1031-1106 一定要看的資安新聞

＃紅隊演練  ＃資安即國安

臺美首度聯手舉辦大規模網路攻防演練

臺美最近在資安領或合作的關係互動密切，從11月4日至11月8日，臺灣政府與美國國土安全部聯手，規畫大規模網路攻防演練（CODE），此次美方在4日與5日兩天，安排教育訓練，分享北韓針對金融產業的攻擊手法；之後從6日至8日三天，則由美國、捷克，以及馬來西亞等國，聯手扮演攻擊的紅隊，測試由臺灣官股銀行和民營銀行組成的金融藍隊聯隊，面對網路攻擊時的防禦能力。

此次參與大規模網路演練的國家超過10個，包括美國、日本、澳洲、馬來西亞、印尼，以及捷克等。至於本次演練的目的，主要是檢視臺灣關鍵基礎設施的防護能力，並且特別著重於金融產業領域。

由於面對各種網路威脅，必須各國通力合作，國家安全諮詢委員會諮詢委員李德財認為，這是臺灣資安國際合作上重要的里程碑，也是資安即國安戰略的具體實現。詳全文

＃關鍵基礎設施  ＃國家級攻擊

印度核電廠證實遭北韓惡意程式入侵網路

印度核電公司（NPCIL）坦承，今年9月初遭到北韓木馬程式DTrack感染網路。

攻擊事件遭到揭露的經過，最初是因為推特一名用戶上傳DTrack惡意程式樣本，並顯示是從印度庫丹庫拉姆核電廠（Kudankulam Nuclear Power Plant）網路竊取資料，包括網路上系統的IP位址、MAC位址、作業系統類型、瀏覽器上網紀錄、ipconfig，以及netstat等組態資訊等。該電廠所屬的印度核電公司起初否認，不過後來坦承確有此事。

印度資安專家Pukhraj Singh指出，該電廠網域控制器遭到存取，已有極為關鍵的系統受到影響。幾天前，該電廠就有一座核子反應爐因此停機，他認為此次惡意程式攻擊是戰爭行為，並表示這個反應爐是第二個攻擊目標，而拒絕透露其他細節。詳全文

圖片來源：India Water Portal

＃國家級攻擊  ＃簡訊挾持  ＃APT41

駭客集團大量解析電信網路的簡訊流量

資安業者FireEye指出，他們發現了由中國政府贊助的駭客集團APT41，企圖藉由滲透電信業者的簡訊服務中心伺服器，來攔截目標對象的簡訊流量。此外，電信組織似乎成為中國駭客集團的頭號目標，今年APT41就鎖定4家電信單位，還有4家被另一個疑似同樣由中國贊助的駭客集團鎖定。

APT41所蒐集的範圍，包括目標對象傳送或接收的簡訊，以及各種與中國政府理念背道而馳的簡訊內容。詳全文

＃數位身分證  ＃隱私疑慮

歐盟電子身分識別系統驚傳漏洞，可讓駭客冒充公民

最近，資安顧問業者SEC Consult在歐盟的電子身分識別系統發現弱點，其中的節點軟體存在驗證迴避漏洞，讓攻擊者能繞過身分驗證機制，傳送變造的SAML到其他節點，進而冒充受害者的身分。歐盟獲報後也推出新的2.1.3版軟體，並開放一般用戶下載。

由於自去年9月29日起，歐盟開始實施電子身分識別法（eIDAS），28個會員國公民可以跨國使用自己的電子身分證，進行各項業務，像是報稅、付款、銀行開戶，以及存取電子病歷等，因此，這樣的漏洞影響範圍，可說是相當廣泛。詳全文

圖片來源：Cédric

＃國家級攻擊

美國盟邦政府官員遭鎖定，成WhatsApp惡意程式攻擊目標

臉書在今年5月緊急修補了WhatsApp安全漏洞，並且控告相關攻擊行動的始作俑者NSO Group，而最近路透社的報導進一步指出，受害者中有相當比例為知名的政府及軍方官員，有許多人是美國的盟友。

此安全漏洞編號為CVE-2019-3568，當受害裝置接收到顯示為視訊的電話時，無論接聽與否，駭客都能傳遞惡意程式Pegasus到手機上。臉書與WhatsApp的調查顯示，打造Pegasus的以色列駭客公司NSO Group，就是幕後推手。

值得留意的是，這些受害官員來自全球各地，遍及五大洲、超過20個國家。而被指控的NSO Group向路透社表示，無論是客戶的身分還是所採用的技術，他們都不能透露。詳全文

＃資料外洩  ＃弱密碼濫用

財星500大企業登入憑證流落暗網

網路暨行動程式安全業者ImmuniWeb在暗網中發現超過2,100萬筆待售的使用者憑證，它們是隸屬於《財星》500大企業（Fortune 500），高達95%的憑證含有明文密碼，其中1,600萬筆是最近一年外洩。

若依照憑證外洩規模的產業來排序，由科技業以507萬筆拔得頭籌，居次的金融業也高達492萬筆，健康醫療為192萬筆，製造業為190萬筆，能源與電信業則分別有175及133萬筆。

值得留意的是，這些外洩記錄中，總共只用了490萬組密碼，這顯示就算是不同的使用者，也可能會設定相同的密碼。詳全文

＃網路釣魚

網釣駭客最愛的目標是微軟與PayPal用戶

內容遞送網路暨雲端服務供應商Akamai，最近出版了網釣攻擊狀態報告，指出科技業者為最受網釣駭客青睞的產業，前四名依序是微軟、PayPal、DHL，以及Dropbox。

駭客也申請各種網域名稱來執行網釣攻擊，而且，他們使用的多數網域名稱並不常見，像是.loan、.tk、.qq、.ooo、.cf或.ga等，為了避免遭到偵測，有89%的網釣網站存活不到24小時，有94%存在不超過3天。

此外，在眾多的網釣攻擊套件中，也有超過60%存在不超過20天。總而言之，在網釣攻擊上，駭客必須不斷開發新的技術，並且使用不同的網域名稱來閃避攔截。詳全文

＃BlueKeep  ＃RCE攻擊

首例大規模BlueKeep漏洞攻擊，引發藍色死亡螢幕

安全研究人員Kevin Beaumont警告，名為BlueKeep的Windows 遠端桌面協定（RDP）漏洞，在發現半年後，已經有人用來發動第一波攻擊，引發藍色死亡螢幕（BSOD）。

在此之前，僅有可疑的網路掃描行為，而沒有實際的攻擊事件發生。然而，Kevin Beaumont近期從誘捕系統發現，自10月23日至今，2周共發生2,600萬次BlueKeep攻擊事件。以破解WannaCry攻擊而廣為人知的研究人員Marcus Hutchins也證實，這是第一起大規模BlueKeep攻擊。

所幸，本次BlueKeep攻擊，不會自我複製與擴散。惡意程式的用途是植入挖礦軟體，而非蠕蟲，疑似駭客利用滲透測試框架Metasploit裡的模組修改而成。詳全文

更多資安動態

●遭踢爆防護不周導致金鑰外流，NordVPN啟動抓漏獎勵計畫
●Google緊急修補已被濫用的Chrome音訊功能漏洞
●Web.com與旗下子公司驚傳內部系統遭到入侵
●股市大盤指數突破11,000點，有駭客趁機發動DDoS攻擊
●內賊難防！趨勢科技驚傳家庭用戶個資外洩，已被濫用於撥打詐騙電話

自稱為影子掮客（Shadow Brokers）的駭客組織，宣稱駭進了美國國安局（NSA）旗下的秘密網路攻擊組織「方程式」（Equation Group），並在2017年釋出了NSA所使用的各種攻擊工具，不過，卡巴斯基實驗室（Kaspersky Labs）本周指出，他們在影子掮客所公布的文件中，發現了存有大量先進持續性威脅（Advanced Persistent Threat，APT）集團的名單，而其中之一即為DarkUniverse。

