Bleeping computer：OpenAI 的新 ChatGPT Search Chrome 擴充功能感覺就像一個搜尋劫持者

OpenAI最近推出的Chrome瀏覽器擴充功能「ChatGPT Search」引發了不少討論和疑慮。本文將從多個角度分析這項新功能的優缺點及其潛在影響。

功能概述與定位

OpenAI推出的這項擴充功能主要是將ChatGPT整合進Chrome的搜尋功能中，讓使用者可以直接在瀏覽器網址列進行AI輔助搜尋。這項功能首先向ChatGPT Plus和Team用戶開放測試，預計在未來幾週內逐步推廣給所有用戶。

技術實現的簡單性引發爭議

從技術層面來看，這個擴充功能的實現方式相當基礎，甚至被認為過於簡單：

1. 僅僅是修改Chrome的默認搜尋引擎設定

2. 將所有搜尋請求重定向到「https://chatgpt.com/?q=」

3. 功能實現方式與常見的搜尋劫持擴充功能相似

安全性與隱私考量

雖然目前這個擴充功能本身沒有明顯的安全隱患，但仍存在以下潛在風險：

1. 開發者可能在未來更新中加入影響隱私的功能

2. 過多的擴充功能可能影響瀏覽器效能

3. 增加潛在的系統資源消耗

替代方案的優勢

文章提出了一個更簡潔的替代方案，即直接在Chrome中設置自定義搜尋引擎：

1. 無需安裝額外擴充功能

2. 可以通過簡單的設置實現相同功能

3. 降低瀏覽器負擔

4. 減少潛在的安全風險

產品策略思考

從OpenAI的產品策略來看，這次的推出似乎略顯倉促：

1. 功能過於簡單，缺乏創新性

2. 未能充分發揮AI技術優勢

3. 產品定位與實用價值之間存在落差

未來發展建議

針對ChatGPT搜尋功能的未來發展，建議可以考慮：

1. 增加更多AI智能分析功能

2. 提供更個性化的搜尋體驗

3. 加強隱私保護機制

4. 優化資源使用效率

OpenAI這次推出的ChatGPT搜尋擴充功能雖然展現了公司進軍搜尋市場的野心，但在技術實現和功能創新上都顯得相對保守。對於一般用戶而言，直接設置自定義搜尋引擎可能是更好的選擇。這也提醒我們，在選擇和安裝瀏覽器擴充功能時，需要權衡其實用性與潛在風險。在AI技術快速發展的今天，我們期待看到更多真正創新且實用的功能整合方案。

詳情請看：

OpenAI's new ChatGPT Search Chrome extension feels like a search hijacker

Read More

Cybersecurity insiders：生成式人工智慧軟體和功能正在硬塞到所有產業中

隨著生成式AI(GenAI)技術的快速發展，各行各業都在積極導入相關應用。然而,在享受創新科技帶來便利的同時，資安風險也不容忽視。本文針對企業在評估與導入GenAI軟體時的資安審查框架提出深入見解。

首先，企業必須清楚認識自身的風險屬性與威脅環境。不同產業面臨的資安挑戰各異，例如零售業主要需保護顧客與交易資料，而情報分析公司則需嚴格把關敏感資訊。因此，制定符合組織特性的資安審查標準至關重要。

在評估GenAI軟體時，需特別關注以下幾個面向：

首先是軟體的活躍度與維護狀況。考量資安威脅環境瞬息萬變，若軟體長期未更新，將存在重大風險。其次要審視開發商對資安問題的處理態度與回應速度，這反映了其資安意識與危機處理能力。

在文件審查方面，應重點查核:

1. SOC2或ISO27001等資安認證

2. 滲透測試報告

3. 業務持續性計劃

4. 資料處理附錄(DPA)

其中DPA尤其重要，它規範了資料處理的標準與分包商清單。需特別注意資料地理位置、暴露範圍，以及是否符合GDPR等法規要求。許多GenAI服務牽涉複雜的資料處理鏈，若未謹慎評估，可能導致資料外洩風險。

另一個關鍵議題是訓練資料的使用。由於優質訓練資料日益稀缺，部分GenAI服務可能在未經同意的情況下擷取用戶資料作為訓練素材。因此在簽約前必須明確約定資料使用範圍，並取得書面保證。

此外，也不能忽視插件或擴充功能的安全性。完善的主程式若搭配存在漏洞的插件，仍可能成為資安缺口。建議對所有元件進行同等嚴格的審查。

在當前GenAI快速發展的過渡期，資安團隊必須保持警覺，建立靈活且嚴謹的審查機制。這不僅是為了防範風險，更是為了讓組織能夠安全地運用創新科技，在競爭中保持優勢。透過周全的評估框架，企業可在創新與安全之間取得平衡，為數位轉型奠定堅實基礎。

