英國資安業者NCC Group在上周四（8/8）舉行的黑帽大會上，揭露了Sonos智慧喇叭的多個安全漏洞，相關漏洞允許駭客自遠端監聽使用者。Sonos則在本月修補了CVE-2023-50809與CVE-2023-50810，並說它們影響所有的S1與S2系統。

Sonos為美國的音訊設備製造商，生產耳機、喇叭、聲霸卡或家庭劇院等產品，NCC Group則研究了Sonos One與Sonos Era 100，發現當中含有許多漏洞，且這些漏洞總計存在於24款Sonos產品上。

Sonos One是2019年發表的智慧喇叭，頗受市場歡迎，但研究人員分析該裝置的Wi-Fi堆疊後，發現它的無線網路驅動程式含有許多問題，合併為CVE-2023-50809漏洞。至於Sonos Era 100則是旗艦機種，研究人員發現其引導程序（Bootloader）含有許多安全問題，可被用來執行程式或控制裝置。

NCC Group的研究人員成功利用相關漏洞將Sonos喇叭變成竊聽器，以用來監聽喇叭附近的所有聲音。

根據Sonos的說明，CVE-2023-50809屬於遠端程式執行漏洞，肇因於裝置的無線驅動程式無法妥善驗證WPA2 四向交握時的一個資訊元素，而可遭到低權限且近距離的駭客利用，以執行任意程式。

而CVE-2023-50810則是個持續程式碼執行漏洞，存在於韌體中的U-Boot元件，允許駭客以Linux核心權限持續執行任意程式碼。駭客只要能實際存取該裝置，或是藉由某個運行時漏洞取得快閃記憶體的寫入權限，就能利用該漏洞。

這兩個漏洞同時影響舊版的S1與新版的S2系統，Sonos裝置用戶可將韌體更新至Sonos S1 11.12及Sonos S2 15.9以進行修補。

重點新聞(0702~0805)

智慧政府 AI

加速政府機關運用AI，數位部推動公務人員AI訓練課程

去年8月行政院擬定所屬公務機關使用生成式AI參考指引，數位部近期為推動各級政府機關運用AI技術，開始推動AI訓練課程，提升公務人員的AI技能，還包括運用AI提升民眾服務的品質、效率。

數位部舉例，目前已有部分的政府機關運用AI，例如經濟部智慧局以圖找圖商標檢索系統，利用AI檢查商標是否被申請或註冊過；衛福部也推出健保醫療申報的智慧審查工具，由AI協助閱讀審查醫療檢查報告，協助審核健保醫療費用。

數位部也和人事行政總處合作，針對公務人員推動AI訓練課程，包括對資訊主管規畫設計AI應用規劃和AI技術實戰課程；對一般公務人員則提供AI協助行政作業課程，例如資料處理、會議支援、文件編寫等。

數位部推動的AI訓練計畫，包括實戰AI工作坊，內容包括AI基礎知識、核心演算法、應用實例、實機操作等，希望藉此提升不同單位、職級公務人員具備AI基本技能，至少培訓700位公務人員具備AI技能。另外，數位部也提供線上AI學習資源，公務人員、民眾都可利用線上資源學習AI基本技能。

央行 數位貨幣

央行：已建立我國CBDC雛形平臺，將可支援數位券金流作業

央行近期在立法院報告我國CBDC數位貨幣推動現況，央行指出，目前我國CBDC尚未有明確推出時程，但是目前已建置CBDC雛形平臺，可發行少量數位現金，測試交易支付使用。

按照央行的政策規畫，未來CBDC錢包可分為記名及不記名，其中記名錢包由中央機構進行KYC，並且受資料保護隱私規定，交易以去識別化技術進行，不會保存用戶的交易明細資料。未來考量數位落差，除了手機，也會針對不熟悉手機使用的高齡使用者，讓他們可以使用卡片離線支付。

技術準備方面，目前央行已建置CBDC雛形平臺，將與數位部的政府機關發放共用平臺介接，未來政府機關得以透過發放共用平臺發放數位券，民眾使用錢包內的數位券消費之後，由央行處理用戶錢包內撥付、結清作業。儘管CBDC尚無推出的時間表，但央行已提升支付系統處理效能，例如CBDC雛形平臺支援數位券的金流作業，每秒交易筆數已可達到2萬TPS。

數位身分 個資保護

俄羅斯新法案予加密貨幣挖礦合法化，進一步擁抱加密貨幣

俄羅斯總統普丁近期簽署一項新法案，在政府可控管的框架下，賦予加密貨幣挖礦合法化，為該國繼開放跨境交易使用加密貨幣後，另一項最新的措施，讓俄羅斯從過去禁止的立場走向擁抱加密貨幣。

普丁是在8月8日簽署新法案，正式納管加密貨幣挖礦，新法案規定只有向政府註冊的法人、個體工商戶才能挖礦，沒有超過能源消耗限額的公民，可以在沒有註冊之下，從事小規模挖礦。該法案也對數位貨幣的開採行為，包括礦工、礦池、挖礦基礎設施營運商等各方角色提出定義，視挖礦為經濟活動，而非發行數位貨幣。法案也要求礦工提供挖礦相關資訊，並且開放國外數位資產在俄羅斯區塊鏈平臺上交易，但是如果可能危害俄羅斯金融，央行有權禁止個別的數位資產交易。

在稍早之前，7月底俄羅斯開放跨國交易中使用加密貨幣。原本俄羅斯政府對於加密貨幣採比較保守的心態，但是這幾年可能由於國際制裁，該國為突破困境，對加密貨幣的政策立場明顯轉向，試圖建立管理框架，積極擁抱加密貨幣的使用，以及相關開採行為。

防詐 AI

政府加強科技防詐，數位部：用AI對抗AI詐騙

政府持續打擊詐騙，數位部底下國家資通安全研究院近期指出，生成式AI使詐騙文本生成自動化，結合機器人帳號大量投放詐騙資訊，並透過按讚營造獲得支持的假象，在社團、群組擴大詐騙的影響力，應該妥善運用AI技術協助打詐，以AI對抗AI。

資安院表示，根據AI偵測的結果，目前投放詐騙廣告的粉專帳號約有1.6萬個，以其中1千個帳號進行比對，可發現特徵相似但尚未投放詐騙廣告的粉專帳號約有10萬個，按此推估1.6萬個投放詐騙廣告的粉專帳號，其背後尚有160萬個粉專帳號可以使用。它們每天投放5千到1萬則、存活1到2天的詐騙廣告，並營造群眾支持的熱度，增加詐騙的效果。

目前資安院也接受數位部委託，以詐騙關鍵字提取、資料探勘深化、訊息溯源等打詐技術，利用大數據分析、AI、機器學習等技術，以協助分析辨別詐騙威脅。AI可偽造文字、影音圖像，也能用於檢測及過濾，識別及清除機器人帳號，面對推陳出新的詐騙手法，需要從技術、法規、國際合作才能遏制詐騙行為。

區塊鏈 數位轉型

菲律賓將利用區塊鏈加速政府數位轉型

菲律賓政府近期宣布將採用區塊鏈技術，以加速向現代化的數位政府轉型，該國計畫透過區塊鏈，使將近100億的會計表格數位化，例如發票、收據、現金票據或特定銀行收據，利用區塊鏈技術，確保安全保存，同時也促成該國金融業的快速發展。

