2024年8月,美國(guó)國(guó)防部高級(jí)研究計(jì)劃局 DARPA 發(fā)起的 AIxCC 人工智能網(wǎng)絡(luò)安全挑戰(zhàn)賽將迎來(lái)半決賽。該賽事將大語(yǔ)言模型等最新AI技術(shù)引入網(wǎng)絡(luò)安全競(jìng)賽,希望驗(yàn)證大語(yǔ)言模型技術(shù)在智能攻防領(lǐng)域的應(yīng)用價(jià)值,孕育出一個(gè)針對(duì)開源代碼的自動(dòng)化漏洞發(fā)現(xiàn)系統(tǒng),智能挖掘、檢測(cè)和修復(fù)關(guān)鍵基礎(chǔ)設(shè)施的軟件安全問(wèn)題。

在大模型技術(shù)突飛猛進(jìn)的今天,作為一個(gè)具有極高戰(zhàn)略視野的機(jī)構(gòu),DARPA再一次將目光鎖定在人工智能和網(wǎng)絡(luò)安全領(lǐng)域,他們要如何顛覆AI自動(dòng)化攻防技術(shù)創(chuàng)新?

新一代信息技術(shù)革命浪潮下,我們又應(yīng)如何加速創(chuàng)新技術(shù)孵化,縮小與美國(guó)網(wǎng)絡(luò)安全產(chǎn)業(yè)界間的技術(shù)差距?本文我們將通過(guò)觀察分析DARPA的一系列探索實(shí)踐,分享永信至誠(chéng)的思考。

1.jpg

DARPA試圖“改變游戲規(guī)則”

以“舉國(guó)體制”推動(dòng)自動(dòng)化攻防技術(shù)跨越發(fā)展

作為美國(guó)國(guó)防部下屬的一個(gè)研究機(jī)構(gòu),DARPA的使命是開展“改變游戲規(guī)則”的高風(fēng)險(xiǎn)、高價(jià)值、高回報(bào)技術(shù)研發(fā),以保持美國(guó)在各個(gè)科技領(lǐng)域的領(lǐng)先,順便謀求對(duì)未來(lái)能夠在全球范圍內(nèi)實(shí)現(xiàn)技術(shù)壟斷和封鎖。數(shù)十年來(lái),DARPA在包括互聯(lián)網(wǎng)技術(shù)、全球定位系統(tǒng)(GPS)、隱身戰(zhàn)機(jī)技術(shù)等領(lǐng)域已經(jīng)取得了一系列顯著成就,確保了創(chuàng)新果實(shí)的不斷涌現(xiàn),對(duì)維護(hù)國(guó)家安全也發(fā)揮了重要作用。

2.jpg


在人工智能領(lǐng)域,DARPA也一直在不斷探索新的理論和應(yīng)用,包括在自然語(yǔ)言理解和識(shí)別研究(AI實(shí)時(shí)翻譯、情報(bào)數(shù)據(jù)分析)、圖像理解學(xué)習(xí)與感知(自動(dòng)駕駛)、人工智能基礎(chǔ)設(shè)施研究(大語(yǔ)言模型、人工智能魯棒性)等方向,都進(jìn)行了深入的研究和投資。

DARPA的背后實(shí)際上有著一整套美國(guó)特色的“舉國(guó)體制”在支持,他并非傳統(tǒng)意義上的計(jì)劃體制,而是一種國(guó)家層面的戰(zhàn)略規(guī)劃和資源配置,通過(guò)政府、市場(chǎng)和社會(huì)力量三者之間的協(xié)同,以政府引導(dǎo)和市場(chǎng)投資的方式,實(shí)現(xiàn)在關(guān)鍵技術(shù)領(lǐng)域的突破和領(lǐng)先。

DARPA的成功之處在于,它不斷地通過(guò)自身超越行業(yè)、領(lǐng)域的格局和戰(zhàn)略視野,為學(xué)術(shù)界和產(chǎn)業(yè)界指明未來(lái)的模糊方向,去錨定高風(fēng)險(xiǎn)、高價(jià)值、高收益的項(xiàng)目,投入大量的資源和資金支持,來(lái)激發(fā)科研團(tuán)隊(duì)和社會(huì)力量的研究興趣,一旦證實(shí)這些項(xiàng)目具備可行性,DARPA就會(huì)通過(guò)持續(xù)的投資,將這些創(chuàng)新技術(shù)成果轉(zhuǎn)化成為美國(guó)科技領(lǐng)先的動(dòng)力。這也是DARA這個(gè)機(jī)構(gòu)的核心價(jià)值所在。

