AI安全大牛都来了！智能安全的话题引发学术界/产业界共同聚焦 | CCF-GAIR 2018

雷锋网按：2018 全球人工智能与机器人峰会（CCF-GAIR）在深圳召开已进入第二天的议程，活动现场依旧火爆。本次峰会由中国计算机学会（CCF）主办，雷锋网、香港中文大学（深圳）承办，得到了深圳市宝安区政府的大力指导，是国内人工智能和机器人学术界、工业界及投资界三大领域的顶级交流盛会，旨在打造国内人工智能领域最具实力的跨界交流合作平台。

根据大会安排，6月30日迎来了仿生机器人专场，机器人行业应用专场，计算机视觉专场，智能安全专场，金融科技专场等专场。作为主论坛的研究方向的延伸，“智能安全专场”则汇聚来自广州大学、浙江大学的专家学者，同时来自百度、阿里巴巴、腾讯、京东、海康威视的安全大牛，共同探讨人工智能领域里的安全问题，同时就安全研究能否深入进人工智能领域等话题带来了企业的最新观点与研究成果。

9:15分，会场高朋满座，专场开场。专场主席暨主持人是来自广州大学网络空间先进技术研究院院长、教授、博导的田志宏先生。

广州大学网络空间先进技术研究院院长、教授、博导的田志宏先生

他首先代表峰会主办方对与会人员的到来表示了感谢和欢迎，同时表示智能安全已日益受到人们的关注，与AI、IoT、云计算等等多个层面结合越来越紧密，因而“智能安全专场”是个很好的契机，安全行业内的领军人物可以一起共同探讨智能安全未来的发展方向。随着开场致辞结束，专场正式进入演讲部分。

一份重磅专场报告：《数据安全的现状与趋势》

开场演讲的是来自浙江大学网络空间安全研究中心主任、国家特聘教授、IEEE Fellow任奎教授，他做了《数据安全的现状与趋势》的大会重磅报告，他是研究型学者，因此他的报告让专场具备了更多学术气息。他主要从大数据和人工智能之间的契合点来谈个人研究的经验与成果。他指出，数据安全的问题存在于数据的整个生命周期，从数据采集、流转、传输到数据使用，通常情况下他更关注的是数据的机密性、数据的完整性、数据的可用性。

浙江大学网络空间安全研究中心主任、国家特聘教授、IEEE Fellow任奎教授

机密性方面，互联网企业尤其是大公司数据泄露事件一直发生，而且发生得越来越厉害，他列举了美国Equifax用户数据泄露和德国邮政出售选民信息的案例。他认为数据有可能被直接泄露，也有可能被做进一步隐私的挖掘。任奎谈到3个技术：数据加密技术、访问控制策略技术、隐私保护技术。数据加密技术上，学术界慢慢看到工业界的现实和需求，成果在进行迁移；访问控制策略技术上，很多基于生物特征的访问控制策略（指纹、脸部识别等）飞速发展，包括从密码学的属性里面基于属性、角色的访问控制策略越来越成熟；隐私保护技术上，在过去十几年里面，一项最重要的项目就是差分隐私保护。

数据完整性方面，任何不被授权的对数据的改动都是不被允许的，都会影响数据的完整性。对数据篡改来说，人们会使用传统的技术手段，比如数据采集和传输时可以用数据分装和签名，传输时有一些丢包恢复的机制，即便有一些包被丢掉，不用同传也可以有本地数据，数据审计在数据使用的时候可以通过可验证计算等等手段来进行保护。

数据可用性方面，防DDos攻击主要技术就是本地防护、云端防护和源端防护，大家都在做这些事情，尽量把这些攻击带来的坏影响控制在最低范围内。这其中就涉及流量清洗，涉及IP合法性检查、流量限速、动态指纹识别、特定应用防护等等。