該國將運用區塊鏈技術，來提高透明度、降低成本，為數位交易的參與者提升效率及安全。菲國政府將數位轉型視為一種手段，改善對民眾的基本服務，並降低腐敗鬥爭，並寄望政府紀錄及服務數位化，能提高國家的規畫及決策能力，並簡化商業交易。

數位身分 法案

瑞士政府通過數位身分法草案，為2026年推出數位身分系統熱身

瑞士政府近期通過數位身分的聯邦法律草案，作為瑞士政府推動數位身分的依據，瑞士政府預計2026年推出新的數位身分系統。

瑞士政府法律事務委員會近期以9票對1票通過電子身分法草案，該委員會也提出幾項建議，例如當個人建立數位身分，可以自動比對驗證人臉與照片，以及信任基礎設施的軟體原始碼，如果涉及危害資料安全、侵害第三方權利，則不得公布原始程式碼。另外，電子身分資料僅能存放於政府的數位錢包（Digital Wallet），未來民間業者提供的數位錢包服務，只要符合政府規範，也能存放電子身分資料。

瑞士推動數位身分的計畫並不順利，先前曾被瑞士民眾在2021年公投所否決，如今捲土重來再推動數位身分法律草案，目的為建立民眾自主權利的數位ID系統，讓使用者得以控制由政府發布的個人身分數據。

資料共享 雲端

澳洲與雲端業者合作，建置最高機密雲端服務供情報、國防機關資料共享

澳洲政府近期與公有雲業者合作，由業者打造澳洲專政府使用的最高機密雲（Top Secret Cloud），為其情報、國防機構提供機密資料安全托管服務，透過最高機密雲促成敏感性資料共享。

這項合作將由雲端業者為澳洲建立具有主權的最高機密雲，並為當地創造約2千個工作機會，澳洲政府期望透過該業者雲端服務具有安全性、可靠性及彈性資源運用，針對澳洲的需求量身打造最高機密雲，以快速、大規模的安全共享、分析該國的最機密等級資料，並得以運用AI或機器學習技術達成一定的自動化。

澳洲政府國防部門表示，該最高機密雲可以強化國防通訊網路的彈性，成為支持該國軍事行動的關鍵能力，並且和美國建立更大的相容、更深的合作關係。

圖片來源／數位發展部、臺中市政府、臺南市政府

 更多GovTech動態 

1.臺南市與環境部聯手，結合AI判煙等科技手段加強取締空污

2.中國發射低軌衛星，擬建立自家衛星服務

資料來源：iThome整理，2024年7月

CrowdStrike總裁Michael Sentonas上周出現在DEF CON的Pwnie Awards頒獎典禮上，並親自領取了「史詩級失敗」（Most Epic Fail）的資安獎項，臺下則響起一片歡呼聲來鼓勵Sentonas的勇氣。

CrowdStrike在今年的7月19日因執行Windows系統上的感應器配置更新，觸發了邏輯錯誤而造成Windows系統崩潰並出現藍色死亡畫面，雖然微軟宣稱大約只有850萬臺裝置受到影響，不到所有Windows裝置的1%，但此事波及了全球的物流、民航、金融及醫療產業，迄今仍無法估算相關損失，受到影響的達美航空甚至決定透過法律途徑向CrowdStrike求償。

Sentonas在接受了有半個人高的巨大獎座之後說，他們因為犯了可怕的錯誤才得到這個獎項，這不是個值得驕傲的獎項，卻是個重要的獎項，他要把它放在公司的顯眼處來提醒大家。

Pwnie Awards始於2007年，被稱為資安界的奧斯卡獎，通常是伴隨著黑帽或DEF CON安全會議舉行，獎項包括最佳桌面臭蟲、行動臭蟲、最佳加密攻擊、最佳創新研究、史詩級成就，以及史詩級的失敗等。

去年得到史詩級失敗獎項的是美國國土安全部運輸安全管理局（Transportation Security Administration，TSA），因為無政府主義駭客Maia Crimew在TSA的伺服器上發現了禁飛名單，這是TSA提供給全球航空公司的名單，涉及逾150萬人，卻被放在公開網路上。

2022年的得主是抓漏平臺HackerOne，因為HackerOne員工企圖竊取漏洞報告，並對外兜售以中飽私囊。

身為全球最大軟體公司的微軟也曾在2021年以PrintNightmare獲得史詩級失敗獎，得獎原因是微軟兩次修補它都沒成功，而且該漏洞還從本地權限擴張變成遠端程式攻擊。

今年1月微軟證實遭到俄羅斯駭客組織Midnight Blizzard（APT29）入侵的資安事故，駭客存取高階主管的電子郵件帳號，後來陸續傳出有客戶的帳號被入侵的情況，繼4月美國網路安全暨基礎設施安全局（CISA）承認聯邦機構受到波及，現在傳出有其他政府機關受害的情況。

根據資安新聞網站The Record的報導，英國政府也遭受波及，Midnight Blizzard今年初也存取他們的電子郵件及個人資料。這些駭客起初的目標是向英國內政部提供服務的微軟，隨後藉由相關存取權限洩露英國內政部的資料。

這項消息傳出後，英國政府發言人表示，俄羅斯駭客並未存取內政部經營的其他系統，這些系統也沒有遭到入侵的跡象。

英國內政部5月2日向當地資料保護主管機關英國資訊專員辦公室（ICO）通報此事，此時距微軟公布資安事故已相隔4個月，但The Record提及，根據英國的資料保護法，當組織察覺資料外洩的72小時以內，就要通報主管機關，很有可能是內政部並未在相關時限內執行。不過，究竟英國內政部何時察覺遭受波及，該媒體並未進一步說明。

對此，ICO發言人表示已了解這起資安事故，他們根據已掌握的資訊進行評估，認為暫時不需採取進一步行動。

在全球IT還對CrowdStrike造成Windows藍畫面當機（BSOD）心有餘悸之時，資安公司Fortra公開了可造成Windows藍畫面的漏洞CVE-2024-6768，攻擊者對CLFS.sys驅動程式發動DoS攻擊，進而導致Windows系統藍畫面當機。

CLFS.sys是微軟Windows中的驅動程式，負責管理通用日誌檔案系統（CLFS）。CLFS提供支援應用程式和系統元件進行日誌紀錄的框架，能夠管理多日誌串流（Log Stream），這些日誌串流可用於系統恢復、資料同步和精確的操作追蹤。

CVE-2024-6768是一個與CLFS.sys有關的拒絕服務（DoS）漏洞，這個漏洞影響了Windows 10、Windows 11、Windows Server 2016、Windows Server 2019和2022版本。該漏洞允許惡意且經過身分驗證的低權限用戶，利用CLFS.sys中的缺陷，透過特定操作強制呼叫核心函式KeBugCheckEx，進而導致Windows藍畫面當機。

攻擊者利用CVE-2024-6768漏洞導致系統進入藍畫面當機狀態，致使系統暫時無法使用，透過反覆引發該漏洞，便能持續阻止系統正常運作，使組織的系統長時間停機。重要伺服器或是系統發生藍畫面當機導致業務中斷，特別是對於涉及財務交易、客戶服務或是核心業務的系統，可能會使資料丟失，對企業營運造成影響。

這個漏洞雖然不會直接造成資料洩漏或是系統入侵，但是會明顯影響系統的穩定性和可靠性，降低使用者對系統的信任度。

Fortra在去年底的時候就發現這個漏洞，提報給微軟並且附帶概念性驗證攻擊程式碼，但是微軟的工程師卻在1月的時候回覆無法重現漏洞，於是Fortra又提交了更多系統記憶體崩潰傾印和截圖給微軟，但微軟仍然表示無法重現問題，還關閉了案件。

