當我們一直在討論AI能給互聯(lián)網(wǎng)安全帶來(lái)什么影響的時(shí)候，可能一直都忽略了一個(gè)問(wèn)題：AI本身也不安全。

這兩天的新聞恰如其分地提醒了我們這一點(diǎn)。近日，谷歌被曝其機器學(xué)習框架TensorFlow中存在的嚴重安全風(fēng)險，可被黑客用來(lái)制造安全威脅，谷歌方面已經(jīng)確認了該漏洞并做出了整改回應。

雖然是提前發(fā)現，這些漏洞本身沒(méi)有帶來(lái)實(shí)質(zhì)威脅，但這條消息還是讓一些人感到了不安。TensorFlow、Torch、Caffe這些機器學(xué)習開(kāi)發(fā)框架，差不多是如今AI開(kāi)發(fā)者與研究者的標準配置，但這些平臺最近卻紛紛被曝光存在安全漏洞和被黑客利用的可能性。

某種意義上來(lái)說(shuō)，這些消息在提醒我們同一個(gè)問(wèn)題：當我們急切的將資金與用戶(hù)關(guān)系聚集在機器學(xué)習上時(shí)，也可能是將巨大的安全性問(wèn)題捆綁在了身上。

更重要的是，面臨AI安全問(wèn)題，我們中的大部分人還處在很傻很天真的“懵懂狀態(tài)”，對它的邏輯和危害性近乎一無(wú)所知。

本文希望科普一下這些內容，畢竟防患于未然。另外必須提醒開(kāi)發(fā)者和企業(yè)的是，在谷歌這些大公司不遺余力地推廣自家機器學(xué)習平臺，并且為了吸引使用者而快速迭代、大量發(fā)布免費資源時(shí)，開(kāi)發(fā)者本身一定要留個(gè)心眼，不能不假思索地使用。

比起心血毀于一旦，更多的審查機制和更嚴密的安全服務(wù)是非常值得的。

盲點(diǎn)中的魔鬼：機器學(xué)習框架的安全隱患

說(shuō)機器學(xué)習平臺的漏洞，有可能讓開(kāi)發(fā)者的心血付諸東流，這絕不是開(kāi)玩笑。在今年上半年的勒索病毒事件里，我們已經(jīng)見(jiàn)識過(guò)了如今的黑客攻擊有多么恐怖，而勒索病毒本身就是利用了Windows中的漏洞，進(jìn)行針對式攻擊鎖死終端。

可以說(shuō)，在勒索病毒的洗禮之后，信息產(chǎn)業(yè)已經(jīng)進(jìn)入了“漏洞霸權時(shí)代”。只要擁有了更多漏洞，就擁有了大范圍的控制權與支配權。隨著(zhù)黑客攻擊的工具化和門(mén)檻降低，能力一般的攻擊者也可以利用平臺漏洞發(fā)動(dòng)廣泛攻擊。

但在我們愈發(fā)重視“漏洞產(chǎn)業(yè)”帶給今天世界的安全隱患時(shí)，卻不自主地產(chǎn)生了一個(gè)視線(xiàn)盲區，那就是人工智能。

當下大部分AI開(kāi)發(fā)任務(wù)的基本流程是這樣的：一般來(lái)說(shuō)，一個(gè)開(kāi)發(fā)者想要從頭開(kāi)始開(kāi)發(fā)深度學(xué)習應用或者系統，是一件極其麻煩且幾乎不可能的事。所以開(kāi)發(fā)者會(huì )選擇利用主流的開(kāi)發(fā)框架。比如這次被曝出安全隱患的谷歌TensorFlow。

利用這類(lèi)平臺，開(kāi)發(fā)者可以用平臺提供的AI能力，結合開(kāi)源的算法與模型，訓練自己的AI應用。這樣速度快效率高，也可以吸收最先進(jìn)的技術(shù)能力。這種“不能讓造車(chē)者從開(kāi)發(fā)輪子做起”的邏輯當然是對的，但問(wèn)題是，假如輪子里面本身就有問(wèn)題呢？

由于大量開(kāi)發(fā)者集中利用機器學(xué)習框架訓練AI是近兩年的事情，此前也沒(méi)有曝出過(guò)類(lèi)似平臺存在安全問(wèn)題，所以這個(gè)領(lǐng)域的安全因素一直沒(méi)有被重視過(guò)，可能大部分AI開(kāi)發(fā)者從來(lái)都沒(méi)有想過(guò)會(huì )存在安全問(wèn)題。

但這次被發(fā)現的漏洞卻表明：利用TensorFlow本身的系統漏洞，黑客可以很容易地制造惡意模型，從而控制、篡改使用惡意文件的AI應用。

由于一個(gè)投入使用的深度學(xué)習應用往往需要復雜的訓練過(guò)程，所以惡意模型的攻擊點(diǎn)很難短時(shí)間被察覺(jué)。但由于智能體內部的邏輯關(guān)聯(lián)性，一個(gè)點(diǎn)被黑客攻擊很可能將會(huì )全盤(pán)受控。這種情況下造成的安全隱患，顯然比互聯(lián)網(wǎng)時(shí)代的黑客攻擊更加嚴重。

理解了這些，我們可能會(huì )達成一個(gè)并不美好的共識：我們一直在擔心的AI失控，可能根本不是因為AI太聰明想奪權，而是居心不良的黑客發(fā)動(dòng)的。

