捷克資安業者Avast本周指出，駭客利用所竊取的使用者憑證與臨時性的VPN檔案駭進該公司網路，並準備對CCleaner發動攻擊，但在該公司察覺此事之後，已成功阻止駭客的入侵，並為安全起見，已於10月中更新了CCleaner。

參與共同調查的捷克情報機構BIS，據取得的資料分析指出，高度懷疑此次入侵事件背後主使者為中國駭客，企圖控制CCleaner，並據以控制使用者的電腦。

Avast資訊安全長Jaya Baloo說明，他們是在今年的9月23日發現內部網路中的可疑行動，因而展開全面性的調查，並於10月1日收到MS ATA/VPN的警告，聲稱有一隸屬於該公司VPN位址的內部IP，不當複製了目錄服務。

追查之後發現此一傳輸是來自英國的公共IP，駭客利用一個臨時的VPN檔案與Avast員工憑證入侵了Avast內部網路，還進一步取得了網域管理員權限。Baloo說，這個臨時的VPN檔案理應已被關閉，且存取時也未要求雙因素認證。

紀錄顯示，駭客多次利用同一個VPN檔案與不同的員工憑證入侵Avast網路，第一次出現在今年5月14日，最後一次則是10月4日，且證據指出駭客的目標為免費系統清理軟體CCleaner。

於是Avast順延了原本要在9月25日發表的CCleaner，針對CCleaner進行全面的安全檢查，還回溯檢查過去的CCleaner版本，證實了所有的CCleaner版本都是乾淨的，並在10月15日透過自動更新發布了全新的CCleaner 5.63，也撤銷CCleaner先前所使用的簽章。

Baloo指出，他們在觀察到駭客的行為之後刻意維持該VPN檔案的存在以持續追蹤，一直到確認駭客的意圖並發布新版CCleaner之後才將它關閉，同時重設所有員工的憑證，未來也將更注重整體企業環境的安全性。

Avast總經理David Peterson表示，全球軟體公司日益成為破壞性攻擊、間諜組織或是國家級駭客的攻擊目標，過去幾年已出現許多資料外洩或供應鏈的攻擊事件，CCleaner過去就曾是駭客的攻擊目標，因此他們會更嚴格地監控與測試相關系統，並與執法機構及國際組織共同追蹤駭客的行為。

CCleaner為英國軟體公司Piriform在2003年所開發的免費系統清理軟體，Avast則是在2017年的7月收購了Piriform，但CCleaner在2017年9月就傳出遭駭客植入後門，且不論是自雲端或官網下載都無法倖免於難，當時估計至少波及200萬台電腦。Avast表示，他們並不確定這兩次的攻擊行動是否來自同一夥人。

正當美國禁止本國政府和電信業者採用華為5G網路設備時，路透社報導，華為正和美國企業洽談5G技術授權。

華為高級副總裁兼董事會主席彭博（Vincent Pang）在路透社訪問時指出，一些美國企業表達有興趣以長期合作或一次性授權的方式，取得該公司5G技術移轉。不過彭博表示，洽談還在很初期階段，還要好一段時間來確定一切細節。他也未透露所謂有興趣的企業為誰，有幾家想談，以及何時會談成。

美國川普政府以華為設備中可能被植入後門導致機密資訊外洩為由，禁止聯邦政府機關和電信業購買華為5G網路設備。

為突破僵局，上個月華為創辦人暨執行長任正非，首度在和《紐約時報》及《經濟學人》的訪問中，透露一次性的技術授權。不過彭博在訪問中指出，即使美國企業獲得一次性的技術授權，還是得持續投入研發來改善平台功能，這是一筆很大費用，他說華為從2009年起，每年投入數十億美元在5G技術研發上。

路透社引述美國商務部長的說法，質疑花錢自己維護5G網路設備，對電信業者來說一點都不可行。

其他國家電信業者並不聽命於美國。今年一月華為公佈財報，表示已有40家電信業者簽約要買5G網路設備。

現在Docker Hub開始支援雙因素驗證，官方採用了比SMS更強的基於時間的一次性密碼（Time-Based One-Time Password，TOTP）身分驗證，使用者可以在帳戶設定的安全選項中啟用，而在啟用雙因素驗證後，Docker CLI將要求使用個人存取令牌而非密碼登入。

由於Docker Hub在現代應用程式開發中，扮演關鍵的核心角色，因此他們正逐步加強系統的安全性，其中一項便是加入雙因素驗證，用來保護帳號的合法使用者，使用者登入帳戶不只要提供帳號密碼，還要額外提供能證明帳戶擁有權的資訊，官方提到，由於Docker Hub有數百萬開發者以及企業在使用，因此他們選用較安全的雙因素模型TOTP，而另一種常用的SMS身分驗證，已經被證明存在許多攻擊媒介以及漏洞。

TOTP身分驗證比起SMS需要更多的預先設置，不過在初次設定之後，便會跟基於文字的訊息驗證方法一樣簡單，官方推薦使用者可以從App Store或是Google Play中，下載Google或是微軟的驗證器，而用戶要使用像是YubiKey的硬體金鑰也可以。

在使用驗證器之前，用戶需要向Docker Hub共享一組驗證器產生的32位元秘密字串，之後驗證器將透過演算法，按固定時間間隔更新密碼，這組密碼具有時間性，屬於使用者個人才可存取的敏感資訊，在用戶登入Docker Hub輸入完帳號密碼後，系統會要求使用者額外輸入這個由驗證器產生的密碼。

由於許多Docker用戶都透過CLI存取帳戶，特別需要注意的是，當用戶一旦啟用了雙因素驗證，帳號密碼的組合將無法用於CLI登入Docker Hub，用戶需要創建個人存取令牌，這項功能位於帳戶設定的安全選項。

官方提醒，由於初始同步驗證器與Docker Hub共享的的機密字串非常重要，因此在第一次同步配對後，Docker Hub便不會再次共享這個資訊，因此當使用者的裝置遺失，或是無法存取身分驗證器，就無法使用雙因素驗證，因此用戶必須要妥善保管，第一次啟用雙因素驗證時取得的恢復密碼。

目前雙因素驗證功能仍在Beta測試階段，在不久之後將會正式發布，之後官方計畫增加其他身分驗證控制，包括對WebAuthn的支援，讓用戶可以使用支援WebAuthn的安全金鑰和瀏覽器執行雙因素驗證，之後也會提供強制組織使用雙因素驗證的控制選項，讓組織管理員可以強制要求所有成員使用雙因素驗證，並對無法使用的人提供額外的支援方法。

VPN產業在本周很熱鬧，爆出NordVPN、TorGuard與VikingVPN等三大VPN業者的金鑰外流，其實金鑰外流是在去年發生的事，而之所以在本周發酵只是因為NordVPN在官方Twitter貼出了一則廣告，同時激怒了安全研究人員與駭客，駭客直接張貼了一個公布NordVPN金鑰的連結，之後再傳出連TorGuard與VikingVPN都受害。

NordVPN上周於Twitter上張貼了一則行銷推文「倘若使用VPN，就沒有駭客能夠竊取使用者的網路生活」，然後連結到NordVPN的官網，結果惹來一堆安全研究人員與駭客的冷嘲熱諷。研究人員批評VPN業者濫用了隱私的意義，把隱私與安全混為一談；還有人說VPN並不能真的抵擋身分竊盜；並有不少研究人員貼出訕笑與搖頭的動畫檔；隨後有一名駭客在周日（10/20）乾脆貼出了含有NordVPN金鑰的連結，直接打臉NordVPN；隔天又有人貼出另一個同時顯示NordVPN、TorGuard與VikingVPN金鑰的連結。

逼得NordVPN不僅撤下了該則推文，也在周一（10/21）出面說明。NordVPN表示，代管該公司伺服器的一家芬蘭資料中心在2018年3月遭到駭客入侵，駭客開採了該資料中心的一個遠端管理系統，資料中心在察覺駭客的行徑之後，就刪除了該遠端管理系統的帳號，但並未通知NordVPN，他們一直到幾個月前才知道。

NordVPN得知此事之後旋即與對方解除合約，同時對內展開全面的安全稽核。NordVPN強調，被入侵的資料庫並未存放使用者的紀錄或憑證，被盜走的金鑰也無法用來解密VPN流量，頂多是利用該金鑰來偽裝成NordVPN並執行中間人攻擊，而且相關金鑰已經過期。

至於TorGuard與VikingVPN的金鑰外洩事件，也被懷疑與該芬蘭資料中心有關，但並沒有任何人揭露該芬蘭公司的名稱。

TorGuard隨後也發表了聲明，表示他們的伺服器在2018年初就移除該資料中心，當時已與該資料中心中止合作，且置放於受害資料庫上的金鑰，早在2017年就過期了。因此此一事件並未真的影響TorGuard。

而VikingVPN則尚未公開回應此事。

許多媒體認為，這印證了一件事，不要隨便挑釁駭客，因為沒有什麼是不能被破解的。

ESET安全研究人員發現一隻疑似自中國駭客組織的後門程式，入侵微軟SQL Server資料庫軟體，特別是SQL Server 11及12，使駭客能任意存取、刪除或修改資料。