Fortra在2月底的時候再次重現該漏洞，並提供更多證據給微軟，在6月時通知微軟將申請CVE，最近Fortra在8月8日仍在最新更新的Windows 11和Windows Server 2022系統重現該漏洞，並在8月12日對外公開。

北韓駭客謀取歐美企業的職缺，從事遠距辦公，不僅賺取資金貢獻政府發展軍事武器，甚至聘僱他們的企業也有可能面臨資料外洩及資金遭竊的風險，繼上個月資安業者KnowBe4公布不慎聘僱到北韓駭客的情況，最近美國執法單位也有新的動作，他們起訴一名經營筆電農場（Laptop Farm）的男子，並指控該人接應這些駭客在當地遠距工作的相關事宜。

上週美國司法部指控，居住於田納西州的38歲男子Matthew Isaac Knoot涉嫌參與北韓為籌措大規模殺傷性武器（Weapons of Mass Destruction，WMD）資金的非法武器專案。此人為試圖在美國及英國公司就業的海外IT工作者提供遠距辦公的協助，而那些人的真實身分竟是北韓駭客。

該名男子協助北韓駭客使用遭竊的身分冒充美國公民Andrew M，並在他的住所代管公務筆記型電腦，下載並安裝未經授權的軟體，以便駭客遠端存取，欺騙僱主、以為這些雇員在美國進行遠距工作，營造假象。

除此之外，Matthew Isaac Knoot也為這些駭客洗錢，將相關款項移轉到與北韓、中國駭客有關的戶頭。

起訴書當中提及，Matthew Isaac Knoot在2022年7月至2023年8月，在自家經營筆電農場，當受害公司寄送IT工作者的公務筆電到他家，這名男子就會存取這些電腦，安裝公司未授權的遠端桌面應用程式，並存取受害企業的內部網路環境。

北韓駭客藉由遠端桌面應用程式，能夠在中國存取公務電腦，從而營造Andrew M.在田納西州住所遠距辦公的假象。

直到法院去年8月初授權執法單位進行搜索，這名男子每個月從名為Yang Di的海外人士收到經營農場的費用。

美國司法部指出，這些IT工作者每人可獲得逾25萬美元的報酬，而受害企業在察覺上當後，必須花費超過50萬美元來復原網路環境、應用系統、裝置。不僅如此，Matthew Isaac Knoot還利用遭竊身分向美國國稅局（IRS）謊報收入。

無獨有偶，這名男子目前是美國第2個因經營筆電農場遭到指控的人士。今年5月，49歲的Christina Marie Chapman被控在自己住家為北韓IT工作者代管筆電，司法單位估計為IT工作者創造逾680萬美元不法獲利，並指控這些駭客至少從其中兩家受害公司竊取機密資料。

上週韓國媒體報導指出，他們專門用於在北韓領空從事情資蒐集的軍事偵察機，相關內部機密文件因北韓駭客對其國防供應商發動網路攻擊遭到外流，而這起網路攻擊，傳出是北韓領導人金正恩下令發起。

值得留意的是，近期韓國國防工業的資安事故頻傳，根據韓京市場的報導，根據當地媒體韓京市場的報導，傳出研究人員竊取K-2坦克機密投靠新東家。

【攻擊與威脅】

韓國軍事偵察機的機密驚傳遭竊，起因是國防承包商受到北韓駭客攻擊

韓國媒體東亞日報報導，該國國防工業外包商遭北韓駭客攻擊，致用於北韓空中情蒐任務的2款軍事偵察機技術資料外流。

報導指出，這家國防工業外包商生產在北韓領空偵察的重要機種，包括白頭號（Baekdu）、金剛號（Geumgang）間諜偵察機的相關軍事裝備操作和維護手冊。消息人士指出，根據初步調查，在這次駭客攻擊中，2款軍機的技術資料和規格、操作文件可能已外洩。

他們也引述情報官員的說法，北韓領導人金正恩今年稍早下令發動密集駭客攻擊，取得韓國偵察機技術資訊以強化自產軍機的能力，同時規避偵察。

美國田納西州男子經營筆電農場，協助北韓駭客在美、英企業「工作」

美國司法部指控，居住於田納西州的38歲男子Matthew Isaac Knoot涉嫌參與北韓為籌措大規模殺傷性武器（Weapons of Mass Destruction，WMD）資金的非法武器專案。此人為試圖在美國及英國公司就業的海外IT工人提供遠距辦公的協助，而這些IT工人的真實身分就是北韓駭客。

該名男子協助北韓駭客使用遭竊的身分冒充美國公民Andrew M，並在他的住所代管公務筆記型電腦，下載並安裝未經授權的軟體，以便駭客遠端存取，欺騙僱主這些駭客在美國遠距工作的假象。除此之外，Matthew Isaac Knoot也為這些駭客洗錢，將相關款項移轉到與北韓、中國駭客有關的戶頭。

微軟1月遭駭事故傳出英國內政部也是受害單位，郵件帳號遭俄羅斯駭客Midnight Blizzard入侵

今年1月微軟證實遭到俄羅斯駭客組織Midnight Blizzard（APT29）入侵的資安事故，駭客存取高階主管的電子郵件帳號，後來陸續傳出有客戶的帳號被入侵的情況，繼4月美國網路安全暨基礎設施安全局（CISA）承認聯邦機構受到波及，現在傳出有其他政府機關受害的情況。

根據資安新聞網站The Record的報導，英國政府也遭受波及，Midnight Blizzard今年初也存取他們的電子郵件及個人資料。這些駭客起初的目標是向英國內政部提供服務的微軟，隨後藉由相關存取權限洩露英國內政部的資料。

其他攻擊與威脅

◆駭客冒充烏克蘭安全局散布惡意軟體AnonVNC，攻擊烏克蘭政府超過100臺電腦

◆USB蠕蟲CMoon透過天然氣業者網站散布，企圖竊取俄羅斯企業組織資料

◆網路間諜團體XDSpy鎖定俄羅斯及摩爾多瓦而來

【漏洞與修補】

M365 Copilot可被濫用進行釣魚攻擊

資安廠商Zenity在黑帽大會發表CopilotHunter與LOLCopilot，這兩個工具都是針對Microsoft 365 Copilot開發，CopilotHunter能夠掃描和列舉Copilot的資源與錯誤配置，而LOLCopilot則可執行模擬攻擊，濫用Copilot功能來收集資訊、洩漏資料甚至是進行釣魚攻擊。

CopilotHunter和LOLCopilot安全工具在GitHub開源，協助企業發現和修補安全漏洞。CopilotHunter的核心功能是利用Microsoft 365 Copilot的錯誤配置進行安全掃描和分析，其具有兩個重要關鍵模組，分別針對掃描和列舉需求的Deep Scan和Enum。

而LOLCopilot則是一款專為模擬攻擊設計的工具，透過Copilot收集敏感資料來進行針對性攻擊。與LOLCopilot相關的模組包括Whoami，可收集受感染使用者能夠存取的敏感資訊，包括電子郵件、檔案、行程安排等，全面了解使用者的存取權限，隨後使用Dump模組擷取和儲存這些資料，並利用Copilot繞過DLP技術，使敏感資料洩漏不被系統偵測的情況。

