在舉辦的谷歌開發(fā)者大會(huì)上，谷歌云首席科學(xué)家李飛飛正式宣布在北京成立谷歌AI（人工智能）中國中心。無獨(dú)有偶，阿里云在上個(gè)月的云棲大會(huì)廣東分會(huì)上宣布在廣州設(shè)立阿里云研發(fā)中心，并招募1000名云計(jì)算和人工智能工程師。百度更是傾全公司之力押注人工智能，做出ALL IN的姿態(tài)。隨著谷歌、微軟、Facebook以及國內(nèi)的BAT等巨頭競相布局人工智能領(lǐng)域，科技公司對(duì)于AI人才的爭奪戰(zhàn)進(jìn)入白熱化階段，也使得人工智能技術(shù)開始滲入到各行各業(yè)的實(shí)際運(yùn)作中，“AI+法律”、“資管AI”等新概念層出不窮。在機(jī)器學(xué)習(xí)和人工智能等新技術(shù)的驅(qū)動(dòng)下，網(wǎng)絡(luò)安全行業(yè)也開始邁入AI時(shí)代。

“網(wǎng)絡(luò)黑產(chǎn)”的挑釁

在當(dāng)前萬物互聯(lián)的時(shí)代下，網(wǎng)絡(luò)安全問題日益凸顯。2016年10月21日，黑客控制了一批感染Mirai病毒的物聯(lián)網(wǎng)設(shè)備，攻擊了Twitter、Paypal等一些知名的國際網(wǎng)站，引發(fā)“半個(gè)美國網(wǎng)絡(luò)癱瘓”的安全事件。2017年5月，WannaCry勒索病毒在全球范圍內(nèi)爆發(fā)，100多個(gè)國家和地區(qū)超過10萬臺(tái)電腦遭到了蠕蟲式攻擊，大量學(xué)校、銀行、醫(yī)院的服務(wù)系統(tǒng)因此陷入癱瘓……

網(wǎng)絡(luò)空間常見的攻擊方式如惡意軟件、電信網(wǎng)絡(luò)詐騙、流量作弊、分布式拒絕服務(wù)（DDos）攻擊等，這些攻擊輕則造成用戶隱私泄露或財(cái)產(chǎn)損失，重則影響企業(yè)正常運(yùn)作甚至危及國家安全。而諸如此類的攻擊背后多是一條條分工明確、組織專業(yè)的黑色產(chǎn)業(yè)鏈，稱為“網(wǎng)絡(luò)黑產(chǎn)”。據(jù)測算，目前僅國內(nèi)“網(wǎng)絡(luò)黑產(chǎn)”從業(yè)人員就超過150萬，市場規(guī)模已達(dá)到千億元級(jí)別。網(wǎng)絡(luò)安全行業(yè)面臨嚴(yán)峻的挑戰(zhàn)。

針對(duì)網(wǎng)絡(luò)攻擊行為，傳統(tǒng)的網(wǎng)絡(luò)安全防御思路大多以邊界隔離結(jié)合規(guī)則策略為主，即在網(wǎng)絡(luò)空間為安全防護(hù)對(duì)象劃分出邊界，基于專家經(jīng)驗(yàn)總結(jié)的規(guī)則把攻擊擋在邊界外面，只要守住邊界就算成功抵御了攻擊。然而，這種單點(diǎn)防護(hù)體系在萬物互聯(lián)的今天已經(jīng)不那么有效：一是隨著移動(dòng)互聯(lián)網(wǎng)和物聯(lián)網(wǎng)的發(fā)展，大量設(shè)備接入到網(wǎng)絡(luò)，傳統(tǒng)意義上的邊界已不復(fù)存在；二是傳統(tǒng)防護(hù)體系假設(shè)所有攻擊方式都是已知的，基于規(guī)則策略難以應(yīng)對(duì)未知威脅或其他高級(jí)持續(xù)性攻擊。

更為重要的是，對(duì)于規(guī)則策略的強(qiáng)依賴必然引入大量需要人工干預(yù)的工作，當(dāng)攻防發(fā)展到一定階段后，安全防護(hù)工作將退化成一項(xiàng)勞動(dòng)力密集型作業(yè)。

“AI+”助力網(wǎng)絡(luò)安全

近幾年在科技界最熱門的關(guān)鍵詞中，“人工智能”位居榜首?！癆I+”模式給很多領(lǐng)域都帶來了顛覆性的創(chuàng)新和變革。在網(wǎng)絡(luò)安全領(lǐng)域，AI可以幫助我們從更高的視角、更廣的維度去發(fā)現(xiàn)異常、捕獲威脅，實(shí)現(xiàn)威脅與入侵的快速感知和響應(yīng)，這是傳統(tǒng)的單點(diǎn)安全防護(hù)所做不到的。我們需要做的是在網(wǎng)絡(luò)和設(shè)備上部署足夠多的探頭，用于對(duì)各類行為數(shù)據(jù)的記錄、存儲(chǔ)和分析。理論上數(shù)據(jù)規(guī)模越大，維度越豐富，訓(xùn)練出來的AI模型的適應(yīng)性就越強(qiáng)。