總結來說，面對GenAI浪潮，企業不能因趕潮流而忽視資安。唯有建立完善的評估機制，才能在享受技術紅利的同時，確保組織資產與資料的安全。這需要資安團隊的專業判斷，也需要管理層的重視與支持。在這個充滿不確定性的轉型期，謹慎與遠見將是成功的關鍵。

詳情請看：

Generative AI software and features are being shoehorned in across all industries

Read More

Help net security：資料遺失事件影響病患護理

近年來,醫療機構面臨的網路安全威脅日益嚴重,不僅危及病患資料安全,更直接影響醫療照護品質。根據Proofpoint最新調查報告顯示,在過去12個月內,高達92%的醫療機構遭受過至少一次網路攻擊,較2023年的88%又有所增加。更令人憂心的是,其中69%的機構表示,這些攻擊導致病患照護服務受到干擾。

報告中特別指出四種主要的網路攻擊類型:雲端入侵、勒索軟體、供應鏈攻擊以及商業電子郵件詐騙(BEC)。這些攻擊造成的影響相當嚴重:56%的機構報告因檢查和手術延誤而導致不良病患預後;53%發現醫療併發症增加;最令人震驚的是,28%的機構表示病患死亡率上升,較去年增加了5個百分點。

在各類攻擊中,供應鏈攻擊對病患照護的影響最為顯著。68%的受訪機構曾遭受供應鏈攻擊,其中82%表示導致病患照護中斷,較2023年的77%明顯增加。而在造成醫療程序延誤方面,BEC攻擊的影響最大(69%),其次是勒索軟體(61%)。勒索軟體攻擊還導致病患住院天數延長(58%)以及轉診率上升(52%)。

值得注意的是,醫療機構在資安防護上仍面臨諸多挑戰。雖然遭受勒索軟體攻擊的風險感知從2023年的64%下降至2024年的54%,但平均支付的贖金卻上升了10%,達到109.92萬美元。另一個值得關注的趨勢是,不安全的行動醫療應用程式(eHealth)已成為最主要的資安威脅,從2023年的51%上升至2024年的59%。

人為因素仍是資料外洩的主要原因。超過九成的機構在過去兩年內發生過至少兩次敏感資料外洩事件,其中51%的事件影響到病患照護。員工疏忽未遵守規定(31%)、意外資料遺失(26%)以及錯誤發送個資至非預期收件者(21%)是造成資料外洩的三大主因。

針對這些挑戰,醫療機構已開始採取積極措施。71%的機構正在採取行動提升員工資安意識,59%定期進行培訓計畫。此外,人工智慧技術的應用也帶來新的契機,54%的受訪機構已在資安防護或醫療照護中導入AI系統,其中57%認為AI對提升資安防護效果相當顯著。

總結來說,醫療資安已不僅是資訊安全議題,更與病患安全和醫療品質息息相關。醫療機構必須建立以人為本的資安防護機制,透過持續教育訓練提升員工資安意識,並善用新興科技強化防護能力。唯有確保資訊系統的安全性,才能維持優質的醫療服務品質,保障病患權益。

這份報告不僅揭示了醫療資安的現況與挑戰,更凸顯了資安防護對於現代醫療體系的重要性。未來,醫療機構需要在技術升級、人員培訓和制度建設等方面持續投入資源,方能因應日益嚴峻的資安威脅。

詳情請看：

Data loss incidents impact patient care

Read More

Mcafee：位置，位置，位置：這對您的智慧型手機很重要的三個原因

在這個數位時代，智慧型手機的定位服務已經成為我們日常生活中不可或缺的功能。然而，這份便利背後卻隱藏著值得深思的隱私議題。本文深入探討了智慧型手機的定位追蹤機制，以及如何在便利性和個人隱私之間取得平衡。

首先，文章點出了定位服務的基本隱私問題：許多公司透過使用者的活動和應用程式收集個人資訊。這些資訊的用途主要分為三大類：改善產品和服務品質、出售給第三方數據經紀商，以及投放精準廣告。這反映出現代社會中，個人資訊已經成為一種可交易的商品，而使用者往往在不知不覺中付出了隱私作為使用便利服務的代價。

文章詳細介紹了智慧型手機追蹤位置的四種主要技術：GPS、基地台定位、公共Wi-Fi和藍牙。其中GPS具有最高的精確度，可將位置精確到9至30英尺之間；基地台定位的精確度則在150英尺左右，主要用於緊急服務；而公共Wi-Fi和藍牙則可以透過MAC地址等識別碼來追蹤使用者的位置和行為。

值得注意的是，文章提供了多項實用的隱私保護建議。首先是最徹底的方式：關閉手機或開啟飛航模式，這能完全阻止追蹤，但也會失去通訊功能。其次是關閉定位服務，或針對個別應用程式設定權限，這種方式能在保持基本功能的同時，限制不必要的資訊收集。此外，定期清理不用的應用程式、使用VPN、關閉應用程式追蹤功能，以及退出電信商的廣告計劃等，都是有效的隱私保護措施。