工控系統遠端存取解決方案Ewon Cosy+存在漏洞，攻擊者有機會取得root權限

資安業者SySS指出，HMS Networks旗下的工業級遠端存取解決方案Ewon Cosy+存在6項漏洞，這些漏洞涉及身分驗證不當、使用不必要的權限執行工作、寫死密碼、作業系統層級的命令注入、明文存放Cookie敏感資訊，以及網頁載入過程輸入出現不當處理的情況，攻擊者有機會藉由上述弱點破壞VPN設備，甚至解開韌體與密碼，並且接管外部設備的OpenVPN連線。

對此，HMS Networks獲報後發布21.2s10版、22.1s3版韌體予以修補，研究人員也在上週末舉行的資安會議DEF CON 32公布相關細節。

其他漏洞與修補

◆FreeBSD更新發布，修補OpenSSH高風險漏洞CVE-2024-7589

【資安產業動態】

資安業者CrowdStrike獲頒Pwnie Awards史詩級失敗獎項

7月19日CrowdStrike因執行Windows系統EDR的配置更新，觸發邏輯錯誤而造成藍色當機，微軟透露約有850萬臺裝置受到影響，但此事波及全球的物流、民航、金融及醫療產業，迄今仍無法估算相關損失，受到影響的達美航空，甚至表明決定透過法律途徑向CrowdStrike求償。對此，在資安會議DEF CON 32舉行的Pwnie Awards頒獎典禮，CrowdStrike獲得了「史詩級失敗」（Most Epic Fail）獎項，該公司總裁Michael Sentonas親自到場領獎，並表示會放在公司顯眼的地方，藉此提醒員工這起事故帶來的教訓。

其他資安產業動態

◆臺灣資安戰隊參與DEF CON資安搶旗賽，獲得第7名佳績

近期資安日報

【8月12日】研究人員揭露存在18年的瀏覽器漏洞，而且已有濫用漏洞行為，Linux及macOS電腦都可能中招

【8月9日】資安業者公布6起濫用雲端服務的後門程式攻擊行動，並指出有臺灣組織受害

【8月8日】黑帽大會首度增設AI議程，趨勢科技展示深偽偵測技術

Ruby on Rails最新7.2版本帶來許多重要更新，包括調整了生產環境的預設值，使開發者得以建立更高效的應用程式，並且加入開發環境容器的支援，另外，開發團隊還重新設計了Rails指南（Rails Guides），改進使用者查閱指南的體驗。

Ruby on Rails藉由最佳化效能和改進開發體驗，使得該框架在生產環境表現更高效，也讓開發日常工作更順暢。效能最佳化是Ruby on Rails 7.2的重點之一，Ruby即時編譯器YJIT現在成為預設啟用的功能。YJIT是Ruby 3.1加入的新編譯器，能替Rails應用程式帶來約15％到25％的延遲改善，極大程度提升應用的反應速度，這對於需要處理大量並行請求的應用特別重要。

Rails 7.2也在生產環境的設定上進行調整，將Puma網頁伺服器在處理請求使用的執行緒數，從原本預設的5降低至3，開發團隊指出，這個變動是參考長期應用程式實際運作經驗的結果，目的是要減少Ruby等待全域VM鎖（Global VM Lock，GVL）釋放的時間，進而提升應用程式在高負載情況下的效能表現。

另外，Rails 7.2生成的Dockerfile現在會包含jemalloc。jemalloc是一個最佳化的記憶體分配器，能夠有效管理應用程式的記憶體使用，這個更新可以協助開發者在部署高負荷應用程式時，獲得更穩定的效能表現。

而Rails 7.2也進一步簡化開發者本地開發環境配置，使團隊更容易保持一致的開發環境，加速開發過程。預設開發容器配置將包含Redis容器、資料庫容器、無頭Chrome容器，以及預設使用本地端磁碟儲存的Active Storage配置。開發者也可以在現有應用中添加開發容器配置，使得舊有專案也能獲得開發容器的便利。

官方藉著Rails新版本推出，發布了全新設計的官方指南，具有現代化的外觀和簡單易用的介面。新的設計風格包括更一致的字體和色彩搭配，並使用新圖標和簡化的導覽結構，提升使用者在瀏覽指南時的整體體驗。

美國聯邦上訴法院剛對地理圍欄搜索令（Geofence Warrant）做出了關鍵性的判決，認定這類搜索令違反美國憲法第四修正案保護公民免受不合理搜索和扣押的權力。這是針對一起涉及搶劫案件所做出的判決，案件中的被告因為地理圍欄搜索令所提供的證據而被定罪，因此決定上訴挑戰這類搜索令的合憲性。

2018年的時候密西西比州的郵局發生一起搶劫襲擊美國郵政人員的事件，當時警方進行了數月調查，但卻都無法找到具體的嫌疑人，為了進一步追查，警方申請地理圍欄搜索令，涵蓋案發地點周圍的區域和案發一小時的時間範圍，而Google回應了多個裝置的資料，協助警方鎖定兩名被告。

地理圍欄搜索令是一種執法手段，當美國警方沒有特定嫌疑人時，會透過申請此類搜索令，要求科技公司提供特定時間內，某一地理區域中所有裝置的位置資訊，這些資料將協助警方辨識可能在犯罪現場的潛在嫌疑人或是目擊者。

警方透過地理圍欄搜索令找出搶劫案罪犯，但是被告提起上訴，認為這類搜索令違憲。而美國聯邦上訴法院也最終判決，裁定地理圍欄搜索令違反美國憲法第四修正案的規定。法院認為，這類搜索令過於廣泛，不能具體指向特定個人或是裝置，卻是要求對特定區域內的裝置進行搜索。

法院雖然認為地理圍欄搜索令違憲，但是同時也認為，由於地理圍欄搜索令在2018年時仍是很新的概念，警方善意仰賴這種搜索令的情況下，仍可接受該證據，也就是說在該搶劫案中，所獲得的證據不會被排除。

這個判決確立了美國對地理圍欄搜索令侵犯隱私的審查，並引起了人們對地理圍欄搜索令侵犯隱私的關注，美國聯邦上訴法院強調了普遍搜索違反憲法的原則，這個判例便是更明確規範美國第四修正案的適用範圍，規範美國警方避免使用這類搜索令進行調查。

在Google發表可以流暢與用戶對話的Gemini Live同一天，OpenAI也正式公告，ChatGPT升級使用多模態模型GPT-4o。

上周媒體就已發現OpenAI悄悄發布了新版GPT-4o模型的更新版本，強調整體效能更快，前端回應表現也更好。模型更新版本名為GPT-4o-2024-08-06，主要提供給付費用戶，涵括以ChatGPT提示介面或API存取二種管道。有人覺得連免費的ChatGPT都更強大了。

多模態模型允許用戶上傳程式碼、圖片或聲音檔作為輸入提示，ChatGPT也可以根據提示生成圖片。ChatGPT本來就以DALL-E-3模型為基礎生成圖片。ChatGPT升級到GPT-4o的意義在於，由於模型原生支援多模態資料，理應可以更快輸出回應，且生成品質也更好。

但由於OpenAI沒有提供詳細說明，因此新模型提供了什麼改進或不同功能，或是ChatGPT免費版是否也使用新版本模型，都沒有獲得官方證實。有用戶覺得ChatGPT理解能力更好了，不過也有用戶認為雖然改用了新模型，但輸入的圖片品質似乎沒什麼不同。