今年稍早，ESET研究人員發現一隻新的後門程式樣本，稱為Skip-2.0。分析Skip-2.0的程式碼，和該公司一直追蹤的中國駭客組織Winnti Group已知攻擊程式如PortReuse及Shadow Pad後門，使用同樣的模組，包括VMProtected launcher及Inner-Loader injector，因此研究人員相信Skip-2.0也是這個中國駭客組織的攻擊武器。

之前也有別的安全研究顯示Winnti Group可能受僱於中國政府，曾經長期駭入德國企業及遠端桌面軟體業者Teamviewer。

最新發現的Skip-2.0讓攻擊者獲得一組萬能密碼，讓他們可以暗中連上任何SQL Server帳號，藉此拷貝、變更、刪除資料。當它進入系統後，會注入惡意程式碼來鈎取（hook）並修改多個與登入、驗證有關的功能，藉此繞過SQL Server內建的驗證機制，使攻擊者不論輸入的密碼和合法用戶密碼是否相符，都能成功連線。

之後攻擊者可以做任何事，可能的攻擊情境包括竄改遊戲幣獲利。Winnti Group過去經常被發現攻擊線上遊戲開發商及其用戶。另一方面，它還可以關閉受駭機器的紀錄、事件發佈（event publishing）和稽核功能，達到隱藏自身蹤跡、長期潛伏的目的。

ESET指出，這是有紀錄以來，第一隻針對SQL Server系統的後門程式。經過測試，研究人員發現SQL Server 11和12可以被這隻程式以萬能密碼登入。這二個版本分別於2012和2014年推出，據市調公司Censys報告，是目前最多人用的版本。

所幸由於安裝hook需要管理權限，研究人員判斷，MS SQL Server必須要先被駭入才能執行Skip-2.0。

自由軟體桌面環境GNOME受到了專利蟑螂Rothschild Patent Imaging攻擊，該公司指控GNOME的軟體侵犯他們的圖片專利，現在Rothschild Patent Imaging提出以金錢和解的方式解決，但是GNOME基金會嚴正拒絕，並請求社群捐款幫助他們打官司，使該專利無效化以打擊專利蟑螂的囂張行徑。

在一個月以前，GNOME因為開發Shotwell圖片管理應用程式，而被專利蟑螂Rothschild Patent Imaging盯上，Rothschild Patent Imaging控告GNOME的Shotwell軟體，侵犯他們的US9936086B2專利，這項專利描述數位圖片無線發布（Wireless Image Distribution）的方法，也就是說，當有系統或是軟體，將圖片從一個裝置轉移到另一個裝置上，就有可能碰觸到該專利。

Rothschild Patent Imaging惡名昭彰，過去就曾多次對其他組織提出類似的訴訟，但多數為無效案件，使用的專利包括以日期或是位置分組照片，或是對照片進行臉部辨識等。Rothschild Patent Imaging的慣用手法，就是收購這類現在為基本常識的專利，並大範圍對許多企業組織提出訴訟，而組織可以選擇花比較少的和解金和解，或是花更多的錢請律師打官司。

在2017年的時候，Rothschild Patent Imaging對一群創新網路公司，發起多項圖片專利侵權訴訟，並要求每位被告賠償75,000美元和解，由於小公司資源較少，容易被恐嚇，但像是遇到大型公司，Rothschild Patent Imaging就容易踢到鐵板，他們也曾經與Garmin發生過訴訟，但是Rothschild Patent Imaging臨陣脫逃撤回訴訟，而被Garmin反告要求賠償打官司的費用。

不過，專利訴訟一來一往的高成本，還是讓許多企業願意花錢消災，Rothschild Patent Imaging找上GNOME，而這是史上第一次自由軟體專案受到專利蟑螂的攻擊，GNOME基金會執行董事Neil McGovern提到，他們聘請了法律顧問，打算對這種毫無根據的訴訟進行反擊。

Rothschild Patent Imaging現在同樣對GNOME提出五位數的高額和解費用，只要GNOME付錢他們就放棄訴訟，並且給予GNOME專利授權，讓Shotwell得以繼續開發，GNOME官方提到，這樣的方式簡單，不只減少工作量花的錢也少，減少了基金會的壓力，但是這個選擇本質上是錯誤的，當GNOME妥協之後，這項專利便會成為Rothschild Patent Imaging用來攻擊各企業的武器，因此GNOME將會堅決的抵制這類的攻擊。

GNOME認為，Rothschild Patent Imaging持有的這個US9936086B2專利並非有效專利，也不同意軟體應該接受這樣的專利授權，他們希望這個專利不會被任何人使用，GNOME要證明Shotwell和一般自由軟體可不受此專利影響，GNOME提到，他們不會輕易放棄訴訟，而且會讓來找麻煩的專利蟑螂的專利失效。

為此，GNOME請求社群協助，捐款給GNOME專利蟑螂防禦基金（GNOME Patent Troll Defense Fund），幫他們打贏官司。

繼去年第一家科技概念店之後，全家便利商店在智慧零售上再接再勵，第二家科技概念店（簡稱二號店）正式在今天亮相，結合自助結帳、5G、自助咖啡機、IoT、智慧販賣機等科技，試圖帶來新的超商消費體驗。

全家便利商店董事長葉榮廷表示，隨著高齡、少子化的趨勢，勞動人口逐漸減少，另方面講究體驗的消費需求已是不可逆的趨勢，全家思考如何善用科技解決問題，一方面分擔店員的勞務工作，也提升消費者的體驗，科技1、2號店象徵全家轉型科技零售的實驗場域。

二號店將在明天（10/23）正式開幕，位於台北市的南京東路四段（全家京盛店），原本只是傳統門市，全家花費千萬元改造為新一代科技概念店，這家門市鄰近小巨蛋、育達商職，加上商辦的上班族人潮，在用餐的尖鋒時刻往往湧入大量的消費者，造成商店人員結帳、補貨、店鋪管理的龐大負擔。

在全家新一代的科技概念店中導入11項科技設備，嚐試以科技減輕超商員工負擔，提供新的消費體驗，這些科技設備包括迎賓機器人ROBO、智能販賣機、智能咖啡機、自助結帳、電子互動貨架、5G、影像辨識、智慧零錢捐、建議訂購及智能客服，除了幾個不易從外觀看到的科技設備外，一起來看看這家二號店有哪些特色：

自助咖啡機：不少人會在超商購買一杯咖啡，這家概念店和WMF合作，在店內配置了兩臺自助咖啡機，想要喝咖啡時，可先在辦公室或家中透過App線上購買咖啡，再到門市的自助咖啡機前掃描App秀出的條碼，咖啡機螢幕會自動顯示所購買的咖啡名稱並開始烹煮，等待咖啡煮好後，消費者自行取紙杯、盛裝、上蓋就能離開。

（洪政偉攝）

相較於去年一號店以機械手臂取代店員，為消費者準備咖啡，造成話題，這次概念店導入自助咖啡機，消費者透過App預購咖啡後，就能前往店內自助購買咖啡，分擔店員準備咖啡的工作負擔。但為了分擔大量來客，二號店的櫃檯店員還是提供咖啡購買服務，對喜歡和店員互動的消費者而言，仍保留了人際互動的樂趣。

電子標籤：概念店內不論是飲料冰櫃，或是零食、泡麵、麵包等一般商品貨架，都大量使用了電子標籤，以取代傳統的紙質價格標籤，這些電子標籤通過後臺，可以Wi-Fi一次更新多項商品的最新價格，店員也能透過手持裝置，逐個配對電子標籤，更新單一商品的最新價格。

（洪政偉攝）

去年的一號店，全家曾用RFID管理商品，但由於RFID易受到干擾，因而降低準確性，目前已停止使用RFID。

店內人員可透過手持裝置配對個別商品的電子標籤，更新上面的價格資訊。

（蘇文彬攝）

電子互動貨架：全家也和第三方合作，運用影像辨識技術推出電子互動貨架，在貨架的上方有一臺攝影機，當消費者拿起貨架上的麵包或是常溫飲料，攝影機就能辨識商品，在螢幕上顯示該商品的相關資訊。

（洪政偉攝）

影像辨識不僅僅用在電子互動貨架，也用在商品的管理上，在概念店的飲料冰櫃前方天花板也架設兩臺攝影機，可以即時辨識貨架上的商品狀態，當某個飲料在貨架上即將售完時，自動發送訊息通知門市的後檯人員進行補貨。

（洪政偉攝）

5G Wi-Fi：國內的超商普遍提供店內Wi-Fi上網服務，而全家在最新的科技概念店中和遠傳電信合作，由於國內尚未5G釋照，遠傳電信先以5G實驗網路提供這家概念店高速Wi-Fi無線上網服務，現場以手機測試，Wi-Fi下載速度可達到數百Mbps。

（洪政偉攝）

自助結帳：當你結束購物準備結帳，卻發現櫃檯大排長龍時，除了人工結帳，概念店設置了兩臺自助結帳機，只要以掃碼器掃描欲結帳的商品的條碼，或將條碼對準掃碼口，螢幕就會顯示結帳商品名稱、金額，再使用悠遊卡、一卡通，或是能綁定6家銀行信用卡的My FamiPay就能完成付款，自助結帳僅支援非現金支付工具，無法接受現金支付。