AI“失控”：一個(gè)今天不得不面對的問(wèn)題

相比于經(jīng)典計算的信息存儲與交互模式，人工智能，尤其是機器學(xué)習類(lèi)任務(wù)，最大的改變之一就是展現出了信息處理的整體性和聚合性。比如著(zhù)名AlphaGo，它不是對每種棋路給出固定的應對模式，而是對棋局進(jìn)行預判和自我推理。它的智慧不是若干信息組成的集合，而是一個(gè)完整的“能力”。

這是AI的優(yōu)點(diǎn)，但很可能也是AI的弱點(diǎn)。試想，假如AlphaGo中的某個(gè)訓練模型被黑客攻擊了，比如讓系統吃掉對方棋子時(shí)偏偏就不打。那么最終展現出的將不是某個(gè)棋招運算失當，而是干脆一盤(pán)棋也贏(yíng)不了。

說(shuō)白了，AI注定是一個(gè)牽一發(fā)動(dòng)全身的東西，所以平臺漏洞帶來(lái)的安全風(fēng)險才格外可怕。

AlphaGo畢竟還只是封閉的系統，即使被攻擊了大不了也就是下棋不贏(yíng)。但越來(lái)越多的AI開(kāi)始被訓練出來(lái)處理真實(shí)的任務(wù)，甚至是極其關(guān)鍵的任務(wù)。那么一旦在平臺層面被攻克，將帶來(lái)無(wú)法估計的危險。

比如說(shuō)自動(dòng)駕駛汽車(chē)的判斷力集體失靈、IoT體系被黑客控制、金融服務(wù)中的AI突然癱瘓、企業(yè)級服務(wù)的AI系統崩潰等等情況，都是不出現還好，一旦出現就要搞個(gè)大事情。

由于A(yíng)I系統緊密而復雜的連接關(guān)系，很多關(guān)鍵應用將從屬于后端的AI體系，而這個(gè)體系又依賴(lài)平臺提供的訓練模型。那么一旦最后端的平臺失守，必然引發(fā)規?；?、連鎖式的崩盤(pán)——這或許才是我們今天最應該擔心的AI失控。

AI產(chǎn)業(yè)的風(fēng)險，在于某個(gè)黑客一旦攻克了機器學(xué)習平臺的底層漏洞，就相當于把整個(gè)大廈的最下一層給炸掉。這個(gè)邏輯此前很少被人關(guān)注，卻已經(jīng)被證明了其可能存在。而最可怕的是，面對更多未知的漏洞和危險，世界范圍內的AI開(kāi)發(fā)者近乎是束手無(wú)策的

家與國：無(wú)法逃避的AI戰略角力

在認識到AI開(kāi)發(fā)平臺可能出現的底層問(wèn)題，以及其嚴重的危害性之后，我們可能會(huì )聯(lián)想到國家層面的AI安全與戰略角力。

今年7月，哈佛大學(xué)肯尼迪政治學(xué)院貝爾弗科學(xué)與國際事務(wù)中心發(fā)布的《人工智能與國家安全》報告里，就專(zhuān)門(mén)指出AI很可能在接下來(lái)一段時(shí)間內，對多數國民產(chǎn)業(yè)帶來(lái)革命性的影響，成為產(chǎn)業(yè)中的關(guān)鍵應用。那么一旦AI安全受到威脅，整個(gè)美國經(jīng)濟將受到重大打擊。

同樣的道理，當然也適用于今天與美國抗衡的AI大國——中國。這次TensorFlow安全漏洞曝光后，我們聯(lián)系了一家國內機器視覺(jué)方向的創(chuàng )業(yè)公司，他們所使用的訓練模型全部來(lái)自于TensorFlow中的社區分享。溝通之后的結論是，如果真受到黑客惡意模型的襲擊，他們的產(chǎn)品將瞬間癱瘓。

這僅僅是一家創(chuàng )業(yè)公司，據了解國內使用TensorFlow進(jìn)行訓練的還包括京東、小米、中興等大型企業(yè)，以及不少科研院所的研發(fā)項目。未來(lái)，很有可能還有更多更重要的中國AI項目在這個(gè)平臺上進(jìn)行訓練部署。當這些東西暴露在黑客攻擊的面前，甚至控制權掌握在別國手中，我們真的可以放心這樣的AI發(fā)展之路嗎？

這也絕不是杞人憂(yōu)天。勒索病毒爆發(fā)之后，追根溯源就會(huì )發(fā)現，這些黑客工具的源頭來(lái)自美國情報系統研發(fā)的網(wǎng)絡(luò )攻擊武器。武器這種東西，制造出來(lái)就是為了殺傷的，無(wú)論是制造者使用，還是被盜后流出，最終吃虧的只能是沒(méi)有防范的那群人。

各種可能性之下，AI安全問(wèn)題在今天已經(jīng)絕不是兒戲。而中國產(chǎn)業(yè)至少能做兩件事：一是組建專(zhuān)業(yè)的AI防護產(chǎn)業(yè)，將互聯(lián)網(wǎng)安全升級為AI安全；二是必須逐步降低對國外互聯(lián)網(wǎng)公司框架平臺的依賴(lài)度，這里當然不是民粹主義的閉關(guān)鎖國，而是應該給開(kāi)發(fā)者更多選擇，讓整個(gè)產(chǎn)業(yè)自然而然地向國家AI安全戰略靠攏。

總之，AI本身的安全防護，已經(jīng)成為了開(kāi)發(fā)者必須在意、大平臺需要承擔責任、國家競爭需要爭搶的一個(gè)環(huán)節。希望永遠都不要看到AI失控事件，畢竟吃一塹長(cháng)一智的事情在互聯(lián)網(wǎng)歷史上已經(jīng)發(fā)生太多了。