火眼金睛博士：我用 AI 刺穿黑客的大腦

淺友們好~我是史中，我的日常生活是開撩五湖四海的科技大牛，我會嘗試用各種姿勢，把他們的無邊腦洞和溫情故事講給你聽。如果你想和我做朋友，不妨加微信（shizhongmax）。

我用 AI 刺穿黑客的大腦

文 | 史中

（一）孫悟空憑什么識破白骨精？

話說西天取經路上，一日正行到山頂，吃貨唐僧餓了，非讓悟空去南山搞幾個桃子。

正是這個蜜汁 Debuff 行為，讓唐僧暴露了自己的破腚，勾起了白骨精的食欲。白骨精但見八戒、沙僧護持，不得近身，化作少女、老嫗、白胡子老頭，三番接近唐僧，都被及時趕到的悟空識破，一棒子搗死。

這就是大家都“自以為”熟悉的三打白骨精。

我之所以說“自以為”，是因為大多數人不知道，吳承恩其實寫了一個絕妙的“黑客寓言”：

唐僧，就是我們國家的大企業或職能部門，代表朝廷完成重要使命的“御弟哥哥”嘛。 唐僧肉，就是企業里的機密數據，壞人偷去肯定能賣個財務自由的好價錢，相當于長生不老。 白骨精，當然就是黑客，它想方設法變換不同形態接近大企業，把“唐僧肉”給吃嘍。 悟空、八戒、沙僧，那就是網絡安全廠商，他們作為“乙方”，職責就是“識別黑客，干掉黑客”，保證唐僧“不掉血”嘛。

了解了這些比喻，再看三打白骨精的細節，你就會發現一些秘密。

比如《西游記》原文有這么一段：

那女子被悟空打死后，帶來的飯菜都變成了蛆蟲和蛤蟆，長老已有三分信了這是個妖怪。 可八戒氣不忿，唆嘴道：師父，這個女子是此間農婦，因為送飯下田，路遇我等，卻怎么栽她是個妖怪？哥哥的棍重，走將來試手打他一下，不期就打殺了；怕你念緊箍咒，故意使的障眼法，變作這樣東西，演幌你眼，使不念咒哩！

這就怪了。本來事情都解決了，八戒為啥偏要“氣不忿”，瞎BB？

因為八戒很敬業，在他看來，那根本就不是“黑客”，而是活生生的“正常訪問”，放行正常流量本來就是乙方的職責嘛！

哎，世間的很多 Bug，都是“能力不夠”還“忠于職守”造成的呀。。。

先來解決一個全篇最重要的技術問題：

為啥在豬八戒看來，他們是三個不同的人；而孫悟空用火眼金睛一看，他們都是“白骨精”呢？

一句話，是他們的認知深度不同。

任何一個事物都兼具不同的 屬性，它們有深有淺。越是表層的屬性，就越容易發生變化；越是深層的屬性，就越難變化。

比如白骨精，它能變成各種人，還能變成非人的東西，比如“小豬佩奇、奧特曼”；但是它無論怎么努力，都很難改變自己深層的“妖精”屬性。（此處白娘子端著雄黃酒罵罵咧咧退出群聊）

豬八戒的認知能力弱，就只能看表層屬性，所以在三個場合中，把它判定為三個不同的人。 孫悟空的認知能力強，可以認知深層屬性，所以在三個場合中，把它們判定為同一種東西——妖精。

兩人都盡力了。

但俗話說“畫龍畫虎難畫骨，知人知面不知心”，不正是這個道理么？！

那孫悟空的“火眼金睛”到底是個啥原理，能認知到這么深的屬性呢？

這里要給你科普一個詞：“特征維度”。

白骨精站在面前，咱們可以用不同的“特征”來描述它：

比如，眼睛、鼻子、嘴巴、穿著、打扮，這些都是一眼能看到的特征，就是“低維特征”。 比如，步態、眼神、談吐，這些就不是一眼能看穿的特征，需要仔細觀察才能獲得，這就是“高維特征”。 比如，氣場、性格、精神狀態，這就是更難獲得的特征，需要綜合很多信息才能判斷出來，這就是“更高維的特征”。。。

