會與挑戰，正視與調適生成式AI帶來的影響</strong></a></p> <p>在當今科技快速發展的浪潮中，生成式AI成為人類科技史上少有的革命性技術，其深度、速度與廣度的影響超乎預期。國家資通安全研究院院長何全德日前以「新世代AI對資安治理的挑戰與機遇」為題發表演說，深入探討AI如何改變人類社會的治理模式與應用格局。</p> <p>何全德強調，AI應用正處於快速成長階段，未來將進一步帶來超越想像的科技創新。例如，數位雙生（Digital Twins）技術的普及，讓西門子等公司得以開發虛擬數位心臟，為醫療保健與精準治療注入新動能。何全德進一步表示，「數位轉型」與「淨零轉型」是全球未來發展的關鍵方向。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166762"><strong>【12月31日】駭客公布從思科、施耐德電機竊得的部分資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166744"><strong>【12月30日】駭客鎖定逾20款Chrome延伸套件發動供應鏈攻擊，意圖竊取使用者社群網站帳號</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166722"><strong>【12月27日】Palo Alto Networks防火牆阻斷服務漏洞傳出已有攻擊行動</strong></a></p> </div></div></div>
2025/1/2 17:03作者周峻佑https://www.ithome.com.tw/news/166796
微軟資料整合服務Azure Data Factory出現組態配置不當的情況，整合的工作流程管理平臺Apache Air…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Palo Alto Networks在微軟的資料整合服務Azure Data Factory當中，發現一系列配置不當的情況，他們將其命名為<a href="https://unit42.paloaltonetworks.com/azure-data-factory-apache-airflow-vulnerabilities/">Dirty DAG</a>，這些配置不當造成的弱點，影響其中整合的工作流程管理平臺Apache Airflow，攻擊者若是利用這些弱點，可對特定的有向無循環圖（Directed Acyclic Graph，DAG）檔案進行未經授權的寫入，或是滲透特定的服務原則。這些弱點的命名由來，也許是攻擊者可利用相關弱點對DAG檔案進行寫入而得。</p> <p>Azure Data Factory是無伺服器資料整合服務，微軟聲稱內建超過90個連接器，可讓使用者以圖像化的方式操作，在無需編寫程式碼的情況下整合資料來源，使用者能架設擷取、轉換和載入（ETL）或擷取、載入與轉換（ELT）工作流程，最終將整合完成的資料傳送到Azure Synapse Analytics，以便進一步解析。</p> <p>而在Palo Alto Networks發現的Azure Data Factory配置不當現象當中，涵蓋3大面向，包含：Airflow叢集Kubernetes當中，以角色為基礎的存取控制（RBAC）組態不當的情況、Azure內部Geneva服務帳密資料處理不當，以及Geneva驗證機制薄弱的情形。</p> <p>一旦攻擊者利用這些弱點，就有機會以地下管理員（Shadow administrator）的身分持續存取整個Airflow的Azure Kubernetes Service（AKS）叢集，而有機會暗中洩露資料、部署惡意軟體，甚至是進一步暗中操控這些叢集。</p> <p>而在成功滲透後，攻擊者就有機會操縱Geneva服務，由於該服務主要功能是管理重大事件記錄及指標，這代表攻擊者有機會竄改事件記錄資料，或是存取其他敏感的Azure資源。</p> <p>照理來說，使用者的叢集微軟已採取隔離措施，但研究人員發現，實際上Airflow預設採用無法變更的組態，runner挾帶叢集管理員角色而導致安全弱點，使得攻擊者有機會用來控制Airflow叢集及相關基礎設施。</p> <p>僅管微軟認為這批漏洞的嚴重性不高，但研究人員認為，採用Azure Data Factory的企業組織切勿掉以輕心，因為這些漏洞有可能讓攻擊者成為Azure基礎設施的地下管理員，而有可能造成深遠的影響。</p> </div></div></div>
2025/1/2 16:14作者周峻佑https://www.ithome.com.tw/news/166793
Windows 11 BitLocker加密仍有漏洞，實體接觸即可迅速破解