從更深層的角度來看，這篇文章揭示了現代科技發展所帶來的重要課題：我們究竟要在多大程度上犧牲隱私來換取便利？每個使用者都需要根據自己的需求和價值觀來做出選擇。值得關注的是，許多應用程式的用戶協議往往充滿法律術語，使用者難以真正理解自己的個人資訊將如何被使用。

這提醒我們，在享受科技帶來的便利的同時，也要提高對個人隱私保護的意識。我們需要學會在使用智慧型手機時，主動管理各項權限設定，定期檢視並調整隱私保護措施，確保個人資訊不會被過度收集和濫用。

總的來說，這篇文章不僅幫助讀者了解智慧型手機的定位追蹤機制，更提供了實用的隱私保護方法，讓讀者能夠在便利和隱私之間找到適合自己的平衡點。在未來，隨著科技的進一步發展，如何保護個人隱私將會變得越來越重要，這需要使用者、科技公司和監管機構的共同努力。

文章的核心訊息提醒我們：科技帶來的便利與隱私保護之間永遠存在著微妙的平衡，而掌握這個平衡的關鍵在於使用者的認知和主動選擇。透過了解和運用文章提供的各種保護措施，我們能夠更好地保護自己的隱私，同時仍然享受科技帶來的便利。

詳情請看：

Location, Location, Location: Three Reasons It Matters for Your Smartphone

Read More

Bleeping computer：SecOps 團隊的 5 大雲端安全自動化

隨著企業不斷加速數位轉型,雲端安全已成為資訊安全團隊的重中之重。本文介紹了Blink Ops這個創新的安全自動化平台,透過五個實用的自動化工作流程案例,展示了如何大幅提升SecOps團隊的工作效率。這些案例具有重要的實務參考價值,值得深入探討。

首先,Blink Ops最顯著的特色是其簡單易用的自動化建置方式。傳統上,安全工程師需要撰寫大量的程式碼來串接不同平台的API,這不僅耗時且容易出錯。但Blink Ops透過AI Copilot的輔助,讓使用者只需要用簡單的提示語句,就能快速建立所需的工作流程,大幅降低了技術門檻。

在五個案例中,我特別注意到它們都聚焦在雲端環境中常見且關鍵的安全威脅。第一個案例針對子域名接管的監控就相當重要,因為這類漏洞可能導致攻擊者劫持網域。Blink Ops結合AWS Route 53和Wiz的功能,實現了自動化的檢測和修復流程,這對維護DNS安全具有重要意義。

第二和第五個案例都與S3儲存桶相關,分別處理了公開存取和加密的問題。考慮到S3儲存桶外洩事件頻傳,這些自動化工作流程可以有效預防資料外洩風險。特別是加密執行的自動化,確保了含有敏感資料的儲存桶都能及時套用加密保護。

在EC2執行個體的安全防護方面,第三個案例提供了即時的登入失敗監控和權限提升偵測。這種自動化不僅可以快速發現可疑活動,還能自動保存現場環境供後續分析,對資安事件的及時處理和調查都很有幫助。

第四個案例則著重於漏洞管理,透過AWS Inspector進行自動化掃描,並結合Slack通知機制,讓團隊能夠及時處理高風險漏洞。這種自動化的漏洞管理流程,可以顯著減輕安全團隊的工作負擔。

這些案例的共同特點是都整合了多個安全工具和平台,如AWS的各項服務、Wiz的安全功能,以及Slack的通知機制。這種整合型的自動化方案不僅提高了效率,還強化了安全控制的完整性。另一個值得注意的是,這些工作流程都包含了通知和確認機制,確保安全團隊能掌握所有重要的安全事件。

展望未來,隨著雲端應用的持續擴展,類似Blink Ops這樣的安全自動化平台將扮演越來越重要的角色。它不僅能降低人為錯誤,還能讓安全團隊將心力投注在更具戰略性的工作上。對於追求效率和安全性的現代企業來說,導入適當的安全自動化工具已成為不可或缺的選擇。

總結來說,本文提供的這些自動化案例,展現了現代化安全運營的發展趨勢。透過自動化工具的協助,安全團隊可以更有效地應對各種安全挑戰,同時也能為組織帶來更好的安全防護。這些經驗對於規劃導入安全自動化的組織來說,都是很好的參考依據。