（洪政偉攝）

在自助結帳機的上方有攝影機，全家表示，未來準備和台新銀行合作推出刷臉支付，以後消費者只要使用台新銀行旗下的支付服務，到全家科技概念店的自助結帳機臺就能以臉部完成支付，目前這項功能暫時尚未推出。

目前全家已在10家門市導入自助結帳設備，相較於其他的零售科技，掃碼自助結帳較為成熟，未來還可能擴大至更多的門市。

智能販賣機：全家在科技概念店中，首次導入智能販賣機（智販機），類似店中店的概念，4臺智能販賣機自成一個獨立的販售區域，但仍和便利商店販售區相通。2臺智販機設置在內，而2臺設置在外，可服務往來的人潮，不需進入便利商店就能買到想要的商品。全家利用智販機販賣各種商品，測試24小時營運模式，克服一例一休對24小時營運的衝擊或是缺工的問題。

2臺對外的智販機中，1臺為50吋大型觸控螢幕機型，平時螢幕播放廣告，當有人靠近販賣機，就會自動顯示銷售的商品及價格，如同一般販賣機選擇品項，可使用悠遊卡、一卡通、My FamiPay付款。

（洪政偉攝）

旁邊另一個智販機為雙溫智販機，上層保持在18度C，可保存飯糰、飲料等商品，下層則保持在4度C，以保存沙拉、三明治，選擇想要購買的商品後，同樣可以悠遊卡、一卡通或My FamiPay付款。

設置在內的2臺智販機，其中一臺為可看到商品的常溫販賣機，另一臺則是鮮食便當機，以低溫保存義大利麵、便當等鮮食，消費者購買後再拿到微波爐自行加熱。全家不排除未來推出整合微波功能的鮮食便當販賣機。

（洪政偉攝）

販售義大利麵、便當的鮮食販賣機。

（洪政偉攝）

設備IoT監控：二號店也導入了IoT以監控設備，過去需要依靠人工方式，查看各個設備的運作是否正常，現在則利用LoRa連結門市的設備蒐集數據，以監控冰箱、冰櫃等溫度是否有異常，監控店內的照明用電量等等，自動控制用電量、預警通報等等，門市的管理者只要透過平板電腦就能隨時查看冰箱/櫃、照明、空溫等設備的運作數據。

（洪政偉攝）

除了上述的各項科技外，全家的科技二號店在入口處保留了一號店就有的迎賓機器人ROBO，門市管理人員可以自己輸入ROBO的歡迎詞，介紹門市的最新優惠。在結帳櫃臺部份，這家科技概念店的櫃檯也變得比較簡潔，以往在便利商店櫃檯常看到的各種刷卡機、感應機也通過整合，一改過去商店櫃檯給人雜亂的印象。

（洪政偉攝）

傳統的零錢捐也進化為可自動計算零錢金額，具有螢幕及語音表達感謝的智慧零錢捐：

（洪政偉攝）

美國民主黨參議員Mark Warner、Richard Blumenthal及共和黨參議員Josh Hawley，在本周共同提出了ACCESS法案（ACCESS Act），希望立法讓社交網站用戶的資料可攜，也規定社交網站之間必須互通，以推動競爭並促進創新。

ACCESS法案的全名為《藉由切換服務來加強競爭與相容性》（Augmenting Compatibility and Competition by Enabling Service Switching Act），要求社交網站的服務應能與其它競爭平台互通，允許消費者能夠輕鬆地以結構化且機器可讀取的格式移植資料，也應允許消費者委派可靠的託管服務，來負責管理他們的帳號設定、內容及線上的互動。

這群議員的用意除了希望提升新創社交網站的競爭能力、讓消費者有更多的選擇之外，也認為此舉將會創造新興的託管服務，以代替消費者管理他們在不同平台上的帳號。

其中，Blumenthal更直接點名臉書與Google的獨占優勢，排擠了市場上的競爭，而競爭卻是保護線上隱私與推動技術創新的重要元素；ACCESS Act將讓消費者具備抵禦這些大型業者的能力，將自己的資料移轉到尊重他們權利的其它服務。

支持此一法案的Mozilla公共政策總監Chris Riley指出，未來網路上真正的惡夢之一，很可能就是消費者在少數具備全方位與強大能力的技術大廠之間，進行毫無意義的選擇，而這也將是獨立創新與創造力的終點。

IBM發布公有雲和Watson人工智慧產品組合更新，推進其Watson Anywhere的策略，擴展人工智慧到任何雲端上，並且簡化人工智慧的實作。從新加入的偏移偵測（Drift Detection）開始，到Watson助理等功能，現在可都透過IBM的Cloud Pak for Data平臺，在任何雲端上運作，方便企業把龐大的資料應用在人工智慧上。

去年發布的整合資料分析平臺Cloud Pak for Data，現在支援紅帽的Kubernetes容器調度平臺OpenShift，並且已經獲得OpenShift認證。完整的認證代表其元件都來自信任的來源，容器映像檔也不會含有已知的漏洞，而且其容器在整個RHEL環境，包括私有雲、公有雲和混合雲環境都相容。

最新的Cloud Pak for Data新增了一系列標準功能，同樣能在任何的混合雲環境中使用。新功能Db2 Event Store，提供企業每天即時儲存與分析2,500億個事件的能力，還有新加入內建AutoAI的Watson機器學習，AutoAI是IBM的自動化模型建置程式，可同時讓資料科學家和非資料背景的人，簡單地建置機器學習模型，AutoAI自動化建立模型的複雜工作，包括資料準備、模型選擇、功能工程以及超參數最佳化。

為了讓企業可以在雲端上快速部署、訓練和持續改進虛擬助理，Watson助理加入語音互動新功能，讓企業將人工智慧助理整合到IVR系統中，讓使用者透過自然語言提問。而且Watson助理現在也能透過分辨使用者音調或是說話方式的細微差異，提供最適合的回答，使用者還可以同時混用使用語音和文字訊息。Watson助理已經和Cloud Pak for Data整合，企業可以將虛擬助理部署在任意的雲端環境。

在企業法遵的支援上，去年IBM推出了OpenScale，以符合日趨嚴謹的資料隱私法規，消除人們對人工智慧演算法得出答案過程的疑慮，提供企業管理人工智慧，並發現偏差的方法。而現在IBM在OpenScale中加入偏移偵測功能，使用者能檢測模型偏離原始參數設定的距離，一旦超過用戶定義的偏移閾值時，OpenScale便會發出警告，IBM提到，偏移偵測不只能夠提供額外的模型精確性資訊，還能加速模型重新訓練的速度。

IBM也同時發布了帶有Watson的OpenPages，OpenPages是治理、風險和法遵平臺，為企業設定和管理營運風險，同時也可用在金融控制管理或是IT治理等方面，最新OpenPages 8.1整合新的規則引擎，加入更直覺的檢視圖，以及進階工作流程功能，IBM提到，額外的參與和自動化功能，可以塑造企業更具風險意識的文化，讓更多人能夠融入風險和法遵活動。

1017-1023一定要看的資安新聞

＃Docker主機安全

Docker Hub上映像檔被發現存在挖礦綁架蠕蟲

圖片來源／Palo Alto Networks Unit42

近日資安公司Palo Alto Networks威脅情報小組Unit 42公布，發現一種新型的Graboid挖礦綁架蠕蟲，已感染了超過2千臺不安全的Docker主機，用於挖掘Monero加密貨幣。值得注意的是，由於這是首次挖礦綁架蠕蟲被發現存在Docker社群版本中，使用容器進行傳播，研究人員並提醒，這個挖礦綁架蠕蟲具有從C2伺服器下載新腳本的能力，因此也能轉換成勒索軟體或是任何惡意軟體，企業應提高保護自家Docker主機的能力。例如，在防火牆規則中加入白名單，限制流入流量的來源，並且不可從未知的映像登錄服務或是不明使用者名稱空間拉取Docker映像檔，平時應定期檢查系統是否存在未知的容器或映像檔，也可以使用雲端安全解決方案，辨識惡意容器。更多內容

＃系統服務中斷　＃LINE Pay一卡通

LINE Pay一卡通服務中斷2小時，台電挖斷電信線路造成

圖片來源／擷取自一卡通票證公司官方網站

行動支付服務LINE Pay一卡通在10月16日下午，傳出系統故障，造成部分民眾在店家結帳櫃臺前使用LINE Pay電子支付時，不斷嘗試卻無法成功交易，只能改用其他方式付款。對於此事件發生的原因，我們向業者詢問，LINE Pay公關部證實，他們的系統服務確實中斷約兩小時，一卡通票證公司在16日晚間也正式發表聲明，指出下午1點49分發生服務中斷事件，確認是連外網路問題所導致，並已於下午4點03分服務恢復正常運作。關於更詳細的調查結果，一卡通票證公司則在後續公布，指出是台電工程施工不慎，挖斷電信業者光纖網路所造成，系統無法連線，導致交易無法進行。只是，光纖網路理論上應有較完善的保護，不應如此容易遭破壞，而網路設備的備援機制也成外界關切焦點。更多內容

