人工智能用于網(wǎng)絡(luò)安全的「能」與「不能」
若說過去幾個月，KUKA機器人示教器維修，最讓網(wǎng)民驚魂未定的是什么，非以下這些病毒攻擊莫屬。
7月，CopyCat病毒使1400萬部安卓手機遭殃；
6月，Petya病毒感染全球60多個國家；
5月，WannaCry病毒來勢洶洶，席卷全球，至少150個國家受到攻擊。
然而，在安全廠商瑞星根據(jù)病毒感染人數(shù)、變種數(shù)量和代表性評選的「2017年上半年病毒Top10」中，令人膽顫心驚的WannaCry病毒卻只能排列第九。
瑞星發(fā)布的《2017年上半年中國網(wǎng)絡(luò)安全報告》顯示，2017年1-6月，瑞星「云安全」系統(tǒng)共截獲病毒樣本總量3,132萬個，病毒感染次數(shù)23.4億次，病毒總體數(shù)量比2016年同期上漲35.47%。
逐漸上漲的病毒數(shù)量讓網(wǎng)絡(luò)安全受到了前所未有的關(guān)注，以人工智能驅(qū)動的網(wǎng)絡(luò)安全公司也受到了資本的青睞。單就6月份，就至少有7家將人工智能用于網(wǎng)絡(luò)安全的公司獲得新一輪融資，而融資總額接近5億美元。
網(wǎng)絡(luò)安全面臨嚴峻考驗
「2016年全球互聯(lián)網(wǎng)用戶達到35億人，約占世界總?cè)丝诘囊话搿５?020年，接入互聯(lián)網(wǎng)的終端設(shè)備預(yù)計將達到120億臺�！惯@是來自國際電信聯(lián)盟于2017年7月發(fā)布的《全球網(wǎng)絡(luò)安全指數(shù)》中的數(shù)據(jù)。
而隨著智能設(shè)備的廣泛應(yīng)用，大規(guī)模普及的物聯(lián)網(wǎng)必將為攻擊者提供大量新機會，工作與生活的界限愈加模糊，一臺聯(lián)網(wǎng)設(shè)備，只要被攻陷，從銀行等財務(wù)信息到健康等個人信息，則可能全部泄露。而在互聯(lián)時代，只要攻克一臺設(shè)備，其他設(shè)備就可能瞬間被瓦解。
這樣的事情已有先例。2016年10月，一款名為Mirai的惡意軟件侵襲了大量存在漏洞的智能攝像頭、智能網(wǎng)關(guān)、智能家電等物聯(lián)網(wǎng)設(shè)備，被感染后的它們瞬間變成了網(wǎng)絡(luò)中的「肉雞」設(shè)備。在工控領(lǐng)域，2010年的Stuxnet蠕蟲病毒能夠針對西門子的監(jiān)控與數(shù)據(jù)采集（SCADA）系統(tǒng)進行攻擊，并通過U盤和局域網(wǎng)進行傳播。
萬物互聯(lián)，內(nèi)網(wǎng)和外網(wǎng)的邊界逐漸模糊，網(wǎng)絡(luò)泛化則成為大趨勢，比如特斯拉的汽車在各種場合都可以接入wifi，還可以接入3G/4G網(wǎng)絡(luò)，而在未來的交通中，無人駕駛車還將與交通燈、交通臺，甚至是和其他車互通互聯(lián)這意味著更多的潛在攻擊點。
「一旦入網(wǎng)，有很多傳統(tǒng)的攻擊手段就能像攻擊電腦一樣攻擊無人駕駛車，WannaCry病毒同樣可以入侵車，這造成的問題將會更大�！沟聡诙骰舴驊�(yīng)用集成信息安全研究所認知信息安全研究組組長肖煌在接受機器之能的采訪時說。
這表明，無論是現(xiàn)在，還是將來，網(wǎng)絡(luò)安全將面臨著嚴峻的考驗。隨著人工智能被應(yīng)用于各個垂直領(lǐng)域，網(wǎng)絡(luò)安全面臨的新的挑戰(zhàn)，KUKA機器人示教器維修，也為人工智能的大展身手帶來了重要的契機。
在這個新興領(lǐng)域，巨頭已經(jīng)出現(xiàn)。用人工智能預(yù)測網(wǎng)絡(luò)攻擊的Cylance公司是估值10億美元以上的獨角獸，其人工智能反病毒軟件「CylancePROTECT」可以預(yù)測威脅的發(fā)生。該公司曾在去年演示了一項技術(shù)，在沒有網(wǎng)絡(luò)連接的情況下，僅需60MB內(nèi)存和1%的CPU就能保護計算機免受攻擊。
人工智能于網(wǎng)絡(luò)安全：異常檢測和提升效率