詳情請看：

Top 5 Cloud Security Automations for SecOps Teams

Read More

Trendmicro：如何減輕流氓人工智慧風險的影響

隨著人工智慧技術的快速發展,如何有效管理和降低AI失控的風險已成為當前資訊安全領域的重要課題。本文針對失控AI的成因分析與多層次防禦策略進行深入探討。

首先,失控AI可分為三種類型:意外性失控、被劫持失控以及惡意失控。這些失控情況主要源於三個方面的問題:功能過度、權限過度和自主性過度。要預防這些風險,需要從系統配置、數據安全、行為監控等多個維度建立防禦機制。

在防禦策略方面,零信任架構(Zero Trust)提供了一個很好的框架。這種架構要求所有的通信都必須經過嚴格的驗證,不論是內部還是外部網絡。具體而言,需要在OSI模型的各個層面實施相應的防護措施:

在物理層面,必須監控AI系統使用的各類處理器資源,包括CPU、GPU等硬件設施的使用情況。在數據層面,則需要通過MLOps/LLMOps等工具進行版本控制和驗證,確保AI模型未被污染或替換。網絡層面要限制AI服務的外部訪問範圍,並檢測異常通信行為。

特別值得注意的是行為分析的重要性。通過對設備、工作負載和網絡活動的異常行為分析,可以及早發現潛在的失控風險。這種分析不僅可以發現已知的威脅模式,還能識別未知的異常情況。

在實施防護措施時,應採取分層防禦策略:首先是政策合規,確保AI系統只能執行被明確允許的操作;其次是建立信譽系統,快速識別已知的良性和惡意行為;再次是採用規則和機器學習模式進行檢測;最後是行為異常檢測,作為發現未知威脅的最後防線。

零信任架構的五大支柱(身份、設備、網絡、應用程序和數據)都需要建立相應的行為監控機制。這種全方位的防護體系能夠有效降低AI失控的風險。同時,這些措施應該與OWASP的安全建議相輔相成,而不是相互替代。

總的來說,降低失控AI風險需要系統性的方法,包括完善的配置管理、嚴格的訪問控制、全面的行為監控以及多層次的防禦機制。只有建立起這樣完整的防護體系,組織才能在開發和使用AI系統時更有信心地確保其安全性和可控性。

面對AI技術的持續發展,我們必須保持警惕,不斷更新和完善防護策略。畢竟,預防勝於治療,建立健全的防護機制是確保AI系統安全可控的關鍵所在。未來,隨著AI技術的進一步發展,相關的安全防護措施也需要不斷演進和升級,以應對新的挑戰和威脅。

詳情請看：

How to Mitigate the Impact of Rogue AI Risks

Read More

Trendmicro：Forrester 介紹的 5 個人工智慧安全要點

近期人工智慧(AI)的發展突飛猛進,特別是生成式AI的出現,在資安領域引發廣泛討論。本文透過Trend Micro企業美洲營收長David Roth與Forrester副總裁暨首席分析師Jeff Pollard的對談,為我們釐清AI在資安應用上的實際狀況與未來展望,提出五個重要觀點。

首先,文章提醒我們要警惕過度誇大的AI宣傳。當前資安團隊面臨人力短缺、威脅持續增加等壓力,使得許多人對AI抱持過高期待,期望它能完全取代人力、實現自動化安全運營中心(SOC)。然而,目前的AI系統仍需要人為監督和干預,短期內反而可能因為需要額外培訓而加重人力負擔。這點提醒我們在導入AI時要保持務實態度。

其次,文章指出AI在某些領域確實能帶來立即效益。例如在報告撰寫方面,AI可以快速產生行動摘要、事件報告等文件,讓資安人員能夠投入更多時間處理核心任務。不過值得注意的是,這類輔助工具不應影響專業人員的能力發展。同時,AI提供的建議必須符合組織既定流程與法規要求,避免因疏忽而產生合規風險。

第三個重點是AI在預防性防禦上的潛力。透過分析大量數據,AI可以識別攻擊面的變化並模擬可能的攻擊路徑,協助團隊提前做好準備。但前提是組織需要有良好的資料管理機制,確保AI所需的資料品質與完整性。

第四,文章提醒我們要注意「影子AI」的風險。隨著企業軟體逐漸整合AI功能,未經授權的AI工具使用可能導致敏感資訊外洩。組織需要同時防範員工私用AI工具、確保授權AI工具的合規使用,並在開發自有AI應用時注意資料安全。這些新興風險需要資安長特別關注。

最後,文章強調組織必須及早制定AI戰略。參考過去雲端運算發展的經驗,禁止創新技術的使用往往會導致地下化,更難管理。因此,資安團隊應該積極接納並適應AI的發展現實,提前做好準備,而非等到AI普及後才倉促應對。

整體而言,這篇文章提供了很好的視角,幫助我們在AI浪潮中保持清醒。它指出了當前AI在資安領域的實際價值與限制,也提醒我們必須未雨綢繆,為AI技術的成熟做好準備。特別值得注意的是文章強調了人為判斷的重要性—AI應該作為輔助工具增強人類能力,而非完全取代人類。同時,良好的資料治理、明確的使用規範、完整的安全策略都是確保AI安全應用的關鍵要素。