根據ZDNet的報導，NSA固定會偵測被駭系統上其它的ATP駭客，大約蒐集了44個APT集團，有許多是名不見經傳的，也透露出NSA對於由政府支持之駭客集團的了解，可能勝過不少資安業者。

卡巴斯基的分析則顯示，DarkUniverse的活動期間為2009年到2017年，針對特定目標發動魚叉式網釣攻擊，每封郵件都是替不同的攻擊對象量身打造，再以Office檔案夾帶惡意程式。

DarkUniverse所使用的其中一個惡意模組為glue30.dll ，主要的功能為鍵盤側錄，它會攔截未加密的POP3流量以蒐集受害者的電子郵件通訊與憑證。另有一個功能強大的dfrgntfs5.sqt模組，它可拍攝螢幕畫面，在IE注入介殼程式以與駭客所掌控的C&C伺服器通訊，掃描區域網路，蒐集所有系統資訊，也能自動更新或移除，具備中間人攻擊能力，還能設定機器的DHCP與DNS。

研究人員循線找到了20名被DarkUniverse鎖定的對象，他們分別位在敘利亞、伊朗、阿富汗、坦尚尼亞、衣索比亞、蘇丹、俄羅斯、白俄羅斯與阿拉伯聯合大公國，身分可能是平民或軍事組織，研究人員相信這8年來的受害者數量應該遠高於此。

卡巴斯基表示，DarkUniverse是個有趣的網路間諜案例，所使用的惡意程式包含了可蒐集所有使用者與系統資訊的必要模組，而且看起來是從零到有的研發，駭客不但資源豐富，還會持續更新惡意程式，使得2017年的惡意程式樣本與2009年的截然不同。

不過，DarkUniverse已經在2017年停止攻擊行動，猜測可能與事跡敗露有關，或者只是決定要採用更現代化的攻擊手法。

技術支援詐騙的手法愈來愈高明，駭客不只是利用電話、惡意廣告或搜尋引擎來假冒為知名品牌的技術支援部門，現在他們還開採了Firefox的臭蟲，當以Firefox造訪了被嵌入惡意程式的網站時，就會跳出系統被駭的訊息，並要求使用者撥打技術支援電話，進而羊入虎口。

揭露該漏洞的是Malwarebytes的威脅情報研究人員Jérôme Segura，他說這是一個瀏覽器鎖住漏洞，允許駭客鎖住受害者的瀏覽器，以避免他們關閉瀏覽器或分頁，再跳出一個技術支援的詐騙視窗。

駭客在詐騙視窗中描述：「請不要關閉電腦，電腦的註冊金鑰已經被鎖住了，因為此一Windows註冊金鑰是非法的，它使用盜版軟體，並在網路上傳送病毒，Windows系統已經被駭，為了您的安全我們把電腦封鎖了。」並要求使用者在5分鐘內撥打技術支援電話。

事實上，使用者的系統並無任何的不妥，駭客只是開採了Firefox的臭蟲，讓使用者無法關閉Firefox或所開啟的分頁。不管是在Windows或macOS上，其實只要叫出工作管理員或強制關閉的功能，把Firefox關閉就沒事了。

在誘導使用者撥打技術支援電話之後，使用者可能會允許駭客自遠端控制系統，駭客就能向使用者收取服務費用，也可能造成個資外洩。根據FBI網路犯罪投訴中心（Internet Crime Complaint Center，IC3）的統計，2018年總計收到了14,408起有關技術支援詐騙的投訴，這些投訴案來自全球48個國家，損失金額接近3,900萬美元，比前一年增加了161%。

Mozilla已經著手修補該漏洞，打算藉由之後的Firefox版本更新。

OpenAI在今年2月的時候，原本要釋出完整的GPT-2模型，但因為該模型功能強大，能夠產生極度真實的假新聞，因此最後只釋出小部分的模型和範例，但是經過這幾個月的觀察，OpenAI認為當初擔心的事並沒有發生，因此現在決定公開最大具有15億個參數的GPT-2模型、程式碼和模型權重。

這個GPT-2模型利用了800萬頁的網頁作為訓練資料，以預測文字的下一個字作為訓練目標，因為龐大且多樣的訓練資料集，因此該模型不需要對特定任務進行訓練，就能應用於多個領域，目前該模型可以執行機器翻譯、問答、閱讀理解和總結段落等語文任務。Open AI期望GPT-2能夠被用來開發成，寫作人工智慧助理或是語言理解系統等應用。

OpenAI公開這項技術引來了極大的爭議，因為只要給GPT-2模型一段文字，模型就能產生接續段落的文字，甚至是假以亂真的假新聞，簡直就是文字版的Deepfake，一般人無法辨識真偽。OpenAI也在隨後表示，由於考量技術可能遭到濫用，產生誤導性的文字、冒充他人身份，以及在社群網站散布假新聞等問題，因此OpenAI不會釋出已經訓練完成的完整模型，僅發布較小型的模型、範例和技術白皮書，供外部研究人員使用。

研究恐怖主義、極端主義的明德大學蒙特雷國際研究學院和反恐中心（CTEC）發現，極端主義團體可以濫用GPT-2，特別可對白人至上、馬靠絲主義、聖戰伊斯蘭教和無政府主義四個意識形態進行微調，CTEC與也展示了創建模型來宣達這些意識形態的可能性，他們同時也提到，雖然檢測合成文字的精確度較低，但是基於機器學習的方法，仍可讓專家發現惡意人士所產生的合成文字。

研究人員發展出了一種檢測模型，可以偵測1.5B GPT-2模型所產生的文字，精確度達95％，他們認為，這樣的精確度仍然還不夠，還需要綜合元資料方法，加上人為判斷以及公共教育，才能有效防範模型產生的造假文字。1.5B GPT-2模型的釋出，可以用來幫助合成文字偵側的研究，OpenAI提到，雖然這也可以讓惡意人士更好地規避偵測。

OpenAI提到，到目前為止，他們還沒有發現GPT-2模型遭濫用的有力證據，儘管網路上有一些將模型用於網路釣魚以及垃圾郵件的討論，但都未實際發現撰寫的程式碼、文件和濫用的實例，而研究人員認為，當文字生成器的輸出變得更成熟時，被濫用的可能性就會提高。

美國聯邦交易委員會（Federal Trade Commission，FTC）在2014年指控AT&T的行動數據吃到飽（unlimited）方案廣告不實，沒有明確告知消費者在消耗一定的傳輸數據之後，就會被降速或限制速度，雙方在本周宣布達成和解，AT&T同意支付6,000萬美元的罰款。

根據FTC的調查，AT&T在2011年明確承諾會提供吃到飽的行動數據服務，但並沒有提及降速問題，當年有些消費者只用了2GB之後就被降速，而且降速後連串流影片或瀏覽網路都有困難，從2011年到2014年10月間，估計影響超過350萬名用戶。

現在AT&T則同意支付6,000萬美元的罰款，其中有部份將用來補償當時的客戶，同時AT&T也承諾未來將明白標示各種數據方案的限制。

不只是FTC對AT&T的作法有意見，2015年時，美國聯邦通訊委員會（FCC）也曾因類似的理由對AT&T重罰1億美元，相較之下，FTC對AT&T友善多了。

美國媒體分析，不管是1億美元或6,000萬美元，對於每年可創造1,500億美元營收的AT&T都只是小錢，在此一和解協議中，AT&T願意不再欺騙顧客，對消費者而言才是更大的保障。