在豬八戒判斷“是人是妖”的模型里，更多使用了“低維特征”，于是很難準確；而在孫悟空“火眼金睛”的模型里，更多使用了“高維特征”，更容易看到“妖氣”。

這位淺友說了：中哥你厲害了呀，連“火眼金睛”這種魔法都能像模像樣地科普？？

你懂的，我說火眼金睛，怎么可能是為了說《西游記》里的孫悟空，當然是要給你介紹一位活生生存在于我們這個世界上的“孫悟空”。

他來了！此人就是夢想建造一個龐大的 AI 系統，從而洞悉世間一切黑客行徑的“火眼金睛博士”——曲武。

曲武

（二）造出火眼金睛，攏共分幾步？

朋友同事們很少稱呼曲武的名字，大家一般叫他“曲博”。可見，“博”已經長在了他身上。

那曲博是啥博士嘞？他是人工智能領域的博士。

話說這里面其實有些“蹊蹺”。

蹊蹺在哪？我說一件事兒你就明白了。2011年時，曲博曾在清華的 KEG（知識工程研究室）搞研究。

而 KEG 實驗室一直是中國 AI 技術的領頭羊。2023年，全中國公認最牛掰的“大模型” ChatGLM 就出自他們之手。

設身處地想一下：

老司機上了人工智能這個“高速”，卻沒有一腳油門踩到底去搞充滿鮮花掌聲的人工智能本“能”，而是一擰方向盤，走上了用 AI 保衛網絡世界的“岔路”。

這有點兒像白求恩不在加拿大享受人生，卻不遠萬里來到中國，做出這種選擇本身就極不平凡。

要理解曲博為啥這么“想不開”，我們不妨回到2011年去瞅一眼。

那一年，一家國內頂尖的網絡安全公司正在和清華合作，目的是解決一些網絡安全技術的瓶頸。曲博就是清華派出來平事兒的“神獸”。

本來，人家主要想解決的瓶頸是——“檢不過來”。

打個比方，IT 系統就像一個飛機場，有很多男女老少的旅客，可是其中一些是白骨精變的。

為了找出白骨精，理論上每個人都要過一遍安檢，這沒錯吧。

但是，安檢員干活兒忒慢，遇到旅客扎堆的極端情況，隊伍排出去2里地，旅客都要誤飛機了。為了機場正常運轉，只好隨機放掉90%的人，只安檢10%的人。

速度不夠快

安檢系統是屏障，放水肯定不行啊！于是曲博把當時方興未艾的“大數據技術”整套引入，讓數據查詢能力提升了上千倍，實現了“應檢盡檢”。

瓶頸解決，安全公司相當滿意，拱手道謝，準備回家。

“等等！”曲博一聲喝號，對方一激靈。

“你可知道，現在的產品，最大的瓶頸不在‘安檢速度’上，而是在‘安檢能力’上！”他擺出柯南斷案的姿勢。

能力不夠強

原來，經過一段時間的研究，曲博正是發現了我們在《第一章》講的那個嚴重的問題：

當時即便是市面上最好的安全檢測系統，使用的也都是“低維特征”。

它們的原理大概是這樣的：

1、每出現一種病毒，安全研究員就會對它人肉分析，找出其中包含的特別代碼字段，然后把這些字段做成“識別規則”； 2、每總結出一條新規則，就加入檢測引擎，下次“安檢”時如果有某個程序產生了相同的字段，就會擊中這個規則，不就證明這個程序是惡意的了么？

這些所謂的“代碼字段”，看上去唬人，但其實就相當于“眼睛、鼻子、嘴巴”。

這次白骨精變了個少女，你就記下了少女眉眼的樣子，下次人家白骨精不變少女了，你就妥妥認不出來，給放行了。。。這檢得再快有啥用？

所以，把安檢流程做得快些固然重要，但更重要的，是把負責安檢的人從“豬八戒”升級成“孫悟空”啊！

曲博盤算，要真把孫悟空做出來，中國網絡安全產業就會從“高老莊級”躍升到“齊天大圣級”，難道這個夢想還不值得燃燒自己么？

越想越上頭，曲博一個急打方向盤，沖上了網絡安全的“不歸路”。。。

話說，曲博這么篤定，他到底有多大勝算嘞？別嫌我啰嗦，咱們推演一下。

安全系統和黑客的較量，本質上就是一個棋盤上黑白雙方的博弈：

一邊是黑客不斷思考——創造出新的攻擊方法；

另一邊是安全專家不斷思考——找出攻擊方法的特征。

正邪兩方都是頂尖的聰明人，好歹打個平手吧？

可別忘了，黑客是執黑的“先手”，他總是先變化的一方。防守方哪怕緊跟黑客的變化總結規律，也會慢人一步。。。

這種不公平的局面下，防守方還想贏，那就必須比黑客更聰明，預判黑客的預判。

可是，安全研究員總歸還是人。人腦處理數據總會有一個物理極限，就算專家一瓶接一瓶喝腦白金，也沒法綜合更多數據總結出更高維的特征。

你看到了吧：“人”，其實是這個問題的終極瓶頸。

怎么甩開人呢？顯然是用“人工智能”！

AI 可以把多個電腦連在一起，對大量數據進行聯合思考，從里面攥出來更多的“高維特征”。

只要特征維度足夠高，再聰明的人類黑客在它面前都會被碾壓，乖乖露出狐貍尾巴。

以上推演，就是標準的“第一性原理”。

看懂這個原理，你也就明白了曲博為啥這么篤定。

說回當時，懷揣這個想法，曲博開始了“周游列國”。

他先是去了網絡安全公司啟明星辰。

可是當時阿法狗還沒出來，ChatGPT 更是沒影呢，這套 AI 理論太超前了，大家都不清楚怎么跟他配合，曲博的計劃推進很慢，他只好背起包包，先去別處看看。

下一站是華為。

這里的同事們倒是很支持新技術，可是沒想到，華為有嚴格的數據管理制度，不僅不能碰客戶的數據，連華為公司內部的數據都嚴格限制使用。

剛才說過，要想預判黑客的預判，最基本的操作就是把不同的數據放在一起思考。

現在不讓用數據。。。巧 AI 難為無米之炊呀。。。

此時節，已經到了2015年。雖說折騰了半天產品沒能落地，但曲博并非一無所獲，從啟明到華為，他真真實實地收獲了一眾知音。

曲博在華為的同事胡文友，就是一個超級大知音。技術出身的老胡很快就看出了“火眼金睛”的潛力——AI 屬于“養成系”技術，隨著時間推演，它能越變越強！所以這事兒不僅能成，還能大成！

知音閑暇時經常一起嘮嗑，越嘮越覺得捉急。有一天，他倆突然福至心靈：要不。。。咱們。。。自己干？？？

金睛云華，就此成立。

那一年，曲博34，老胡44。

（三）你得先有“煉丹爐”