＃系統服務中斷　＃ATM

全臺ATM跨行提款大當機30分鐘，財金公司聲稱工程師誤觸線路

圖片來源／擷取自財金資訊官方網站

國內銀行ATM在10月17日傍晚傳出系統大當機，導致民眾無法跨行提款，只能到持卡銀行的ATM才能提款。對此，財金資訊在當晚發出公告，指出這次跨行系統異常是從下午5點42分開始，陸續發生網路異常狀況，直到6點18分才恢復正常運作，根據他們初步調查，原因是下午資訊系統業者工程師至機房進行例行性維護時，誤觸了一條線路，造成跨行系統服務中斷。雖然，這起事件在半小時就恢復，但人為疏忽誤觸線路的說法，竟造成民生相關重要金融跨行提款服務停擺，飽受民眾質疑，因此金管會也要求財金資訊，必須詳細查明真正原因，並提出具體改善方案。更多內容

＃系統服務中斷

公路監理資訊系統外部介接查詢服務異常，週一早上已恢復

圖片來源／擷取自公路總局官方網站

在10月21日清晨，國內第三代公路監理資訊系統傳出系統異常狀況，導致與警政、財稅等機關電腦連線的查詢系統無法使用。當日中午，交通部公路總局發出公告，指出公路監理資訊系統因臺中文心機房對外服務異常，導致影響財稅中心、環保署、M-police、警政署與交通停管等機關人員，無法使用車輛、駕駛人查詢服務，經緊急應變處置後，這些外部介接查詢服務在周一上午9時已全面恢復正常，並不影響民眾服務。對此事件，我們向公路總局瞭解詳細狀況，該局資訊室監理資訊科表示，主要影響相關單位的即時查詢，但批次查詢不受影響，而影響範圍也只在分流的臺中地區，此外，他們其實在前一天週日下午已接到通告，當時調查沒有問題，直到週一早上發現伺服器異狀，才找到真正原因，所幸假日影響不大，他們表，未來他們會加強相關監控。更多內容

＃勒索軟體

國泰投信驚傳遭遇勒索病毒，官方網站也停擺

國泰投信在10月22日傍晚驚傳遭遇勒索病毒，對此，該公司在當日晚間發表聲明，指出下午4點因員工電腦疑似中毒，為預防病毒感染擴大，因此，資訊人員第一時間關閉所有電腦及網路，包括對外網站，以處理並掃毒，初步調查非駭客攻擊，並澄清沒有全面當機情況，也不影響客戶申贖交易。關於詳細情形，我們向國泰投信詢問，該公司發言人吳惠君表示，僅數臺電腦的部分檔案遭加密，經資安業者協助，疑似新種病毒，並在23日早上6點已完成200多臺電腦與伺服器的清查，所有電腦均已恢復正常運作。

＃勒索軟體

資安業者Emsisoft釋出可救援上百種Stop勒索軟體變種的工具

圖片來源／Emsisoft

近來常見的勒索軟體Stop（又名Djvu），主要透過金鑰產生器及破解程式散布，有時還會嵌入其他惡意軟體，估計市場上已有160種變種，近期資安業者Emsisoft釋出了勒索軟體Stop的解密金鑰，將能解鎖其中148種變種的加密檔案。根據ID Ransomware統計，在今年4到9月期間，Stop在勒索軟體領域的市占率達到56%，以印尼、印度、美國、巴西與韓國為前五大受害區域。Emsisoft表示，他們是透過Stop的金鑰串流漏洞展開旁路攻擊，進而破解Stop的加密機制，而這也是史上首次利用此方法大規模回復加密文件。更多內容

＃Linux核心漏洞

Linux核心含有可造成系統當機或遭駭客掌控的陳年漏洞

圖片來源／Nico Waisman's Twitter

根據GitHub的首席安全工程師Nico Waisman近期揭露，有一項在2013年即存在於Linux kernel的安全漏洞，漏洞編號為CVE-2019-17666，存在於Linux核心中的RTLWIFI驅動程式，而這個驅動程式是用來支援瑞昱（Realtek）的Wi-Fi晶片，因此，當採用瑞昱Wi-Fi晶片的Linux裝置，位在惡意裝置的無線通訊範圍內時，該漏洞一旦被成功利用，就能被觸發，形成緩衝區溢位，將有可能造成系統當機，或是允許駭客取得系統權限。目前Linux開發人員已提交此漏洞的修補程式，預計很快就會被整合到Linux核心。更多內容

＃網站隔離　＃Chrome

Google改善Chrome 77的網站隔離機制，首度進駐Android版

圖片來源／擷取自Chromium官方部落格

為了應對像是Spectre之類的猜測執行旁路攻擊漏洞，Google在2018年7月時，讓網站隔離（Site Isolation）機制成為Chrome 67的預設值，可以在瀏覽器造訪不同的網站時，以各自獨立的程序載入這些網站，並限制相關程序所能存取的資源與功能，藉以阻擋駭客竊取跨站資料。近日Google揭露，上周釋出的Chrome 77桌面版的網站隔離機制，將可進一步防禦已被危害的渲染程序攻擊，同時也首度於Android版Chrome嵌入網站隔離機制，將能隔離那些必須輸入密碼的網站，像是金融或購物網站。更多內容

＃瀏覽器安全　＃Firefox

德國政府公布4大瀏覽器測試結果，Firefox能滿足所有安全要求

圖片來源／bundesamt für strahlenschutz

關於瀏覽器的安全，近期德國聯邦資訊安全辦公室發布了市面瀏覽器的測試報告，包括Mozilla Firefox 68（ESR）、Google Chrome 76，以及微軟IE 11與Edge 44，而Safari、Brave、Opera或Vivaldi未納入測試之列。在這份測試結果報告中，主要是依據德國聯邦政府頒布的現代安全瀏覽器指南，所列出的能力要求，對市面瀏覽器進行測試評分，共有20多項要求，其中Firefox是唯一滿足所有安全要求的瀏覽器，而其他瀏覽器的缺失方面，報告中也提到，像是Chrome和微軟IE、Edge不支援主密碼（Master Password）機制，並且不讓用戶選擇關閉遙測資料的蒐集，以及欠缺組織透明度。更多內容

＃資安通報　＃資通安全管理法

2018政府機關資安通報現況大公開，6起3級事件最嚴重

攝影／羅正漢

關於國內的資安通報現況，首先，簡宏偉公布去年度政府機關資安事件通報的統計，在2018年度，共有262件資安事件通報，其中146件是政府機關主動偵測發現通報，另有116件，是政府機關接獲資安警訊通告所進行的通報案件。若以嚴重等級而言，最嚴重的4級事件為零，3級事件有6件，其餘2級事件43件、1級事件213件。在事件類型上，以去年而言，主要是非法入侵、網頁攻擊為主，而在重大資安事件方面，簡宏偉進一步說明。在這6個3級事件中，主要可畫分為三大類型，包括機敏資料外洩（個資外洩）、核心業務系統或資料遭嚴重竄改（資訊設備遭植入勒索病毒），以及核心業務運作遭影響或系統停頓，無法於可容忍中斷時間內回復正常運作。其中以資料外洩類型為主，比例佔50%。更多內容

更多資安動態
●NordVPN、TorGuard與VikingVPN三大VPN業者的金鑰外流
●微軟聯合PC業者防止韌體惡意程式
●駭客用WAV檔散佈惡意程式
●微軟更新造成自家安全軟體失常，呼籲用戶暫勿安裝
●【開放銀行特別報導】財金開放API平臺終於上路，23家銀行與6家TSP搶先布局，但下一階段才是更大的挑戰
●三星Galaxy S 10指紋辨識有臭蟲，任何人都可以解鎖
●中國駭客以後門程式入侵MS SQL Server
 

荷蘭台夫特理工大學助理教授Miguel Bessa及其研究團隊，藉由機器學習的幫助，將原本堅硬易碎的材料，轉換成一種像海綿一樣的新材料，該材料特別之處在於，會一直維持堅硬的狀態，直到施加外力超過臨界值，才會出現可輕易壓縮的狀態。

不過，Miguel Bessa認為，這項研究重要性不在於開發出新材料，而在於開發材料的方法，是借由機器學習幫助完成，減少過去不停實驗，經歷試錯過程的時間。

Miguel Bessa受到了一種可變形的衛星結構啟發，這種衛星設計是可從原本的小封裝中，展開成極大的太陽帆（Solar Sail），因此他也想設計出一種可高度壓縮但同時兼具硬度的材料，如此便能把該材料壓縮至原有體積的一小部分，讓運用該材料製作的自行車、餐桌或是雨傘，能更方便收納。

研究人員採用計算資料驅動的方法，透過選擇材料、長度規模和製造工藝，探索新的超材料（Metamaterial）概念，使其具有不同的特性。在貝氏機器學習的指引下，研究團隊以不同長度比例製造了兩種設計，這些設計將堅硬易碎的聚合物，轉變成輕量、可恢復和可壓縮的超材料。較大型的設計經過調整，可實現最大可壓縮性，可壓縮比例為94%（應變，Strain），可恢復力強度為0.1 kPa，而微型的設計可恢復力強度超過100 kPa，可壓縮比例為80%。