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資深安全研究員兼硬體駭客Thomas Lambertz在CCC（Chaos Communication Congress）大會上<a href="https://media.ccc.de/v/38c3-windows-bitlocker-screwed-without-a-screwdriver">重現Windows 11 BitLocker漏洞攻擊手法</a>，即便使用者已安裝微軟修復相關漏洞的更新，攻擊者仍然可以使用新的攻擊手法繞過BitLocker加密保護，取得Windows 11系統中的資料。</p> <p>BitLocker是微軟提供的全磁碟加密技術，被廣泛用於一般與企業使用者的Windows 11系統中，並已作為部分設備的預設加密功能。在預設模式下，BitLocker會在系統靜止的時候加密磁碟，當合法的Windows系統啟動時則會自動解密，但是這個便利性卻成為漏洞攻擊的核心，從Thomas Lambertz的示範可以看出現有的更新並未完全修復漏洞。</p> <p>該漏洞被歸類在<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-21563">CVE-2023-21563</a>，是一種稱為bitpixie的攻擊，這是在2022年就被揭露的攻擊手法。微軟曾在2022年底宣布完成修補該漏洞，但是Thomas Lambertz展示透過降級攻擊，攻擊者依然能夠利用漏洞取得加密金鑰，並成功存取Windows 11中受保護的資料。</p> <p>bitpixie的攻擊概念在於利用Secure Boot機制啟動一個過時的Windows啟動載入程式，讓系統在恢復模式下將加密金鑰存入記憶體，接著使用經過特別更改過的Linux系統，利用核心漏洞讀取記憶體內容，並擷取BitLocker解密金鑰。該過程讓攻擊者不需直接操作磁碟，也不需要打開機殼，即可完成解密，這也正是Thomas Lambertz演講Screwed without a Screwdriver主題的由來，意思是不使用螺絲起子拆解設備，攻擊者還是能輕易突破加密。</p> <p>之所以這個漏洞如此難以修復，主要技術挑戰在於UEFI韌體的儲存空間有限，導致微軟無法立即以雜湊值黑名單撤銷所有存在漏洞的啟動載入程式憑證，微軟預計要到2026年才能全面更新的Secure Boot憑證，而這也才能推動主機板製造商更新UEFI，徹底解決這個問題。</p> <p>由於該攻擊需要實體接觸，因此對一般使用者來說風險相對較低，但是對於企業與政府等注重資安的機構則需要提高警戒，因為Thomas Lambertz展示攻擊僅需要短暫的實體接觸，就可完成攻擊。在微軟完全解決該問題之前，使用者可以設置PIN碼強化BitLocker防護，或是直接在BIOS停用網路功能，避免攻擊者使用像是USB網路卡等裝置竊取機密資料。</p> </div></div></div>
2025/1/2 17:00作者李建興https://www.ithome.com.tw/news/166795
臺灣資安產品市場蓬勃發展！IDC臺灣預測2028年規模將達235億臺幣，密碼敏捷性與AI BOM將成2025年新焦點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>市調機構IDC最近預測，未來四年臺灣資安產品市場將持續成長，市場規模從2024年的4.62億美元增至2028年的7.16億美元（相當於235.4億新臺幣），年複合成長率達11.9%。其中，資安軟體的成長動能尤為強勁，年複合成長率高達13.3%。</p> <p>IDC分析指出，這一波資安產品市場的成長動力，除了來自傳統資安產品的需求外，還受到AI資安和量子韌性(Quantum Resilient Security)的挹注，這兩項新興資安技術成為2025年資安市場投資關注的新焦點。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20241212_063413335.jpg" style="width: 600px; height: 333px;" /></p> <p>目前量子韌性建立有三大技術，包括了量子隨機數產生器(QRNG) 、後量子密碼(PQC)，以及量子金鑰分發(QKD)，但不像QRNG和QKD是建立在量子運算基礎上來發展，PQC則是建立在現有運算系統之上，因此其發展速度相對更快。此外，美國NIST已於去年8月正式發布了三項針對PQC的標準。</p> <p>隨著量子韌性快速發展，不少資安廠商已開始投入PQC，IDC預測，到2026年，全球將有50%的企業因未能投入PQC相關技術，恐面臨資料洩漏風險。</p> <p>不過，對企業而言，建立PQC並非易事，從初期的資產盤點、排定優先順序，到最終的部署與調整，整個過程需要克服不少的挑戰。但更大的難點在於，比起充滿不確定性的Y2Q（Year to Quantum）的威脅，企業往往面臨更多當前迫切需要解決的資安問題，因此，PQC的優先性會被排在較後的位置。</p> <p><strong><span style="font-size:26px;">兼顧量子韌性與當前資安需求，企業優先導入密碼敏捷性框架</span></strong></p> <p>IDC就指出，目前許多企業在建立量子韌性之前，優先導入密碼敏捷性（Crypto-Agility）框架，這是一種能快速應對加密威脅的資料加密實踐方式。與直接部署PQC相比，IDC表示，密碼敏捷性框架在部署成本與周期上更具效率，且在現有合規環境下實務可行性更高。不僅能兼顧量子韌性與當前資安需求，還能實現與業務運作的緊密結合。</p> <p>根據IDC對密碼敏捷性框架的描述，其具備四大特色。首先，它能夠提升企業的合規性，藉由高度透明性，能協助企業靈活調整加密演算法與方法，確保符合現有資安規範。其次，透過自動化調整功能，企業可減少重複性工作，並能更快速應對日益變化的合規要求，有效節省時間與成本。