孫悟空的火眼金睛不是生來就有，而是在太上老君的煉丹爐里七七四十九天給煉出來的。

現實中的“火眼金睛”更是如此，要靠丹爐來煉！

那煉丹爐是啥嘞？就是插滿了顯卡的高性能服務器。

又是“顯卡”，又是“高性能”，一聽就便宜不了——丹藥還沒煉成半個，先是置辦煉丹爐就得幾百萬，這。。。錢從哪來？

曲博和老胡都是技術出身，一個賽一個老實，也沒想著融資。正好當時手頭攢了些錢準備買房，倆人跟媳婦商量了一下，還是拯救世界更要緊，于是紛紛把買房錢都投進了公司。

可即便這樣還不夠，籌備新公司還得招人，而且 AI 人才都死貴死貴的，于是他們又拉來一位朋友投了些錢，總算把公司撐起來了。

錢都花在刀刃上了，其他地方就只好從簡了。。。

就在北京的一所民居里，碩大的機柜開始運轉！

話說，這個“煉丹爐”簡直是吃電狂魔，稍微一使勁就能把電閘給干跳了。找師傅修保險絲？沒那預算！曲博自己上手，把電工手藝都給學會了。

這么耗電肯定發熱啊。空調？不用！曲博淘來了一個燒烤攤吹羊肉串那種大個兒風扇，對著狂吹一樣解決問題。。。

陽臺上放的就是機柜。

雖然外觀簡陋了些，但這“煉丹爐”里的東西卻是貨真價實！

啥東西呢？各種病毒。。。

原理是醬的：

曲博從全球最大的病毒庫 VirusTotal 上把所有惡意代碼都下載下來，然后在系統里制造好多沙箱，讓病毒在里面“釋放天性”，肆意展現出惡意行為； 同時，一整套分析系統已經拿好了小本本，從上帝視角把各路惡意代碼的表現完整記錄下來； 這些數據集送到專家那里做必要的標注，再投入人工智能的訓練系統，從中抽取出“高維特征”，做成一個“AI 模型”。

這個 AI 模型，就是能識別惡意代碼的“火眼金睛”啦！

這張圖里，最下面是“煉丹爐”，中間是樣本數據，上面就是訓練出來的 AI 模型。

你看這一整套“煉制”流程里，除了標注那一步還用到一些人工，其他地方已經實現了自動化流轉。（當然，這一點點“人工”也并不能忽視，這里留個伏筆，后文我們還會細說。）

總之，996的人工參與越少，系統效率就越能007：

世界上出現新的病毒，自動收集，自動進入沙箱，自動表現行為，自動進入煉丹爐，自動改進“火眼金睛”。

給你畫個動圖感受下↓↓↓

論效率，比吭哧癟肚的人類專家高到不知哪里去了；

論效果，AI 抽取的特征維度更高，更是碾壓人類專家。

把這個火眼金睛和高速的檢測引擎裝在一起，就成了可以降妖捉怪的“孫悟空”——云鑒（ATD）高級威脅檢測系統。

大家沒日沒夜地干，只用了一年時間，就做出第一版 ATD。

ATD 有多猛嘞？我舉個小例子：

世界上活躍的病毒木馬，總共就那么幾十個家族。可是這么多年，都沒有被趕盡殺絕。

原因很簡單，它和真實世界的病毒一樣，會不斷變異。

黑客在原有木馬基礎上做一些改動，或者根據原有的思路把關鍵部位重寫一下，從代碼特征上看，新木馬就和舊木馬完全不同了。

此時，給傳統的“豬八戒式”安全軟件來看，那就妥妥的是一位女施主，不能打殺了。。。

但是，ATD 卻把木馬的代碼轉換成圖像，再把新木馬和舊木馬的圖像特征做比對（這個特征就是高維特征了）。

這么一來，哪怕黑客改動、重寫了很多地方，新舊木馬仍然能呈現出相似性，在 ATD 的火眼金睛看來，還是白骨一堆！

這個彪悍的特性就叫“AI 驅動的惡意代碼基因圖譜檢測”。

你看，完全不同的代碼，在圖像層面展現出了高度的相似性。

科普暫且告一段落，咱們回到曲博身邊。

2016年，曲博坐在屋子里看著自己的成果，像是上帝造好人間，準備暫歇片刻。

可是，好像哪里不對。這么先進的 ATD，大家腫么不來搶購呢？

曲博心里當然明白，所有的創始人都是偏技術的，沒有人搞銷售。。。這酒雖然香，可是金睛云華這名字太耳生，安全行業沒你這一號啊，別人想了解你都沒門路，佛系得過分了。

看來看去，大伙兒的目光落在老胡臉上。老胡在華為做過很久的解決方案技術顧問，橫豎一比，他也是最接近“銷售”的人了。。。

“行，”老胡一拍桌子，“先拿我這張臉去刷刷看！”

客戶的門朝哪開暫時不知道，但友商在哪兒還是能找到的，那就先去友商拜拜碼頭。

老胡在心里拉了一張名單，把各家創始人比較牛X、識貨的網絡安全公司來了個排排站。

在名單的前幾位，就是素有“黑客特種兵”之稱的知道創宇。老淺友都熟悉，知道創宇的創始人趙偉也是出了名的猛人一位，懷揣家國情懷，想來和金睛云華能投脾氣。（想了解知道創宇，可以看）

那天正好趕上一位朋友要去創宇，老胡厚臉皮去蹭著串門。

到了知道創宇一聊，巧了！他們剛剛拿下公安部的一個訂單，其中一個子項就是要在大流量中發現黑客的行蹤，但客戶要求很高，傳統的技術怕是會導致很多誤報，正想著用 AI 來試試。

