从 AIxCC 大赛看下一代 AI 漏洞挖掘

近日，拜登政府宣布发起为期两年的人工智能网络挑战赛（AI Cyber Challenge，简称 AIxCC），以推动自动化网络攻防技术的发展，保护美国的关键软件。该竞赛将由美国国防高级研究计划局（DARPA）牵头，旨在利用 AI 安全技术快速识别和修复关键软件漏洞。

这也是自 2014 年以来，DARPA 发起机器自动化网络对抗的超级挑战赛（CGC）之后，再次牵头主办的“人工智能网络挑战赛”。据白宫科技政策办公室主任 Arati Prabhakar 表示，谷歌、微软、OpenAI、Anthropic 等 AI 领先厂商已经同意为这项赛事提供“他们的专业知识和平台”。开源软件社区也将参与此次人工智能挑战赛，保证竞赛设计能够解决“现实世界”面临的挑战。

该大赛的半决赛将于 2024 年的 DEF CON 大会期间举办，而决赛将于 2025 年的 DEF CON 大会期间举行，冠军奖金高达 400 万美元。整个赛事的奖金总额为 1850 美元（约合人民币 1.33 亿元）。

不论是从时间成本，还是资金投入，都可见拜登政府对此赛事的重视程度非同一般！

放眼国内，近年来我国信息安全安全体系日趋完善，智能化攻防技术也得到了迅速发展。自 2017 年起，RHG（Robot Hacking Game）竞赛在国内逐渐兴起，它与美国 DEF CON 推出的 CGC 大赛相似，这一类竞赛的目标是推动智能化攻防技术进步，都标志着漏洞攻防正逐步向智能化方向演进。 

尤其是在今年，GPT 大模型井喷式发展，生成式 AI 让世人享受到技术变革带来便利的同时，也面临着更严峻的安全考验，诸如该技术应用后是否会带来更多的安全威胁？是否会被黑客利用从而发起恶意攻击？这些潜在的安全隐患，都引起了各国政府的高度关注。

现如今，攻击技术与防御手段不断革新，为建立全自动化的攻防体系，智能模糊测试技术变得格外重要。智能模糊测试是一种自动化的软件安全与健壮性检测技术，它通过 AI 算法构造海量的非预期测试数据并对应用程序进行“破坏”，以触发崩溃，从而发现应用程序或系统中的安全漏洞与缺陷。

在 CGC 或 RHG 这类基于人工智能的网络安全挑战赛中，模糊测试技术都是参赛队伍的首选。因为该技术不仅自动化程度高，还有着测试覆盖度高、缺陷检测精准与可复现等特点。

为了进一步提升模糊测试的漏洞检测能力，研究人员也在尝试将 GPT 大模型的能力与智能模糊测试技术相结合，目前已取得了阶段性成果。

首先，通过 AIGC 与模糊测试相结合，模型可以根据历史漏洞数据和程序的行为特征生成更高效的测试用例，从而大幅提升测试用例质量与漏洞检测效率。

其次，在漏洞修复方面，模糊测试和 AIGC 的结合能够更加快速和准确地进行代码漏洞修复。传统的漏洞修复方法需要人工验证漏洞是否被修复，这个过程比较繁琐和耗时。而融合了 AIGC 技术的模糊测试可以自动生成触发代码并验证漏洞修复的效果，减少了人工验证的时间和成本，提高了修复的效率和准确性。而且在漏洞修复后，继续通过 Fuzzing 技术进行测试和验证，可确保修复后的代码不会引入新的漏洞或问题。

伴随着 AI 技术高速发展，人工智能攻防大赛将更加注重自动化、智能化和多样性。为了应对愈发复杂的网络安全挑战，参赛者们也需在模糊测试、符号执行、机器学习、强化学习以及对抗性机器学习等领域积累更丰富的理论及实战经验。

云起无垠作为新一代 AI 赋能软件供应链安全实践者，在网络攻防领域有着深厚的研究和实践经验积累。安全团队成员由国内顶尖蓝莲花战队、天枢战队核心成员组成，曾多次征战世界级 CTF 竞赛，并取得佳绩。

结合模糊测试技术积累和大赛实战经验，云起无垠率先推出了 RHG 培训服务，旨在帮助企业和机构培养高素质的网络安全人员。RHG 培训课程涵盖了基础级、入门级、专业级、竞赛级四个级别，通过学习，学员可以提升自动化漏洞挖掘技术，在实战中提高自身安全攻防水平。

随着 AIGC 等概念的不断普及和发展，人工智能攻防也将进入一个全新的时代。未来，人工智能与模糊测试的融合也将拥有更加完备的效果，对网络攻防贡献更多力量。云起无垠欢迎大家来交流学习，掌握更新更有效的安全能力！