Chrome 78已經發布，除了一般消費者可以感受到的深色模式、頁籤說明卡以及實驗性的DNS-over-HTTPS等功能之外，企業級用戶也獲得了一些專有的新功能，像是Chromebook新增虛擬桌面功能，可以減少桌面工作混亂，還強化了Linux容器的支援，並且現在還分離Chrome裝置的作業系統與瀏覽器配置，使其成為獨立的兩部分。

從Chrome 78開始，用戶能利用虛擬桌面功能，創建最多四個工作區，Chromebook會將虛擬桌面視為獨立的工作區域，這項功能可以在不同的專案和活動間創立界線，避免因為混亂進而提升生產力。用戶要使用虛擬桌面，可以點擊鍵盤上的總覽鍵，或是使用手勢以三根手指在觸控板由上面往下滑動，則新增桌面的選項便會出現在螢幕右上角。

這個版本Chrome進一步擴展了Linux容器功能，Google在Chrome 73開始加入Linux容器，讓開發者可以使用自己喜歡的開發工具，在Chrome 78還加入了備份還原和預設啟用GPU的功能。

當開發人員希望將Linux環境還原到之前的版本，使用者現在可以備份其檔案和應用程式到可還原的映像檔中，映像檔可以在原機也能搬移到其他Chromebook上使用，映像檔可以儲存在Chromebook的本地端儲存、外部硬碟和Google雲端硬碟。另外，現在Linux容器預設啟用GPU，Linux應用程式能夠使用Chromebook的GPU，以加速應用程式的執行。

為了讓管理員設定的政策更具有可預測性，Chrome Enterprise 78提供了不可分割政策群組（Atomic Policy Groups），Google提到，由於現在太多政策管理選項，在不少時候會產生衝突，尤其是一群管理員使用不同的工具管理一群系統時，就會產生管理上的混亂。

而現在Google重新分組Chrome瀏覽器和作業系統的政策，也就是說，當用戶選擇啟動不可分割政策群組，則系統會強制設定該群組的政策為最高優先度。使用者也可使用chrome://policy查詢存在衝突的政策。

這個版本的Chrome在設定上也做了變革，過去Chrome作業系統和瀏覽器共用單一配置介面，而從Chrome 78開始，作業系統和瀏覽器配置分成兩個獨立的部分，如此可讓作業系統的設定獨立發展，也可讓Chrome瀏覽器提供一致且客製化的配置。

中國國家新聞出版署在今年10月底發布了《關於防止未成年人沈迷網路遊戲的通知》，以遏止中國境內的青少年沈迷於網路遊戲，要求遊戲業者必須實施用戶實名制，以限制青少年玩家的遊戲消費時間以及行為。

此一通知是針對中國的網路遊戲業者，首先要求的是實名制，規定遊戲業者必須在通知實施的2個月內，完成所有用戶的實名註冊，且禁止對未以實名註冊的用戶提供服務。

雖然允許業者提供無需以實名註冊的體驗模式，但體驗模式不得超過1小時，也不能充值與付費，在15天之內不得讓同一裝置的用戶重覆體驗。

在有了實名制為基礎之後，中國政府要求遊戲業者必須嚴格控管18歲以下青少年的遊戲時段，包括在每日晚上10點到隔天上午8點之間不得提供遊戲服務，且在假日的累計遊戲時間不得超過3小時，平日的累計遊戲時間不得超過1.5小時。

而未成年的遊戲消費也受到管制，例如不得對未滿8歲的玩家提供付費服務，8歲到16歲的玩家單次充值金額不得超過50元人民幣（220元新台幣）、每月充值不得超過200元人民幣（968元新台幣），16歲到18歲的玩家單次充值不得超過100元人民幣，每月充值不得超過400元人民幣。

不遵守該通知的遊戲業者將被責令限期改正，情節嚴重的即可依法規處理，直至吊銷遊戲經營許可。

重點新聞(1101～1107)

微軟     自動化     虛擬助理  

擁抱自動化！微軟開發者大會上發表RPA新功能和可幫忙打造Chatbot的虛擬助理

微軟在今年Ignite開發者大會上發表多項自動化新功能，包括在Power平臺上新增RPA功能UI Flows，以及可幫非IT人打造聊天機器人的虛擬助理Power Virtual Agents。進一步來說，微軟這次將原先屬於Office 365的自動化流程軟體Microsoft Flow改名為Power Automate，並加入RPA功能UI Flows，可錄製使用者操作特定系統的步驟，來自動執行這些原本需要手動的工作，彌補老舊系統不支援API的缺點。不過，要使用UI Flows，仍須具備一些撰寫程式碼經驗。

除此之外，微軟還發表了一套虛擬助理，號稱可幫企業中非IT人員建置聊天機器人，不需要任何程式碼經驗。這款虛擬助理以微軟Bot Framwork為基礎，提供拖拉操作模組，範圍涵蓋了建置和部署。微軟指出，完成的Chatbot可部署於Slack、臉書Messenger、自家的Teams和其他平臺等。 （詳全文）

  Google     TensorFlow   深度學習框架  

Google推出深度學習框架TensorFlow企業版

Google推出熱門機器學習框架TensorFlow企業版，提供企業級支援、雲端效能和託管服務。首先，TensorFlow企業版提供長期支援，並為特定版本的TensorFlow，提供最高達三年的安全補丁和錯誤修復服務，而這些修補也會加到主要的TensorFlow程式碼儲存庫中。此外，對於以AI為主要業務的企業用戶，Google還會提供雲端和TensorFlow團隊的工程師技術服務。

再來，TensorFlow企業版提供了一系列運算選擇，包括深度學習虛擬機，以及正在Beta測試的深度學習容器，這兩個服務也已針對Nvidia GPU和Google的機器學習處理器Cloud TPU，進行相容性測試與效能最佳化。此外，TensorFlow企業版也提高了資料吞吐量，是一般版本的3倍，能改善機器學習的工作負載。 （詳全文）

  自然語言處理    中文    GLUE   

北大發表中文NLP測試基準ChineseGLUE，可用來評估中文NLP模型成效

北京大學、清華大學和浙江大學的自然語言處理（NLP）研究員日前聯手設計了ChineseGLUE，要給中文開發者用來評測中文NLP模型成效。一般來說，要評測NLP模型，最常見的基準之一就是去年由紐約大學和DeepMind建置的GLUE，但它只能用來測試英文模型，對中文NLP並無幫助。

為改善這個狀況，中國NLP研究員設計了ChineseGLUE，包含了不同種類的基準測試，比如情感分析、文本分類、閱讀理解、自然語言推理和命名實體識別等，此外，ChineseGLUE也提供了公開的模型表現排行榜、基準模型、資料集和10GB的語料庫。其中，資料集包括了LCQMC口語語意相似度、XNLI語言推理、TNEWS今日頭條新聞、BQ智能客服問答配對和DRCD繁體閱讀理解等；至於語料庫，則可用來預訓練模型或進行語言建模，預計2020年底會擴充至100GB。 （詳全文）

  Yahoo奇摩   智慧物流      雙11  

Yahoo奇摩啟用在臺第一座智慧物流中心，用AI輔助動態倉儲揀貨

Yahoo奇摩宣布啟用在臺第一座自動化物流中心，要解決雙11期間，人力無法滿足的出貨需求。這個物流中心歷時一年半打造，於上個月開始運轉，倉儲內部署了穿梭式自動倉儲（Shuttle Rack）設備，是Yahoo奇摩首次在臺採用的自動化倉儲設備。