而這類擁有特殊性質的超材料，通常需要透過探索新的幾何形狀，來實現全新的特性和功能，Miguel Bessa提到，過去超材料的設計，仰賴廣泛的實驗以及傳統嘗試錯誤的方法，但他們反轉了開發流程，先利用機器學習探索設計的可能性，以最大程度減少實驗的次數，他認為，人工智慧為尋找寶藏的科學家提供了一份藏寶圖。

自由開源的無頭內容管理系統（Content Management System，CMS）Ghost，現在推出最新第三主要版本，這個版本的更新重點有兩部分，其一是在其核心中整合訂閱與付費功能，另一個則是完全轉換其技術架構成為JAMstack（JavaScript, APIs, Markup），以提供更好的效能以及開發體驗。

Ghost官方提到，廣告獲利模型對出版商來說已經無利可圖，Google和臉書拿走廣告市場大部分的利潤，而且這個模型鼓勵了點擊誘餌、假新聞和內容農場等現象。因此現在部分出版商，嘗試透過販售高級會員訂閱的方式獲利，也就是在出版品中使用SaaS的訂閱概念。

會員訂閱模型指的是，出版商以創作的獨特內容來吸引忠實觀眾，並為觀眾提供高級會員訂閱來獲利，同時還能創建一個社群來連結聽眾，Ghost表示，訂閱付費最困難的部分，並非是訂閱以及付費功能，而是如何在發布平臺中，整合訂閱與付費功能。而Ghost作為知名開源部落格平臺，現在在其核心整合訂閱功能，讓任何人都可以簡單地建立經常性收入的訂閱事業。

Ghost 3.0另一項大改變，則是完全轉換技術架構為JAMstack，過去的舊方法是製作一個動態應用程式，並產生HTML快取以加速網頁存取，而新方法則是先產生一個靜態網站，並透過增加動態功能來強化網站能力。官方現在最大程度地在Ghost應用JAMstack概念，讓內容管理完全能以API、Webhooks和框架建構。

官方特別強調，他們僅販售服務和商品，而不出售公司的控制權，因此從2013年發展以來，Ghost一直都維持其業務的獨立性，並且作為一個獨立的非營運性組織運作，致力於發布開源軟體。目前使用Ghost的企業包含Apple、DuckDuckGo、OpenAI、Stanford Review、Mozilla、Cloudflare與Digital Ocean等知名企業。

LINE在今天（10/23）一次在臺上線兩大新服務，包括商家資訊平臺LINE SPOT，以及LINE TAXI行動叫車平臺，要以虛實融合OMO（Online merges with offline）策略，布局生活上LINE的願景，也預告明年將啟動LINE行動電商2.0計畫。

早在今年3月底，LINE臺灣董事總經理陳立人就預告，不只線上購物，今年也要把觸角延伸到線下實體店家，並將於下半年在臺上線商家搜尋工具LINE SPOT，要串起線上線下生態圈。

今天，陳立人宣布，LINE SPOT在臺正式登場，要透過這個連結實體商家與各式O2O服務的平臺，以虛實融合策略，打造全方位的數位生活基礎建設。

「LINE SPOT是連結起用戶與商戶的平臺。」陳立人提到，這是以地圖為基礎的商家資訊，用戶能以自身所在位置為中心，在LINE上看到附近有哪些實體商家，並在商家資訊中，顯示這個商家所串接的服務。比如，商家的LINE官方帳號、能否使用LINE Pay付款、有沒有優惠的LINE酷券等。然而，在該平臺上，用戶可以新增照片、分享店家小卡到LINE聊天室，未來也將新增評分與評論的功能。

陳立人也宣布，今年第4季起，將陸續在該平臺推出叫車、租車、預約等7項生活服務。預計2019年底串接FunNow、TaxiGo、台灣代駕，並於2020年第1季導入ez訂電影、Niceday玩體驗、WeMo Scooter與肚肚。

上線LINE TAXI，正式跨足行動叫車市場

此外，LINE更宣布正式跨足行動叫車市場，與TaxiGo合作推出LINE TAXI叫車平臺，並在今天正式上線，用戶不需要額外下載應用程式，只要在LINE主頁中的「服務」點選LINE TAXI，或加入該叫車平臺官方帳號即可叫車。從叫車、抵達提醒、與司機對話，到下車付款都在LINE一條龍完成。

此叫車平臺將由LINE與TaxiGo團隊共同運營，而線下的TaxiGo車隊與司機，則由TaxiGo團隊持續獨立運營。

陳立人表示，LINE本身並未營運計程車隊，而是藉由此線上叫車服務，連接起車隊與消費者。目前，TaxiGo是首家串接LINE TAXI的車隊，也是LINE生態系在交通解決方案所跨出去的第一步，未來，也希望更多臺灣計程車隊加入。

LINE新星計畫將邁入第5年，LINE將釋出更多平臺資源

LINE臺灣企業戰略部資深總監唐欣，也在活動上揭露自2015年底啟動的LINE新星計畫現階段成果。唐欣表示，目前已成功協助超過30個生活、娛樂、教育與金融等各領域新創團隊，在LINE平臺上打造服務，包含新創公司、非政府組織、非營利組織，其中更有10個服務是在今年推出。

她提到，新星計畫是透過LINE的平臺資源、育成計畫，進而促成投資合作，要幫助臺灣新創團隊壯大。唐欣更宣布，新星計畫即將邁入第5年，將提供更多內部行銷資源及管道，讓新創團隊能靈活運用。

其中，在平臺資源的部分，包括讓新創團隊免費使用1年LINE官方帳號服務與API串接功能，更提供30萬的LINE廣告行銷資源，讓新創團隊增加曝光度。同時，更透過LINE新星計畫在泰國的姐妹計畫-Scale Up Program，協助新創團隊更容易串接到東南亞市場推廣服務。

在育成計畫的部分，LINE將提供技術諮詢、商業模式建議與分析、團隊進度檢查，並串接起新星計畫歷屆參與者，鼓勵大家交流。而在商業面向顧問輔導，唐欣宣布，今年新星計畫的夥伴，加入勤業眾信為新創團隊提供系列專業課程與會計諮詢，另一夥伴中華開發創新加速器，則為每個團隊提供專屬經理人進行輔導。

2020年將啟動LINE行動電商2.0計畫

LINE臺灣電子商務部資深副總經理顧昌欣也在活動上，揭露上線近2年的行動電商成果。他表示，LINE行動電商，透過LINE購物、LINE酷券、LINE旅遊三大服務，涵蓋了線上購物、線下消費與旅遊電商等三大領域。並與各領域超過1,800家合作夥伴，共同創造了超過220億元的交易量，帶來1,200萬不重覆訪客人數。

顧昌欣宣布，前進2020，LINE將正式啟動行動電商2.0計畫，為消費者打造個人化的購物介面，深度運用AI技術，呈現給消費者他最有興趣的商品。同時，也要為電商夥伴，提供更新的平臺資源、行銷工具，明年會大規模運用大數據能力，幫助電商夥伴擴大線上和線下的交易。

1019-1025

 國泰金控   數數發   DevOps文化  
國泰金控建立DevOps文化加速數位產品開發，每周能完成破100項服務需求
國泰金控2016年設立的數位數據暨科技發展中心（簡稱數數發）作為國泰金控推動集團數位轉型的創新引擎，目前團隊人數在9月底達到了近500人的規模。數數發近期更揭露，內部已建立DevOps文化，包括產品敏捷開發、使用者易用性檢測、軟體測試工程、CI/CD（持續整合/持續交付）、維運監控，加上先前已建立的AI大數據平臺架構，要以客戶為中心的思維，應用創新技術，來壯大數位數據生態圈。

國泰數數發中心數位體驗科技部協理陳明泉指出，導入DevOps文化最大的好處，是讓軟體開發人員（Development）跟IT維運人員（Operations）更緊密溝通及合作，消除過往兩者間可能產生的鴻溝，進一步強化協作關係，加速軟體的開發、測試、部署、發布、監控。

設立在金控端的數數發，協同國泰金控旗下子公司導入DevOps文化與敏捷式專案管理，來開發數位金融產品。目前，已應用在KOKO數位銀行、國泰優惠（My Rewards）App、國泰智能投資、國泰世華行動銀行等多項數位金融產品。

比如國泰世華銀行在導入DevOps文化後，可大幅去除複雜的開發框架、簡化上版部署申請流程、繁瑣測試工程及監控部署，透過網路、架構、交易、資安、客服等IT相關部門組成審議會議，現在每周可將100多個服務需求完成上線，並落實集中版控、集中編譯、隔離部署，落實DevOps文化。

 花旗銀行   系統出包   金管會  
花旗銀行年初系統出包，遭金管會開罰500萬

今年初花旗(台灣)銀行爆發系統大當機，導致超過萬名客戶的存款交易當天未能過帳。為此，金管會在10月17日宣布，開罰花旗銀行500萬元。金管會指出，花旗銀行執行批次作業部分交易檔案，未完整過帳到主機系統，導致客戶新臺幣帳戶餘額不正確，顯示其資訊系統的穩定性、可靠性與安全性控管不足。

此外，在委外作業上，金管會認定，花旗銀行未建立有效內部控制與稽核制度，監督受委託機構亞太資訊中心，在系統軟硬體、人員、測試、檢核等相關內控機制的執行，欠缺有效性。