</p> <p>此外，該框架支持建立彈性辦公環境，透過自動化的憑證管理流程（包括無密碼身份驗證等），能有效支援企業的遠端工作需求，同時確保共享資料的完整性與安全性。同時，提供了加密資源的可視性，使其更容易識別加密漏洞，並快速地進行相應的調整，為企業逐步實現量子韌性打下基礎。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20241212_063122412.jpg" style="width: 600px; height: 331px;" /></p> <p>過去兩年，生成式AI（GenAI）的快速發展雖大幅提升了企業內部的生產力與效率，但同時也帶來了全新的資安挑戰，IDC指出，企業在資安策略上，明年將更注重建立明確的AI BOM（人工智慧物料清單），以加強AI資安防護能力，應對日益複雜的安全威脅。</p> <p>與專注於漏洞管理及軟體授權追蹤的SBOM（軟體物料清單）不同，IDC指出，AI BOM更著重於記錄模型架構、訓練方法、數據來源，甚至包括訓練與推論的碳排放量。透過這些資訊的透明化，AI BOM能提升每個AI模型的透明度與安全性，進一步加強AI的安全性。。</p> <p>長遠來看，IDC預測，受AI BOM影響，到2028年，85%的資料產品將納入數據物料清單（Data BOM），進一步推動AI數據透明性與安全性的發展。同時，這也將成為企業在2025年資安投資需要開始關注的新議題。</p> </div></div></div>
2025/1/2 16:07作者余至浩https://www.ithome.com.tw/news/166790
7-Zip傳存在零時差漏洞，7-Zip開發者駁斥此為假消息
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一名ID為<a href="https://x.com/NSA_Employee39/status/1873644808998367272">@NSA_Employee39</a>的X（前推特）用戶宣稱，將連續多日釋出零時差漏洞，並將7-Zip的任意程式碼執行漏洞作為第一波訊息釋出。該用戶發布了一個<a href="https://archive.ph/E5tbn">Pastebin連結</a>，其中包含據稱是濫用7-Zip任意程式碼執行漏洞的程式碼。</p> <p>@NSA_Employee39聲稱攻擊者可利用經過特製的7-Zip壓縮檔，誘使受害者在解壓縮檔案時觸發漏洞，進而在目標系統上執行惡意程式碼。該用戶還表示，程式碼可能需要根據目標系統進行微調，並附上免責聲明，強調程式碼僅供研究和教育之用，不應被用於非法活動。</p> <p>不過，7-Zip主要開發者Igor Pavlov<a href="https://sourceforge.net/p/sevenzip/bugs/2539/">出面駁斥</a>這項說法。Igor Pavlov在7-Zip的Sourceforge官方論壇明確指出，在X上流傳的漏洞報告是假的，7-Zip的LZMA壓縮演算法並不存在這個漏洞。他還進一步分析@NSA_Employee39提供的程式碼，指出程式碼註解提到的RC_NORM函式並未出現在LZMA解碼器中，RC_NORM是一個用於LZMA編碼器和PPMD解碼器的巨集，Igor Pavlov推測，該段程式碼可能是由大型語言模型所生成。</p> <p>雖然Igor Pavlov提出解釋，但是論壇上一名叫做Deez n的用戶，則繼續質疑即便程式碼中關於RC_NORM的描述有誤，但是也不能完全排除LZMA解碼器中存在潛在漏洞的可能性，例如指標運算或緩衝區處理不當等問題。</p> <p>Deez n要求Igor Pavlov提供更多程式碼細節來證實LZMA解碼器的安全性，但Igor Pavlov並未正面回應Deez n的質疑，而是反問Deez n與@NSA_Employee39之間的關聯，以及Deez n是否使用大型語言模型生成程式碼。</p> <p>@NSA_Employee39後續則在X上張貼<a href="https://pastebin.com/gtnwfrim">Pastebin連結</a>，反擊Igor Pavlov對RC_NORM的解釋，其指出LzmaDec.c中的RC_NORM巨集在解碼過程會增加緩衝區指標，卻沒有驗證指標是否超過已配置的記憶體範圍或是bufLimit的限制，因此惡意設計LZMA串流即可操縱相關變數，導致緩衝區溢位到相鄰的記憶體區域，而覆蓋掉重要的記憶體區域導致任意程式碼執行。</p> <p>雖然目前7-Zip漏洞疑雲未有定論，但是Igor Pavlov已從技術層面否認漏洞的存在，@NSA_Employee39的爆料也被普遍認為是不實資訊，不過用戶最好還是提高警覺，避免開啟來源不明的壓縮檔，並定期更新7-Zip以維持安全性。</p> </div></div></div>
2025/1/2 16:20作者李建興https://www.ithome.com.tw/news/166789