目前可以確定的是，以提示介面和API存取的是不同版本GPT-4o。OpenAI對VentureBeat說明，提供給API存取的是更為開發人員優化的功能。例如在Azure平臺提供的GPT-4o版本簡化模型結構化輸出（structured output）的過程，允許開發人員指明希望從AI模型直接輸出的格式，產生的資料可無縫整合到其他系統，有助於提升開發生產力。

資安媒體Hackread近日發現，一位名為Fenice的使用者於Breach Forums駭客論壇上公布了14億筆的騰訊用戶資料。

騰訊為中國最大的網路公司，不僅是中國知名的遊戲開發業者，也打造出熱門的QQ與微信社交平臺，觸角還伸及教育及支付等領域。Fenice釋出的資料庫多達500GB，內含手機號碼、電子郵件信箱及QQ ID等騰訊用戶資訊。

Hackread懷疑此一資料庫源自於今年1月曝光的Mother of All Breaches（MOAB），因為在這個總計12TB，內含3,800個資料夾與260億筆外洩資料的MOAB中，最多的就是騰訊的15億筆。

資安專家認為MOAB是眾多外洩資料的合輯，之後並確定該資料來自於外洩資料搜尋引擎Leak-Lookup。當時Leak-Lookup宣稱，是因為防火牆的配置錯誤才讓MOAB曝光。

Leak-Lookup不僅收集外洩資料，也提供付費搜尋服務，以讓使用者從眾多的資料外洩事故中查找資訊，包括姓名、電子郵件地址、使用者名稱、電話號碼及密碼等，儘管它宣稱該服務只能被用於個人安全，卻因該服務也會被犯罪集團利用而存在著爭議。

Have I Been Pwned（HIBP）創辦人Troy Hunt形容，類似Leak-Lookup的服務就好像是暗黑版的HIBP，市場上存在一個資料外洩的個人收藏生態體系，這些外洩資料有點像是棒球卡，人們彼此交換著手中沒有的卡片，只是棒球卡換走了就沒有了，但數位資料卻是愈換愈多，不斷地複製與膨脹。

上個月因端點安全軟體更新引發全球IT停機災難，媒體Cybersecurity Dive報導CrowdStrike計畫買下提供修補程式管理方案的新創業者Action1，以改善其軟體更新流程。

媒體取得Action1執行長暨共同創辦人Alex Vovk上周寄給員工的備忘錄，顯示雙方正在進行協議。根據備忘錄，CrowdStrike和Action1正在洽談，計畫以近10億美元收購後者。Vovk對員工指出，這收購提案也證明Action1市場正在高速成長，並且可以按計畫，很快實現年營收1億美元的目標。

CrowdStrike拒絕評論，但Action1也向媒體證實備忘錄真實性。

總部位於德州休士頓的Action1是由資深資安專家Alex Vovk及Mike Walters共同創辦，提供修補管理、遠端監控與遠端存取的多合一方案，主要特色在於P2P修補程式發送及整合式即時漏洞評估，協助企業發現漏洞、排定重要性並進行自動化修補OS及第三方應用程式的漏洞。

這樁收購可向市場證明CrowdStrike改革的決心。CrowdStrike因為端點防護與回應（EDR）軟體更新問題，引發Windows機器出現錯誤訊息以及藍色死亡螢幕（BSOD）。微軟聲稱全球有850萬臺Windows機器受影響。雖然不到總數的1%，但已造成機場、醫院與港口等一定時間的停機，達美航空聲稱因此取消3,000多航班。

這事件也立即影響CrowdStrike股價當天大跌11%，還有股東已經提告。達美航空則找來知名律師欲求償5億美元。

CrowdStrike總裁Michael Sentonas上周還前往資安大會DEF CON大會Pwnie Awards領取「史詩級失敗」的獎項，他說這個獎項要放在公司做為警惕。

8月13日微軟發布本月份例行更新，總共修補90個漏洞，其中包含36個權限提升、4個安全功能繞過、28個遠端程式碼執行（RCE）、8個資訊洩露、6個阻斷服務（DoS），以及7個可用於欺騙攻擊。

值得留意的是，本次公布的漏洞當中，有多達10個零時差漏洞，是今年微軟單月公告零時差漏洞數量最多的一次，其中有6個已被用於實際攻擊行動。此外，這次還包含一個尚未推出修補程式的零時差漏洞。

這些已被用於攻擊行動的漏洞是：Windows核心權限提升CVE-2024-38106、電源相依性協調器（Power Dependency Coordinator）權限提升CVE-2024-38107、指令碼引擎記憶體中斷CVE-2024-38178、專案管理軟體Project的遠端程式碼執行CVE-2024-38189、WinSock輔助功能驅動程式權限提升CVE-2024-38193，以及MoTW安全功能繞過CVE-2024-38213，CVSS風險評分介於6.5至8.8分，美國網路安全暨基礎設施安全局（CISA）也將這些漏洞全數列入已被利用漏洞列表（KEV），要求聯邦機構在9月3日前完成修補。

其中，風險評分最高的是CVE-2024-38189，濫用的前提是攻擊者要先引誘用戶開啟惡意Project專案檔案，若此時電腦停用Office阻止來自網際網路的巨集執行政策，就可能讓攻擊者觸發漏洞並遠端執行程式碼，此弱點的CVSS評分為8.8。

還有一個高風險漏洞CVE-2024-38178，漏洞懸賞專案Zero Day Initiative（ZDI）認為特別值得留意，因為攻擊者要引誘使用者點選特製的URL，讓Edge在Internet Explorer（IE）模式下執行，從而觸發漏洞，由於這項漏洞與已經棄用的IE有關。ZDI認為相當不尋常。

另外4個在微軟公告前已被揭露的漏洞，分別是Windows安全核心模式權限提升漏洞CVE-2024-21302、行式印表機後臺程序（Line Printer Daemon，LPD）服務遠端程式碼執行漏洞CVE-2024-38199、Office欺騙漏洞CVE-2024-38200，以及Windows更新堆疊權限提升漏洞CVE-2024-38202，CVSS風險評分介於6.5至9.8。

其中，最值得留意的，是資安業者SafeBreach於上週2024黑帽大會揭露的CVE-2024-21302、CVE-2024-38202，這兩個漏洞可被用於發動Windows Downdate降級攻擊，將特定的系統元件降級為存在漏洞的舊版，但這次微軟僅對CVE-2024-21302提供修補，至於另一個漏洞CVE-2024-38202的更新程式，他們坦承仍在製作中。

雖然微軟現在為CVE-2024-21302提供更新軟體，不過，資安業者Rapid7警告他們的做法有不足之處，因為這個修補程式並非自動修補資產，而是提供加入微軟簽章的撒銷政策，有可能在不當還原的情況下造成無限循環重新開機的風險。

本月SAP例行更新於8月13日發布，該公司總共修補17個漏洞，其中有2個為重大層級，4個為高風險層級，其餘漏洞的危險程度則列為中度風險。

根據CVSS風險評分，最嚴重的漏洞是CVE-2024-41730，此漏洞出現於商業智慧平臺BusinessObjects，起因是缺乏身分驗證的檢核，這項問題出現在啟用單一簽入（SSO）的企業環境，攻擊者可在未經身分驗證的情況下，利用REST端點竊得登入系統的憑證（Token），CVSS風險評為9.8分，影響430、440版系統。