不只設備自動化，Yahoo奇摩還用AI來進行動態儲揀決策，利用購物中心過去15年的資料來訓練AI演算法，來決定商品存放處。舉例來說，許多同筆訂單的商品，會分開儲放於不同貨架，像是化妝棉和粉底液，來減少貨架穿梭車（Shuttle Rack）的等待時間。如此，當系統接收到要購買多款商品的訂單時，多個可移動式儲架可同時間從貨架抽出，運行至指定位置，來提高效率。此外，Yahoo奇摩也用AI分析商品出貨頻率，來決定商品儲放的位置。 （詳全文）

  宏碁    智慧醫療     諾華製藥  

宏碁聯手諾華藥廠攻醫療AI，已送件黃斑部退化辨識AI

本土科技大廠宏碁宣布攜手諾華藥廠，要利用自家的AI和資通訊技術，結合諾華的醫療專業，來進攻醫療AI市場，雙方合作重點包括了眼科AI的開發、心臟血管疾病整合照護、臨床試驗設計、全球智慧醫療法規研究等。

目前第一套已送件衛福部食藥署（TFDA）待審核的軟體，就是黃斑部退化偵測AI，可望明年初獲得藥證，要來協助非眼科專科的醫生判讀眼底圖，再將病人進一步轉診。除了黃斑部，宏碁和諾華也鎖定糖尿病視網膜病變、心血管疾病辨識，未來不排除發展超音波相關的疾病辨識AI。 （詳全文）

長庚大學    心震圖預警     遠距照護  

長庚揭露心震圖AI預警App，搭感測器可測15種心搏特徵

長庚大學電機工程系副教授林文彥日前展示自家團隊研發的心震圖AI預警系統，透過加速規穿戴式裝置或客製化的貼身背心，來量測民眾心臟搏動的機械式反應，再透過後臺AI演算法來計算心臟病和心臟衰竭等機率，並提前預警。林文彥解釋，心電圖（ECG）記錄的是心臟發出的訊號，而心震圖（MCG）記錄的才是心臟接收訊號後，所產生的機械反應，因此更能反映心臟實際狀態。但通常要進行這項檢查，還得靠大醫院的心臟超音波設備。

而林文彥團隊開發的心震圖AI預警系統希望來改善這個問題。該系統只要接觸使用者身體，就能快速測得心臟搏動的15種特徵，其中6項更是世界首創。這些特徵可判定瓣膜開閉是否正常，也能偵測心臟衰竭的趨勢，並在App上以顏色來區分嚴重狀態。林文彥提到，這套系統已於長庚醫院測試，用於偏鄉山區病患，未來希望這套系統來彌補偏鄉醫療資源的不足，也規畫以App整合醫院系統，來推廣至民眾居家照護和長照。 

兆豐證券    機器人    精誠資訊  

兆豐證券宣布導入AI語音迎賓機器人

兆豐證券聯手精誠資訊，導入理財迎賓機器人小貝。小貝整合了自然語言處理技術，用於接待證券客戶、查詢股價或提供簡單的證券服務應答，將於兆豐證券14家分公司導入。

小貝具備迎賓接待、智慧應答、股價查詢、商務導覽四大功能，包括提醒開盤/收盤、語音查詢股價、宣導市場新制等，可協助處理重覆性高的問題。精誠資訊表示，小貝具備語音辨識、語意理解、語音合成等技術，在語音辨識技術上，採用Google免費的語音辨識技術，可即時的辨識語音為文字，並分析消費者的語意來理解意圖，特別是問答型和任務型的意圖，再透過語音合成技術，以自然清晰的在地腔調回應使用者。（詳全文）

Google     Form2Fit     機器人  

Google設計Form2Fit演算法，教機器人自己學組裝物品

Google、史丹佛大學以及哥倫比亞大學共同開發一套Form2Fit機器人操作演算法，利用深度神經網路教機器人辨識物體間的對應關係，來執行組裝任務，像是把物體擺放到相對應形狀的包裝或紙盒。

特別的是，Form2Fit是從拆卸過程來反推、學習物體組合的方法，因為拆卸已組裝的物體，更容易透過反覆試驗來學習，研究人員也以此來訓練Form2Fit，採自我監督方式訓練。實驗結果顯示，這個方法能讓機器人學習到通用的組裝方法，習得各種套件的撿取和放置技能，在物體和套件各種不同的配置情況下，機器人有94％的成功率完成組裝任務，而對於全新沒見過的套件，也有高達86％的組裝成功率。 （詳全文）

圖片來源／Google、微軟  

攝影／王若樸

 AI趨勢近期新聞 

1. 微軟利用K8s推出混合雲解決方案Azure Arc

2. 臉書發表多個影像辨識方法，可預測2D圖像中的3D物體形狀

3. DeepMind以多重代理增強學習策略，讓AI在星海爭霸2天梯爬上大師等級

資料來源：iThome整理，2019年11月

華爾街日報在本周二（11/5）引述消息來源報導，指稱美國印表機及複印機業者全錄（Xerox）準備以270億美元的現金加上股票，買下開發個人電腦與印表機的HP，而HP即在隔天發布簡短聲明證實了此事。

HP表示，他們對該公司的多年戰略，以及在一個不斷創新的產業持續成功的能力充滿信心，也考慮了透過多種方式來建立價值，在這樣的背景下，他們不時與全錄討論合併的可能性，也已談及交易的條件，並在昨天收到了全錄的提案。

不過，HP也透露，為了追求於股東的最大利益，如果有更好的機會，該公司也會把握。

周三（11/6）HP（股市代號HPQ）的股價上漲了6.36%，以19.57美元作收，市值達到280億美元，同一天全錄的股價也上漲了3.55%，收盤價為37.66美元，但全錄的市值只有84億美元。

不過，全錄甫於本周宣布，將把在富士全錄（Fuji Xerox）所持有的25%股份賣給富士軟片（Fujifilm），這本來就是雙方於1962年合資的子公司，交易後富士軟片將取得富士全錄的所有股權，而全錄則會有23億美元的進帳。

根據HP截至今年7月底的2019財年第三季財報，該季HP創下了146億美元的營收，比前一年的同期成長0.1%，每股盈餘為0.78美元，高於去年同期的0.54美元。此外，HP甫於10月宣布組織重整計畫，將在2022財年以前縮減7,000名到9,000名員工，約佔HP全球員工數的16%。

至於全錄在今年截至9月底的第三季，則創造了22億美元的營收，比去年同期下滑6.5%，但每股盈餘為0.96美元，高於去年的0.62美元。

安全廠商發現一隻名為WP-VCD的後門程式，近日借盜版外掛程式在網路快速散佈，而其超強感染力，也成為WordPress網站近來最主要威脅。

Wordfence近日觀察到WP-VCD近幾周積極鎖定WordPress網站感染。研究人員指出，這隻木馬程式也是今年8月以來感染WordPress的惡意程式中，感染率最高的，而且這波攻擊迄今仍然沒有降速跡象。

研究人員指出，WP-VCD的程式碼及功能經過多重演化，不過主要獲利模式都是靠搜尋引擎最佳化（SEO）技倆，以名列搜尋引擎結果頁最上方，或是在網站中注入惡意廣告程式碼，藉網站重導向或彈出式廣告，將用戶導到這些網站下載而散佈。

在最近這波攻擊中，WP-VCD藏在盜版佈景主題及外掛程式中散佈。它是來自一群號稱可免費下載知名外掛程式及佈景主題的盜版網站，研究人員相信這些網站都是WP-VCD作者所經營，吸引網站開發人員下載，包括www.download-freethemes.download、www.nulledzip.download、www.themesfreedownload.top等。