再瞧金睛云華這個狀態，東西做好了正想找個客戶闖闖名聲，真是困了有人送枕頭，直接合作不就妥了？

就這樣，聊天聊成了一筆訂單。

出得門來，老胡還有點懵，現在生意這么好做的嗎，刷個臉就掉裝備？

如法炮制，老胡后來又結識了盛邦安全的小伙伴。話說盛邦的創始人權小文也是一位技術深厚且低調沉穩的大咖，我們曾在里詳細介紹過他。

盛邦在網絡空間測繪領域做得非常扎實，服務的很多客戶都是中國頂尖的網絡空間守衛力量，有多頂尖呢？頂尖到我沒辦法提他們的名字，就叫“A類客戶”吧。

盛邦不僅非常識貨，還很誠摯，在這些客戶面前毫不吝嗇地推薦金睛云華，接連促成了幾筆訂單。

然而，這種“聊天式銷售”畢竟有點兒靠天吃飯的意思。

而且你懂的，A類客戶都是干大事兒的，巴不得穿上迷彩偽裝，網絡防御武器用得再好也很難幫你宣傳。。。于是，第一波開門紅之后，雖然打開了局面，但沒想象中熱鬧。

2017年中，大伙兒盤算了一下，今年還是會微微虧損。。。

這是公司成立的第一年

曲博倒是心態穩定，牛X的技術被大家接受，總要有個過程嘛，今年小虧，明年打平，后年不就有希望盈利了嘛！

話雖這么說，但這群人身后的“煉丹爐”可是一刻不停地在運轉，活像一個吞金巨獸！

眼看創業之初湊的錢已經花了大半兒，底子還在一點點變薄，并不是每個人都能像曲博這么閑庭信步。

那天，另一位出資的朋友突然找到曲博和老胡，委婉地提出想自己去創業，需要把投的錢退出去。。。

機關算盡，沒算出這一道晴天霹靂！

（四）翻身重上筋斗云

都是好朋友，要不是人家當年給予信任，公司恐怕也難開起來；現在想退出，說什么也應該滿足。可問題是，錢都花了呀。。。

眼前只剩一個辦法：寫欠條。

男子漢大丈夫，既然相信事兒能干成，寫個欠條也是不礙的。可是，真到要落筆的那天，曲博心里突然如潮翻涌。

手握這么好的技術，為了改變世界，創業連房都沒買，眼看北京房價翻了一番且不說，現在還要倒欠別人幾百萬。退一萬步，如果自己單身一人還好說，可是家里還有老婆，我怎么跟人家交代呢？

不簽呢？也行，無非就是公司變賣資產，取經路上散伙，大家各自回花果山高老莊。

可是，這么多年的夢，就碎了啊！

曲博跟老胡兩個人，坐在家附近一家貓屎咖啡門口的地上，兩個人大男人說到這兒，眼淚再也忍不住了。

是死是活，總要了斷。曲博咬咬牙，決心回家跟媳婦坦白，要是媳婦說不同意，第二天就開會解散公司，縱有一萬個不甘心，咱也不干了！

你是個男人，也是公司法人，無論怎么說都應該負責任。幾百萬確實不少，但退一萬步說，你的公司真的做不下去了，咱們一起去工作，憑咱倆的能力，五年還不清，十年也一定能還清！ 這個字，你簽吧。

他的妻子說。

“沒有這番話，就不會有今天的金睛云華。”曲博回憶。

話說當時，欠條寫完，曲博發愣，創業這條路遠比想象中兇險，只靠幾個人幾條槍單打獨斗總還是太單薄。

直到這時，他和老胡才嚴肅地想到一個叫“融資”的東西。眼看別人融完資都挺嗨皮，咱們為啥不試試？！

金睛云華公開接受融資的消息放出去，如一石激起千層浪——你若是不說，還則罷了；你既然說了，就別怪我們掏錢不客氣了。

先找過來的是啟明星辰的幾位老同事，曲博的技術有多強，他們當年可是首批圍觀群眾，為了戰略入股金睛云華，他們專門合伙成立了一個投資公司；

緊跟其后的是最初的兩位合作伙伴知道創宇和盛邦安全，金睛云華的系統在客戶系統里運轉的效果如何，他們最知道底細，雖說創宇和盛邦自己還是篳路藍縷的創業公司，但是不管了，這么好的機會過了這個村兒就沒這個店兒了，投！

再后來，技術嗅覺靈敏的網絡安全公司永信至誠，還有網絡安全界各方都尊敬的“校長”譚曉生，還有很多財務投資者都加入了后續投資隊伍。

從合伙人退股到大家踴躍投資，劇情反轉如此之快，著實出乎曲博的意料。本來在幽暗中穿行的他，對“AI 驅動安全”的 Slogan 又信心爆棚，手握劍柄，何妨再戰300合？

筋斗云，總算被悟空等來了。

話說，2018年其實是全世界網絡安全的一個分水嶺。

當時大概發生了這么幾件事兒：

1、全球企業信息化普及，企業IT系統內部的數據迅速膨脹，數據價值也猛然提升。 2、這些數據散發著“血腥味”，黑客們聞著味道就去了。面對巨大的價值，他們“值得”投入巨大的精力翻新攻擊手段，讓每次進攻都產生巨大變化。 3、在黑客加力之后，傳統的“豬八戒式”網絡安全守衛系統瞬間變得呆滯，漏洞百出。巨大的網絡棋盤上，正義陣營的戰線變得岌岌可危。