原因是，花旗銀行未考量由委託機構的測試環境，轉換到受託機構的正式環境，可能產生的作業風險，金管會認定，花旗未針對此作業流程，建立有效檢核或監控機制，導致未能及時發現亞太資訊中心人員執行排程設定發生錯誤，或是覆核人員未檢查出錯誤，而造成系統異常。

此外，金管會還指出，花旗銀行對於臺灣BAFES系統與新加坡主機系統間檔案傳輸作業，未有效建立檢核機制。金管會提到，花旗銀行雖然新增了系統自動在檔案傳輸完成時，啟動檢查作業。只是，未就檔案未傳輸的情況建立有效的檢核機制，或異常緊急處理作業流程，導致發生連線異常時，除這項新增的監控機制未發揮作用之外，也未能恢復檔案傳輸。

 金管會   資訊系統   銀行公會  
金管會要求公會訂定自律規範，強化銀行資訊系統作業風險抵禦能力

銀行系統頻頻出狀況，花旗銀行年初系統出包事件，才在上周遭金管會開罰；中華郵政也在今年7月底發生全臺當機事件，全臺近1,300間郵局的儲匯營業窗口與3,000多臺ATM（自動櫃員機）及網路交易服務全部無法運作。

根據聯合報報導，為了強化銀行資訊系統的作業風險抵禦能力，金管會已要求銀行公會，對銀行資訊系統出包時的衝擊容忍度訂定自律規範，並要求銀行應建置備援系統與制定恢復計畫。尤其是跟客戶密切相關的存款、匯款及ATM等核心系統，希望在2小時之內恢復中斷的服務。此外，純網銀的要求可能會更高，而此新規定預計明年上路。

金管會也要求銀行公會，在研擬此自律規範有兩大項重點。一是將銀行資訊系統區分為核心與非核心系統，分別訂定衝擊容忍度。銀行公會需明訂核心及非核心業務的範圍，比如存款、匯款、ATM、網銀等跟客戶密切相關的業務，屬核心業務。二是，核心業務部分的容忍度，應比非核心業務嚴格。

 LINE   野村控股   區塊鏈聯盟  
LINE攜手日本最大投行野村控股，共組區塊鏈聯盟發展商業機會

通訊軟體LINE旗下負責加密貨幣與區塊鏈相關業務的子公司 LVC，繼今年9月獲得日本金融廳(FSA)的許可證，正式在日本開始營運加密貨幣交易所BITMAX，LINE日本每月8,100萬活躍用戶，可直接用LINE通訊軟體登入此交易所，除了連接銀行帳戶外，用戶也可以用LINE Pay帳戶買賣加密貨幣。

LINE更在10月初揭露區塊鏈最新布局，宣布與旗下LVC，共同和日本最大投資銀行野村控股Nomura達成聯盟協議，要共同探索區塊鏈產業中的商業機會。目標是長期合作來用區塊鏈技術建構新的金融服務。

 開放銀行   TSP   中華徵信所   徵信科技  
搭上開放銀行風潮，新型態TSP業者出現

臺灣金融圈在今年初正式吹起開放銀行（Open Banking）風潮，在各家銀行積極參與之下，也有階段性成果。然而，在TSP業者之中，除了有幾家FinTech的新創在前期備受關注之外，現在，開始有一些新形態的金融創新服務出現了。

在2017年被義大利商收購的中華徵信所（現為CRIF中華徵信所），CRIF中華徵信所總經理郭曉薇表示，近年中華徵信所結合了原有的徵信業務外，以及CRIF集團的金融徵信技術，推動全面的數位轉型，今年開始將全力發展「徵信科技」（CredTech），要協助臺灣金融機構在數位化轉型的道路上提升效率、獲利和提升客戶體驗。

在開放銀行浪潮下，郭曉薇表示，CRIF中華徵信所在未來將進入個人信貸領域，成為TSP業者之一，在徵信生態圈中扮演著更重要的中介角色，並以自身徵信實力，為金融業者提供消費者的個人信用評估服務，推動大數據徵信服務。CRIF集團開放金融暨市場調查總監Silvia Cotta Ramusino也表示，CRIF集團近年來在歐洲，透過企業收購以取得31個國家的開放銀行信用評分執照（AISP），將在歐洲國家提供開放銀行相關服務。

 MediaLab   Kik Messenger   Kik加密貨幣  
MediaLab買下Kik Messenger傳訊程式，期待未來整合Kin加密貨幣

提供許多網路服務的MediaLab宣布將買下北美傳訊程式Kik Messenger。Kik Interactive在日前宣布將結束已發展9年的傳訊程式Kik Messenger，以專注於新興的加密貨幣Kin，MediaLab的出現則讓Kik再現生機。MediaLab表示，未來該公司將持續開發Kik，但會著重於改善程式的速度及可靠性，也會致力於減少程式臭蟲與機器人訊息，並期待在未來整合Kin加密貨幣。

至於仍與美國證券交易委員會（SEC）纏訟中的Kik Interactive則會繼續與SEC抗戰，並投入Kin的發展。

 台新銀行   全家   刷臉支付  
台新銀行攜手全家便利商店，將推出刷臉支付服務
台新銀行繼ATM刷臉提款服務後，在10月17日宣布與全家便利商店合作，導入刷臉支付服務。台新銀行數位金融處副總經理包國儀表示，將刷臉支付功能結合到全家自助結帳機，民眾未來在全家便利商店自助結帳時，透過刷臉就能快速完成交易。

圖片來源：Citi、LINE、 CRIF中華徵信所、Kik Messenger
責任編輯／李靜宜

量子電腦有多強？Google最新實驗成果近期登上了知名科學期刊自然雜誌，在特定實驗設計下，54量子位元的量子電腦運算200秒可比美現今最快超級電腦1萬年。

Google的實驗成果近期以「使用可程式化超導處理器的量子優越性」（Quantum Supremacy Using a Programmable Superconducting Processor）登上自然雜誌，在該實驗中，Google打造一54量子位元（qubit）處理器Sycamore，在200 秒內執行的運算量，是全球最快超級電腦需要運算1萬年。

所謂的量子優越性（Quantum Supremacy，或稱量子霸權）是外界看好量子運算發展潛力，相信量子運算裝置終有一天將能解決現今傳統電腦無法解決的問題，Google這項實驗結果證實了量子電腦龐大發展潛力，在特定應用下，超越現今超級電腦的運算能力。

在這項實驗中，先假設由一群量子運算的新手編寫演算法，因這些新手先前沒有經驗，編寫的演算法看起來沒有特定的順序、隨機化，在隨機的電路裡，沒有傳統演算法結構可尋，因此需要大量的傳統超級電腦運算才能模擬這類量子電路。

由量子電腦每次執行量子電路都會產生一組位串，例如0000101，隨著量子干擾產生，在多次實驗下，某些位串較容易出現，但隨著量子位元、電路深度的逐漸增加，傳統電腦將愈難找出隨機量子電路最可能的位串，在進行多次重覆實驗下，量子電腦運算能力優於傳統電腦運算。

Google AI量子團隊指出，Sycamore是以2個維度網格設計，每個量子位元和其他4個量子位元相連，每個量子位元狀態得以快速互動，現今電腦運算難以有效模擬其狀態。

該團隊強調使用54量子位元處理器Sycamore的量子電腦可完全程式化，執行通用的量子演算法，並已在去年春季達到量子的優越性，目前該團隊已準備用於近期的應用，包括量子物理模擬、量子化學，以及生成式機器學習等其他領域上的新應用。

Google表示，這項成果是許多人奉獻研究的心血結晶，同時開啟了新的里程，探索這項技術的應用可能性，目前已和研究社群合作打造開放原始碼工具，希望找出量子計算的全新應用。

IBM在臺展示幾個月前推出的雲端AI模型自動化服務AutoAI測試版，臺灣IBM雲端運算暨認知軟體事業部資深技術顧問李維倫指出：「AutoAI就像AI訓練師，使用者完全不需要撰寫任何程式碼，就可開發和部署AI模型。」

AutoAI涵蓋了前置作業、AI模型開發、訓練、調校和部署，大幅縮短AI模型的工作流程（pipeline）。李維倫指引用IBM研究部今年3月發表的一份報告，指出機器學習工作流程不是一次性運算，而是要不斷累積新資料並進行優化，但這個優化維運工作就需要1至6位專業資料科學家來維持。因此，「透過程式自動維運、不斷調校AI模型，就可加速AI周期。」

從資料準備到部署模型，都能自動優化

AutoAI整合了IBM自家AI開發工具Watson Studio和AI模型執行工具Watson Machine Learning，後者可用來部署、執行AI模型。李維倫表示，AutoAI的核心概念是為AI而AI（AI for AI），可細分為3大重點：以AI設計AI、以AI優化AI、以AI治理AI，在建模階段，AutoAI可搜尋神經網路架構、挑選適合的模型，接著在訓練階段，能夠自動調整參數和特徵值來優化模型表現，而模型部署後，還可以隨時調校、管理AI模型。

AutoAI在流程上，可分為前置準備、模型選擇、超參數調整和優化（HPO）、特徵工程、再次調整和優化超參數，以及整體學習（Ensemble Learning）、模型評估與部署。