在這整個(gè)過(guò)程中,DARPA并不追求利益回報(bào),而是以國(guó)家利益為最高的目標(biāo),希望在不同的技術(shù)領(lǐng)域點(diǎn)燃火種,通過(guò)公平的競(jìng)爭(zhēng)培育出能夠“改變游戲規(guī)則”的創(chuàng)新的技術(shù)成果和科技人才。


2014年舉辦CGC網(wǎng)絡(luò)超級(jí)挑戰(zhàn)賽

點(diǎn)燃自動(dòng)化漏洞檢測(cè)技術(shù)研究的火種

2014年,DARPA 發(fā)起CGC網(wǎng)絡(luò)超級(jí)挑戰(zhàn)賽(Cyber Grand Challenge),試圖推動(dòng)建立一套自動(dòng)攻防系統(tǒng)來(lái)對(duì)軟件的漏洞進(jìn)行檢測(cè)和修復(fù),解放網(wǎng)絡(luò)安全專家的生產(chǎn)力。該賽事歷時(shí)兩年,2016年夏季,在全球最知名的DEF CON黑客大賽的舞臺(tái)上完成了最終的決賽。

這場(chǎng)比賽啟發(fā)了全球網(wǎng)絡(luò)安全科研院所和機(jī)構(gòu)開啟自動(dòng)化測(cè)試技術(shù)研究,讓fuzz模糊測(cè)試這項(xiàng)技術(shù)受到前所未有的關(guān)注,對(duì)于全球網(wǎng)絡(luò)安全行業(yè)來(lái)說(shuō)都具有十分重要的意義,堪稱開啟了AI安全的新時(shí)代。

在長(zhǎng)達(dá)兩年的賽程中,DARPA在CGC競(jìng)賽的初賽、半決賽和決賽各個(gè)階段,為參賽團(tuán)隊(duì)們提供了大量的扶持資金,有美國(guó)媒體報(bào)道,這場(chǎng)比賽最終耗資高達(dá)數(shù)千萬(wàn)美元。并且在賽事結(jié)束后,DARPA還直接主導(dǎo)了美國(guó)國(guó)防部與冠軍團(tuán)隊(duì)ForAllSecure的合作,通過(guò)注資和采購(gòu),將該團(tuán)隊(duì)在比賽中打造的Mayhem智能化漏洞掃描系統(tǒng)引入國(guó)防部武器軍事系統(tǒng),推廣至美國(guó)軍方多個(gè)部門。

3.jpg

圖/Mayhem智能化漏洞掃描系統(tǒng)

CGC網(wǎng)絡(luò)超級(jí)挑戰(zhàn)賽是一次非常成功的探索,它耗時(shí)2年斥資數(shù)千萬(wàn)美元,不計(jì)成本不計(jì)回報(bào)的長(zhǎng)期投入,促進(jìn)“自動(dòng)化測(cè)試技術(shù)”從一個(gè)AI安全技術(shù)框架,轉(zhuǎn)向技術(shù)路徑可行性驗(yàn)證,最終落地應(yīng)用到產(chǎn)業(yè)界。通過(guò)競(jìng)賽的形式選拔和培育全國(guó)最優(yōu)秀的網(wǎng)絡(luò)安全科研人才和技術(shù)產(chǎn)品,推廣轉(zhuǎn)化為整個(gè)國(guó)家的科技競(jìng)爭(zhēng)力,整個(gè)賽事歷程展現(xiàn)了DARPA在助推產(chǎn)業(yè)創(chuàng)新技術(shù)發(fā)展方面的巨大能量。

值得關(guān)注的一點(diǎn)的是,DARPA在CGC的競(jìng)賽手冊(cè)中提到,“參賽團(tuán)隊(duì)必須包含一名美國(guó)隊(duì)員”,并且“團(tuán)隊(duì)負(fù)責(zé)人必須講英語(yǔ)”,讓我們看到DARPA的在技術(shù)封鎖方面的企圖,他們希望由美國(guó)政府花錢花時(shí)間投喂出來(lái)的技術(shù)成果,未來(lái)一定要掌握在美國(guó)手中。


2023年發(fā)起AIxCC 人工智能網(wǎng)絡(luò)安全挑戰(zhàn)賽

推動(dòng)自動(dòng)化漏洞檢測(cè)技術(shù)進(jìn)入新一輪變革

2022年底開始,以大語(yǔ)言模型為核心的AIGC生成式人工智能帶來(lái)了一場(chǎng)劃時(shí)代的產(chǎn)業(yè)變革。在網(wǎng)絡(luò)安全行業(yè)中,大模型也被寄予厚望,期待能夠解決過(guò)去困擾行業(yè)多年的安全防御人才短缺的現(xiàn)實(shí)問(wèn)題。