這些見解對於任何考慮導入AI的組織都具有重要參考價值。在享受AI帶來便利的同時,我們也需要審慎評估相關風險,做好完整規劃,才能真正發揮AI在資安領域的潛力。

詳情請看：

5 AI Security Takeaways featuring Forrester

Read More

The hacker news：收集網路威脅情報的 5 種技巧

在網路威脅不斷演變的今日，收集網路威脅情報已成為組織保護其數位資產的關鍵之一。透過掌握最新的威脅情況，能讓安全團隊及時防禦潛在攻擊。本文探討了五種提升威脅調查能力的技術，並展示了如何有效運用這些技術來強化威脅情報的收集。

1. 透過C2 IP地址進行轉向來鎖定惡意軟體

惡意軟體與其指揮與控制（C2）伺服器的IP地址是重要的情報來源。這些IP地址不僅能幫助安全防護系統進行更新，還能識別出與攻擊者相關的基礎設施和工具。文中提到的"轉向"技術，讓分析師可以基於現有的威脅指標尋找更多的上下文資料。像ANY.RUN的Threat Intelligence Lookup這樣的威脅情報查詢工具，讓分析師能透過IP地址、網域名等多達40種參數進行查詢，並獲取與這些指標相關的惡意行為資料。以查詢的IP地址為例，分析師能快速了解該IP地址是否與已知的惡意活動相關，並進一步確認相關的惡意軟體（例如AgentTesla），以及該IP地址是否與數據外泄等行為有關。

這項技術的優勢在於，它能讓分析師迅速定位特定攻擊的關鍵指標，並透過相關的上下文資料，揭示更多威脅的細節。尤其是透過與沙箱環境相結合的查詢工具，安全團隊能更全面地了解整個攻擊過程並提取有價值的威脅情報。

2. 使用URL分析暴露威脅者的基礎設施

另一個關鍵技術是分析惡意URL來揭露攻擊者的基礎設施。URL，特別是用於釣魚攻擊的網頁，通常會模仿合法網站，欺騙使用者提供敏感資訊。透過對這些網域進行分析，安全團隊能發現釣魚網站的模式，並進一步揭開攻擊者背後更廣泛的基礎設施。例如，某些惡意軟體（如Lumma）傾向於使用以".shop"結尾的URL來儲存惡意程式。透過查詢這些特徵，分析師能及時發現並阻止這類攻擊行為。

這種技術能夠幫助分析師在更早期識別潛在威脅，尤其是在釣魚攻擊越來越普遍的情況下，對於提高使用者對釣魚網站的防範能力非常重要。

3. 利用MITRE TTP識別威脅

MITRE ATT&CK框架是一個全面的資料庫，記錄了對手的戰術、技術與程序（TTP）。透過這些TTP，分析師可以識別出新興威脅，並提前做好防範。ANY.RUN提供的即時熱門TTP排行，能夠幫助分析師快速了解當前最常見的攻擊技術。這項工具不僅可以讓分析師即時掌握最新的威脅趨勢，還能透過與沙箱環境的結合，讓分析師深入了解這些TTP在具體攻擊中的應用。

透過TTP的使用，安全團隊能更有針對性地防禦特定的攻擊技術，並提升整體防禦的全面性。

4. 利用YARA規則收集樣本

YARA是一個描述惡意軟體家族的強大工具，能夠根據文本或二進制模式創建規則，以自動檢測已知的惡意軟體。通過YARA規則，分析師能快速識別出具有相似特徵的新惡意軟體變種。ANY.RUN的查詢工具提供了內建的YARA規則搜尋功能，讓分析師可以上傳、編輯並儲存自定義規則，從而發現相關的惡意樣本。例如，透過XenoRAT的YARA規則，分析師能檢測出超過170個符合該規則的惡意樣本，並進一步分析其運行時的行為。

這項技術的價值在於，它讓惡意軟體的檢測變得更加高效和自動化，特別是在面對大量惡意樣本時，YARA規則能幫助分析師迅速篩選出關鍵威脅。

5. 使用命令行和程序名稱識別惡意軟體

最後，通過命令行工件和程序名稱來識別惡意軟體是一個較為罕見但有效的技術。大多數威脅情報來源不會提供這類資料，但ANY.RUN通過其實時沙箱分析，能夠捕獲命令行數據、程序運行狀態等細節資料。例如，Strela stealer的攻擊中使用了特定的命令行字串與程序，分析師可以透過查詢這些細節，揭示更多有關攻擊者的活動。