網(wǎng)絡(luò)邊界的消除讓安全廠商能夠更方便采集到各個(gè)維度的數(shù)據(jù)，如設(shè)備日志、程序行為、網(wǎng)絡(luò)流量等。僅根據(jù)單一維度的特征或許不能完全確認(rèn)是否存在威脅，但結(jié)合其他維度數(shù)據(jù)進(jìn)行關(guān)聯(lián)分析后能夠得到可量化的預(yù)測結(jié)果。這種模糊性決策是AI模型的優(yōu)勢，使得識(shí)別未知威脅成為可能。

以移動(dòng)端惡意軟件識(shí)別為例，據(jù)阿里巴巴錢盾反詐實(shí)驗(yàn)室統(tǒng)計(jì)的數(shù)據(jù)，2017年全網(wǎng)平均每天新增的APP數(shù)量近10萬，如果按傳統(tǒng)的動(dòng)靜態(tài)分析結(jié)合人工抽取特征碼的方式，需要30人以上規(guī)模的技術(shù)團(tuán)隊(duì)才能勉強(qiáng)支撐日常分析需求。如果引入機(jī)器學(xué)習(xí)或深度學(xué)習(xí)等人工智能技術(shù)，只要參與訓(xùn)練的樣本規(guī)模足夠大，標(biāo)簽足夠準(zhǔn)確，98%以上的黑樣本都能被AI引擎自動(dòng)識(shí)別，技術(shù)人員只需要關(guān)注AI引擎輸出的灰樣本的打標(biāo)，系統(tǒng)整體識(shí)別效率至少提升10倍以上。目前錢盾反詐實(shí)驗(yàn)室在反病毒能力上的投入只有6名技術(shù)人員，得益于他們早期搭建的一套名為“無量尺”的深度學(xué)習(xí)智能檢測系統(tǒng)。近期在安卓手機(jī)中活躍的DowginCw病毒，就是通過這套系統(tǒng)首次監(jiān)測并成功攔截的。

據(jù)風(fēng)險(xiǎn)投資公司CB Insights統(tǒng)計(jì)的數(shù)據(jù)顯示，從2016年開始，“人工智能”和“網(wǎng)絡(luò)安全”在文章中同時(shí)出現(xiàn)的頻率迅速攀升，說明兩者越來越緊密地結(jié)合已經(jīng)是不爭的事實(shí)。從投資的角度，擅長將網(wǎng)絡(luò)安全與AI兩大技術(shù)相結(jié)合的創(chuàng)業(yè)公司也備受資本市場的青睞。從2012年至今，全球AI相關(guān)投資最熱門的領(lǐng)域中，網(wǎng)絡(luò)安全領(lǐng)域以13%的投資比例穩(wěn)居第一。僅2017年前兩個(gè)月就發(fā)生了三起大型科技公司收購“AI+網(wǎng)絡(luò)安全”初創(chuàng)公司的事件，其中包括亞馬遜對(duì)于Harvest.ai的收購。據(jù)悉，Harvest.ai的核心技術(shù)是基于AI實(shí)現(xiàn)信息泄露行為的識(shí)別和阻斷，亞馬遜此次收購的目的正是利用該技術(shù)增強(qiáng)其云服務(wù)平臺(tái)AWS的安全功能。

構(gòu)建“AI+網(wǎng)絡(luò)安全”生態(tài)體系

數(shù)據(jù)是“AI+網(wǎng)絡(luò)安全”發(fā)展的核心驅(qū)動(dòng)力。創(chuàng)新工場創(chuàng)始人兼CEO李開復(fù)認(rèn)為，BAT等巨頭公司積累了海量的互聯(lián)網(wǎng)大數(shù)據(jù)，做人工智能有先天優(yōu)勢，但是他們沒有生態(tài)系統(tǒng)，數(shù)據(jù)不會(huì)向行業(yè)共享。如今，這種情況正在悄悄地發(fā)生改變。

據(jù)統(tǒng)計(jì)，電信網(wǎng)絡(luò)詐騙平均每年造成的經(jīng)濟(jì)損失超過100億元，成為目前整個(gè)社會(huì)最普遍的安全問題之一。如果要實(shí)現(xiàn)徹底根治，需要安全企業(yè)、運(yùn)營商、銀行機(jī)構(gòu)、公安部門以及政府主管部門的共同參與。一方面是因?yàn)樵p騙場景已經(jīng)滲透到生活的各個(gè)角落，同時(shí)詐騙手法也在不斷升級(jí)；另一方面是電信網(wǎng)絡(luò)詐騙背后已形成了完整的黑色產(chǎn)業(yè)鏈，僅僅基于某個(gè)機(jī)構(gòu)自身生態(tài)內(nèi)的數(shù)據(jù)構(gòu)建的安全能力與其對(duì)抗是遠(yuǎn)遠(yuǎn)不夠的。2017年，互聯(lián)網(wǎng)巨頭們在反詐騙領(lǐng)域動(dòng)作頻頻，其中阿里巴巴與廣東移動(dòng)、騰訊與上海公安分別簽署了戰(zhàn)略合作協(xié)議并成立聯(lián)合反詐實(shí)驗(yàn)室，旨在通過數(shù)據(jù)、人才、技術(shù)等方面的互通，共同推進(jìn)“AI+網(wǎng)絡(luò)安全”生態(tài)體系的建設(shè)。