一旦感染WordPress網站，WP-VCD將進行多重危害。首先它會以100010010為名建立後門程式帳號，方便駭客存取WordPress網站。其次，如果WordPress管理員試用了盜版佈景主題，這隻後門程式會感染網站上所有佈景主題，如果他沒試用，WP-VCD程式碼還是能在其他佈景主題中執行。第三，若這個WordPress網站是代管在某個公有雲或資料中心機器上，則WP-VCD還會散佈到底層伺服器，藉此感染同一台伺服器上的其他無辜網站。

駭客藉由感染眾多伺服器建構殭屍電腦網路，而在背景運作下WP-VCD會將這些受感染機器與外部C&C伺服器建立連線，聽候駭客日後發動指令。

安全公司也在白皮書中分享了YARA Rules，協助企業及網站管理員偵測WP-VCD。

日前有美國學生透過Airbnb租下加州豪宅舉辦萬聖節派對，卻遭人闖入開槍掃射，造成5人死亡的悲劇，Airbnb除了馬上宣布禁止「派對屋」的出租之外，也更新了安全政策，將驗證該站提供的所有房源、提供住戶保證，並推出24/7的鄰居熱線以提供協助。

租賃該房源的學生並未說明要用來開派對，也未徵得屋主的同意，就邀請了超過100名的同伴參與派對。Airbnb的共同創辦人暨執行長Brian Chesky在11月3日透過Twitter宣布，即日起將禁止「派對屋」的出租行為，也會極力對抗未經授權的派對活動，同時打擊房客與屋主的不當行為。

之後Chesky即對內外發表了一封公開信，闡述Airbnb的商業模式是由信任所構成，該平台讓陌生人信任彼此，而這也是Airbnb能夠擴大到全球191個國家，並吸引超過6億會員的真正原因。

因此，加州的意外讓Airbnb決定祭出改革，包括將驗證站上所列出的700萬間房源，提供客戶保證，推出鄰居熱線，以及擴大人工審查範圍。

根據規畫，Airbnb將在2020年12月15日以前驗證站上的所有房源，包括房間的照片、地址與其它細節，也會訂出品質標準，包含清潔度、安全與基本家庭設施，並明確標識符合高度期待的房源。

而從今年12月15日起，若是房客入住的房源與所描述的不符，Airbnb將重新為其預訂同樣品質或更高品質的房源，或是全額退款。

至於24/7的鄰居熱線，則是讓全世界的任何客戶，都能在任何時間透過該熱線與Airbnb的客服人員接觸，強調不論是在Airbnb官網、程式，或是透過Google搜尋都能找到熱線資訊。此一熱線電話服務將在今年12月31日，率先於美國市場推出，預計明年就會部署到全球。

擴大人工審查範圍鎖定的，則是未經授權的租房派對活動，Airbnb將在今年12月15日起藉由AI模型來偵測北美市場的可疑訂房，再針對高風險的訂房進行人工審查，此一任務也會在明年部署至全球市場。

微軟在Ignite大會上發表最新的Visual Studio程式碼導師IntelliCode功能，現在IntelliCode進一步獲得人工智慧加持，新增兩個新功能，從根本提高開發敏捷性和程式碼品質，兩個新功能分別為全行程式碼完成建議（Whole Line Completions），以及之前釋出預覽版的重構（Refactoring）功能，現在正式對外釋出。

IntelliCode是2018年微軟在Build上發表的擴充套件，可以在IntelliSense的自動完成下拉選單，對開發者提供最佳的完成選項，而非僅列出以字首排序的結果。這些最佳化建議全來自GitHub社群，微軟將超過2,000個評價百顆星的開源專案，拿來作為最佳開發實作的機器學習訓練樣本。

IntelliCode的上下文程式碼完成強化功能，可以做到像是自動預測最有可能的類別成員，開發者不需要在IntelliSense下拉列表逐一尋找。IntelliCode還會掃描開發者的程式碼風格，自動維持程式碼開發的一致性。

而這次微軟在IntelliCode使用了OpenAI超強GPT-2文字產生模型，來學習程式語言和程式碼模式，可以在開發者撰寫程式碼的時候，自動產生精確的程式碼建議。GPT模型架構最初是開發用來解決自然語言理解的問題，而微軟現在精選3,000個GitHub儲存庫的程式碼訓練GPT-2模型，該模型會擷取儲存庫程式碼的開發模式，並學習程式語言的複雜性，在開發者撰寫程式碼時，基於上下文使用語義資訊和模式，來預測程式碼接下來最有可能的完成選項。

IntelliCode也允許開發團隊可以訓練自己的程式碼完成功能，以符合特殊需求，IntelliCode從程式碼中學習模式，可以更精確的提供建議，透過善加利用團隊和社群的知識，可加快開發團隊成員的程式學習速度。

另外，現在IntelliCode還會監控IDE中的程式碼更改，並根據需求合成重複模式的編輯腳本，IntelliCode會利用這些編輯腳本，讓開發者可以快速地應用重複性更改，或是在團隊審核（Team Review）創建拉取請求來應用這些建議。

IntelliCode的重構功能可減少例行性工作的時間成本以及錯誤發生，微軟在IntelliCode中，使用了一種稱為PBE（Programming-by-examples）的人工智慧合成技術，PBE技術已經被大量用於微軟的各種產品，包括Excel的Flash Fill功能和PowerBI的網頁表格擷取，都有使用PBE技術，讓用戶只要提供一些明確示範之後，程式便能提供簡化重複任務的輔助，但是IntelliCode所使用的PBE技術更加先進，因為開發者不需要提供明確的示範，IntelliCode會自動從開發者雜亂的行為中自動學習，開發者不需要在重構之前進行額外的任何動作。

微軟強調，使用者可以完全控制人工智慧輔助功能，以及存取資料的角色，除非開發者與其他人共享模型，否則微軟也不會跟其他人共享這些模型，系統也會預設啟用相對安全的資料存取規則，保護使用者的隱私安全，而重構功能的模型，只會在本地端運作，程式碼不會離開使用者的電腦。

安全金鑰廠商Yubico在微軟的Ignite大會上，發布了最新的指紋辨識安全金鑰YubiKey Bio，透過支援生物特徵指紋辨識與PIN碼登入，YubiKey Bio利用FIDO2和WebAuthn標準規範，提供多因素身份驗證功能。

YubiKey Bio不需要安裝任何電池、驅動程式或是其他相關的軟體，該安全金鑰與最新版本的Windows 10和Azure Active Directory整合，讓使用者可以簡單地以無密碼登入流程，防範網路釣魚。生物特徵指紋儲存在安全金鑰的安全元件中，可避免受到物理上的攻擊，讓使用者可以在不同裝置、作業系統和應用程式，使用受信任的方式進行身份驗證。

Yubico提到，在過去幾年，Yubico與微軟密切合作，透過創建FIDO2和WebAuthn開放身份驗證標準，來推動無密碼身份驗證的應用，Yubico已經完全支援啟用FIDO2的微軟產品，包括使用Azure Active Directory的Windows 10，以及使用微軟帳號的Edge瀏覽器。

Yubico還預告，明年初他們會進一步為企業用戶提供更多的支援，除了為雲端和SAML應用程式提供SSO服務之外，也會對整合企業內部部署Active Directory的應用程式和資源提供身份驗證。

Arm周三在臺北舉辦科技論壇，介紹了10月下旬才剛發表的GPU Mali-G57與DPU Mali-D37，還有兩款NPU機器學習推論處理器Ethos-N37與N57，同時也揭露了Arm對AI的產品策略佈局。

Arm去年便推出了ML處理器及專門偵測物體的OD處理器，後來將ML處理器更名為Ethos-N77，10月下旬發表了GPU Mali-G57與DPU Mali-D37，同臺登場的還有兩款Ethos NPU處理器，Ethos-N57與N37，相較於N77鎖定的高階市場，N57與N37要將機器學習帶到主流及低階市場。