SAP指出，攻擊者若成功利用漏洞，可能得以完全入侵該系統，從而嚴重影響系統的機密性、完整性，以及可用性。

另一個重大層級漏洞是CVE-2024-29415，此漏洞發生在SAP Build Apps打造的應用程式，為伺服器請求偽造（SSRF）漏洞，CVSS風險評為9.1。

這項漏洞涉及Node.js的IP元件缺陷，此元件用途是檢查IP位址是公開或是私有，在使用8進位表示127.0.0.1的時候，會將其識別為公開且全域可路由的IP位址。SAP指出，這項漏洞是先前另一個弱點CVE-2023-42282修補不全所致。

繼5月發表企業級PCIe 5.0固態硬碟產品X200系列，採用的快閃記憶體類型是TLC，群聯電子（Phison）在8月第二週舉行的2024快閃記憶體高峰會（FMS），推出主打讀取密集工作負載的資料中心PCIe 5.0固態硬碟，名為D200V，採用的快閃記憶體類型是QLC，而且是鎧俠（Kioxia）發展的BiCS Flash第8代技術，並同樣提供雙埠配置。

以儲存容量而言，D200V目前最大可供應到61.44 TB，上看122 TB，一舉超越市面上的商用PCIe固態硬碟產品，並且能夠用來更大程度地整併或取代傳統的冷儲存系統。而在產品外形的部分，D200V提供三種選擇，包括：最常用的2.5吋U.2，以及這兩年興起的E3.S，以及目前尚無其他固態硬碟廠商供應的E3.L。

群聯表示，最普及的U.2尺寸，會是他們優先推出的款式；E3.L尺寸的款式，預計今年第三季結束之前推出，而在FMS展覽期間，他們與永擎電子（ASRockRack）合作，展示搭配E3.L外形固態硬碟的伺服器1U12E-GENOA/EVAC；至於E3.S，則是後續提供。

從存取效能來看，D200V由於本身是專攻讀取工作負載的產品，在循序讀取、隨機讀取（4K）這兩個層面（14,000 MB/s、300萬IOPS），與X200系列最大效能差不多（14,800 MB/s、300萬IOPS）。相對地，它們之間的寫入效能差距很大，例如，D200V循序寫入效能為2,100 MB/s，隨機寫入效能（16K）為1.56萬IOPS，而X200系列循序寫入效能最高8,700 MB/s，隨機寫入效能（4K）為90萬IOPS。

關於D200V為何要標示16K隨機寫入效能？群聯表示，對於64 TB、128 TB這類大容量SSD而言，16K大小的IU（Indirection Unit）的管理單位會逐漸變成行業常見規格，而且相較於4K，定址只需用原本的1/4，可有效節省DDR的使用。

就存取耐用度來比較，新推出的D200V每日寫入量只有0.3，既有的X200系列每日寫入量（DWPD）有3與1的區分，對應款式為X200E與X200P。

關於耗電量的部分，若以儲存容量同為30.72 TB的款式相比，D200V最大為25瓦，X200P為35瓦。

若資料中心固態硬碟不需要用到PCIe 5.0介面，群聯目前已提供支援PCIe 4.0介面的產品D100P，提供M.2 2280、M.2 22110、E1.S等三種外形，儲存容量有480 GB、960 GB、1920 GB、3840 GB，循序讀寫效能最大為6,800 MB/s與2,000 MB/s，隨機讀寫效能最大為90萬IOPS與7萬IOPS。

針對資料中心固態硬碟D系列產品線，群聯未來預計推出兩款PCIe 5.0介面、採用E1.S外形的款式，分別是每日寫入量為3的D200E，儲存容量為1.6 TB至3.2 TB，以及每日寫入量為1的D200P，儲存容量為1.92 TB至3.84 TB，循序讀寫效能均為14,000 MB/s、8,300 MB/s，隨機讀取效能均為300萬IOPS，隨機寫入效能方面，D200E為50萬IOPS，D200E為22萬IOPS。

關於這兩款產品的出貨進度，群聯表示，他們希望今年第三季可以開始送樣。

產品資訊

Phison Pascari D200V
●原廠：群聯電子
●建議售價：廠商未提供
●儲存容量：30.72 TB（U.2、E3.S），61.44 TB（U.2、E3.L），122.88 TB（U.2、E3.L）
●外形：U.2、E3.S、E3.L
●儲存媒體：3D NAND，QLC，BiCS FLASH第8代技術
●讀寫速度：循序14,000 MB/s與2,100 MB/s，隨機300萬IOPS（4K）與1.56萬IOPS（16K）
●使用介面：PCIe 5.0 x4
●耐用度：每日寫入量為0.3
●可靠度：250萬小時MTBF

【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】

8月12日Ivanti發布資安公告，指出旗下的虛擬流量管理系統Virtual Traffic Manager（vTM）存在重大層級的零時差漏洞CVE-2024-7593，一旦攻擊者成功利用漏洞，就有機會繞過身分驗證並建立新的管理員帳號，CVSS風險評分為9.8。

值得留意的是，雖然該公司表示尚未察覺用戶遭到漏洞攻擊的跡象，但已有公開的概念性驗證（PoC）程式碼，他們呼籲用戶儘速採取緩解措施因應。

不過，並非所有版本的vTM都受到影響，Ivanti指出，今年3月發布的22.2R1、5月發布的22.7R2，皆不受這項漏洞影響，其餘版本預計8月19日這週發布更新，予以修補。

本週二（8月13日）是許多軟體業者發布8月例行更新的日子，其中最值得留意的是微軟，雖然他們這次僅公布90個漏洞，較7月143個有明顯減少的趨勢，但值得留意的是，揭露的零時差漏洞多達10個，其中有6個已被用於實際攻擊行動，美國網路安全暨基礎設施安全局（CISA）也證實這些漏洞遭到利用的現象，要求聯邦機構限期完成修補。

其餘4個零時差漏洞也不能掉以輕心，當中有2個是研究人員稍早在2024黑帽大會公布，可被串連用於Windows Downdate降級攻擊而受到矚目。

【攻擊與威脅】

14億筆騰訊用戶資料驚傳流入駭客論壇

資安媒體Hackread近日發現，Breach Forums駭客論壇有一個名為Fenice的使用者，公布14億筆的騰訊用戶資料。而對於這批資料的來源，Hackread懷疑此資料庫源自於今年1月曝光的Mother of All Breaches（MOAB），因為在這個總計12 TB，內含3,800個資料夾與260億筆外洩資料的MOAB中，最多的就是騰訊的15億筆。

資安專家認為MOAB是眾多外洩資料的合輯，之後並確定該資料來自外洩資料搜尋引擎Leak-Lookup。當時Leak-Lookup宣稱，是因為防火牆的配置錯誤才讓MOAB曝光。

其他攻擊與威脅

◆中國駭客組織Earth Baku轉移目標，鎖定歐洲、中東、非洲地區發動攻擊

◆駭客在GitHub架設冒牌WinRAR網站，意圖散布惡意程式

◆駭客假借提供密碼產生器Google Authenticator，意圖散布竊資軟體Latrodectus、ACR Stealer

【漏洞與修補】

微軟8月例行更新公布10個零時差漏洞，其中6個已出現實際攻擊

8月13日微軟發布本月份例行更新，總共修補90個漏洞，其中包含36個權限提升、4個安全功能繞過、28個遠端程式碼執行（RCE）、8個資訊洩露、6個阻斷服務（DoS），以及7個可用於欺騙攻擊。