從行業(yè)技術(shù)發(fā)展來看，騰訊通過“安全態(tài)勢感知系統(tǒng)”等五大安全應(yīng)用系統(tǒng)，基于大數(shù)據(jù)和深度學(xué)習(xí)技術(shù)，形成了一套基于AI的“事前”－“事中”－“事后”全鏈條反詐體系。

而阿里巴巴針對(duì)電信網(wǎng)絡(luò)詐騙推出的“錢盾反詐AI大腦”，除了依托內(nèi)部大量業(yè)界頂尖的AI人才和強(qiáng)大的云計(jì)算能力等先天優(yōu)勢外，在數(shù)據(jù)方面更是匯集了外部運(yùn)營商、銀行等行業(yè)的數(shù)據(jù)支持和內(nèi)部阿里自有業(yè)務(wù)安全能力。這使得其在打造以打擊詐騙號(hào)碼、“偽基站”、釣魚網(wǎng)站為代表的反詐騙能力時(shí)表現(xiàn)得更加游刃有余。以詐騙號(hào)碼識(shí)別為例，利用特征工程對(duì)號(hào)碼進(jìn)行多維度畫像時(shí)，普通AI模型最多能提取到十余個(gè)維度的特征，而錢盾反詐AI大腦的核心惡意號(hào)碼檢測模型—DeMalC系統(tǒng)能夠抽象出多達(dá)190個(gè)特征，對(duì)未知號(hào)碼的識(shí)別準(zhǔn)確率達(dá)到91.86%。其中原因除了運(yùn)營商的數(shù)據(jù)支持外，更多的是源自阿里體系內(nèi)的電商、支付、物流等業(yè)務(wù)在業(yè)務(wù)風(fēng)控、身份認(rèn)證等領(lǐng)域所積累的安全能力。

以產(chǎn)業(yè)鏈對(duì)抗黑色產(chǎn)業(yè)鏈

任何技術(shù)都是一把雙刃劍。AI技術(shù)給網(wǎng)絡(luò)安全帶來福音的同時(shí)，也開始被運(yùn)用于新型的網(wǎng)絡(luò)攻擊。2017年3月，紹興市公安機(jī)關(guān)破獲全國首例利用人工智能犯罪大案。案件中的黑客團(tuán)伙搭建了一個(gè)圖片驗(yàn)證碼識(shí)別服務(wù)平臺(tái)，用于突破互聯(lián)網(wǎng)公司設(shè)置的驗(yàn)證碼安全體系，黑色產(chǎn)業(yè)鏈中的其他團(tuán)伙通過這個(gè)平臺(tái)從事非法撞庫并盜取賬戶的行為。為了提高驗(yàn)證碼識(shí)別率，黑客團(tuán)伙利用深度學(xué)習(xí)技術(shù)訓(xùn)練識(shí)別模型。據(jù)估算，該平臺(tái)被打掉以前，平均每年提供驗(yàn)證碼識(shí)別服務(wù)超過1000億次，牟利達(dá)1300多萬元。

可以預(yù)見的是，隨著各種AI開源框架的普及，“網(wǎng)絡(luò)黑產(chǎn)”利用AI技術(shù)為安全領(lǐng)域制造的麻煩會(huì)越來越多。然而在安全領(lǐng)域，所有技術(shù)必然是在攻防之間不斷演進(jìn)的。所謂打鐵還需自身硬，AI技術(shù)的發(fā)展不可能因?yàn)楸弧熬W(wǎng)絡(luò)黑產(chǎn)”非法利用就停滯不前，不論是安全廠商還是普通企業(yè)，唯一的出路是不斷推進(jìn)安全技術(shù)的建設(shè)和創(chuàng)新，加強(qiáng)自身的安全防護(hù)體系。

“魔高一尺，道高一丈”。如果把技術(shù)比作武器，那么我們面對(duì)的“網(wǎng)絡(luò)黑產(chǎn)”就是一支裝備精良的部隊(duì)。作為安全廠商，需要轉(zhuǎn)變思維，利用AI技術(shù)等現(xiàn)代化裝備武裝自己，同時(shí)要避免各自為戰(zhàn)，加快安全生態(tài)建設(shè)和資源、技術(shù)等方面的互通，以產(chǎn)業(yè)鏈對(duì)抗黑色產(chǎn)業(yè)鏈。只有產(chǎn)業(yè)鏈中的所有合作伙伴共同參與，為整個(gè)行業(yè)生態(tài)構(gòu)建立體化的安全屏蔽，才能對(duì)“網(wǎng)絡(luò)黑產(chǎn)”形成有效的防御。
? ? ? 責(zé)任編輯：tzh