在這樣的時(shí)代背景下,DARPA再次率先宣布,啟動(dòng)AIxCC人工智能網(wǎng)絡(luò)安全挑戰(zhàn)賽,聯(lián)合Anthropic、谷歌和OpenAI等當(dāng)前大模型行業(yè)巨頭共同開啟第二次圍繞AI安全的探索。DARPA表示,發(fā)起AIxCC的目的是凝聚人工智能和網(wǎng)絡(luò)安全領(lǐng)域最優(yōu)秀、最聰明的人,保衛(wèi)全體美國(guó)公民所依賴的軟件。

這一次,相比CGC競(jìng)賽而言,DARPA點(diǎn)燃的第二顆火種更具確定性。

4.jpg

圖片來(lái)源:AIxCC競(jìng)賽官網(wǎng)-賽事介紹

DARPA在賽事背景中透露,AIxCC旨在啟發(fā)技術(shù)專家跨行業(yè)合作,利用我們所擁有的所有工具,找出解決基礎(chǔ)設(shè)施面臨的一些最關(guān)鍵弱點(diǎn)的解決方案。比賽中鼓勵(lì)參與者使用大語(yǔ)言模型、模糊測(cè)試和程序分析技術(shù),來(lái)理解和解決開源軟件中的漏洞,評(píng)估大語(yǔ)言模型在網(wǎng)絡(luò)安全攻防中的潛力。

可見,DARPA舉辦AIxCC的目的十分明確:其一是想要培育出一個(gè)能夠工程化地對(duì)開源代碼進(jìn)行審計(jì)的自動(dòng)化漏洞發(fā)現(xiàn)、驗(yàn)證和修復(fù)系統(tǒng);其二是探究AI大語(yǔ)言模型在協(xié)助機(jī)器人程序開展代碼審計(jì)方面的價(jià)值。最終通過(guò)將LLM大語(yǔ)言模型與自動(dòng)化系統(tǒng)的結(jié)合,來(lái)實(shí)現(xiàn)更高效的漏洞發(fā)現(xiàn)、驗(yàn)證和修復(fù)的閉環(huán)。

其中,“開源軟件”“大語(yǔ)言模型”“攻防”是三個(gè)不容忽視的關(guān)鍵詞。如果說(shuō)上一次舉辦CGC競(jìng)賽時(shí),DARPA是想開發(fā)一批能夠?qū)崟r(shí)發(fā)現(xiàn)、證明和修復(fù)軟件缺陷的自動(dòng)防御系統(tǒng),催化自動(dòng)化漏洞檢測(cè)技術(shù)的進(jìn)步,那么舉辦AIxCC競(jìng)賽,就是想以大語(yǔ)言模型技術(shù)和算力推動(dòng)這項(xiàng)技術(shù)進(jìn)入新一輪變革,以更加工程化的方式識(shí)別、驗(yàn)證和修復(fù)關(guān)鍵軟件漏洞。

5.jpg

在AIxCC競(jìng)賽說(shuō)明中,也明確提到“每個(gè)參賽團(tuán)隊(duì)必須包括至少1名美國(guó)公民”“團(tuán)隊(duì)負(fù)責(zé)人必須講英語(yǔ)”的規(guī)定。


1721013958712227.jpg

1721013969577118.jpg

圖:AIxCC競(jìng)賽官網(wǎng)-賽制說(shuō)明

AIxCC官網(wǎng)公布的賽制說(shuō)明中也介紹,在比賽中所有參賽團(tuán)隊(duì)都會(huì)獲得一個(gè)挑戰(zhàn)項(xiàng)目集,其中每個(gè)挑戰(zhàn)項(xiàng)目都會(huì)基于現(xiàn)實(shí)世界中正在運(yùn)行的開源項(xiàng)目引入漏洞,再以GitHub存儲(chǔ)庫(kù)的形式發(fā)放,參賽團(tuán)隊(duì)編寫的CRS自動(dòng)化推理系統(tǒng)需要對(duì)代碼存儲(chǔ)庫(kù)中的代碼進(jìn)行程序分析(代碼審計(jì)),通過(guò)編寫新的代碼來(lái)實(shí)現(xiàn)對(duì)漏洞的發(fā)現(xiàn)、驗(yàn)證和修復(fù),最終提交一個(gè)修復(fù)補(bǔ)丁文件證明自己能夠獨(dú)立實(shí)現(xiàn)整個(gè)漏洞發(fā)現(xiàn)到修復(fù)的閉環(huán)。