人工智能时代到底是更好还是更坏？

人工智能的时代，数据安全也面临了很多新的挑战。从数据安全来说，人工智能时代到底是更好还是更坏？他谈及三点：

·人工智能的发展使数据安全保障有了更强有力的工具：精确高效的信息过滤、安全多样的身份认证。

·人工智能生成新的加密算法：很多新型的安全形态会出现，可以用产生的算法来对数据进行加密。

·人工智能不只是好处：AI算法被用来去挖掘用户的隐私且带来的负面的效应也非常之大，还可以用来生成以假乱真的音频和视频， 还有大大失效的CAPTCHA检测。

AI自身数据安全的问题方面，任奎认为有三类：

·训练数据安全：训练数据获取成本极高，数据较为敏感，容易被窃取。

·模型参数安全：模型的价值都在参数，被轻易拿走，会使巨大损失。

·AI应用安全：对于智能驾驶就是致命问题。对于白盒攻击，攻击者能够知道AI系统算法及参数，主要的攻击算法包括快速梯队算法、投射梯队算法等等。

演讲末，任奎感触，合规和新的数据法律给学术界和工业界都提出了非常多的挑战，数据安全依然任重而道远。

BATJ同台：畅谈AI时代网络安全如何保护

与会观众纷纷拍照学习

BATJ同台可能是让“智能安全专场”具备更强互联网属性的话题，因为互联网4大巨头全部到场，听众在比较其解决方案中会加深对BATJ的清晰认识。来自BATJ的嘉宾及主题分别为：

·百度AI安全技术总监聂科峰：《AIoT时代的安全》

·阿里巴巴集团安全部资深总监路全：《智能化攻防——机器学习在阿里巴巴网络安全的应用》

·腾讯安全平台部总监胡珀：《AI+安全=？从危到机，AI时代下的安全挑战》

·京东安全北美研究院院长Jimmy Su：《Bots vs Adversarial machine learning: Escalating battle of captcha solving》

百度：AIoT时代的安全

首先登场的是百度AI安全技术总监聂科峰，他一开始便谈到，AI技术正加速IoT发展，目前整个社会逐步进入AIOT时代。作为百度的安全团队，他一直在跟AI一起努力开拓这个市场。AIoT概念由来已久，但没有得到足够的发展，近两年AI的赋能开始，周边很多的设备开始智能化。

百度AI安全技术总监聂科峰

·传感器。传感器是未来整个智能化设备最核心的点，基于纳米微电子技术的发展，可以把数字处理做在非常小的机器上，所以它是廉价化、微小化，使得传感器大量可行，成为AIoT发展的非常重要的因素。

·芯片。CPU的特点是处理逻辑非常强，但在运算上有非常天然的弱势。友达做了非常重要的贡献——把GPU大规模的应用，在现性大数据处理方面发挥了非常强大的作用。现在在所有基于AI技术应用上，为百度大数据的处理提供了基础。

·带宽。5G速率为未来的时代提供了更加高速的传输，加上数据流量成本的下降，很多人都可以去接受的阶段。

·深度学习的AI。谷歌、百度也有一些深度学习的框架——这加深了AI的处理。

·云和边缘计算。云和边缘计算的发展为整个AI的角色处理提供了非常成熟的基础。

聂科峰进一步谈到，进入到AIoT时代以后，它确实跟原来的时代很不一样，这个不一样体现在它的安全上面要求会更高：

·AIoT本身的安全技术非常薄弱，生态里面目前从硬件到系统、到软件甚至到设备厂商，是分工非常明确但非常不标准化，所以它的安全问题现在是没有得到解决。

·AI基于传感器数据的采集到传输到处理，又引发了非常大的新的问题（个人隐私盗窃、泄密等）。

·系统性的安全风险。AIoT领域没有人关注这个问题，但是它持续存在，每年有大量的漏洞曝出来，包括可能一些更小的实时操作系统都是潜在的风险。

他尤其强调的是“其实在行业界有一个共识，就是对于深度学习的模型，对工程师完全是黑盒，他完全不知道深度学习和机器学习的算法如何一步步推导出最终的结果，所以这个结果是充满了不确定性和不可控制性。这样的不可控制性会是我们整个AI未来应用的风险点所在”。

“数据是最重要的防线，对数据是最坚固的防线，这条防线上百度一定要从各个维度来保持好这条防线”，聂科峰指出，AI的安全这块他们要求很简单——就是稳健。

此外，聂科峰还谈及设备安全和漏洞修复问题，他表示，从云管端到AI，百度安全将保护百度在整个AI生态上的茁壮成长，同时百度提供了基于对抗训练的平台，大家可以尝试使用。

阿里巴巴：像呵护孩子一样呵护AI系统

紧接着，阿里巴巴集团安全部资深总监路全则带来了《智能化攻防——机器学习在阿里巴巴网络安全的应用》的演讲。他指出，他的演讲围绕安全为智能，而不是智能为安全。

阿里巴巴集团安全部资深总监路全

他以攻击智能汽车为例，详细介绍了典型的智能安全体该如何构成。他指出，改变交通标志、黑客入侵系统、数据植入云端让数据中毒都可以实现对智能汽车的攻击，而当前作为掌握海量大数据的阿里巴巴来说，面临的挑战还比智能汽车安全更为复杂。