總結來看，這五項技術不僅幫助安全團隊更加全面地了解威脅，還能有效提升調查的效率。通過使用先進的威脅情報工具，如ANY.RUN的Threat Intelligence Lookup，安全分析師能在更短的時間內提取更準確的威脅信息，從而提升整體的網路安全防禦能力。隨著網路攻擊手段不斷進化，這些技術將在未來的威脅調查中發揮越來越重要的作用。

詳情請看：

5 Techniques for Collecting Cyber Threat Intelligence

Read More

The hacker news：從誤用到濫用：人工智慧風險與攻擊

近年來人工智慧技術快速發展,不僅為各行各業帶來革新,同時也為網絡安全帶來新的挑戰與威脅。本文針對當前AI在網絡攻擊中的應用現況、風險以及防護方法進行深入探討,內容值得資安從業人員高度關注。

首先,文章指出目前關於AI在網絡犯罪中的應用往往被媒體過度炒作。許多所謂的「黑客AI工具」實際上只是改頭換面的基礎語言模型,並無特殊的進階功能。事實上,網絡犯罪分子在運用AI時也面臨著與一般使用者相同的限制,如幻覺產生(hallucination)等問題。目前他們主要將AI用於撰寫釣魚郵件、生成程式碼片段等較為基礎的任務。

其次,文章著重討論了OpenAI推出的客製化GPT所帶來的安全隱憂。這項功能允許使用者添加特定指令、整合外部API並引入獨特的知識來源,但同時也可能導致敏感指令、專有知識或API金鑰的外洩。攻擊者可以透過提示詞工程(prompt engineering)來複製GPT並利用其獲利潛力。為避免這類風險,開發者應避免上傳敏感資料,並謹慎使用基於指令的保護機制。

第三,文章列舉了目前主要的AI安全框架,包括NIST人工智慧風險管理框架、Google的安全AI框架、OWASP針對LLM的TOP 10等。這些框架為組織開發AI應用提供了重要的安全指導。同時文章也指出了大型語言模型(LLM)的六大攻擊面:提示詞、回應、模型、訓練資料、基礎設施和使用者,每個面向都需要特別關注。

最後,文章透過實際案例說明了AI濫用可能造成的嚴重後果。例如某汽車經銷商的AI客服聊天機器人被操縱,導致低價成交;加拿大航空因AI客服提供錯誤資訊而面臨法律訴訟;三星員工不慎將專有資訊上傳至ChatGPT;香港某銀行更因深偽技術詐騙而損失2500萬美元。這些案例都凸顯了AI應用在資安管理上的重要性。

總結來說,隨著AI技術持續演進,我們必須正視其在網絡安全領域帶來的雙面效應。一方面AI確實提升了攻擊者的能力,但另一方面也為防禦者提供了新的工具。關鍵在於深入理解攻擊者的思維模式、戰術手法和選擇,據此建立完善的防護機制。組織在導入AI應用時,更應謹慎評估相關風險,採取適當的安全措施,方能在享受AI便利的同時,確保系統和資料的安全。

詳情請看：

From Misuse to Abuse: AI Risks and Attacks

Read More

Cybersecurity insiders：數據中毒威脅人工智慧平台，引發錯誤訊息擔憂

隨著人工智慧技術的快速發展,AI聊天機器人已經深入我們的日常生活。從Android系統的Gemini、Microsoft Edge的Copilot到OpenAI的ChatGPT,這些AI平台為使用者提供了便利的服務。然而,德克薩斯大學奧斯汀分校SPARK實驗室的最新研究揭露了一個令人憂心的問題 - AI平台正面臨資料污染攻擊的威脅。

這項由Symmetry Systems執行長Mohit Tiwari教授領導的研究發現,攻擊者主要針對檢索增強生成(RAG)系統進行攻擊。RAG系統作為機器學習工具的重要參考依據,其安全性直接影響到聊天機器人回應的準確性與可靠性。這種被稱為"ConfusedPilot"的現象,不僅威脅到AI系統的運作,更可能導致錯誤資訊的大規模傳播。

資料污染攻擊的影響範圍相當廣泛且深遠。由於許多財富500強企業都有意採用RAG系統來進行自動化威脅檢測、客戶支援和工單生成等業務,一旦系統遭受攻擊,將會對組織的決策過程造成嚴重影響。加拿大最近發生的一起案例就充分說明了這個問題的嚴重性:一家房地產公司的自動回應系統遭到競爭對手污染,導致潛在客戶被引導到競爭對手方,嚴重影響了公司的月度目標。

這個事件突顯出資料污染攻擊可能來自內部威脅或外部攻擊者,其後果不僅限於誤導客戶,更可能損害企業聲譽並造成實質的經濟損失。雖然該案例中的企業主及時發現並解決了問題,但這個教訓告訴我們必須更加重視AI平台的安全防護。

為了應對這些威脅,AI平台開發者需要採取全面的安全措施。這些措施包括:

1. 建立嚴格的資料存取控制機制

2. 定期進行系統安全稽核

3. 確保人工監督機制的有效運作

4. 採用資料分割技術增強系統韌性

從更深層的角度來看,資料污染攻擊反映出當前AI技術發展過程中的一個重要課題:如何在追求創新與效率的同時,確保系統的安全性與可靠性。這需要產業界、學術界與安全專家的共同努力,建立更完善的防護機制。

展望未來,隨著AI技術的持續演進,資料安全將變得更加重要。企業在導入AI系統時,除了關注功能性需求外,更要將安全防護措施納入系統建置的核心考量。唯有建立起堅實的安全基礎,才能確保AI平台持續為使用者提供可靠的服務,並維護企業的長期發展。

這個議題提醒我們,在擁抱AI創新的同時,不能忽視潛在的安全威脅。唯有正視問題,採取積極的防護措施,才能充分發揮AI技術的優勢,創造更美好的數位未來。

詳情請看：

Data Poisoning threatens AI platforms raising misinformation concerns

Read More

Mcafee：什麼是惡意軟體？

隨著科技的快速發展，資訊安全威脅也與日俱增。本文深入淺出地介紹了惡意軟體(Malware)的定義、類型、歷史演進，以及現代防護方法，讓我們對這個數位時代的重要威脅有了全面的認識。

首先，惡意軟體是一個統稱性的術語，涵蓋了各種具有惡意目的的軟體程式。從文章中我們可以了解到，現今的惡意軟體主要包括間諜軟體(Spyware)、勒索軟體(Ransomware)、廣告軟體(Adware)、殭屍網路軟體(Botnet)、rootkit攻擊工具，以及病毒(Virus)等多種類型。這些惡意軟體的共同特點是：未經使用者同意即入侵設備或網路，且大多數都是為了經濟利益而設計。

從歷史發展的角度來看，電腦病毒可說是最早期的惡意軟體形式。1971年出現的Creeper病毒開啟了這個領域，雖然當時只是一個實驗性質的程式，卻為後來的發展奠定了基礎。而隨後在1980年代，隨著個人電腦的普及，惡意軟體開始大規模影響一般使用者。特別值得注意的是1986年的「Brain」病毒和1989年的「PC Cyborg」攻擊事件，這些案例展現了惡意軟體如何從單純的程式演變為真正的威脅。

進入網際網路時代後，惡意軟體的傳播途徑和影響範圍都產生了質的飛躍。1999年的「Melissa」病毒和2000年的「ILOVEYOU」蠕蟲都是具有代表性的案例，後者更造成了高達100億美元的全球損失，感染了當時約10%的網路連接電腦，充分說明了惡意軟體的破壞力。

面對如此嚴峻的威脅，防毒軟體的角色愈發重要。現代的防毒軟體已經進化到使用人工智慧(AI)來偵測和防護威脅。特別是在AI編程工具普及的今天，駭客製造新型惡意軟體的速度與日俱增，這使得AI防護顯得更加重要。文中提到，McAfee每天要處理超過百萬個新的惡意程式，這個數字令人震驚，也突顯了防護工作的迫切性。

AI在防毒軟體中的應用主要體現在三個方面：透過參考現有威脅模型來偵測新威脅、分析異常行為，以及自動分類威脅並累積知識庫。這種智慧化的防護方式，能夠更有效地應對現代惡意軟體的威脅。

值得注意的是，現今的惡意軟體攻擊主要是為了獲取經濟利益。我們存儲在設備上的個人資料、財務文件、支付信息等都具有街頭價值，這些資料可能被駭客竊取後用於牟利或轉售。因此，完善的防護措施不僅要包括防毒軟體，還要有文字詐騙偵測、網頁保護等多層次的安全防護機制。

總的來說，這篇文章幫助我們建立起對惡意軟體的全面認識，從其演進歷史到現代防護方法都有深入的探討。在當今數位時代，提高資安意識、採取適當的防護措施，已經成為每個網路使用者的必修課。

詳情請看：

What is Malware?

Read More

Bleeping computer：了解這七種密碼攻擊以及如何阻止它們

在現今數位時代,密碼安全已成為企業資訊安全的重要一環。本文針對七種常見的密碼攻擊方式進行深入分析,並提出相應的防護建議,對於企業提升整體資安防護具有重要參考價值。

首先,暴力破解(Brute-force)是最基本的攻擊手法,駭客利用自動化工具不斷嘗試各種密碼組合。雖然方法簡單,但對於較短或較弱的密碼仍具有一定成功率。為防範此類攻擊,建議實施帳戶鎖定政策,並強制使用20個以上字元的密碼長度。同時,採用易記的密碼片語(passphrase)取代複雜難記的密碼,也是有效的防護方式。