值得留意的是，微軟本次公布多達10個零時差漏洞，是今年微軟單月公告零時差漏洞數量最多的一次，其中有6個已被用於實際攻擊行動。此外，這次還包含一個尚未推出修補程式的零時差漏洞。

SAP揭露重大層級漏洞，攻擊者可趁機繞過身分驗證

本月SAP例行更新於8月13日發布，總共修補17個漏洞，其中有2個為重大層級，4個為高風險層級，其餘漏洞的危險程度則列為中度風險。

根據CVSS風險評分，最嚴重的漏洞是CVE-2024-41730，此漏洞出現於商業智慧平臺BusinessObjects，起因是缺乏身分驗證的檢核，這項問題出現在啟用單一簽入（SSO）的企業環境，攻擊者可在未經身分驗證的情況下，利用REST端點竊得登入系統的憑證（Token），CVSS風險評為9.8分，影響430、440版系統。

另一個重大層級漏洞是CVE-2024-29415，此漏洞發生在SAP Build Apps打造的應用程式，為伺服器請求偽造（SSRF）漏洞，CVSS風險評為9.1。

視窗作業系統通用事件記錄檔案系統CLFS元件存在漏洞，恐被用於阻斷服務攻擊

在全球對於CrowdStrike更新出錯造成大規模Windows藍色當機（BSOD）心有餘悸之時，資安公司Fortra公開另一個可導致藍色當機的漏洞CVE-2024-6768，這個問題出現在通用事件記錄檔案系統（CLFS），一旦攻擊者藉此對CLFS.sys驅動程式發動攻擊，就有機會導致阻斷服務（DoS），進而引發藍色當機。

此漏洞影響Widnows 10、Windows 11，以及Windows 2016至2022版伺服器作業系統，允許掌握低權限的攻擊者利用CLFS元件缺陷，透過特定操作強制呼叫核心函式KeBugCheckEx來引發當機的現象。研究人員指出，這個漏洞雖然不會直接造成資料洩漏或是系統入侵，但是會明顯影響系統的穩定性和可靠性，降低使用者對系統的信任度。

其他漏洞與修補

◆Adobe發布8月例行更新，修補72個漏洞

【資安產業動態】

NIST正式發布3款PQC標準，鼓勵各界盡快轉換以因應量子破密威脅

後量子密碼學（PQC）標準在8月13日正式發布，成為全球矚目的焦點，因為這次推出的3項新標準是為未來而準備，也就是為日後量子破密威脅所設計，如今美國國家標準暨技術研究院（NIST）首度宣布推出的是FIPS 203、FIPS 204、FIPS 205，接下來還有第4個標準將在年底出爐。

回顧PQC標準的制定，總共歷經8年時間，最早從2016年美國NIST就開始舉行PQC密碼學競賽，當時收到來自25個國家的82個提交演算法，之後進行了3輪淘汰賽，直到2022年先選出4個候選演算法，也就是CRYSTALS-Kyber、CRYSTALS-Dilithium、FALCON、SPHINCS+。目的就是選出可抵禦量子破密威脅的數學問題，以保護現在與未來的安全。

安全更新引發大當機，CrowdStrike傳有意買下修補程式管理新創Action1改善軟體開發流程

上個月CrowdStrike因EDR更新引發全球大停機災難，今年Pwnie Awards頒給該公司史詩級失敗（Most Epic Fail）獎項，該公司總裁Michael Sentonas到場領獎並表明他們會記取這次的教訓，如今傳出該公司有進一步的行動。根據資安新聞媒體Cybersecurity Dive的報導，CrowdStrike計畫買下提供修補程式管理方案的新創業者Action1，以改善其軟體更新流程。

該媒體引述Action1執行長暨共同創辦人Alex Vovk寄給員工的備忘錄，顯示雙方正在進行協議。根據備忘錄，CrowdStrike和Action1正在洽談相關事宜，計畫以近10億美元進行併購。Alex Vovk對員工指出，這收購提案也證明Action1市場正在高速成長，很快將會實現年營收1億美元的目標。

Action1向媒體證實備忘錄真實性，CrowdStrike拒絕評論此事。

其他資安產業動態

◆數位發展部率團參與資安會議DEF CON 32，分享臺灣網路安全與通訊韌性經驗

近期資安日報

【8月13日】韓國國防工業承包商傳出遭北韓駭客攻擊，軍事偵察機資料外流

【8月12日】研究人員揭露存在18年的瀏覽器漏洞，而且已有濫用漏洞行為，Linux及macOS電腦都可能中招

【8月9日】資安業者公布6起濫用雲端服務的後門程式攻擊行動，並指出有臺灣組織受害

富邦金控在2022年研發出AI偵測技術「鷹眼防詐預測模型」，在金管會、刑事局、數位部等支持之下，2023年底分享該技術與其他金融業者共組鷹眼識詐聯盟，擴大金融科技防詐面向，現在已有35家金融機構先後加入聯盟，利用AI模型偵測異常交易，今天（8/14）鷹眼識詐聯盟展示成果，警示帳戶預先管控率最高達到80%，成功攔截逾3.6億元，避免遭詐騙集團移轉。鷹眼防詐預測模型下一步，將在10月開始運用聯合學習技術優化鷹眼防詐模型，提高防詐應變速度。

過去金融業者仰賴人工方式，根據樣態、經驗各方面判斷，從數千萬筆交易中找出異常，然而，由於交易數量龐大，人工費時費力，且判斷的準確率不高，雖然各家金融業者投入人力辨別可疑交易及帳戶，但是在準確率不高之下，為避免影響正常顧客權益，不敢擅自管控警示帳戶，在防詐預警工作上顯得綁手綁腳，多仰賴銀行員對受害民眾的臨櫃防詐。

富邦金控在2022年提出金融安全數位轉型藍圖，運用科技投入防詐工作，其中之一為透過鷹眼防詐預測模型警示帳戶預先管控，減少人工作業達99%，模型對異常帳戶辨別準確率也比人工方式提高559倍。金融業者共組鷹眼識詐聯盟，以今年1到6月導入成果，5家加入聯盟的金融業月平均預先管控比率在50%以上，甚至有一家業者達到80%，有7家金融業者比率在30到50%之間，預期未來在AI持續學習，比率穩步上升。

檢察官出身的富邦金控副總經理的蔡佩玲表示，目前銀行在防詐上，銀行臨櫃攔阻雖然相當重要，但是在詐騙金流中，臨櫃只佔3成左右，其他近6成金流則是數位的方式，如果不借助科技的力量，很難只以人眼辨別攔阻網路上的詐騙金流，因此需要借助科技的力量，但是要運用科技並不容易，以鷹眼識詐聯盟為例，聯合35家金融業者，因各家業者的資料治理標準不同，為了運用應眼防詐預測模型，需花費相當多時間在資料治理、數位規格的統一，以及技術移轉、調校，聯盟成員每2到3周也需要交流。

她表示，以往金融業者投入大量人力防詐，在聯盟成立10個月後，全臺已有6成的金融機構運用科技防詐，年底的目標是讓100%全部上線，讓AI機器人在全臺灣落地。在導入科技防詐後，預警時間大幅提前，以往金融機構無法預警，必需等到民眾被害報警，金融機構才啟動聯防，現在金融機構在聯盟成立後，可在民眾沒有報警的情形下，提早2周到3個月偵測到帳戶出現問題，預先管控帳戶。

