极棒作为一项 “破解现场秀” 的项目，已经不知不觉走到了第五年。10 月 24 日，以 “Geek Me 5” 为主题的极棒再次在上海喜马拉雅中心如约而至。

漏洞永远是破解、入侵过程中永恒不变的话题，在今年的极棒现场，登场的安全研究人员展示了如何利用手机、路由器、工控设备的漏洞，实现后门安装、DNS劫持、设备控制等多种攻击。其中，包括了多个之前未被披露的漏洞。

相比于漏洞利用，这一永远不变，却几乎遍及安全方方面面的话题，人工智能、云安全攻防却是近年来逐渐引起越来越多注意的方向。本次极棒大赛不仅延续了去年的 CAAD 图像对抗样本攻防赛，更新添加了 CAAD 隐身挑战赛；另一方面，现场有 6 支队伍参与了云环境的安全挑战赛，基于真实的云环境进行安全挑战。

今年的 CAAD CTF 图像对抗样本攻防赛依然延续了去年的三个板块：“非定向识别”、“定向识别” 与 “人脸识别”。在 “非定向攻击” 中，选手只需要用一张对抗图片欺骗三款开源分类器，让这些系统误认为图片内容是其他任意事物；“定向识别” 则要求选手使系统错认为图片是某一特定事物；而在 “人脸识别” 的挑战中，则要求选手欺骗谷歌、亚马逊与 Clarifai 人脸识别系统，将主持人黄健翔的照片错认成一名美女。

在去年的比赛中，有一支队伍对亚马逊的识别系统欺骗成功；而在今年的比赛中，亚马逊似乎在过去的一年里为自己的系统进行了大量的训练与优化，并未被欺骗。另一方面，谷歌作为全球领先的技术大厂，也防住了选手一次次的尝试。尽管如此，来自清华大学的 TSAIL 战队依然成功欺骗 Clarifai 系统一次，使得系统将黄健翔照片错认成伊万卡•特朗普；虽然图片的置信度很低，但是依然算挑战成功。最终，TSAIL 作为唯一突破第三关的战队，外加在前两关的优秀表现，成功在该项比赛中夺得第一名。

另一方面，越来越多的监控系统通过使用 AI 来判断是否有人经过。今年极棒的另一项 CAAD 挑战就是让选手在一张 A4 纸上打印一张图片，来分别干扰谷歌与 YOLOv3 两款系统：志愿者手持图片站在摄像头前，但要让系统误认为摄像距离内没有人。打分标准依据是摄像头的距离与所用图片的大小。因为要求图片在摄像头画面中的尺寸尽可能小，因此原图像越小，距离摄像头越远，得分越高。最终，三支战队都在距离 1 米的地方成功欺骗了 YOLOv3 系统，但是由于 TSAIL 战队所用的图片大小最小，最后获得冠军。

CAAD隐身挑战赛

评：无论是人脸识别，还是人形识别，在我们未来的生活中都有着重大安全意义：支付已经开启了人脸识别，监控系统通过辨别人形进行安全检测等。一旦攻击者可以利用图像干扰并误导相关系统，将给个人与社会带来极大的威胁。但是值得安心的是，在这次极棒的舞台上，尽管选手都有一定的攻击成功情况，但是对环境的要求很严苛，同时精准度也不足，确保了在合理使用相关系统的情况下，拥有相当稳定的安全性。

“上云” 已经从趋势成为了必然，云安全就成为各个企业必然会考虑的问题。这一次在极棒的舞台上，极棒与腾讯云鼎实验室联合推出的 “云安全挑战赛” 是全球首个基于真实通用云环境的安全挑战赛，覆盖全路径攻击与防御。

赛题设定了四个难度级别，共十六道真实攻击场景赛题。其中，前两个难度以开源云平台为基础环境，相对而言缺少足够的安全防护；而从第三难度开始则是基于真实的商务云环境，拥有各类防护能力。最终 0ops 战队率先突破 9 道赛题，累计得到 2210 分，拿下云安全挑战赛一等奖，复旦白泽、r3kapig 分列二、三位。但最终没有一支战队突破最后一个级别的挑战。

赛后，腾讯云鼎实验室副总监李滨对比赛进行总结。他表示，用户对云安全主要集中在三个方面：云平台自身的安全、（即使云平台被攻击者成功入侵）云台上的数据安全、以及云平台的攻击响应。而随着云在越来越多的领域，甚至是基础设施中被应用，云安全的攻防是必然的结果。李滨提到，在设计赛题的时候，前 10 题是预计能够可以现场解出的，而之后的 6 题则是相对有一定难度的；在极棒短暂的比赛时间中，能达到解完 9 题的高度实属不易，在赛后还需要更多的时间去研究。

另外，在未来的两个月，腾讯云鼎实验室也会联合极棒一起发布《2019云安全威胁报告》，分析这两年来主要云上的威胁、攻击趋势和潜在未揭露的趋势，以及腾讯总结的八纵八横的攻击路径。

评：随着云在各个领域的使用越来越普及，对于云安全的要求也越来越高。但是不知攻，焉知守？对于攻防，我们现在不能只单纯地依靠恶意的攻击者来累积经验，更需要虚拟平台来模拟攻防，进一步完善防御体系。这一次基于真实云环境的攻防平台，不仅是云安全的进步，也是虚拟化演练平台的一大步。希望未来会有更多针对不同环境的虚拟平台出现，帮助安全从业者有更真实的训练与研究空间，为完善安全防护体系创造更贴近现实的条件。

除了漏洞、AI、云平台以外，这次极棒还针对近年来频繁曝出的偷拍事件进行了反偷拍大赛，还有针对青少年的青少年机器特工挑战赛等活动。而在主会场外，腾讯安全、华为终端安全、百度安全、OPPO 安全、小米安全、京东安全等也在展位上进行多种有趣的测试，包括极棒自身构建的地贴解密游戏、反偷拍训练营等活动，都是比赛之外的亮点。

相关阅读

破解AI是为了更好的利用AI：GeekPwn揭示安全新方向

GeekPwn 2017 ：从击败AI到盗窃奥特曼

2016上海滩再续“极”情！