在網(wǎng)絡(luò)安全領(lǐng)域，對威脅的識別，并非一蹴而就，而是漸進發(fā)展的過程。亞信網(wǎng)絡(luò)安全產(chǎn)業(yè)技術(shù)研究院副院長童寧在7月初舉辦的C3安全峰會上介紹，安全廠商起初通過黑白名單技術(shù)，將目標進行好/壞定性，用這樣的一維特征來識別威脅。隨后是匹配字符串這樣的二維特征，如果請求里包含某一類型的數(shù)據(jù)，就會被認定為非法。在這之后是多維特征，要辨別一個程序是好是壞，先讓它運行，再監(jiān)督它的運行過程，將運行過程中的信息形成多維特征，用于判斷。但多維特征技術(shù)的致命缺點就是開銷太大，效率低下，因此無法達到客戶要求。
在2000年以后，隨著移動互聯(lián)網(wǎng)的發(fā)展，有大量設(shè)備產(chǎn)生各式各樣的日志，因此在日志管理和分析方面，有了長足的發(fā)展。而包括關(guān)聯(lián)分析等機器學習算法也被大量使用。
在機器學習中，童寧表示，監(jiān)督學習則是一個高效的多維度特征發(fā)現(xiàn)方法，適用于惡意程序、勒索病毒以及垃圾郵件的防治。但監(jiān)督學習也面臨著挑戰(zhàn)：一，模型的新鮮度，因為威脅每天都在變化，而監(jiān)督學習并不是每天都在學習，如果不每天學習，最新的威脅就識別不出來。二，模型的準確率，學習是一回事，但真正使用時的精度又是另一回事。三，模型的召回率，也就是說漏掉了多少威脅，有多少威脅沒有抓住。
因此，監(jiān)督學習并不是萬能的，比如態(tài)勢感知、用戶行為分析則更適合無監(jiān)督學習。然而，無監(jiān)督學習也面臨著另外的挑戰(zhàn)，因為無監(jiān)督學習一般是在客戶的網(wǎng)絡(luò)環(huán)境中進行，因而很有可能面臨投毒攻擊。
「機器學習技術(shù)的優(yōu)勢是它的多維識別能力，然而機器學習技術(shù)再強大也需要與其他手段綜合起來利用，效果才更好。」童寧說。
肖煌同樣指出，將機器學習用于網(wǎng)絡(luò)安全，在很多場景，預(yù)測精度并不能達到他們要求的0.000001的誤報標準。從這個角度來說，人工智能也只是輔助手段，還需要與傳統(tǒng)手段結(jié)合。
然而，肖煌認為，將人工智能用于網(wǎng)絡(luò)安全則有另外的優(yōu)勢，那就是提高分析效率。人工智能的典型作用是代替人類做大量重復(fù)的勞動，比如用人工智能分析影像圖片，將影像醫(yī)生從低效率的重復(fù)勞動中解放了出來。
網(wǎng)絡(luò)安全行業(yè)，也同樣如此。
數(shù)據(jù)顯示，中國目前對網(wǎng)絡(luò)安全人才的總需求量超過70萬，每年增加的人才卻不過兩三萬，缺口高達95%。而且，一個分析師每天能分析的漏洞卻是非常有限的。
「如果不通過自動化的手段，將來物聯(lián)網(wǎng)連接設(shè)備數(shù)爆發(fā)的時候，大量的信息安全隱患只依賴人來分析是不太可能的�！剐せ捅硎�，一個信息安全分析師每天最多能看一兩千條log數(shù)據(jù)，或者一兩百個代碼片，而對人工智能來說，幾百萬條數(shù)據(jù)，只需花費幾分鐘時間。
根據(jù)肖煌的觀察，信息安全和人工智能，領(lǐng)域不同，思維方式也有一定區(qū)別，前者更偏向于系統(tǒng)工程，后者則更偏向于數(shù)學思維。因此，肖煌的很多同事認為人工智能解決的問題有限，更愿意使用傳統(tǒng)的方法，但也會朝著分析自動化的方向思考。
「我相信任何一個做信息安全的人必然要向這個方向靠攏�！剐せ拖Ｍ苡泌呌诔墒斓淖詣踊侄瓮瓿纱怪鳖I(lǐng)域的性能提升，包括分析的效率、時效性、規(guī)模和可解釋性。
人工智能時代的攻與防
網(wǎng)絡(luò)安全是道高一尺魔高一丈的世界。安全人員使用人工智能技術(shù)阻擋黑客攻擊，反過來這也會使黑客使用人工智能技術(shù)發(fā)起更復(fù)雜的攻擊。而隨著大量人工智能模型開源，黑客入侵的工具也愈發(fā)多樣化。
肖煌表示，只要稍加學習，黑客就可以利用開源工具欺騙識別系統(tǒng)，而技術(shù)難度的降低會促使很多人成為黑客，或者是進行一些此前做不到的攻擊。
這并非杞人憂天。
在網(wǎng)絡(luò)釣魚電子郵件中已有這樣的案例，黑客通過模仿人類的說話習慣和內(nèi)容，使得企業(yè)或個人被入侵時更加難以識別。
肖煌認為，以后的病毒變種會越來越多，檢測越來越難，規(guī)模越來越大，生成的時間越來越短。
（疊加在典型圖片輸入上的對抗輸入會讓分類器產(chǎn)生錯覺，誤將熊貓識別為長臂猿）