有句话叫“耳听为虚,眼见为实”。当你与家人、朋友打开视频通话,他们的容貌、声线都是你记忆中熟悉的样子,视频中的这个人神情自然、应答如流……且慢,你敢拍着胸脯保证,这就是“本尊”吗?
身为一名网络安全研究工作者,我想告诉你的是:千万别小看了AI换脸的技术!
在《王牌对王牌》第八季第二期节目中,我和小伙伴们让嘉宾们体验了一把AI换脸的神奇,在欢笑和惊叹之余,我们也用这项令人有些后怕的技术向大家提个醒:科技是把双刃剑,在为我们带来便利的同时,也给不法分子带来了可乘之机。
如今,互联网在我们的生活中无处不在,网络攻击、网络诈骗也应运而生,网络安全领域成了一个没有硝烟的“战场”。机缘巧合下,我从一名青春期的游戏少年,走上了网络安全研究的道路,成为一名网络环境“守卫者”。
研究的是“流量”,不是明星!
中学时,我有过游戏账号被盗的经历,这算是我第一次切身接触到网络安全问题。当时,我打开游戏登录界面,输入账号和密码,和往常一样进入游戏。突然,电脑变得非常卡顿,过了十几秒后,游戏自动退出了。我以为是电脑卡了,重新登录进入游戏后,发现所有装备和金币都被转移了。那一瞬间,我只觉得脑袋嗡嗡的,不知所措。后来,我才明白应该是黑客提前篡改了登录界面,导致我输入的账号和密码都被窃取。一想到辛辛苦苦积累的游戏装备瞬间没有了,之后一段时间我都不怎幺想打游戏,这也算是间接帮我戒了网瘾。
其实这个攻击过程属于一种钓鱼行为,比如我们在日常生活中会收到莫名其妙的短信,让我们填写个人信息领取奖品,或者骗子假装网购工作人员,要给你办理退款手续。为了让受害者更容易上当受骗,骗子通常会事先设计一个假的网站页面,看起来和官方页面非常相似,我们在这上面输入的信息会直接被骗子获得,从而导致财产损失、隐私泄露等,这就是所谓的钓鱼网站。
上大学时,我选择了软件工程专业,但直到保研、与老师交流之后,我才决定专攻网络流量方向,真正开始研究网络安全。还记得当时,我回到宿舍后,打开百度搜索“流量”,搜索结果弹出来一堆介绍手机卡流量包的,想来也是搞笑。也许现在搜索“流量”,跳出来的都是“流量明星”“网红流量”。那幺,我研究的“流量”到底是什幺呢?其实我们在互联网上的任何行为和操作都涉及流量的交互过程。比如我们互相发送微信消息,在网络层面就是一堆字符在传输,这些字符就是泛化意义上的流量。我的研究方向便是基于网络流量展开的,探索流量中是否包含了潜在的攻击行为。
当学计算机的碰上黑客
我听过这样一句话:“网民分为两类,一类是知道自己被攻击了,另一类是不知道自己被攻击了。”虽然这是段子,但也从侧面反映了网络攻击远远比你想象的频繁,就连我们学计算机的,都中过招!
我们在学校内开展研究时,有一些服务器需要用来运行计算机程序。同学们在使用时,就遇到过两次恶意“攻击”事件。首先,网络黑客获得了服务器的访问权限,这一般是由于设置了弱密码(密码比较简单)或者因不当操作下载了后门病毒。然后,黑客会通过网络传输植入预先写好的恶意程序执行攻击。这样,攻击者一方面可以使用服务器上的计算资源获取不正当利益,另一方面可以通过窃取数据进行敲诈勒索、诈骗等。当时我们知道被攻击的时候也是一脸蒙,好在没有非常严重的数据损失,通过重装系统、加固访问权限认证等措施及时解决了问题。其实,只要是连接公共网络的设备,个人家庭、学校、公司的电脑、服务器,都有可能被黑客攻击。
2022年还出过一桩十分轰动的新闻:“国防七子”之一西北工业大学遭到了境外网络的恶意攻击。此次事件主要是美国投放了恶意的电脑病毒,以日本、韩国等多个国家的电脑为跳板,最终植入西北工业大学的校园网内,窃取我国的战略机密信息。听到这个新闻的时候,我们倒吸了一口凉气,同时内心也升腾起一股责任感。网络安全离我们并不遥远,甚至就在我们身边。
魔高一丈?那咱就高两丈
正所谓纸上得来终觉浅,我们也会抓住各种机会,在实践中淬炼技术。
我父亲是一名人民警察。前段时间他的单位接到报案,有一名女子下载了陌生人推荐的App,结果手机自动转账,银行卡内的几万元资金被转走。警方的办案人员与我联系,讨论了一些可以侦破此案的方向。我提供的建议是:一方面,可以从推荐下载App的人员着手,实施抓捕,摸清诈骗套路;另一方面,可以从恶意软件的来源出发,顺藤摸瓜,寻找幕后黑手。尽管这为警方办案提供了一些思路,然而在实际操作上还是存在很多难点。比如,线下的推销人员往往是犯罪团伙的下线,仅负责广撒网,并不是核心人员。对于线上的恶意软件,幕后黑手通常会购买境外服务器域名来躲避查处。这些操作都给警察破案大大增加了困难。因此,最有效的方式,还是我们日常要熟知网络安全知识,提高防范意识!
此外,我与小伙伴们还组成“零日安全”战队,参加国内的网络安全竞赛。之所以起这样一个名字,是因为网络安全中存在一个“零日漏洞(Zero-day)”的概念,即新兴的、未知的攻击手段,防御者通常缺乏关于零日漏洞的先验知识,因此检测难度较大。我们战队连续两年参加了“强网杯”人工智能专项赛恶意流量识别赛道,并卫冕全国冠军。比赛的内容是,根据主办方提供的网络流量数据,分析其中是否包含恶意的攻击行为。在比赛中,我们经常互相争论,每个队员都有不同的思路和解决方案。例如在进行网络流量分析时,我们需要高效地执行字节数据处理,一名队员建议直接将流量按照字节拆分进行处理,另一位队员却认为这种“一股脑儿”的处理方式可能对不同的网络协议存在隐患,应该考虑不同协议分别处理。虽然这只是一个简单的例子,但我意识到,研究网络安全需要团队的力量,因为攻击与防御本身就是一个博弈的过程,“道高一尺,魔高一丈”,大家团结起来就能高两丈、三丈。
之前,受浙江卫视的邀请,我和战队成员录制了《王牌对王牌》节目,现场展示了AI换脸等骗局。在场的明星们也分享了自己的受骗经历,包括假冒客服人员骗取密码、个人隐私被泄露等。
关于AI换脸的骗术,尽管视频可以做到很逼真,声音、图像都可以伪造,但在现阶段的技术下,通过遮挡部分镜头和快速移动,也许会出现掉帧现象,从而识破AI换脸骗局。因此,即使在视频电话中看到了对方,听到了对方的声音,大家也要留个心眼!
网络安全,守护的不仅是一堆代码、数据,更是数据背后个人的幸福和国家的繁荣。作为众多网络安全人员的一分子,我会继续用知识武装自己,在实战中检验,不断发光发热。
姓 名 赵子鸣
身 份 浙江大学网络安全博士,第五届、第六届“强网杯”人工智能专项赛恶意流量识别赛道冠军队队长