進一步來說，在前置階段，當使用者將經標註的原始資料集輸入AutoAI後，系統會利用內建的演算法，來清理、分類這些資料，然後根據資料屬性和預測目標，來找出最佳的預處理策略。策略制定好後，就進入模型選擇階段，系統會根據輸入資料特性，來找出前幾名合適的演算法模型（Top-K Estimator）；AutoAI提供的演算法模型，可分為分類模型和回歸模型兩大類，其中，分類模型包括了決策樹、XGBoost等30種分類器，而回歸模型則包括了Lass、線性回歸等44種模型。

選完模型之後，AutoAI會根據這些模型，來選定超參數（Hyperparameter），並進行模型訓練、調整參數。之後，隨著新資料加入，AutoAI會針對新資料進行特徵工程（Feature Engineering），找出最佳的資料轉換序列、產生新特徵值。李維倫強調，過去，找出新特徵值仰賴專業資料科學家多年經驗，而AutoAI可自動從資料中尋找影響模型表現的關鍵特徵，大幅縮減AI工作流程時間。

特徵工程完成後，系統會再次進行超參數調整和優化。再來，AutoAI會開始執行整體學習，集結訓練中的多個模型，來提升最後的預測能力。

IBM近日也推出IBM Cloud Pak for Data平臺，重整AI產品組合，要讓企業透過該平臺在任何雲端實作AI，擴展Watson Anywhere的策略，也將AutoAI工具納入這個平臺。

李維倫指出，使用者可透過AutoAI的模型評估和排行榜來檢視模型表現（下圖1），比如模型準確度、召回率和F1量測值等。而對專業的資料科學家來說，更可從模型評估的分析報告中（下圖2），找出影響模型表現的關鍵。

最後，使用者可將表現最好的模型存檔，並利用存檔後產生的API，來直接部署模型。雖然AutoAI目前只有雲端版，但IBM將於近期釋出CP4D v2.5本地版。文◎王若樸

從事AI開發工作，常面臨訓練資料不足的問題，在資料被視為敏感個資的醫療業更是如此。為打破這個限制，坊間也出現不少方法，像是透過遷移學習（Transfer Learning）來進行預訓練，或是利用生成對抗網路（GAN）來產生訓練資料，提高AI模型準確度。

這些方法對HTC健康醫療事業部DeepQ來說，一點都不陌生。2年前，DeepQ就應用遷移學習來改善中耳炎AI辨識率，首先透過降低維度，將耳道照片轉換為抽象的局部特徵圖像，再利用相似但與中耳炎無關的影像，比如柳丁切片、咖啡拉花等圖片來訓練AI演算法，讓準確率從7成躍升到9成以上。

這幕後的關鍵推手，就是HTC健康醫療事業部DeepQ總經理張智威。十多年前，他擔任Google中國研究院院長，主導AI復興初期的平行機器學習算法研發。後來，Google撤離中國後，他回到臺灣，全心投入醫療AI的研究。對他來說，醫療小數據是一道有趣的挑戰題，除了遷移學習，近年來他也將重心放在充滿創作潛力的GAN上，要透過這個方法來產生可靠的醫療影像。

GAN自2014年問世以來，已衍生出數百種變形，就連獲得圖靈獎的臉書AI研究院首席科學家Yann LeCun都認為，GAN及其變形是機器學習近10年來最有趣的想法。

GAN最為人熟知的應用就是創作，比如生成名畫畫風的圖片、古典樂風的曲子，或是去除照片中的物體、產生如假包換的假影片等。GAN的原理是利用兩套類神經網路來互相競爭、產生仿真的資料，這兩套網路包括了生成器（Generator）和鑑別器（Discriminator），生成器負責產生類似輸入值的資料，鑑別器則負責判別生成資料的真偽，兩者互相對抗、競爭，隨著時間推進，兩者表現也越來越好－生成的品質越來越高，鑑別的能力越來越強。

也因為GAN的特性，不少產業運用它來解決訓練資料不足的狀況，比如醫療業者利用GAN產生特定的醫療影像，再用這些影像來訓練另一套AI模型來辨識特定疾病。雖然GAN創作潛力高，但仍有其限制，像是會生成不符合現實條件的影像，或者是在自身訓練資料代表性不足的情況下，難以生成多元的影像。

舉例來說，如果要GAN生成出血性和缺血性腦中風的醫療影像，就可能發生兩種狀況。第一是產生不合邏輯的影像，比如出血點在神經周圍，而非在血管附近。第二則是訓練資料代表性不足時，如果只有缺血性中風影像作為輸入值，GAN就難以產生出血性中風的醫療影像。而這就是醫療業所面臨的小數據痛點之一。

結合專業知識，引導GAN產生訓練樣本中未出現的類別影像

張智威團隊透過生成未知花卉的任務來驗證KG-GAN。左邊兩排為實際花卉影像，中間是KG-GAN成功生成的花卉影像，右邊則是不成功的樣本。（圖片來源／DeepQ）

為改善這個問題，張智威帶領DeepQ團隊鎖定GAN，歷時一年研發出知識型AI框架Knowledge-Guided GAN（簡稱KG-GAN），整合了專業知識和GAN框架，要在訓練樣本代表性有限的情況下，來提高生成影像的多樣性，以及精準度。

「KG-GAN運用了AI表現最好的兩個領域，也就是自然語言處理和影像處理。」在架構上，KG-GAN可分為兩大部分，一是建構任務所需的專業知識，二是訓練兩組生成器G1和G2，分別針對已知和未知的影像特徵來學習。首先，團隊將專業知識化為約束函數，來判斷一張影像是否具備特定的特徵，同時藉這個專業知識來引導G2，來探索、產生訓練樣本中未包含的特徵，並讓鑑別器合理容忍生成影像的多元性。

與此同時，專業知識也扮演約束角色，來避免G2產生不合邏輯的影像，比如在神經周圍出血的影像，或是自然界不存在的灰色玫瑰。此外，團隊也設計G1和G2間可共享權重，以讓KG-GAN利用兩者所學習的知識。

「我們利用花卉生成的任務，來驗證KG-GAN框架。」張智威指出，團隊的驗證目標，是要讓KG-GAN產生訓練樣本中未出現過的花卉種類。首先，團隊從牛津花卉資料集（Oxford Flower Dataset）中取得花卉影像及其文字描述，並分為82種已知花卉和20種未知花卉，目標是要用這82種花朵影像，以及這20種未知花朵的文字描述，來產生這20種花朵的影像。在專業知識部分，團隊利用語義嵌入表徵（Semantic Embedding Representation）和深度類神經網路構成的約束函數，來找出不同花卉種類的關係與其文字特徵，並以此來導引KG-GAN產生目標花卉影像。

要發展人類水準AI，好比整合大腦枕葉、額葉、頂葉、顳葉功能，得將認知、語言、視覺、問題解決和記憶處理等能力融會貫通。─── HTC健康醫療事業部DeepQ總經理張智威　（攝影／洪政偉）

結果顯示，KG-GAN可生成未知的花卉影像，在顏色部分「非常準確。」但張智威也坦言，KG-GAN仍有進步空間，像是花瓣形狀等細節可再更細緻、更具體，團隊也根據不足之處，持續改善、精進研究。因為，KG-GAN要是發展成熟，就能在醫療專業知識的導引下，生成可靠、真實的影像，來補足醫療小數據缺口。也因為KG-GAN的潛力，DeepQ將其訂為未來三大發展目標之一。

對張智威來說，KG-GAN不只是解決醫療小數據的嘗試，更是AI發展的突破。因為，「一直以來，AI擅長視覺辨識，就像是只發揮人腦的枕葉功能。」但要發展近似人類水準的AI，就好比要整合人類大腦的枕葉、額葉、頂葉和顳葉，將認知、語言、問題解決、記憶處理等能力融會貫通，就連去年獲得圖靈獎的三位得主，也如此認為。而KG-GAN結合了自然語言和視覺處理，有如運用大腦的枕葉和額葉功能，是發展人類水準AI的第一步。

改良式增強學習突破醫療問診困境

除了醫療小數據，醫療問診也是張智威團隊的AI精準醫療研究方向之一。他指出，醫療問診的重點在於精準提問，要從有限的已知資訊中，透過最少量的問題來判斷病症，並給予最準確的診斷建議。

以AI進行醫療問診的方法有很多種，其中之一就是透過決策樹來分類病患的狀況。但是，「決策樹無法縮減問題範圍。」而在2年前一場國際醫療競賽之後，張智威團隊靈機一動，要藉AlphaGo成功運用增強學習的經驗，透過代理人（Agent）獎懲機制，結合美國開源的問診資料集，來訓練代理人詢問病患病症，並根據病患回答來預測疾病狀態。要是提問正確，就給予獎勵，要是提問太多或偏題，就給予懲罰。

不過，代理人問診的初期表現並不理想。張智威分析了原因，將AlphaGo與醫療問診這兩種應用情境相比，首先，圍棋棋譜的可能組合有限，但人體健康狀況卻是無限。再來，圍棋結果只有輸贏兩種，但人體有上百種症狀，診斷結果可能只是其中2、3種。除此之外，AlphaGo能夠任意探索新棋路，然而問診AI受限於醫藥規定，無法隨意探索新方法。