但滄海橫流方顯英雄本色。

豬八戒被爆錘，孫悟空越戰越勇，揪出一波又一波黑客。實力已經不允許金睛云華繼續低調了。。。

當時，某省的有關部門遇到一個棘手的問題：

他們抓到了一批來自境外的網絡攻擊動作，但是人類專家沒辦法把這些攻擊動作跟背后特定的國家和組織對應起來，從而影響后續針對性地防御。

于是，他們開放了這個研究課題，“懸賞”讓能搞定的公司來做。

曲博一看，這事兒我們略懂啊，于是“揭了皇榜”。

爽文劇情出現了：

各種進攻方式，在人類看起來沒任何規律。但是 AI 打眼一看，它們的高維特征簡直不要太明顯，就像小孩搭積木一樣，瞬間能準確分類，對號入座。

就這樣，課題不僅順利完成了，還獲了獎，ATD 也順理成章地留在了相關部門繼續工作。

這件事剛塵埃落定，又有一個機會又出現在曲博他們面前。

2018年，CNCERT 舉辦了一場網絡安全引擎大賽。

CNCERT 的全稱是“國家計算機網絡應急技術處理協調中心”，專門負責發現和處置全國網絡中的異常事件，相當于網絡空間里的“總城管”，重要性不言而喻。

他們當時舉辦這場比賽，頗有“華山論劍”的意味——開放一塊我們國家真實的網絡，各路豪杰把最好的檢測產品拿出來實地探查，看看誰能發現這里面的“隱藏黑客”↓↓↓

真實的網絡，真實的產品，當面鑼對面鼓，誰都做不了假，這最適合金睛云華這種技術流的公司了。

ATD 剛部署進去，就像點燃一顆閃光彈，把網絡空間映照得如同白晝，看到的情景讓所有人毛骨悚然。

一個黑客正駐留在某企業內部，大口吸血，并且把吸到的數據通過一種極其怪異的姿勢傳往國外。

這種怪異的數據傳輸方式就是“隱蔽隧道”。

弱雞黑客，一般是進去小心，出來粗心——拿到企業機密數據之后就會忘乎所以，直接大搖大擺通過正常途徑傳輸出來。

可他們想不到，很多安全產品都會在這個關卡做監測，一旦探測到高強度的信息外傳，就會觸發警報，讓黑客的“努力”功虧一簣。

黑客大佬，就不會這么莽撞——他們會把數據加密成一段超長的字符串，每8個字符一組，放在網址中間，假裝對這些網址進行訪問。

實際上，每“訪問”一個網址，就相當于對外傳出了8個字符。

一般的安全產品只會檢查明顯的數據外傳，而無法識別這種偽裝成“網址訪問”的數據外傳。這就是“隱蔽隧道”的原理。

但再隱蔽，它的最終目的仍然是要把數據傳出去，和正常的網址訪問存在特征區別。

只不過，這些特征在人類看來很難捉摸，但是給 AI 看，就非常容易區分出來。

由于“隱秘隧道”的搭建成本比較高，普通小黑客很少用，所以那次 ATD 抓到的很可能不是一般的小蟲子，而是某個巨大怪獸的一只腳。。。

這件事情具體的調查交給了相關部門去執行，后續情況曲博也沒看到，但他能看到的，是各種“華山論劍”的機會接踵而至：

從G20的安保，到各省大數據局的安全監測；大到骨干網安全篩查，小到各市、區的安全態勢感知，各路重要的組織單位都聞訊趕來，點名要金睛云華出馬。

從很多角度看，這時的 ATD 都已經沖破了傳統網絡安全技術的瓶頸，成為了一個無可替代的“新物種”。

而回頭張望，正是無數同事的咬牙堅持，眾多投資人的真金白銀，無數客戶的點贊，終究如眾人抱薪，終究成為了帶悟空扶搖直上的筋斗云。

話說回來，曲博的“神預測”果然應驗：

2018年金睛云華收支平衡，2019年就實現了首次盈利，而且一直盈利至今。不過只有天知道，為了讓這個預測成真，有多少人拼了老命。

現金流稍微寬裕，曲博想到的第一件事兒不是喝酒慶祝，而是——升級煉丹爐！！

（五）孫悟空 Pro Plus Max

2019年時，金睛云華已經告別民居，搬到了一座小別墅里，“煉丹爐”的機柜也從最初的1個變成了8個，專門放在單間里，引擎轟鳴，煞是拉風。

但這個規模，只有曲博設想中的十分之一，沒錯，他想升級成80個機柜！

這么多機器板卡肯定要花巨資去買，這暫且不論。曲博問了一圈， 單是在北京海淀區找一個用來放置8個機柜的機房都要一年近百萬租金。。。

這。。。不太符合金睛云華艱苦創業的精神面貌呀！

北京機房

曲博眉頭一皺，計上心來。

他想到了自己的家鄉大慶。

曲博的老爸很早就下海做生意，家里有一個小工廠，只不過經營策略比較保守，童叟無欺，沒有搞太大。用曲博的話說，“三十年前是百萬富翁，現在還是百萬富翁。。。”

這兩年工廠生意一般，廠房閑置。這不巧了嗎，正好可以用來放“煉丹爐”。只有一樣，80臺機柜的發熱太大，需要做專門的散熱系統。

曲博多方打聽，在河南有一家銀行，由于規劃變更，剛建好一個機房就要變賣，拆下來一套全新二手空調設備只要不到20萬。他趕緊交錢買下了這個“餡餅”，雇卡車奔襲千里，把空調運到大慶。

可是大慶的安裝團隊都不是專業弄機房的，給他們做不放心，從北京派人過去又太貴，這可咋整？

曲博看了一眼65歲的老爸：“爸，你要不要親手支持一下國家的網絡安全事業？”

