人工智能不仅击败围棋冠军，还能帮你防御黑客

今年3月，由Google研发的人工智能程序“AlphaGo”将挑战世界顶级围棋选手李世石；而就在去年10月，AlphaGo刚刚击败了欧洲围棋冠军。也因此，面对拥有深度学习能力的AlphaGo，李世石成为了捍卫人类尊严的最后一道防线。

图1：击败围棋冠军的人工智能程序

关于人工智能&深度学习

我们总是把人工智能和电影想到一起，所以我们总是觉得人工智能缺乏真实感。但事实上，从击败世界冠军的棋手到无人驾驶汽车、再到手机上的Siri以及小冰——我们日常生活中并不缺少人工智能，只是我们没意识到。

图2：深度学习属于人工智能的一个子分支

人工智能学（Artificial Intelligence，简称AI)，是计算机科学的一个分支，是对人的意识、思维的信息过程的模拟。垃圾邮件过滤、谷歌翻译、地图导航等，都属于经典的人工智能应用。

而深度学习（Deep Learning，简称DL），由AI的一个子目标发展而来，目标是建立、模拟人脑进行分析学习的神经网络，最终能通过人脑的机制来解释数据。该技术正逐步应用于安全领域，下面我们将要提到的美国Deep Instinct安全公司、国内的360天眼与QVM引擎，便都是基于深度学习技术。

深度学习与安全行业的结合

除了用来下棋，安全行业也早已注意到了这个能够在恶意程序识别过程中，大大节约耗费人力、时间的深度学习技术。

如今，通过签名或者基于启发式的恶意软件检测方法已渐弱，因此大多数杀毒程序对于变异的恶意软件鲜有作用，特别是抵御APT（高级持续性威胁）攻击时。恶意软件通常由大约1000行代码构成，而变更其中的1%，便可让大部分反病毒软件束手无策。

于是，五六年前深度学习开始被用于解决非线性问题，如人脸识别、认识恶意软件，以及通过某种特征对程序进行抓取。而沙盒以及其它基于机器的技术，都没法做到比深度学习更加迅速和准确。

当前比较知名的具备深度学习的安全产品，以360天眼、QVM杀毒引擎以及Deep Instinct为主。其中前两者已经大规模投放应用，而Deep Instinct尚属于实验室产品，仍处在测试阶段。

360QVM人工智能引擎检出率远超传统引擎，速度提升一倍

对于安全工作者来说，只要能准确找出病毒文件和正常文件的差异，就能在海量文件中识别出病毒。在这个基础之上，无论是传统的特征码或者启发式引擎，实质上都是在找出差异：病毒文件和正常文件行为上的差异，文件代码上的差异。

图3：应用于360QVM人工智能引擎的深度学习技术

于是，360安全工程师将在海量病毒样本数据中归纳出了一套智能算法，能够使QVM引擎自行发现和学习病毒变化规律，让引擎去自主学习海量的病毒文件以及正常文件，不断训练生成新的数据模型，最后利用模型数据区分新的病毒。这也就是360完全自主研发的具备深度学习能力的第三代引擎——360QVM人工智能引擎。

测试表明，相比于其它杀毒引擎，360QVM人工智能引擎效果更为优异：无需频繁更新特征库、分析病毒静态特征、分析病毒行为；但病毒检出率却远超第一、二代引擎的总和，且查杀速度比传统引擎至少快一倍。

深度学习在安全领域迎来全面开花

360天眼

不只是360QVM人工智能引擎，360天眼也是将深度学习与安全技术融会贯通的新一代未知威胁感知系统。360天眼能够基于深度学习对流量进行识别，找出云端海量数据中A的PT攻击、免杀木马、新型木马等未知威胁。

图4:王占一在Black Hat上讲解360天眼采用的深度学习技术

北邮博士、360安全研究员王占一也曾在世界信息安全行业最高盛会——Black Hat（世界黑帽大会）上解读过360天眼的深度学习技术：基于多GPU的并行计算，建立一个深度学习的神经网络，通过网络流量识别协议、应用程序，并完成特征的自动学习。

“这是大数据技术和人工智能技术首次应用于未知威胁检测，拥有高精度识别能力的同时有效减轻了人工负担，在全球未知威胁检测和防御领域处于领先地位。”王占一博士表示。

Deep Instinct

来自美国的Deep Instinct，功能与360QVM人工智能引擎类似，同样是运用人工智能学习算法，检测软件结构及程序特征、发现恶意软件。数据表明，Deep Instinct对于恶意软件的识别率极高，相信在未来投入市场后，将成为安全+人工智能的又一成功案例。

此外，以色列特拉维夫的深度本能公司（DeepInstinct）等安全企业，都正在将深度学习，与查杀恶意软件相结合。依靠人工智能识别、查杀病毒，将成为杀毒领域的未来。

人工智能，无疑是计算机领域最伟大的发明，它极大地缩短了各事件的处理时间、提高了办事效率；而将其应用于安全领域，则是对安全行业整体实力的一次大幅提升。但是我相信，人工智能与深度学习，也不会是杀毒引擎的终结，在国内外安全专家的努力下，安全领域的天花板将不断被突破。