2017 极棒黑客大赛硅谷站圆满收官！

向那些疯狂的家伙们致敬：

他们特立独行，

他们桀骜不驯，

他们惹是生非，

他们格格不入，

他们不墨守成规，

他们也不安于现状。

——Think Different

当你一遍遍输入着那些“调戏”智商的验证码时，有人花了六个月的时间研究出如何自动化地识别它们。

在你一次次暗喜没有中了那些恶意链接的“坑”时，有人发现原来你访问的每个非 HTTPS 加密网站都是有可能是“陷阱”。

当你听说人工神经网络在一些方面能够超越人类时，有人开始考虑它们绝对安全吗？神经网络难道就不会犯错吗？

11 月 13 日，来自谷歌、苹果、英伟达、特斯拉、加州大学伯克利分校等数十家科技公司及知名高校的上百位安全从业者、极客爱好者、AI 研究者，汇聚在美国加州山景城的计算机历史博物馆——

因为，GeekPwn （极棒）黑客大赛来了！

作为一个诞生于国内、短短四年已经拥有众多国际选手和多项“全球第一”安全挑战项目的黑客比赛，GeekPwn 以至高荣誉和丰厚奖金为才华横溢的黑客打造出一条“梦想之路”。

“我希望，不是因为做坏事，才有人记得我们，”这是极棒发起创办人、KEEN 创始人兼 CEO 王琦（大牛蛙）时常挂在嘴边的一句话。

黑客与 AI 又一次亲密对抗

加州大学伯克利分校教授、Taint Analysis 理论的主要贡献者之一、美国“麦克阿瑟天才奖”获得者、极棒大赛荣誉顾问 Dawn Song 说：“深度学习的确提高了安全防御的能力，另一方面 AI 也在为攻击方所用。”

三位独立安全研究员李伟、沈里、焦晓瑾团队现场挑战 Google 验证码系统 reCAPTCHA。他们通过六个月研究，用深度神经网络打造出一个能够自动识别图像验证码的“机器人”。

在短短 20 秒内，就自动识别出图像区域并通过验证。让全球使用最为广泛的“图灵测试”在他们面前形容虚设。作为此次硅谷站独树一帜的 AI 攻防挑战项目，他们最终赢得 20000 美元奖金。

现场不仅有人工智能的挑战，还有 AI 安全专家的干货分享。

谷歌大脑研发工程师 Alexey Kurakin 围绕“对抗性机器学习”领域的最新研究成果，他解释了“对抗性样本”可能仅仅是数据输入中的一点小变化，却会对分类器的标签产生质的改变。

面对“对抗性攻击”，需要从黑盒与白盒不同形式、数字与物理不同环境分别考虑。通过“对抗性训练”防御“对抗性攻击”几乎是无效的，因此 Alexey 建议通过竞赛等形式挖掘出尽可能多的“对抗性样本”并提升机器学习模式的鲁棒性。

加州大学伯克利分校博士后李博参与的团队实验也证实了“对抗性样本”对现实生活的产生真实影响。他们在交通标志上加上了便签条，在人类视觉中依旧可以看出是巨大的“STOP”停车标志，但是机器却 48 31596 48 15264 0 0 990 0 0:00:31 0:00:15 0:00:16 3156没有“看出来”。

李博表示他们今后的研究会推向成型的自动驾驶汽车，发现并披露真实存在的安全威胁。谷歌机器学习工程师 Ian Fischer 则介绍了一种更加高效地生成“对抗性样本”的方法，ATNs（Adversarial Transformation Networks）。

新型 TCP 劫持，技惊全场

GeekPwn2016 澳门站选手曹跃成功利用 Linux 中存在的漏洞对任意非 HTTPS 网站进行远程 TCP 劫持，据了解，这个漏洞还影响全球 14 亿安卓手机用户，“Linux 之父”林纳斯·托瓦兹亲自参与漏洞修复。

这一次，曹跃的导师、也是漏洞发现者、加州大学河滨分校助理教授钱志云携另一位高徒陈伟腾再战 GeekPwn，他们利用 Wi-Fi 功能导致的侧信道实现了 TCP 旁路注入，由此成功窃取了用户输入在一个非 HTTPS 加密网站上的密码，用时不超过两分钟。

钱教授表示，上次演示作为攻击目标的《今日美国》网站后来进行了全站 HTTPS 加密，也算是贡献了自己的绵薄之力。连百度安全负责人、极棒评委韦涛教授都直呼：“这是一个几乎不可能修复的 Wi-Fi 缺陷！”最终获得 15000 美元奖金。

大变活人？手机？手雷！

随着指纹、虹膜、声纹等生物识别技术的普及，越来越多的智能设备、公共场所用这些技术取代了数字密码以及身份验证。但是极棒实验室总监、AI 安全专家王海兵从数据采集、储存以及判断三个阶段，一一为大家介绍了攻击生物识别系统的极棒案例，包括人脸识别门禁、训练合成音频突破声纹识别锁等。王海兵告诫大家，慎重选择智能产品，生物信息泄露造成的影响可能伴随终生。

Nick Stephens 此次分享了他在 GeekPwn2016 上海站比赛时用到的“一系列漏洞利用打穿手机 Trustzone”，能够实现任意人解锁指纹手机。

GeekPwn2017 香港站的比赛中，腾讯安全玄武实验室的研究者郭大兴和刘惠明带来了一种全新的“移动安全威胁模型”——不依赖网络进行传播的 Wombie Attack。此次硅谷站上刘惠明讲到，此前曝光的针对 WPA2 加密协议的 KRACK 攻击一旦与 Wombie Attack 相结合，产生的危害恐难估量。

后续会现场嘉宾分享 PPT 陆续公开，记得关注！

GeekPwn2018 年中赛相约硅谷

GeekPwn 组委（部分出席）宣布明年 5 月 12 日举行的年中赛坐标继续锁定硅谷，同时选手招募也已经启动，奖金池高达 80 万美元。

目前比赛分为 “PWN AI”、“AI PWN”以及“无所不 PWN”，继续向人工智能抛出安全拷问。

此外，2018 年中赛保留了极棒 2016 年首创的“机器特工”挑战赛，鼓励更多机器人爱好者、安全极客等打破行业与专业的界限，进行更多有趣的尝试与探索，机器人能否揭掉物理隔离网络的“安全假面”，答案就在明年硅谷站揭晓！

因为对金星的崇拜，希腊人让古代奥林匹克运动会每八年一次，而那正是金星的运行周期。

因为对极客的崇拜，GeekPwn 想让每年 512 和 1024 成为使你最骄傲的日子。

他们发明，他们想象，他们治愈，

他们探索，他们创造，他们启迪，

他们推动人类向前发展。

也许，他们必需要疯狂。

——Think different