就這樣，老爸、姐夫，全家“壯丁”齊上陣，搞了幾個月時間，把各種設備安裝到位，只剩最后的電力調試。這要誰來干呢？

好說，高級電工兼金睛云華 CEO 曲博親自上陣！

曲博和父親

十一期間，曲博回到老家，把機房進行了最終調試。

三，二，一，點火！

就這樣，在大慶這個北方的石油之城，一個不起眼的廠房里，架起了“煉丹爐 Pro Plus Max”，人工智能燃起了的熊熊烈焰。

我敢打賭，2019年曲博在建立這個機房時，幾乎不可能預料到后來發生的一切。

而故事講到這里，咱們也終于要上快車道了！！

估計很多淺友都知道，最近幾年人類科技領域有一個超級大發現：

人工智能的能力大小和它的規模大小不是線性關系，而是一種奇特的“涌現”關系——當模型突破一定的規模，它的能力會爆炸式地躍遷。

這就好像你去商場買東西，買一贈一，買二贈二，買三贈三。

但是，當你買一百時，就不是贈一百了，而是直接贈一萬。仿佛卡到了了不得的 Bug。。。

大慶機房

2020年，一篇又一篇的論文懟在曲博眼前，讓他心潮澎湃。

無數前沿研究開始證明，如果把 AI 模型做到足夠大，至少會帶來兩樣天大的好處：

1、AI 可以提煉出更高維度的特征，一下子比以前聰明百倍千倍； 2、AI 可以掌握“自學”的能力，再也不需要老師傅給它喂那么多的標注數據。

沒錯，這套技術就是如今火遍全宇宙的 ChatGPT，的前身，“預訓練大模型”。

大模型千好萬好，只有一條：必須家里有礦——有非常大的計算集群才能訓練。

曲博樂了，哦，煉丹爐是吧，咱家有啊！！

就這樣，在很多安全公司還在跟傳統人工智能搏斗的時候，金睛云華已經在大模型的路上打怪殺敵了。

他們是怎么做的呢？

在金睛云華的“小模型”時代，他們的做法是：把黑客的行為分成了30多個類別，比如“SQL 注入”、“Webshell”、“C&C通訊”，還有之前提到過的“隱蔽隧道”之類。。。

針對每一類行為，他們都開發了一個人工智能模型。

這就相當于搞了30多個孫悟空，每來一個人，都要30多個孫悟空檢查一遍才知道你是不是白骨精。

這顯然會讓“安檢流程”比較費事↓↓↓

但是，最費事的其實不是“安檢環節”，而是之前的“訓練環節”。

你可能還記得，之前我們埋了一個伏筆。雖然“煉丹”環節大部分都實現了自動化，但是唯有一個環節，就是“樣本標注”還需要大量的人工參與。

具體來說，這叫“監督學習”，一個小模型需要經過100萬個樣本投喂才能“畢業”。

30多個模型，每個都需要這樣“監督”一遍，其中的工作量可想而知。

但是，大模型的訓練原理完全變化了，成了“非監督學習”。

你先不用標注，把各種數據一股腦喂給大模型，讓他“自己體會”。體會明白后，它就掌握了事物的內在聯系。

在此基礎上，你再用少量的標注樣本進行精調，讓它明白你想干啥，就行了。

這個用于精調的樣本，大概只需要5-10萬個。你想要完成30多類任務，就拿30多組樣本都給這一個模型看，就夠了。

這樣搞下來，你最后得到的是一個完整的“孫悟空 Pro Plus Max”，一個頂過去三十個，還能更聰明千百倍，人工工作量還直降90%-95%，簡直是開掛一般的存在！

后來，曲博激動地把公司投資人之一譚曉生請來，給他嘚瑟了一下這個驚人成果。

譚曉生豎起大拇指：“這條路被你們走通了！”

