【观察者网TMT报道】“想哭（WannaCry）”勒索病毒已经扩散至全球100多个国家和地区，被感染的电脑需要支付高额赎金才能恢复数据，医院，教育机构成为重灾区。更糟的是，病毒仍在进行变种，腾讯反病毒实验室告诉观察者网，腾讯方面及时响应此次攻击事件，初步判断WannaCry病毒在爆发之前已经存在于互联网中，并且病毒目前仍然在进行变种，有的样本名称已经变为“WannaSister.exe”，从“想哭(WannaCry)”变成“想妹妹(WannaSister)”。

在这个病毒肆虐、黑客横行的世界之中，从事非法黑产交易的黑客们正在从漏洞中谋取暴力，不过，与此同时，却有一群白帽黑客聚集在一起，上演一出出脑洞大开的科技秀。5月13日，中国、俄罗斯、韩国的顶级安全极客登上邮轮“云顶梦号”，参加了2017国际安全极客大赛极棒（GeekPwn）年中赛。来自世界各地的天才少年极客们，凭借前沿的技术，以及全新的破解思路各显神通，挑战智能领域一切漏洞，共享单车、智能家居……被安全极客“黑”的够惨。

大赛创办人王琦对观察者网表示，“近两年的很多互联网的初创公司，可能连风控都没有，更不可能有什么专门的安全部门，但是膨胀的速度特别快，沉淀特别多的用户，平台里面又有这么大的漏洞。”

大赛创办人王琦

白帽黑客是什么

很多普通人对GeekPwn赛事和白帽黑客两个名词还很陌生，实际上，白帽黑客与黑客相对，指那些用自己的技术来攻击系统，测试网络和系统的性能，以帮助各大公司提高安全性的一群人；GeekPwn中Geek意为“极客“，Pwn为“攻破设备或者系统”；GeekPwn的意思就是极客攻破新设备和系统。

GeekPwn赛事由国内信息安全团队碁震（KEEN）于2014年发起并主办，根据大赛的破解项目，以及在GeekPwn活动中提交的安全问题，GeekPwn组委会将在两周内将安全问题细节提交给相关厂商。GeekPwn赛事与Pwn2Own、Defcon并称为世界三大黑客赛事。

碁震CEO，GeekPwn大赛创办人王琦在此次赛事中接受采访时所说：“从来没有一场活动像极棒一样在两三年内消灭这么多严重的安全问题。今天我们站在这里，依然持续保持我们的初心，让那些优秀的安全人才站在这个舞台的中央，见证他们消灭安全漏洞，保护我们的智能生活。”

覆盖全领域

作为首次在海上进行的安全极客大赛，此次GeekPwn挑战覆盖智能出行，智能家居、智能手机、智能手表等几乎智能生活的所有领域，通讯、娱乐、支付、交通、网购、家居等产品的漏洞也在白帽黑客的手中一览无余。

共享单车？共享你的账号

共享单车是目前国内共享经济的最大风口，同时处于野蛮生长指责。本次参赛选手中唯一的女黑客“tyy”就把目标对准了这一领域。

唯一女选手tyy挑战共享单车漏洞，最后获得最佳表现奖

比赛现场，“tyy”利用漏洞成功获取了评委老师的共享单车账号、余额、骑行记录等隐私信息，通过场外连线用评委的共享单车账号开锁、骑行消费。“tyy”利用业余时间钻研安全技术，用1个月的时间就找到4款共享单车——小鸣、永安行、享骑、百拜的漏洞。实际上，除了演示的4款单车漏洞，主流的两大共享单车同样被发现漏洞，不过厂商很快修复了这些问题。

平衡车也能远程操控

在智能出行上躺枪的还有小米9号平衡车。

安恒海特实验室的rainman利用组合漏洞，通过电脑蓝牙连接平衡车，在电脑上运行脚本，就可绕过密码，通过程序脚本完全远程控制平衡车，让其无法移动和关机。

不过选手也表示，这次发现的漏洞适用于无人状态下，在平衡车上有人时，是无法实现远程操控的。

手表变成窃听器

资深安全工程师“小灰灰”则揭露了当前主流儿童智能手表存在的安全漏洞。

黑客的电脑变成了孩子的手表，与爸爸的手机APP进行语音消息伪造、回拨伪造、静默监听伪造、轨迹位置伪造等。

接管手表很容易

他甚至可以修改掉儿童智能手表上爸爸手机号，将其设为为黑客手机号，孩子用手表给爸爸打电话，黑客则接到了电话。

这些高危漏洞不仅会造成儿童与家长的敏感信息泄漏，还能被利用进行配置修改、信号劫持，甚至是完全控制。

接管你的手机

国产手机市场中销量前三的OPPO也成为攻击的目标。

寓意为白帽咖啡组合的“cafe team”让手机在安装一个特定 APP 之后，通过发送指令让手机的解锁密码或指纹去除，因此再次解锁手机时则不需要密码、指纹。

现场观众表示：“这一切发生的太快了，感觉好像我自己被他从这个世界上抹去了。”

生化危机？手机变僵尸

最令人咋舌的是来自腾讯玄武实验室X兴趣小组带来一种新的移动安全威胁模型——Wombie Attack。

腾讯玄武实验室X兴趣小组

Wombie Attack技术通过被感染者在地理位置上的移动来实现攻击扩散，很类似僵尸题材电影的情节——被僵尸咬了的人也变成僵尸，会再去咬其他人。

Wombie Attack不但可以实现传染式攻击，而且攻击过程不依赖互联网，所以甚至无法从网络层面检测攻击。

选手在现场演示了用一台手机 A入侵附近的手机 B，并将手机 B 改造为新的攻击者。然后手机 B 在靠近手机 C 时会自动入侵手机 C，并窃取了 C 中的数据。当 B 再次`回到 A 附近时，A 又从 B 上取得了从 C 中窃取的数据。

比赛现场图

完善AI更重要

除了以上这些漏洞，白帽黑客还把目标瞄准了当局最火的人工智能（AI）领域。AI已经广泛应用于生活的诸多场景中，包括实时语音翻译、目标识别、自动驾驶、人脸识别、人机对话等等。其中AI的图像识别能力至关重要，一点点差错就能酿成大祸。

更加严重的是，当不法分子掌握了“蒙蔽”AI的技术，就可以利用这种技术传播暴力图片、色情图片或恐怖主义宣传图片甚至是进行蓄意谋杀等犯罪活动。值得注意的是，这种攻击手法不仅仅表现在图像上，音频、视频等都是潜在的攻击形式。

“如果说正确样本能够产生正确的决策，那么黑客通过离线模拟产生的AI攻击样本，则可能给人工智能带来错误的决策和行为。”王琦大胆预言，面对深度依赖学习样本的人工智能，人人都可以成为黑客，连代码都不用编写。

不过，白帽黑客从对抗的思路出发，寻找AI潜藏的风险并不断帮助其完善，帮助人工智能安全健康成长。“对于人工智能的看法目前分为两派，悲观主义者认为人类研发人工智能可能是在自取灭亡。如果真的有那一天的话，白帽黑客可以做的是保护AI安全发展。”王琦说。