後門程式OtterCookie鎖定軟體開發人員而來，北韓駭客假借徵才名義散布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>北韓駭客鎖定線上求職者發動攻擊行動的情況不時傳出，其中專門針對開發人員而來的攻擊行動Contagious Interview，引發不少資安研究員的注意，<a href="https://www.ithome.com.tw/news/164889">去年9月我們曾報導他們的動態</a>，如今傳出駭客翻新攻擊手法的現象。</p> <p>日本電信業者NTT的資安監控中心的分析師上週發布消息，指出他們11月<a href="https://jp.security.ntt/tech_blog/contagious-interview-ottercookie">發現這些駭客的最新一波攻擊行動</a>，並指出在日本有人遭遇相關攻擊，駭客不光是散布惡意程式BeaverTail、InvisibleFerret，這次也使用另一種稱做OtterCookie的攻擊工具。</p> <p>針對這些駭客攻擊的管道，研究人員提及本來是透過NPM、GitHub、Bitbucket，假借提供NPM套件發動攻擊，但他們近期看到也有運用Qt和Electron應用程式框架的情況。</p> <p>研究人員針對OtterCookie進行調查，推測攻擊者在9月開始運用這個惡意程式，意圖竊取受害者的加密貨幣錢包。此惡意程式濫用雲端JavaScript程式庫socket.io進行通訊，透過socketServer功能函數接收命令，並執行Shell命令、竊取受害電腦系統資訊等資訊。此外，這個惡意軟體還具備名為clipboardy的程式庫，可將受害者剪貼簿的內容傳送給攻擊者。</p> </div></div></div>
2025/1/2 14:48作者周峻佑https://www.ithome.com.tw/news/166787
代管.NET物件網域的CDN破產，微軟籲開發人員更新程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟上周<a href="https://devblogs.microsoft.com/dotnet/critical-dotnet-install-links-are-changing/" target="_blank">公告</a>，.NET網域的代管CDN（content delivery network）業者即將易主，呼籲開發人員應儘速變更軟體內相關的連結。</p> <p>微軟以多個CDN提供.NET物件及更新版下載。其中以azureedge.net結尾，包括"dotnetcli.azureedge.net"和"dotnetbuilds.azureedge.net"的網域是代管在edg.io上。但是該網域代管CDN業者Edgio破產，並通知微軟移轉到新的CDN，未來也將使用新網域。微軟預期，前述二個網域未來幾個月內也會永遠終止。</p> <p>Edgio保證到2025年1月15日還會營運，但微軟擔心它代管的網域會在之前突然停止運作。微軟要求開發商人員檢查軟體程式碼、scripts和配置是否和Edgio有關。此外，微軟預設將改用Azure Front Door，也要求開發人員驗證其資產和Azure Front Door是否相容。通常Azure Front Door和Edgio上的資產是相容的。若不相容，微軟也建議試試Akamai。</p> <p>微軟<a href="https://learn.microsoft.com/en-us/azure/cdn/edgio-retirement-faq" target="_blank">說明</a>，若開發人員在2025年1月7日前沒有採取行動，<a href="https://learn.microsoft.com/en-us/azure/frontdoor/migrate-cdn-to-front-door" target="_blank">前述二個下載網域將自動移轉到新的CDN</a>，即Azure Front Door。計畫轉移到Akamai和其他CDN業者，開發商必須為開發資產設定Feature Flag（DoNotForceMigrateEdgioCDNProfiles），以免被自動導向Azure Front Door。微軟也預告將在2025年1月3日，終止Edgio對Azure CDN的所有配置變更。</p> <p>其他網域如dotnet.microsoft.com或download.visualstudio.microsoft.com，都不受影響。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0102-Critica%EF%BC%9Adot%20NET%20Install%20links%20are%20changing_1226_02.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>12月中<a href="https://www.prnewswire.com/news-releases/akamai-completes-acquisition-of-select-assets-of-edgio-302331398.html" target="_blank">Akamai宣布</a>收購申請破產保護的Edgio部份CDN、安全資產以及非專屬授權，包括數百家新客戶聯絡資訊。</p> </div></div></div>
2025/1/2 12:24作者林妍溱https://www.ithome.com.tw/news/166784