話說當時，大模型加持的 ATD 雖然好使，但究竟能好使到什么程度，其實曲博自己也不太拿得準。

他決定挑戰一把極限，死磕網絡安全界最大的難題之一——加密惡意流量。

加密一直是人類技術皇冠上的明珠。戰爭中最底層的技術對抗大多發生在加密領域。大名鼎鼎的圖靈，就是靠破譯了德軍的加密體系，才讓二戰局勢迅速倒向盟軍一方嘛！

網絡戰爭更是如此，真正“活兒好”的大黑客，會在他的每一次信號傳輸中都使用加密指令，全程不露馬腳——你都打不開它的包裹，怎么判斷里面是不是炸彈呢？

以加密方式傳輸指令，就像一個個嚴實的包裹。

這時候，曲博身上的“博”開始發揮作用，他扎進了論文的海洋游了一遍，發現了秘密：主流加密算法，為了實現效率和安全的平衡，都犧牲了一定的隨機性。

也就是說，即便使用了這些主流加密方法，在極高維度上，惡意流量仍然能展現出其固有的特征。

有了這個理論加持，曲博心里有數了，接下來就看大模型的“發揮”了。

經過幾個月的“特訓”，見證奇跡的時刻到了。曲博差點蹦起來——果然不用解密，AI 照樣能識別出來壞人！

這意味著，“孫悟空 Pro Plus Max”不僅有火眼金睛，還具備了隔著帳幔看清妖孽的“懸絲診脈”能力！

這個瞬間，在我看來就是網絡安全的“阿法狗時刻”。

2021年以前金睛云華的 ATD 系統，雖然超越了99%的人類專家，但是在和最頂尖的人類專家還是難分伯仲的。

但再頂尖的人類專家，也不可能識別出“加密流量”。

在這一點上，AI 相當于打敗了安全專家中的李世石和柯潔，從此能夠毫無疑義地代表人類全體，向遠方眺望。

這種成就感難以言表。

講真，加密流量基本相當于網絡安全的“腫瘤”。很多企業苦加密久矣，這時節終于看到有人能解決這個問題，紛紛“請兵拿賊”。

看大家熱情高漲，曲博干脆把加密流量檢測專門獨立出來，做成了如今的“云晰”（ETD）系統。

就在金睛云華眾將還沒來得及好好慶祝時，曲博一回頭，ChatGPT 橫空出世。

他放下酒杯，暗自點頭——不妨等一會兒，老夫再去溫酒斬個華雄，回來一起慶祝！

（六）八萬四千根毫毛

這個要斬的“華雄”是誰呢？

話說，曲博之前六七年做的 ATD 系列，都是在做“安全檢測”。

但是客觀來說，網絡安全保衛的工作是一個完整的體系。就像那取經路上，降妖捉怪最多是“1%的靈感”，剩下“99%的汗水”是沙和尚白龍馬老老實實扛著行李往前走。

這些日常工作就是“安全運維”（SecOps）。

我們還是回到機場的比喻。機場安檢口要想正常運作，安檢儀只需要一臺，但旁邊的輔助人員需要一大堆！

你在機場仔細觀察，會發現很有意思的特點：

“安檢輔助員”總體并不需要特別高的專業知識，但是，他們又必須能夠靈活應變，處理各種繁瑣的小災小情，一會兒這個人充電寶超標，一會兒那個人私藏打火機，一會兒有人帶超過100毫升的液體。

正因為工作內容太開放，這個崗位一直沒能被機器替代。

即便今天，你去安檢口也會看到一票工作人員圍著安檢儀忙前忙后。

網絡安全的運維領域也是如此，平常要對各種系統告警進行查看，大部分異常只需要簡單處理就過了，只有小部分需要跟蹤深挖。

但這個行業存在兩個問題：

一，人才缺口； 二，效率瓶頸。

業內普遍認為，中國網絡安全的人才缺口在100萬左右。

這100萬主要就是指安全運維人員。之所以存在缺口，主要是因為安全運維的定位——賺白菜錢操白粉心，高級人才不愛干，低級人才又干不了。

所以很多公司愣是找不到合適的運維團隊。

退一萬步，即便費了九牛二虎之力湊齊一組運維人員，但他們畢竟還是肉身凡胎的人。

在 AI 的加持下，那1%的靈感（安全檢測）不斷擺脫人力限制，越轉越快；可這99%的汗水（安全運維）卻要依賴人工，為了不至于拖整個安全系統的后腿，就得不斷加人。總體成本根本控制不住。。。

我們又遇到了那句話：人是“終極瓶頸”。

孫悟空（安全檢測）在長大的過程中，沙和尚（運維）就得不斷增多。

巧了，2023年 ChatGPT 所代表的自然語言大模型的崛起，正好可以用來解決這個問題。

誒，怎么剛說過大模型，這里又來了一個大模型？

之前用來做安全檢測的大模型，只需要理解程序語言就行，所以叫程序語言大模型，里面大概有1億個參數； 而 ChatGPT 這種叫自然語言大模型，可以理解人類語言。人類語言比程序語言復雜得多，所以自然語言大模型有100億以上的參數。

可想而知，制造這個自然語言大模型所需要的算力就更大了，曲博那個煉丹爐終于煉不下了。。。

幸運的是，“普天之下程序員皆兄弟”，這一波全世界的開源技術社區異常給力，很快就出現了極高質量的開源大模型，包括 Mata 的 LLaMA 和清華系公司“智譜 AI”的 ChatGLM。（有關開源精神，可以看）

理論上來說，在這些語言大模型之上，只要用大量網絡安全處置報告和相關文檔對它進行“精調”，就能讓它掌握運維知識——這個活兒煉丹爐是能干的！

訓練好之后，遇到問題你只要問它，它就會給出具體的運維建議，從而讓“SecOps”變成“AISecOps”。

如此，就能大幅減少運維人員的數量：一個頂過去五個。

以上只是曲博的理論推演，現實中真想把它做好，還需付出愚公移山之力。

曲博點點頭，把之前 ATD 系列產品交給研發負責人劉兵執掌，自己當愚公，帶隊殺進了自然語言大模型的“山”里。

2023年夏天，經過近半年的封閉開發，他帶著新成的黯然銷魂掌走出絕情谷，這就是 CyberCopilot。

跟我聊天時，曲博像請出自家小孩給我表演節目那樣，展示了 CyberCopilot 的諸多“才藝”：

首先，它是一個百科全書。

比如你問它一個漏洞的詳情、原理，它就老老實實給你講解。

然后，它可以識別各種單獨的攻擊事件。

你給他看一段代碼，它就能告訴你這很可能是黑客在進行“SQL 注入”或者“XSS 攻擊”，并且給你處置建議。

最后，它還能把各個攻擊事件關聯起來。

描摹出黑客從溜門撬鎖到挨屋翻找的全貌，最終搞清黑客的來龍去脈，有針對性地阻斷或反擊。

這三樣工作仿佛上層樓：一個比一個難，而且前一個是后一個的基礎。

我坐在對面，看著曲博問 CyberCopilot 這些我幾乎聽不懂的問題，有血有肉的回答就這么在我眼前順暢地流淌出來。

這些精辟的理解背后，無疑只是一堆冰冷的服務器，唯技術給了它們靈魂。意識到這個事實，我恍如隔世，仿佛站在西斯廷教堂欣賞創世紀。

在《西游記》中，孫悟空有八萬四千根毫毛，拔一根毫毛就能變出一個小猴子。打起仗來，可以瞬間變出無數援兵。如今看來，CyberCopilot 不就是這些毫毛么？

正應了亞瑟·克拉克那句話：“一切先進的技術，皆與魔法無異。”