在整個(gè)比賽的過(guò)程中,Anthropic、谷歌和OpenAI作為聯(lián)合主辦方會(huì)給參賽團(tuán)隊(duì)提供大模型算力資源,幫助參賽的這些機(jī)器人程序能夠更高效地完成代碼審計(jì)工作。

7.jpg

事實(shí)上,除了Anthropic、谷歌和OpenAI這三家大模型巨頭外,DARPA還邀請(qǐng)了微軟作為聯(lián)合主辦方。在比賽中,作為GitHub開源軟件開發(fā)平臺(tái)的實(shí)際擁有者,微軟扮演的角色也耐人尋味。

據(jù)公開數(shù)據(jù),當(dāng)前GitHub平臺(tái)中已有超過(guò)數(shù)千萬(wàn)個(gè)開源代碼倉(cāng)庫(kù),這些開源項(xiàng)目又被開發(fā)人員納入全球各個(gè)領(lǐng)域的數(shù)字化應(yīng)用中。一旦證實(shí)將LLM大語(yǔ)言模型用于自動(dòng)化漏洞發(fā)現(xiàn)和修復(fù)具備可行性,那么這也就意味著,DARPA背后的美國(guó)國(guó)防部能夠同時(shí)得到“最鋒利的矛”和“最堅(jiān)固的盾”。在大國(guó)對(duì)抗的背景下,美國(guó)將占據(jù)更多的優(yōu)勢(shì)和主動(dòng)權(quán)。


在中國(guó),RHG競(jìng)賽已開啟實(shí)踐先河

AI自動(dòng)化攻防技術(shù)發(fā)展挑戰(zhàn)與機(jī)遇并存

受到DARPA和CGC的啟發(fā)和鼓舞,為了推進(jìn)在網(wǎng)絡(luò)安全行業(yè)內(nèi)推進(jìn)及其自動(dòng)化和智能化的進(jìn)程,2017年永信至誠(chéng)春秋GAME發(fā)起了Robo Hacking Game(RHG)人工智能網(wǎng)絡(luò)安全競(jìng)賽,邁出我國(guó)在人工智能網(wǎng)絡(luò)安全領(lǐng)域關(guān)鍵性的一小步。

8.jpg

對(duì)比來(lái)看,2016年決賽落幕后,DARPA便停辦了CGC競(jìng)賽,直至新一輪AI浪潮來(lái)臨才順勢(shì)啟動(dòng)該賽事的進(jìn)化版本——AIxCC競(jìng)賽,以更深入的推進(jìn)AI安全自動(dòng)化攻防技術(shù)創(chuàng)新。

但在中國(guó),永信至誠(chéng)打造的RHG競(jìng)賽在2017年初次舉辦后,后續(xù)在“黃鶴杯”RHG機(jī)器人網(wǎng)絡(luò)安全大賽、百度網(wǎng)絡(luò)安全技術(shù)對(duì)抗賽BCTF、“縱橫杯”網(wǎng)絡(luò)安全競(jìng)賽、“網(wǎng)鼎杯”網(wǎng)絡(luò)安全大賽、“隴劍杯”網(wǎng)絡(luò)安全大賽等大規(guī)模賽事中都得到了延續(xù)。RHG持續(xù)吸引了眾多國(guó)內(nèi)一線科研單位、研究院所積極響應(yīng)與參與到人工智能網(wǎng)絡(luò)安全對(duì)抗研究中來(lái)。

基于RHG競(jìng)賽的相關(guān)技術(shù)沉淀,永信至誠(chéng)還推出了擁有自主知識(shí)產(chǎn)權(quán)的RHG(Robo Hacking Game)智能靶場(chǎng)平臺(tái),為人工智能相關(guān)技術(shù)在網(wǎng)絡(luò)安全攻防領(lǐng)域的創(chuàng)新應(yīng)用提供科研、效能驗(yàn)證基礎(chǔ)設(shè)施。永信至誠(chéng)賽事團(tuán)隊(duì)也不斷將自身對(duì)人工智能攻防的新思考和新成果投入到RHG平臺(tái)中,為網(wǎng)絡(luò)安全領(lǐng)域人工智能創(chuàng)業(yè)團(tuán)隊(duì)的成長(zhǎng)提供了土壤,協(xié)助孕育出了多項(xiàng)人工智能堆溢出漏洞的分析及利用等國(guó)際領(lǐng)先的技術(shù)成果。