目前，数据污染或数据中毒的案例不胜枚举，而阿里安全除了在传统网络建立安全的防御体系，防御黑客入侵和渗透，还要建立一张网防止数据中毒和数据污染。在阿里看来，机器流量是万恶之源（爬虫爬取信息、商家信息泄露、搜索排序刷单等）。

路全接下来介绍了阿里在机器流量防空体系三个方面：

·检测模块。如果把整个智能系统比作一个人，检测模块就是眼睛，没有眼睛很多事情是做不了。

·分类模型。分类模型是机器学习的一种，是在工业界最常用的模型，如果机器学习比作有机体，分类模型就是大脑。

·辅助系统。反馈控制研究已经很透，但其实在实际系统中，反馈控制往往能起到和机器学习模型叠加组合起来能起到好效果。在传统的OR领域，运筹学和信息系统结合也能产生很好的效果。

“在阿里有一句话，‘我们要像治理酒驾一样去打击假货’。现在还要加上一句，因为我们不光要像治理酒驾一样去打击假货，我们还要‘像呵护我们的孩子一样去呵护AI系统’，因为它是数据驱动，你教它什么，给它什么数据，就会出现什么行为”。演讲最后，路全如此说道，他觉得对AI的保护迫在眉睫，智能体被数据中毒或被数据污染是他们非常不愿意看到的一面，他们正为此而努力。

腾讯安全：AI+安全=？

腾讯安全平台部总监胡珀

腾讯安全平台部总监胡珀是AI安全领域的年轻专家，他最为关心的就是AI本身的安全问题，他认为，这可以归为以下三类：

·AI算法自身的安全问题。图像识别、图像欺骗等会导致自动驾驶出问题，谷歌也做了一些研究，如果模型文件被黑客控制恶意修改，并且给它学习，会产生完全不一样的结果。

·AI系统引入第三方的组件。这些组件也会存在问题，包括对文件、网络协议、各种外部输入协议的处理都会出问题。被黑客利用，带来的是灾难性的毁灭，所以现在产业界学术界都非常关注AI的这个方面。

·坏人也会用到AI。不要以为AI只是停留在学术界或者是工业界，其实现在黑产也大量在使用AI。

胡珀接着从人机对话、人脸识别、在线AI、智能音箱窃听、智慧城市协议、智能设备劫持、摄像头入侵、手机解锁等角度用实际案例详细解释了AI的安全的问题。

AI安全应用到安全场景，可能带来一些实战。大概沿着这些方向：第一是会向传统的生物特征转变，第二是研究工具有变化，特征工程对抗转入机器学习的方法，可能用机器学习建一个域值和模型，通过模型来看是否是黑客攻击。在腾讯看来，引入机器学习的实际效果是应用在两个层面，即DDoS与黑客的入侵行为，为了防止机器误报，腾讯采用双引擎在跑。

演讲结束时，胡珀总结到，机器学习方法应用到传统的安全场景，在某些特定场景下，AI绝对是优于人类或者传统的特征工程，但可能在某些场景业内还需要继续探索。

京东安全：机器人与对抗性机器学习——不断升级的验证码的战斗

京东安全北美研究院院长Jimmy Su主要分享“机器人与对抗性机器学习：不断升级的验证码的战斗”这个话题，他认为随着柯洁和李世石败给了人工智能机器人，深度学习其实已经在不同领域有非常显著的发展。而京东的AI在账号安全场景上已经运用一段时间。

京东安全北美研究院院长Jimmy Su

体现在哪些方面呢？首先是在APP的安全SDK里面有采集设备指纹，其次是在注册和登录环节有人机识别技术（生物探针），再其次是行为分析做一些异常检测，用无监督学习技术，到订单的风控会加入黑产情报，最后是通过业务的验证和反馈去调整模型。

电商场景欺诈行为非常丰富，涉及机注、刷单、黄牛、代购刷券、恶意订单、虚假评论等，京东的AI体系都会涉及。从黄牛行为来看，黄牛黑产整个生态环境也有攻防不同的技术，黄牛也会有意避开人机识别。从防守角度来看，京东安全有反爬虫，能确保京东活动价格信息不会很快被知道，同时京东也会分析黑产信息，通过NLP技术找到黄牛的动态以及黄牛现在用的工具，逆向团队也会把黑产软件进行立项以便打击。