其中Mali-G57是第一個valhall架構主流繪圖處理器，在能源效益提升30%，效能也提高30%，G57也針對int 8的資料類型最佳化，和前代的G52相比，其機器學習效能提高60%。

至於專門用於機器學習的Ethos NPU處理器，現在已有N77、N57及N37三款產品，對應不同的市場需求，其中N77訴求能提供最好的效能，N57則定位於最佳的效能及成本，N37則對成本較敏感的需求所推出。

這三款NPU處理器均為1GHz時脈，Ethos-N77提供4TOPS效能，每瓦達到5TOPS，內建1到4MB的內部SRAM，N57為2TOPS，N37則是1TOPS，N57與N37均內建512KB SRAM。

Ethos-N37、N57及N77有各自的市場定位，N37適用於入門款手機、DTV數位電視與智慧攝影機，N57適合主流級手機及智慧家庭閘道器，N77則適合需要旗艦級手機、需要電腦運算的影像處理、AR/VR。

讓各種裝置、從高階到低階都具備機器學習能力

Arm機器學習事業群商業與行銷副總裁Dennis Laudick指出，Arm在機器學習的產品策略，是提供客戶多樣化的選擇，由客戶自己衡量利益選擇合適的產品。Arm的所有處理器都可以用於機器學習，但不同處理器的效能及成本有差異，由客戶衡量自身的需求。

Arm相信未來AI將可以跑在不同的裝置上，因此不僅是NPU，Arm在CPU、GPU產品上也強化了機器學習處理能力。

按Arm的規劃（下圖，Arm提供），Cortex系列CPU適用於關鍵字偵測、模式訓練，而Mali GPU可做語音及影像辨識，挑戰性更高的影像強化、影片強化解析度則適合Ethos NPU處理器，機器學習工作負載的比重增加，愈適合Ethos NPU處理器。

Arm也透過優化軟體開發工具，如可搭配Arm的CPU、GPU及NPU的神經網路軟體開發套件Arm NN，提供好的開發工具，將讓開發人員能夠更快打造系統，進行優化、除錯及部署，加速產品的上市。

Dennis表示，市場的發展趨勢將會要求所有的裝置都具備機器學習的能力，Arm的目標是滿足不同市場需求，將好的產品帶來到市場。不只是NPU處理器，Cortex A、M系列其他處理器，也逐漸提升機器學習處理能力，Arm的策略是提供客戶足夠的彈性，包含解決方案及優化的軟體開發工具，協助他們將機器學習應用在高階到低階的裝置上。

Arm：客製化指令集賦予客戶更多彈性

至於日前推出Arm客製化指令集（Arm Custom Instructions），在Cortex-M33 CPU上，保留編碼空間，允許客戶客製化，被視為Arm抗衡開源RISC-V指令集架構的舉動。

Arm在論壇中媒體訪問裡補充說明，Arm的成功來自於客戶的成功，推出客製化指令集，目的是回應客戶對彈性客製化的需求，例如將安全功能或是演算法設計於硬體，Arm未來將會持續推動。

談到和RISC-V的競爭，Arm認為RISC-V只是指令集，並沒有包含晶片設計及生產製造上的其他成本，而Arm則重視整個生態系及提供支援。言下之意，Arm強調自身在晶片設計、製造上已建立起龐大生態系及資源。

搶搭上近期火紅的量子運算（Quantum computer）話題，在今日（11/7）東京舉行的iEXPO2019年度科技展上，NEC社長新野隆就指出，量子電腦已經是該公司未來發展不可缺少的下一代運算技術，將用它打造一個可被社會普遍接納的人工智慧AI，用來處理各種錯綜複雜難解的社會問題。在今天展場中，NEC也以真實比例的方式，來展示正在開發中的超電導量子退火機的3D立體模型。

早在20年前，NEC就已經完成測試單個量子位元（qubit）的固態量子計算，沒隔幾年，該公司再將量子位元數提高到2個，用於處理邏輯運算；2007年時更開始驗證自己開發的量子演算法，以測試落地應用可能性，不僅如此，幾年前，還結合更先進的QPC量子點接觸器用於加快計算，能夠迅速讀出量子變化的狀態，用於實現更加複雜的量子計算。

在今天iEXPO2019年展場中，NEC也以真實比例的方式，來展示正在開發中的超電導量子退火機的3D立體模型。

近兩年，NEC更把過去多年在量子電腦領域研究累積的實作經驗，運用在量子退火（Quantum annealing）演算法機器的開發，除了原NEC研發團隊，目前也與日本研究機構來共同合作研發，如NEDO等。

「我們和去年富士通推出的量子退火晶片完全不同。」新野隆特別點出，NEC想要打造的是一整套量子退火運算設備，不光是處理器，也得要考慮各種嚴苛操作環境，比如須在零下273度的超低溫來進行冷卻，以維持量子結構的穩定性，因為技術挑戰難度很大，所以短時間無法推向市場，他指出，最快2023年才會問世，並會以雲端形式來提供相關服務。

 除了要打造更高效能的量子退火機，NEC也在進行模擬量子退火的研究和開發，並將它應用在現有超級電腦硬體環境上，如NEC SX-Aurora TSUBASA，用以解決更大規模的組合優化問題，現場也展示結合向量運算的模擬退火演算法。

雖然量子電腦擁有強大的運算力，但他也強調：「量子電腦只是一種手段，如何活用找出最有效運用的方式更重要，」他舉例，可以用來找到一些現有AI無法解的難題，或是從各種複雜組合難解的社會問題找出最優解，就可用量子計算來解，「這也是我們現在正在努力的事」他說。

當然，這些問題組合越錯綜複雜，就越需要耗費龐大運算資源，所以才需要性能更強大的量子電腦。NEC最終目標是要打造能夠支撐10萬個量子位元（qubit）的量子退火機，對比Google近期登上自然雜誌發表的量子處理器Sycamore實驗成果，也才僅達到54個量子位元數。

另在該公司未來發展策略上，除了先前提出的數位包容（Digital Inclusion）的新願景，新野隆在今天主題演講上也進一步揭露了更具體的作法。

他在會中表示，未來將以自有的生物辨識技術為基礎，整合如OneID、Bio-IDiom等現有人臉辨識技術或平臺，用以支持他所提出稱之為「I：Delight」的新概念，以便於在提高社會安全的同時，更進一步將這股力量帶向社會每個角落，為每個人帶來更美好的生活體驗。

電商銷售活動雙11競爭激烈，各電商紛紛出招，吸引買氣。今年雙11，蝦皮購物（簡稱蝦皮）以打造娛樂電商為目標吸客，結合互動遊戲、直播和動態貼文牆，一站式滿足消費者在娛樂、社群、消費的需求。

瞄準以行動裝置完成線上購物的趨勢，針對雙11活動，蝦皮推出兩款新互動遊戲「蝦蝦飛刀」和「幸運黃金蛋」，再加上之前的遊戲「蝦拼接接樂」和「蝦搖一波」，總共四款遊戲讓消費者邊玩，邊累積分數，以取得折扣。蝦皮接接樂還結合了AR技術，捕捉玩家臉部移動的幅度，讓玩家接取金幣，以獲得分數，同時，也捕捉玩家的眼部動作，呈現眼球特效。

蝦皮從去年開始於自家手機App內，推出多款互動遊戲，至今已有近15款遊戲登臺，帶動了站上流量。蝦皮雙11購物節的活動已於10／24提前展開，暖身活動開跑以來，4款遊戲已累計超過600萬的遊戲人次，其中，蝦拼接接樂和蝦搖一波的遊戲人次，於活動首周已較「9.9超級購物節」成長超過兩倍。