這些反思，催生了後來的改良方法。2017年時，張智威與團隊利用階層式增強學習，組成代理人醫師團隊，每個代理人負責不同的身體部位，透過主代理人選擇一個部位的代理人來問診，同時考量病症情境，比如病症地理資料、患者醫療病史、疾病好發時間等，來綜合診斷。這個作法，代理人平均只要7.24個問題就能完成問診，而AI問診的準確率也從63％提高至76％。

張智威團隊更在這個基礎上，於去年發表了一套改良式增強學習方法REFUEL，透過稀疏特徵探索（Sparse feature exploration）來進一步減少問診問題、更快速得到患者「是」的答案。他解釋，人體約有200種症狀，而患者可能只得其中3種，因此在問診初期，如果只隨機選擇症狀來詢問，容易得到「否」的回答，對問診並無助益。

REFUEL就針對這個情況，提出兩個機制來改善。首先是獎勵設計（Reward Shaping），只要代理人的症狀提問得到正面回答，就給予額外獎勵，並同時保持馬可夫決策過程（MDP）的最佳策略，將策略搜尋導引至更好的方向。再來是特徵重建（Feature Rebuilding），根據關聯性來重新分配特徵權重，藉此找到關鍵症狀。

這個機制，將AI問診準確率從76％提高至85％，論文也在國際AI頂級學術會議AAAI與NeurIPS發表。此外，團隊也將REFUEL理論實際運用於導診功能，內嵌在萬芳醫院的AI問診機器人萬小芳中，可根據使用者的病況，來進行導診判斷和掛號，並根據醫生反饋來不斷精進背後的演算法。

精準醫療另一目標，要靠多層次區塊鏈彌補傳統區塊鏈缺陷

DeepQ未來發展三大目標，不只將火力集中於AI，還包括了區塊鏈。張智威看好區塊鏈應用於醫療產業的潛力，去年便與臺灣大學、史丹佛大學共同發表一套多層次醫療區塊鏈（Multilayer Blockchain for Healthcare），首波瞄準醫療隱私資料的分享，要透過區塊鏈智能合約（Smart Contract）機制來交換電子病歷。

他首先指出，在設計和部署分散式應用時，存有三個核心需求，也就是分區容錯性（Partition tolerance）、連貫性（Consistency）和可用性（Availability）；其中，分區容錯性指的是在分散式系統裡，就算有臺機器故障，仍不影響其他機器運作。

這三者合稱為CAP定理，但CAP定理強調，分散式應用最多只能滿足兩個需求，難以三管齊下。以CAP定理看來，區塊鏈因去中心化關係，具備了分區容錯性和連貫性這兩個特點，但可用性就差強人意，因為交易速度並非即時。

為強化可用性、保護醫療數據的個人隱私，團隊與臺大資工系教授廖世偉聯手，設計了多層區塊鏈架構，可分為基礎層和分支層。基礎層保留了比特幣區塊鏈的屬性，保存了區塊頭的梅克爾樹根哈希值，來提高交易速度；而分支層則設計來滿足隱私、儲存等需求，透過智能合約機制來進行病歷交換，而且，智能合約上儲存、記載的是程式碼，並非病歷資料本身，因此免除了資料隱私問題。

一如DeepQ的改良式增強學習理論REFUEL，這個多層次醫療區塊鏈機制也實際應用於產業中，在今年初發表的彰基蘭醫師AI智慧聊天機器人中首次亮相、提供跨院病歷交換功能，團隊也與史丹佛大學的開源虛擬助理實驗室計畫OVAL聯手，以這個多層次醫療區塊鏈機制共同申請到美國國家科學基金會（NSF）支援，要來發展更多元的智慧聊天機器人應用，延伸DeepQ的精準醫療研究。

CTO小檔案

張智威

HTC健康醫療事業部DeepQ總經理

學歷：美國史丹佛大學電機工程博士

經歷：1999年完成學業後，受聘為加州大學聖塔芭芭拉分校電機電腦工程系助理教授，後晉升終身職正教授。2006年擔任Google中國研究院院長，主導大數據驅動平行機器學習算法研發，6年後加入HTC，擔任健康醫療事業部DeepQ總經理至今，亦是史丹福大學電腦科學客座教授。

公司檔案

DeepQ

● 地址：新北市新店區北新路三段207-5號13樓

● 成立時間：2017年

● 主要業務：開發與銷售醫療人工智慧和醫療虛擬、擴增實境產品

● 員工數：80人

公司大事紀

● 2017年：成立HTC健康醫療事業部DeepQ公司，與萬芳醫院推出全臺首個AI醫療服務聊天機器人萬小芳，其中導診功能採改良式增強學習機制

● 2018年：推出雲端DeepQ人工智慧平臺；與內湖三總醫院合作開設亞洲首個VR智慧外科SDM診間；與臺北醫學大學成立VR解剖學教室；推出疾管署防疫聊天機器人疾管家2.0，導入自然語言處理擴充傳染病諮詢功能

● 2019年：與萬芳醫院建置多人體驗VR團體衛教診間，透過VR一體機實現醫病共享決策；與彰化基督教醫院推出跨院AI+區塊練醫療照護對話機器人『蘭醫師』，應用區塊鏈於病歷交換；推出醫療DeepQ人工智慧平臺

老牌資料倉儲廠商Teradata與Google合作，要將其資料分析平臺Vantage放到Google的雲端平臺上，這項服務預計將在2020上半年推出預覽版。

Vantage是去年10月Teradata最新發布的整合型資料分析平臺，為企業商業智慧團隊提供一個完整的軟體套件，其包含各種工具、開發語言以及引擎，讓使用者能利用Spark和TensorFlow等流行工具處理資料，並提供連結器供使用者將處理完的資料輸出，以便其他外部工具再次利用。而這套平臺的特色之一，便是能夠部署在任何企業儲存資料的地方，包括私有雲、公有雲以及混合雲，甚至是本地端資料庫中。

Google提到，Teradata在Google雲端上提供Vantage服務，不只能簡化Vantage使用者使用雲端服務的途徑，也能獲得Google雲端基礎架構所提供的優勢。而且由於Vantage軟體在任何的地方都提供一致的功能，因此用戶可以快速且低風險，將本地分析系統搬遷到GCP上。

另外，Teradata還推出Hadoop搬遷計畫，該計畫整合了工具、流程和服務，而這將幫助企業擺脫Hadoop，轉而能夠使用諸如Amazon S3與Azure Blob等雲端物件儲存，Teradata表示，這項計畫可降低用戶系統的複雜度，同時為企業提供更廣泛的分析工具選擇。

就在市場紛紛傳出日本軟體銀行（Soft Bank，軟銀）要收購WeWork大多數股權的時候，軟銀發表了正式聲明，表示已與WeWork達成協議，將提供50億美元的新融資、針對既有股東提供高達30億美元的要約收購，同時加速實現資助15億美元的現有承諾，若加上原本的股份，總計將取得80%的WeWork股權。

成立於2010年的WeWork為一專門業者，主要是替新創業者、微型企業或自由工作者提供辦公場所，迄今已在全球29個國家的111城市設立528個共享辦公室，約有52.7萬名會員，並於今年7月進駐台灣市場，繼之於8月14日在美國提出上市申請。

儘管WeWork今年初的市值仍高達470億美元，然而，在申請IPO之後，WeWork的財務、管理與經營模式，都受到投資人與媒體的批評，例如當WeWork營收愈高的時候，虧損也更多，且其企業治理都是由創辦人掌控，且共同創辦人之一暨執行長的Adam Neumann行事作風也經常惹議，例如Neumann是WeWork總部大樓的房東，還向WeWork借款，並堂而皇之地聘請親友來上班。

總之，WeWork還沒有等到官方的審核，就在9月16日自行撤回了IPO申請書。之後又傳出Neumann與友人今年夏天在飛往以色列的私人飛機上吸食大麻，還落下一整塊大麻在飛機上的風波，使得Neumann於9月24日辭去執行長一職。

至於軟銀原本就是WeWork的最大股東，投資金額超過100億美元，原本外界預期軟銀的介入將能改善WeWork的管理。不過，軟銀在聲明中表示，即使掌控了WeWork的8成股權，但並未握有WeWork股東會或董事會的多數投票權，也無控制WeWork，因此WeWork只能說是軟銀的關係企業，而非子公司。

軟銀執行長孫正義表示，他相信全球正以巨大的方式改變人們的工作方式，WeWork處於這場革命的前線，如同WeWork一般面臨成長挑戰的技術創新者並不少見，因此軟銀決定提供重要的資金來支持WeWork的經營與擴大規模。

未來軟銀的營運長Marcelo Claure將成為WeWork董事會的執行董事長，而Neumann則將離開董事會，但擔任董事會觀察員，預計之後將擴大董事會規模，並透過Neumann的股票取得投票權。

根據華爾街日報的報導，軟銀原本就握有WeWork約1/3的股權，此次出面拯救WeWork讓軟銀的所占股份達到8成，但以此估算WeWork的市值，則已從年初的470億美元跌到只剩80億美元。