另外，以往民眾被騙後，被害人沒有報案，或不敢報案，金融機構無法預警防詐，現在在AI協助之下，透過AI模型建立預警，從今年初到現在，AI偵測共1.8萬件案子，這些案子中有50%以上為準確的。蔡佩玲指出，在被害民眾報警之前，或民眾不報警，金融業者都能知道，今年1到6月全體聯盟行攔阻金額共有3.6億元，這些錢不同於臨櫃攔阻在民眾匯出錢之前攔截，我們要做到的是即使民眾將錢匯出也能攔阻回來。

運用聯合學習精進AI模型

對於未來，蔡佩玲表示，未來聯盟有三大目標，第一個目標是，建立國家級鷹眼模型，目前AI模型在35家金融機構各自落地，未來結合隱私強化技術，運用聯合學習，跨金融機構訓練AI模型，可以自動調校，以快速因應詐騙手法變化；第二個目標是建立鷹眼照會機制，配合打詐專法實施，鷹眼聯盟成員間建立直接異常帳戶的警示訊息交換機，進一步預控措施。第三個則是從9月起，聯盟全體金融機構的線上線下防詐宣導。

對於跨金融機構訓練鷹眼模型，蔡佩玲指出，目前35家金融業者以鷹眼模型為基礎，導入自家的特徵進一步優化，等於35家機構有各自的AI鷹眼同事，目前各家金融機構依照詐騙的犯罪手法各自調校，對於發現新的詐騙手法特徵，人工方式交流，再各自調校自家的模型。未來要利用聯合學習技術，讓各家業者不分享資料，但分享模型調校參數，透過自動交換，未來半小時內就能完成30多家機構的交換，可依照犯罪手法快速回應。

她表示，希望在今年10月推動聯合學習，先與8家聯盟成員合作，由於聯盟學習需要更精細的資料規格，才能做到自動化，降低現在以人工的方式調校，目前的人工調校，從知道犯罪手法到人工調校約需3到6個月，因應時間較長，未來自動化後，半小時就能因應異常。

由於不同金融機構在金融業務上的量體差異，蔡佩玲舉外籍移工匯款為例，單一家金融機構的外籍移工匯款量體不夠多，難以找到合適模型參數調校，但是透過聯合學習，便能從外籍移工匯款量體大的其他金融機構獲得參數，相較於單一金融機構業者自己不斷測試調校來得好。這也是聯合學習的好處。

在多家廠商陸續發表支援PCIe 5.0介面的資料中心固態硬碟之後，上週舉行的2024快閃記憶體高峰會期間，Solidigm終於推出採用這類規格的產品，分別是：D7-PS1010、D7-PS1030。

基本上，兩個款式的區分在於：D7-PS1010的每日寫入量為1，儲存容量提供1.92 TB、3.84 TB、7.68 TB、15.36 TB，總寫入量為3.5 PB、7 PB、14 PB、28 PB，提供兼顧效能與容量平衡的產品，可廣泛適用於多種主流應用。從效能來看，若以同樣提供3.84 TB容量的資料中心固態硬碟產品而言，三星PM1743、美光9550的這部分規格均為6,000 MB/s，Solidigm D7-PS1010的循序寫入（128KB）效能為8,200 MB/s，領先幅度為37％。

D7-PS1030的每日寫入量為3，儲存容量提供1.6 TB、3.2 TB、6.4 TB、12.8 TB，總寫入量為8.7 PB、17.5 PB、35 PB、70 PB。而由於這個款式的循序寫入效能最大可達80萬IOPS，相較於前一代產品D7-P5520和D7-P5620的這部份規格（最大為39萬IOPS），提升至兩倍之多，因此，Solidigm認為D7-PS1030特別適合寫入密集型應用，像是快取與檢查點（checkpointing）的資料保存機制。

除了上述差異，D7-PS1010與D7-PS1030有許多共通點，例如，皆採用176層的3D NAND TLC快閃記憶體，都提供2.5吋U.2與E3.S外形的選擇，循序讀取效能最大均為14,500 MB/s（優於WD Ultrastar DC SN861、美光9550，低於Phison X200）、循序寫入效能最大均為10,000 MB/s（同於美光9550，優於Phison X200、WD Ultrastar DC SN861），隨機讀取效能度可達310萬IOPS（優於Phison X200，低於WD Ultrastar DC SN861、美光9550）；D7-PS1010與D7-PS1030的讀取延遲為60微秒（同於Phison X200、美光9550，優於WD Ultrastar DC SN861），寫入延遲為7微秒（優於Phison X200、WD Ultrastar DC SN861、美光9550）。而且，D7-PS1010與D7-PS1030活動狀態的耗電量為19瓦或23瓦，閒置狀態的耗電量都是5瓦。

相較於過去的新產品發表揭露通用的效能規格，Solidigm這次特別強調用於AI資料處理管線流程，不論是以前代產品D7-P5520與D7-P5620為基準，或是其他同級產品（同為7.68 TB容量的三星PM1743），D7-PS1010在特定管線流程進行的階段中，資料吞吐量均可高出50％。他們表示，新產品可部署在內部環境行為全快閃物件層，以GPU直連的方式供GPU伺服器接取，或是建置為全快閃儲存層，在NAS儲存系統支援存取效能相對較差的傳統硬碟。

產品資訊

Solidigm D7-PS1010
●原廠：Solidigm
●建議售價：廠商未提供
●儲存容量：1.92 TB、3.84 TB、7.68 TB、15.36 TB
●外形：U.2、E3.S
●儲存媒體：3D NAND，TLC，176層
●最高讀寫速度：循序14,500 MB/s與10,000 MB/s，隨機310萬IOPS與40萬IOPS
●使用介面：PCIe 5.0 x4
●耐用度：每日寫入量為1
●可靠度：250萬小時MTBF

【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】

從24H2更新開始，全新安裝及重灌Windows 11的家用及個人電腦，將預設啟動BitLocker加密，只要你設定時登入微軟帳號。

根據微軟網頁，BitLocker裝置加密會自動對OS和固定磁碟加密，以確保個人資料安全，用戶又無需管理複雜的安全設定。對任何具備微軟帳號，或企業、學校帳號的全新安裝（clean install）或重新安裝（fresh install）的電腦，在首次登入或設定時，即會啟動裝置加密，並產生回復金鑰。

圖片來源／微軟

裝置加密將適用於安裝Windows 11 24H2的Home、Pro版用戶，而以Windows Update升級的用戶不會自動啟動BitLocker加密。另外，使用本機帳號登入者也不會自動啟動加密。

這消息已經流傳好一陣子。5月間德國媒體Deskmodder首先報導，微軟已在5月初證實此事。

此事引發用戶反彈聲浪。原因之一是，一旦用戶遺失加密金鑰，則未來將再也無法存取自己的檔案。二來，如同Tom's Hardware報導，BitLocker加密將明顯降低機器效能，根據媒體測試，啟動BitLocker的機器固態硬碟效能最高減速45%。而且由於在BitLocker加解密過程會牽涉CPU，系統效能也將受影響。

所幸即使你的電腦是即將預設啟動的機器，也可以自行關閉BitLocker。Tom's Hardware提供二種方法。一是利用Rufus USB服務製作開機ISO，可預先關閉24H2的硬碟加密。另一方法則是利用Windows安裝精靈；以Shift+F10指令開啟登錄檔（Registry），再將BitLocker的「PreventDeviceEncryption」值改成1即可。