蝦皮接接樂結合AR技術，捕捉玩家臉部移動的幅度，讓玩家接取金幣，雙11活動期間，共四款遊戲讓消費者邊玩，邊累積分數，以取得折扣。（攝影／黃郁芸）

而今年3月蝦皮在臺推出直播，蝦皮購物品牌行銷部長廖君凰表示，經過一年的觀察，8成以上的電商消費者有觀看電商直播的習慣。這次雙11活動期間，蝦皮將在11／10和11／11兩日，展開馬拉松式的直播，總計長達27小時。

另外，為了因應消費者使用社群軟體的習慣，蝦皮在雙11活動開跑前夕，推出「蝦皮動態」功能，強化電商平臺的社群互動體驗。消費者可以透過該功能追蹤朋友、賣家和品牌，以隨時關注他們發布的內容，並可在賣家貼文下方留言、按讚、分享、標註用戶等，同時，賣家可以透過該功能發出問題、發送折價券等，實現雙向交流。

蝦皮希望藉動態貼文牆促進買賣家之間的互動，再進一步為賣家提升訂單轉換率。蝦皮表示，該功能上線一個多月，以累計2萬篇貼文，為賣家提升平均近2成的粉絲追蹤數。不僅臺灣，蝦皮動態也已經在泰國、印尼和越南推出，接著會陸續於其他國家上線，而臺灣第一波開放使用的品牌賣家，包含了蝦皮商城和優選賣家。

去年雙11當日，蝦皮7國市場累積了1,100萬筆訂單數，而今年，暖身活動首周訂單數相比去年，已成長超過3成。不過，對於今年雙11當日的業績目標，蝦皮並未提出具體的數字。廖君凰僅表示，今年雙11當日的業績一定會優於去年。

11/1~11/7 精選容器新聞

#資料湖、#大數據叢集、 #SQL Server
新版SQL Server 2019正式在臺上市，主打K8s大數據叢集新特色

微軟新版資料庫產品SQL Server 2019正式在臺推出，微軟MVP楊志強強調，新版最大特色之一是新的大數據叢集功能（Big Data Cluster），可以透過K8s來建立一個大數據叢集，再搭配Azure Data Studio工具來管理、部署和查詢多個資料庫實例中的資料。這就像是在建立一個資料湖，透過統一的資料湖介面來存取多個資料庫，可說是一種資料虛擬化。大數據叢集可支援SQL運算節點，以及部署在分散式儲存HDFS上的Spark節點或SQL Server節點。因為，這個大數據叢集只支援K8s環境中的Linux版SQL Server，要整合原有Windows環境的SQL Server，則得透過外部資料源介接機制Polybase，將外部資料庫上的資料表，嵌入大數據叢集後，成為資料湖的資料園。PolyBase同樣也可用來串接甲骨文資料庫、mongoDB和Teradata。

楊志強指出，儘管新版的大數據叢集功能，無法直接調度和部署原有Windows的SQL Server，但改用K8s架構來管理數據叢集後，最大好處是可以快速將這個大數據叢集搬上雲端。所以，這個大數據叢集不只可調度本地端K8s環境，也可將雲端K8s環境中的SQL Server節點整合到單一資料湖中。目前，SQL Server 2019可支援所有版本的K8s，包括Azure Kubernetes服務或Red Hat OpenShift。

在計價方式上，微軟表示，2019大多如前一版計價方式，但新推出Azure雲端軟體保證服務（Software Assurance），加購SA者，在Azure上部署SQL Server則只需負擔IaaS費用，而不用額外購買SQL Server授權，採1比8的比例，購買10核心本地端授權者，加購SA可免費使用80核心的雲端SQL Server部署授權。若是在其他雲端業者上部署，則需另外購買SQL Server授權。

#混合雲、#OpenStack
OpenStack釋出第20個版本了，美國、中國用最多

OpenStack釋出代號為Trian的第20個OpenStack版本，這個名稱來自美國丹佛，今年上半年度的峰會主辦地，由於當地火車頻繁往來，而由此命名。 該新版本強化了安全機制，像是提升軟體RAID的支援能力，裸機部署服務 Ironic可在磁盤故障時，保護服務免受影響，還有提高AI和機器學習加速器的支援能力，提供加速器周期管理服務，並改善資源管理與追蹤的能力，統一資源管理功能Placement正式成為獨立的服務。中國是全球第二大採用OpenStack軟體的市場，且中國僅次於美國，為OpenStack最新版 Train的程式碼第二大貢獻者。

#Azure、#混合雲
微軟利用K8s推出混合雲解決方案Azure Arc

微軟在Ignite大會上推出新的混合雲解決方案Azure Arc，讓使用者的工作負載可以跨企業內部、混合雲或是邊緣運作，Azure Arc可以讓用戶將Azure的服務部署在任意位置，並透過統一的入口網站進行管理。另外，微軟也持續擴充可將Azure服務部署在私有雲上的Azure Stack，新增人工智慧託管設備Azure Stack Edge。Azure Arc擴展了Azure管理功能到Linux、Windows伺服器上，甚至是在任何基礎設施上的Kubernetes叢集，包括企業內部部署、多雲以及邊緣環境。
用戶可以使用更加一致且統一的方法，以Azure資源管理器、Azure Cloud Shell、Azure Portal、API以及Azure Policy來管理混合環境，而藉由Azure Arc，開發者也可以使用各式開發工具建置容器化應用程式，IT團隊也能基於GitOps來配置管理部署。在身分驗證上，Azure Arc在跨環境採用了集中式角色存取控制以及安全性政策。臺灣微軟Azure雲端平臺事業部副總經理李啟後表示，未來也會把Azure Arc引進臺灣。

#Java、#紅帽
紅帽要讓K8s上的Java應用更瘦身，推出JVM優化框架Quarkus

最近紅帽宣布JVM優化開源專案Quarkus終於推出1.0版，這是一個用來優化K8s上部署Java應用環境的工具，目標是盡量縮減JVM的檔案大小，來加快在K8s上的部署和建置速度。根據紅帽測試，傳統雲端原生的Java應用需要136MB的映像檔，同樣軟體層，改用Quarkus架構後，可以縮減到12MB，光是在K8s上的啟動速度上，可以從0.943秒，縮短到只需要0.016秒。另外，Quarkus也利用Vert.x來建立一個資安層，可用來強化與Java Spring框架應用間API串連的安全性。

#虛擬桌面、#Chrome
Chrome Enterprise 78開始支援虛擬桌面、Linux容器預設啟用GPU

剛推出的Chrome 78在企業版也有新功能，像是Chromebook新增虛擬桌面功能，可以減少桌面工作混亂，還強化了Linux容器的支援。用戶能利用虛擬桌面功能，創建最多四個工作區，Chromebook會將虛擬桌面視為獨立的工作區域，這項功能可以在不同的專案和活動間創立界線，避免因為混亂進而提升生產力。Google在Chrome 73開始加入Linux容器，讓開發者可以使用自己喜歡的開發工具，在Chrome 78還加入了備份還原和預設啟用GPU的功能。

#雲端IDE、#Visual Studio Online
未來微軟開發環境用起來如何？Visual Studio Online終於對外開放預覽版

微軟在Ignite大會釋出Visual Studio Online開放預覽的消息，開發者可用來建置長期專案，也能方便地快速創建新功能雛形，或是用於查看拉取請求等短期任務。開發者可以使用Visual Studio Code與Visual Studio IDE來存取Visual Studio Online，也能使用瀏覽器編輯器。開發者可以從開發工具或是網頁入口網站啟動Visual Studio Online，該服務會配置開發工作需要的一切環境，包括原始碼、Runtime、編譯器、除錯器、編輯器等擴充套件。微軟強調，這個環境是可讓開發者完整配置的，依照專案需求做精細的調整，開發者也可以安裝擴充套件，或是定義自己的Dockerfile來控制環境。Visual Studio Online託管在Azure雲端，開發者可以創建專案，並在需要額外運算容量時，啟用進階環境以取得更多的CPU和RAM資源。Visual Studio Online按需計價，當用戶創建環境使用6分45秒，就只需要支付6分45秒的費用。