其次,字典攻擊(Dictionary attack)則是利用常用字詞和曾經外洩的密碼清單進行嘗試。為了提升效率,駭客常將其與暴力破解結合使用。針對此類攻擊,除了要求密碼必須包含字母、數字和符號的組合外,也應建立自訂詞典以阻擋行業或組織特有的常用詞彙。

密碼噴灑攻擊(Password spraying)是一種較為隱蔽的手法,駭客通過對多個帳戶使用少量常見密碼進行嘗試,藉此規避帳戶鎖定機制。建議採用可偵測異常登入模式的自適應驗證工具,並確保每位用戶使用獨特的複雜密碼。

憑證填充攻擊(Credential stuffing)則是利用人們習慣重複使用相同密碼的弱點,將某個服務外洩的帳密資訊用於其他服務的攻擊手法。對此,應加強教育用戶避免密碼重複使用,並推廣密碼管理工具的應用。

釣魚攻擊(Phishing)通過偽裝成合法服務來騙取用戶信任,手法日益精密。除了定期進行資安意識培訓外,也應實施郵件過濾機制,並為外部郵件加上明顯標示。

鍵盤側錄(Keylogger)攻擊則是透過軟硬體記錄用戶的鍵盤輸入,即使是最複雜的密碼也可能遭竊取。預防措施包括及時更新系統安全修補程式、使用防毒軟體,以及實施嚴格的USB裝置使用政策。

最後,社交工程(Social engineering)攻擊利用人性弱點,透過製造緊迫感或假冒權威來誘導用戶洩露資訊。應對策略包括定期進行社交工程演練,建立嚴格的密碼重置程序,以及營造員工勇於質疑異常要求的資安文化。

綜合而言,完善的密碼安全防護需要多層次的措施。包括實施多因素驗證(MFA)、避免書面記錄密碼、防止密碼重複使用、定期檢查密碼是否外洩,以及重視密碼長度勝於複雜度等基本原則。企業應根據自身需求制定適當的密碼政策,並借助專業工具持續監控與更新,方能建立有效的密碼安全防線。

本文透過系統性的分析,深入闡述各類密碼攻擊的特點與防護方法,對於企業建立完善的密碼安全架構具有重要的實務參考價值。在資安威脅日益嚴峻的今日,唯有持續關注新興攻擊手法,並及時調整防護策略,才能確保組織的資訊安全。

詳情請看：

Understand these seven password attacks and how to stop them

Read More

Help net security：NIS2 將如何影響從醫療保健到能源等行業

NIS2指令的出台標誌著歐盟在網路安全監管領域邁向更全面、更嚴格的新階段。從內容來看,該指令不僅僅局限於技術層面的要求,更著重於組織治理、風險管理以及高層問責等方面,這體現了網路安全已經從單純的IT議題上升為企業戰略層面的核心關注點。

首先,在管理要求方面,NIS2對企業高層提出了新的期待。高級管理層必須接受定期的網路安全培訓,這確保了領導層能夠充分理解網路威脅帶來的風險及其對業務的潛在影響。同時,網路安全不再是技術部門的專屬議題,而是需要董事會層面的持續關注和參與。這種轉變反映出網路安全治理已成為企業治理的重要組成部分。

其次,在適用範圍方面,NIS2較前版本有了顯著擴展。從電信、食品生產到廢物管理、能源、醫療保健和化工製造等關鍵領域都被納入監管範圍,影響的實體數量達到11萬個,是原先的七倍。這種大幅擴展雖然增加了企業的合規負擔,但也凸顯了保護關鍵基礎設施安全的迫切性。

在執行層面,NIS2強調了事件報告的時效性要求,並要求企業建立完善的文檔記錄系統。這需要法務、行政和運營等多個部門的協同配合。此外,企業還需要向相關網路安全主管機構註冊並接受監督,這進一步強化了問責機制。

值得注意的是,NIS2在促進歐盟網路安全實踐統一化方面仍面臨挑戰。由於各成員國將指令轉化為國內法的時間表不一致,可能導致不同地區的企業面臨不同的合規時間表。對於需要在多個成員國運營的企業來說,這種差異化帶來了額外的管理難度。

在這樣的背景下,CISO(首席信息安全官)的角色得到了極大提升。他們不再僅僅負責技術層面的安全保障,更需要參與企業戰略決策,平衡安全需求與業務發展目標。這種轉變反映出網路安全已經成為影響企業持續經營的關鍵因素。

總的來說,NIS2指令代表了一種更全面、更系統的網路安全治理方式。它不僅關注技術防護,更強調組織治理、風險管理和高層問責。這種轉變雖然給企業帶來了更大的合規壓力,但從長遠來看,將有助於建立更具韌性的網路安全防護體系。面對這一變革,企業需要及早規劃,在提升技術能力的同時,更要注重治理結構的優化和跨部門協作的加強。

詳情請看：

How NIS2 will impact sectors from healthcare to energy

Read More