与此同时，Jimmy Su指出黑产有成熟的工具——火牛和刀锋。火牛有非常多的功能，注册、订单、刷券种种行为，可以看到黑产会导入帐号、收货人地址、微信手Q的地址、定时下单，还可以实现验证码的识别。而刀锋工具作为第二大黑产工具，运作的时候可以用工具去自动滑动验证码，用多个账号做批量下单，使用不同的IP从而绕过人机识别技术。黑产工具有办法做爬虫，从不同的端拿到价格信息，同时因为IP地址更换，使得检测行为变得困难。

“黑产技术发展非常快，一两天后就有新的版本出现，我们也会持续监控黑产工具”，Jimmy Su表示。针对互联网企业流行的打码平台，京东用得比较多的是超人打码平台。他们将比较主流的图片验证码输入到超人打码平台，由于有AI服务模型，所以在主流的验证码里面准确率还是很高。此外，京东还将用人工智能模型去提取优点，将优点都放在新的验证码，所以使用黑产工具后验证码正确识别率只有12%，当然对人的识别难度会有所提升，这是京东安全需要平衡的地方。

演讲最后，Jimmy Su表示，在京东安全有非常广泛的AI应用场景，AI应用是能让他们去高效运作的唯一途径，所以电商和黑产之间高对抗性的攻防将持续发生。

视频物联网巨头：网络安全最佳实践与IoT的碰撞

本次专场的另一个重磅演讲来自海康威视。雷锋网了解到，作为国内以视频为核心的物联网解决方案提供商，海康威视在网络安全层面的布局早早就已开始。海康威视网络安全部总监、网络与信息安全实验室主任王滨发表了《网络安全最佳实践与IoT安全的碰撞》的精彩发言。

海康威视网络安全部总监、网络与信息安全实验室主任王滨

王滨指出，随着AI技术的发展，其在IoT领域的发展现状已经超过我们的想象，整个AIoT的安全问题需要足够引起足够重视，但是脱离了业务讲安全是比较空的。

他在会上演示了三个片段，从智慧城市的智慧安防、安检高清摄像头以及交通领域的车辆定位几个角度来看物联网的升级业务的落地。

“每个人在物联网的时代，其实都是没有办法去逃脱这个物联网。基于云计算的带动，现在整个物联网的体系架构已经跟原来物联网的体系架构发生了翻天覆地的变化，原来传统上物联网的设备都是一些嵌入式的甚至单面积设备，发展到了今天，我们现在见到很多的物联网设备已经加载了GPU的功能，它的计算能力甚至已经超越了我们用的手机或者笔记本电脑的计算能力”。

谈及物联网的安全，王滨表现出担忧：当大家都纳入到物联网里面，我们在物联网里面受到的安全威胁一定会越来越多，因为任何一个物联网的设备和系统，它要为你提供各种各样的服务，它一定会搜集到很多个人的数据和信息。而这些设备是资源受限的，网络带宽比较窄，此外最主要的问题在于物联网设备部分场景太开放，数量太巨大，一旦这些设备发生了安全问题，就很难控制。不管从产业界，从设备的制造商以及从用户、政府管理机构等等来看，在安全方面做得还是有些欠缺。

“三无产品”是有安全缺陷的，原因有四：弱口令、缺乏有效的升级机制、密码恢复存在各种各样的危险、设备存在安全漏洞。由于整个无线网络设备数量太大、分布太多、形态多样，进行安全升级的时候都有不同的业务场景，但是都不能按照传统的业界最佳实践去套。物联网缺乏人机交互界面，用户对设备产生所有权后，如何获取升级通知、如何操作都是问题，安全问题出现时候，物理隔离设备无法幸免。因此随着整个AI技术的发展，物联网的设备会对人的生活影响越来越大，但是物联网的安全问题跟传统的安全理念上还是有一定的差别，需要大家去做进一步的业务紧耦合。

演讲结尾，王滨总结到，海康威视目前在做全球化的工作，40%销售额来自海外，后期安全问题将是重要发力点，目前也已经与海外企业展开对话，将进一步将IoT里面的最佳实践推广到行业里。

随着海康威视的演讲结束，“智能安全专场”的演讲就步入结尾了，但与会观众对于智能安全的关注与热情似乎没有丝毫消退，他们在会后与嘉宾进行了深度交谈，专场的思想性、实用性与前瞻性感染了现场每个人。