#跨雲網路管理、#CNI、#K8s
Arista Networks推出新版網路OS，可用來管理跨雲K8s應用的網路

最近網通公司Arista Networks推出了新版雲端網管作業系統CloudEOS，可用來管理跨公有雲間的網路架構，也主打可部署在容器或K8s叢集上的部署版本，目前可支援AWS和Azure，預計下一季才會支援GCP。企業可用CloudEOS來建立跨公有雲間的網路拓樸，可以即時動態調度網路流量或監控跨不同公有雲上應用的網路用量。CloudEOS會自動加密跨公雲間的網路封包。另外，CloudEOS也支援K8s網路標準介面CNI，可用於管理容器化應用的網路流量，等於，可用來統一管理企業在不同公有雲上的容器化應用所用的網路環境。

責任編輯／王宏仁

更多Container相關動態

• Kasten推出K10資料保護軟體新版，新增K8s權限管理
• Repl.it開源通用套件管理器UPM

＠資料來源：iThome整理，2019年11月

旗下握有各種電信及媒體資源的日本軟體銀行（SoftBank，軟銀），本周公布了今年7到9月的財報，透露出該季虧損了7,040億日元（65億美元），而這是該集團最近14年以來首度出現虧損，也創下軟銀史上的虧損紀錄，軟銀創辦人暨執行長孫正義在財報會議上坦承，他忽略了WeWork的問題，做了錯誤的投資判斷。

這一季軟銀的虧損與其投資策略有著絕對的關係。軟銀旗下擁有全球最大的科技基金Vision Fund，資金總額超過1,000億美元，軟銀與Vision Fund都投資了WeWork，但在這一季它們所持有的WeWork帳面價值，分別減少了46億美元與35億美元，此外，Vision Fund所投資的88家新創企業中，還有超過20家的市值下滑，包括Uber在內，總計有89億美元的經營損失要算在Vision Fund頭上。

軟銀解釋，WeWork原本在今年8月提出IPO申請，卻又在9月撤回申請書，才使得WeWork的市值在今年9月底下滑至78億美元。而當初軟銀與Vision Fund投資WeWork時，所計算的WeWork市值高達470億美元。

孫正義表示，WeWork對軟銀與Vision Fund的表現有非常大的影響，反省後他認為自己的許多投資判斷都很糟糕。

2010年成立的WeWork，是家專門提供共用工作空間的新創業者，迄今已於全球32個國家的86個城市提供服務，軟銀與Vision Fund在WeWork的草創初期，就投入了超過100億美元的資金，又在日前祭出95億美元的資金出手拯救WeWork，總計取得WeWork的8成股權。

不過，孫正義也認為，扭轉WeWork的未來並不難，包括在未來幾年不再自行興建辦公室，以及開始撙節支出，並擺脫其它不賺錢的業務，相信終能改善WeWork的經營。

雲端原生運算基金會（CNCF）宣布，兩年前納入旗下的MySQL資料庫叢集系統Vitess現已經成熟，是繼Kubernetes、Prometheus和Envoy等，第八個離開CNCF孵化器的專案。同時Vitess也釋出了最新4.0版本，改進SQL Query支援以及可用性。

Vitess被創建於2010年，是來自YouTube的內部開發計畫，因為YouTube需要一個更簡單的方式，來管理MySQL大規模部署。MySQL是熱門的開源關聯式資料庫，許多企業用來儲存結構性的資料，但是雖然MySQL提供了許多好用且強大的功能，但是由於根本設計上的原因，使得MySQL水平擴展的能力受限，難以在大量的伺服器進行分散式部署。

而Vitess的出現就是為了解決這個問題，Vitess是用於部署、擴展和管理MySQL大型叢集的資料庫解決方案，可以良好地支援公有雲和私有雲架構，其結合了NoSQL資料庫的可擴展性，並擴充了重要的MySQL功能。Vitess讓企業對MySQL資料庫進行分片，能以最低應用程式需要修改的程度，擴展MySQL資料庫規模，也能方便地將裸機部署搬遷到私有雲或是公有雲上，在Kubernetes和本地容器環境中運作。

新發布的Vitess 4.0改善支援的MySQL語法範圍，Vitess現在可以支援批次陳述式，同時對不同分片進行插入資料操作，同時還支援更廣泛的SELECT陳述式，新增包括像是COUNT(DISTINCT)等不同的聚合查詢。官方提到，他們也開始測試將Vitess應用在一般的應用程式和框架之中，目的是要讓使用者，可以將單片的MySQL或是MariaDB實例，直接移動到分片的Vitess上，而且應用程式不需要進行更改。

而在新版本中，官方提升新用戶採用Vitess的友善程度，包括改進Kubernetes和Vagrant的本地開發入門教學課程，同時還減少起始時所需要的配置，Vitess目前也已經可以在多數情況下，自動檢測MySQL版本。Vitess的錯誤通知訊息也獲得改善，並改善這些訊息能以正確的日誌等級，分類成錯誤、警告或一般訊息。

Vitess 4.0加入了VReplication實驗性功能，官方提到，當資料庫要進行擴展，使用者必須要取捨分片的規則，就以電子商務平臺來說，資料庫可能是按買家進行分片，這會讓針對賣家的查詢變慢許多，但當遇到需要對買賣雙方都提供高效能查詢的應用程式，就會讓開發者感到困擾，而現在Vitess加入的VReplication功能，提供一種訂閱每個分片變更的方法，讓關鍵資料可以在每個分片都存在副本，提升應用程式存取資料的速度。

資安業者Akamai本周指出，坊間的網站流量分析工具不只可用來協助網站改善使用者經驗，也被駭客用來改善攻擊成效，特別是Google Analytics，然而，水能載舟亦能覆舟，資安業者同樣也能利用Google Analytics糾出這些惡意的網釣網站。

類似Google Analytics的網站流量分析服務可自動產生網站的各種報告，像是使用者行為、網頁瀏覽次數、在網站上的瀏覽路徑，以及使用者所採用的作業系統、位置與瀏覽器品牌等，這些服務可協助網站改善使用者的瀏覽經驗，包括網釣網站在內。

例如當網釣駭客透過流量分析服務得知Android用戶較不容易成為網釣受害者時，就會以iOS用戶為主要攻擊目標。

根據統計，全球網站約有56.1%採用流量分析服務，最受歡迎的是Google Analytics，市占率為20%，居次的是Global Site Tag的9%，Facebook Signal、Facebook Conversion Tracking與Facebook Pixel則各占5%。這些流量分析服務會以唯一識別符（unique identifier，UID）來辨識客戶。

而在Akamai所的掃描62,627個網釣網址中，有54,261個為非空白網頁，且它們屬於28,906個網域，其中有874個網域具備唯一識別符（unique identifier，UID），當中有396個UID為Google Analytic帳號，特別的是，有75個UID同時被多個網站使用。

Akamai認為，當有些網釣網站企圖複製原始的網釣網站時，可能就會造成UID的重覆使用；或者它是直接被包含在網釣套件中；它們也可能是合法的UID，因網釣網站已經被合法網站識破，嘗試將流量導回合法網站。

於是，研究人員藉由追蹤這些UID發現了各種的網釣活動，也找到了使用同樣UID的新網釣網域，而能加以防範。