動畫截取自上影廠《大鬧天宮》（1964）

曲博把程序語言大模型和自然語言的大模型合稱為 CyberGPT。

在他看來，雖然程序語言的大模型完成的任務更為精尖，但畢竟場景有所局限，而自然語言的大模型，場景更為廣泛，值得寄予厚望。

現在 CyberCopilot 對于一般問題回答的準確度已經達到了90%，按理說已經進入了可用狀態。但曲博要求完美，有些回答里序號寫得不對，或者用詞不夠準、剖析不夠深，他都不滿意。

目前，CyberCopilot 只給合作最緊密的種子客戶“發號”內測，搜集問題改進表現，期待后面再找合適的機會放出這個大招。

“你這么耐心打磨，不擔心財大氣粗的大公司搶先一步推出競品嗎？”我問了一個很現實的問題。

其實我已經看到了一些網絡安全公司宣布了類似產品，但他們的展示全都是錄像，而且效果過于完美，這有點兒反常。 我搞人工智能這么久，很清楚現在的技術能做到什么程度。一些友商的反常，反而讓我堅信自己是領先的，這時，我更需要穩妥，拿出真東西。

曲博如是分析。

我是外行，雖不敢妄斷技術，但完全認同他的思維邏輯。歷史的大潮洶涌，當你確信自己已經站在了潮流的正確一側時，“走得穩”顯然比“走得快”更有希望抵達彼岸。

而我所見的歷史大潮，并不僅僅是大語言模型，而是更廣闊的“用 AI 替代人”。

（七）CyberGPT 的野望

如果俯瞰國際網絡安全的歷史，大概能看出每4年變化一次格局：

2010-2014年，網絡空間的領土概念逐漸清晰； 2014-2018年，各國開始建設網絡安全“國家隊”； 2018-2022年，網絡空間攻防武器開始了快速升級換代的競賽； 2022年至今，網絡安全武器開始“用 AI 替代人”。

我知道，很多人看到“AI 替代人工”的字眼，會有天然的抵觸。但是我要說，網絡安全和“外賣”、“制造業”之類產業并不等同。

網絡空間中的導彈就是“信號”。所有信號都是以光速傳播的，每一回合攻防，哪怕快上零點零幾秒，都會積累優勢，最終決定戰局的倒向。

它事關國家安危，必須以效果和效率為第一考量：

所謂效果，就是消除人類的思考瓶頸，發現人發現不了的問題——這是程序語言大模型的領域。 所謂效率，就是消除人類的反應瓶頸，做出超越人的快速反應——這是自然語言大模型的領域。

在這個過程中，人工環節的瓶頸被清除得越深刻，就越能消除武器發揮威力的障礙。

這一點無論對于攻擊方還是防守方都至關重要——哪怕我們無比熱愛和平，也別無選擇地要發展“AI 反導系統”。

以上，正是 CyberGPT 的野望。

2022和2023，金睛云華的兩家股東永信至誠和盛邦安全接連敲鐘上市，這成為了某種召喚。

原本曲博也沒想那么多，但有了 CyberGPT 之后，他清晰地看到了金睛云華上市的可能性，決定為這個目標努力。

“你這么佛系，也期待 IPO 么？”我問。

“那當然。”他笑。

可是隨即他表情又嚴肅了起來。

也許沒人完全理解我們一路走下來吃了多少苦。 那么多兄弟都受不了掉隊了，咬牙堅持下來的人，理應獲得屬于他們的尊重，而財務回報就是最好的尊重。 而對我來說，IPO 帶來的不僅僅是錢，它更是一種證明，證明這么多年堅持的路走通了。

曲博說。

我恍然明白，十多年前他選擇“AI+安全”這條路有多么鄭重。而拼盡全力賭上時光只想把一條路走通，又是怎樣的執念。

把這條路走通的代價之一，正是與曾經并肩的兄弟告別，和與之相隨的無法與人言說的悲歡離合。

每逢過節，曲博都會特別囑咐，給已經離開的業務骨干留一份禮品。那是他堅持的一種小儀式。

“有人不理解你，你會覺得遺憾嗎？”我問。

遇到事情，當然絕大多數是壞事，最后要做決定的那個人一定是我，這很折磨人。 因為我的一些決定，有些陪伴了三年五年的同事最后還是離開了，我尊重他們的決定，也接受這些遺憾。 但我的目的本就不該是為了讓所有人理解我。我能做的，只是讓那些問題有一個結果，然后我們可以繼續向前走。

他說。

我聽到曲博說“繼續向前走”的那一刻，其實并沒太多感觸。但是，告別他之后走在寬闊的夕陽里，我卻感到一支箭正中眉心。

他想說的意思，恐怕《西游記》里已寫得清楚。

《尸魔三戲唐三藏》這一章的結尾，唐僧動怒，說什么都要攆孫悟空回花果山。

大圣無奈，把身一抖，收上毫毛，卻又吩咐沙僧道： “賢弟，你是個好人，卻只要留心防著八戒言語，途中更要仔細。倘一時又妖精拿住師傅，你就說老孫是他大徒弟。西方毛怪，聞我手段，不敢傷我師傅！”

孫悟空恐怕并非與哪家妖精結有冤仇，可他執意斬殺白骨精，甚至賭上師徒情分，難道不就是為了能“繼續向前走”嗎？

繼續走，走到通天坦途，走到河清海晏，走到西天如來。

站在彼岸回首來處，“齊天大圣的存在”本身，才是讓魑魅魍魎毛骨悚然的事實。

送在老君爐里煉

六丁神火慢煎熬

再自我介紹一下吧。我叫史中，是一個傾心故事的科技記者。我的日常是和各路大神聊天。如果想和我做朋友，可以搜索微信：shizhongmax。

哦對了，如果喜歡文章，請別吝惜你的“在看”或“分享”。讓有趣的靈魂有機會相遇，會是一件很美好的事情。

Thx with in Beijing