人工智能的飞速发展正在将世界带入一个全新的维度，但这同时也将网络世界的正邪对抗推入下一个战场。
美国当地时间8月10日，由 GeekPwn 主办的 CAAD Village 登陆世界顶级极客大会 DEF CON。腾讯安全云鼎实验室在 CAAD Village 上带来前沿议题分享，云鼎实验室安全专家张壮、史博以基于卷积神经网络的多形态恶意软件检测为例，分享了安全厂商应用人工智能之后对抗病毒免杀技术的效果；同时还站在攻击方的视角，介绍了恶意软件使用了生成式对抗网络之后，可绕过应用机器学习检测模型的案例。为人工智能趋势下的正邪对抗带来全新思路，受到了与会专家的重点关注。
（腾讯安全云鼎实验室安全专家张壮）
“检测”与“免杀”不断进化 AI 成下一个战略高地
面对不断涌现的新型病毒和已知病毒的变异，基于病毒代码文件特征的传统检测方法逐渐变得“捉襟见肘”。张壮对此表示，针对杀毒软件的查杀机制，病毒开发者通过修改特征码、指令加花、软件加壳、修改 PE 文件等手段使病毒免于杀毒软件的查杀。
此外，免杀技术也已从黑客的专业技能变成了一项可以用低廉价格轻易获取的标准服务：在暗网只需370美金，在国内花费1800元就可获得一套免杀服务。这无疑进一步加剧了安全厂商应对病毒攻击的挑战。
而人工智能的快速发展，则让安全厂商看到了未来。张壮指出，在面对新增病毒样本数量巨大，无法有效通过手工及时添加规则、手动规则提取在有些问题中的不适性、人工规则主观性很高等检测难点，人工智能查杀都能轻易克服。
全球各大安全厂商因此纷纷应用这一前沿科技，但具体的实现过程千差万别，云鼎实验室在会上分享了自己的实践，通过机器学习处理复杂问题，将二进制病毒转化为一[A1] 个灰度图，利用深度学习中的卷积神经网络（Convolutional Neural Networks，简称CNN）来进行图片分类，达到高效检测新增样本和样本变种，识别出病毒的家族关系和不同家族之前的区别，发现更多更深层次的特征关联。
人工智能查杀可以处理海量样本，检测特征纬度更广，病毒免杀难度增大。对于加壳或者多态变形病毒也有着良好的效果，检测过程无需脱壳。但是张壮指出，人工智能的模型本身存在一些“视觉盲点”，容易受到生成样本的攻击，更重要的是，人工智能的相关技术同样可以为病毒开发者所用。
毫无疑问，人工智能介入后，杀毒与反杀毒的较量将进入到下一个回合。
GAN应用免杀已获验证 安全厂商需未雨绸缪
今年3月，《麻省理工科技评论》公布了2018年“全球十大突破性技术”，生成对抗网络（Generative Adversarial Networks，简称 GAN）赫然在列。GeekPwn曾对这种前沿的深度学习模型作出解读：GAN 可以简单理解为一位制造仿制品的名画仿造者与一位名画鉴定师，两者在互相博弈的过程中训练自己的技巧，让各自的技能得到提升。最终，仿造者会生成鉴定师无法判断的赝品。
《麻省理工科技评论》也表示，“它（GAN）给机器带来一种类似想象力的能力，因此可能让它们变得不再那么依赖人类，但也把它们变成了一种能力惊人的数字造假工具”。
张壮在 DEF CON 2018大会上验证了这一预言的真实性。他表示，通过 GAN 生成器和判别器相互对抗，可以提升病毒的伪装能力，最终生成在杀毒软件判断标准下的“非恶意程序”，使病毒成功绕过基于机器学习的检测模型 。
比如，机器对一张图片以57.7%的置信度将其归为“熊猫”，但是在应用 GAN 之后，可以使其以99.3%的置信度将其归为“长臂猿”；在被攻击前后，图像一个像素的改变，就让机器识别一个图像为“青蛙”的概率从99.999714%变为7.460092%，而这前后的巨大差额转化成为了89.782685%的概率识别成“猫咪”。
张壮进一步表示，GAN 应用在免杀中，攻击者对于被攻击模型的结构和权重都有完全的了解，而常规的攻击手段对于被攻击的模型却一无所知，“最终通过把‘黑文件’伪装成为具有高可信度的‘白文件’，以达到欺骗机器学习模型，甚至欺骗人类的目的”。
针对病毒免杀技术的新发展，张壮也给安全厂商提出了如下防御建议：
1、 红蓝军对抗式的自我检测：安全厂商需要未雨绸缪，可提前自己攻击自己的模型，发现自身模型“盲点”，并及时修复盲点，从而提升防御能力；
2、 规则不暴露：安全厂商不要暴露对恶意文件的评分情况，这样模型（鉴定器）会直接受到针对特征的攻击，给出的评分会告诉攻击者攻击效果，对攻击者下一步的攻击方向具有指导作用，比如：哪些些特征影响大，哪些特征有效果；
3、 多维度检测：提取更多有效、稳定的特征，使得针对广泛普遍的特征生成的免杀样本同样难逃查杀。
未知攻焉知防，白帽黑客站在攻击方的角度研究前沿技术，正在加速安全厂商掌握新时代攻防的主动性。以本次研究为例，腾讯安全云鼎实验室的研究成果已应用在攻防一线，进一步提升腾讯云的云主机病毒查杀能力，守护广大用户的网络安全。