作為全球唯一持續(xù)運(yùn)營(yíng)的AI網(wǎng)絡(luò)安全競(jìng)賽

RHG長(zhǎng)期受到美國(guó)國(guó)家安全智庫(kù)跟蹤研究

作為全球唯一在持續(xù)運(yùn)營(yíng)的人工智能網(wǎng)絡(luò)安全領(lǐng)域的專業(yè)競(jìng)賽及測(cè)試平臺(tái),RHG的影響力和專業(yè)水平還長(zhǎng)期受到美國(guó)國(guó)家安全智庫(kù)——CSET安全與新興技術(shù)中心(Center for Security and Emerging Technology,簡(jiǎn)稱CSET)的跟蹤研究,成為了全球網(wǎng)絡(luò)安全攻防技術(shù)發(fā)展的重要研究對(duì)象。

9.jpg

1721014054404884.jpg

圖/CSET發(fā)布針對(duì)RHG的跟蹤研究報(bào)告

在大語(yǔ)言模型和人工智能技術(shù)正在推動(dòng)網(wǎng)絡(luò)安全產(chǎn)業(yè)深入變革的今天,新一代信息技術(shù)浪潮下蘊(yùn)含著巨大機(jī)遇,也意味著巨大的挑戰(zhàn)。

從2017年初次舉辦發(fā)展至今,RHG已不僅僅是一個(gè)競(jìng)賽模式和智能靶場(chǎng)平臺(tái)的簡(jiǎn)稱,它還成為國(guó)內(nèi)各界乃至國(guó)際對(duì)于人工智能網(wǎng)絡(luò)安全攻防賽事的簡(jiǎn)稱。作為中國(guó)網(wǎng)絡(luò)安全競(jìng)賽的主要推動(dòng)者和引領(lǐng)者,永信至誠(chéng)也希望借此次DARPA舉辦AIxCC網(wǎng)絡(luò)安全競(jìng)賽的行業(yè)熱點(diǎn)話題再次呼吁社會(huì)各界提高對(duì)AI安全的關(guān)注,加注AI安全自動(dòng)化攻防技術(shù)創(chuàng)新研究、驗(yàn)證。

在國(guó)家戰(zhàn)略層面,掌握先進(jìn)的AI安全自動(dòng)化技術(shù)對(duì)于維護(hù)國(guó)家安全和網(wǎng)絡(luò)空間的主權(quán)至關(guān)重要。在美國(guó)網(wǎng)絡(luò)安全技術(shù)的快速發(fā)展,特別是美國(guó)國(guó)防部AIxCC挑戰(zhàn)賽所展現(xiàn)的AI與網(wǎng)絡(luò)安全深度融合的趨勢(shì)下,中國(guó)人工智能網(wǎng)絡(luò)安全賽事的升級(jí)和創(chuàng)新勢(shì)在必行,以不斷適應(yīng)新的技術(shù)環(huán)境,融合最新的AI技術(shù)發(fā)展成果,更好地服務(wù)于國(guó)家網(wǎng)絡(luò)安全戰(zhàn)略需求。

美國(guó)國(guó)防部這樣以高水平網(wǎng)絡(luò)安全競(jìng)賽帶動(dòng)技術(shù)創(chuàng)新,進(jìn)而推動(dòng)國(guó)防安全技術(shù)進(jìn)步的創(chuàng)新合作模式也同樣值得我國(guó)參考借鑒,我國(guó)也繼續(xù)探索建立一套政產(chǎn)學(xué)研用協(xié)同的機(jī)制,推動(dòng)AI安全智能攻防技術(shù)的研究成果轉(zhuǎn)化為實(shí)際應(yīng)用,特別是在國(guó)防、關(guān)鍵基礎(chǔ)設(shè)施保護(hù)等重要領(lǐng)域的落地。也唯有這樣,方能迅速縮小與美國(guó)網(wǎng)絡(luò)安全行業(yè)之間的差距,方能在大國(guó)戰(zhàn)略競(jìng)爭(zhēng)中站穩(wěn)腳跟,搶占先機(jī)。

永信至誠(chéng)表示,作為RHG賽事的創(chuàng)始者和組織者,公司希望充分發(fā)揮在測(cè)試評(píng)估、賽事演練和人才培養(yǎng)方面的優(yōu)勢(shì),推動(dòng)RHG人工智能網(wǎng)絡(luò)安全競(jìng)賽升級(jí),創(chuàng)新人工智能競(jìng)賽模式,為人工智能網(wǎng)絡(luò)安全人才的成長(zhǎng)提供土壤,為AI安全智能攻防研究提供測(cè)評(píng)評(píng)估試驗(yàn)床,為網(wǎng)絡(luò)強(qiáng)國(guó)戰(zhàn)略奉獻(xiàn)自己的一份力量。


人已收藏

相關(guān)文章

評(píng)論列表(已有條評(píng)論)

最新評(píng)論