人工智能結合物聯(lián)網 三大問題值得關注

我相信你已經聽說過物聯(lián)網(IoT)和人工智能(AI)。但是，你知道這兩個概念之間有什么區(qū)別嗎？或者，人們是不是認為物聯(lián)網和人工智能代表折同樣的事情，兩者交互會發(fā)生什么反應呢？

　　人工智能中的深度學習，近年屢創(chuàng)佳績，首先是 Alpha Zero 在三大棋類成為世界第一，不但打敗人類，還遠遠把人類棋手拋在后面，更打敗其他的人工智能棋手。此外，在視覺辨識與語音識別更是超出人類辨識的水平，就連微軟最近也宣布中翻英的語意辨識能力也達成跟人類能力接近的水平，而這些佳績大大的震驚了人類，人工智能近幾年被大量重視。
　　深度學習需要大量的數據與強大的運算力才可能達成高準確度仿真模型，而大量的數據，在很多方面就必須依靠物聯(lián)網的傳感器收集，透過網絡實時的傳輸集中到服務器；物聯(lián)網的系統(tǒng)，也需要靠人工智能做到正確的辨識、發(fā)現異常、預測未來，以提供好的服務。這也是為什么工研院 IEK 與電子時報的研究單位都談到人工智能結合物聯(lián)網(AIoT)是接下來的重大發(fā)展，而這樣的發(fā)展，影響到各行各業(yè)，甚至會進行產業(yè)顛覆，也就是說，接下來 AIoT 服務，將在我們身邊大量出現。
　　服務一多，AIoT 在各個層面(物-終端設備/聯(lián)-網絡聯(lián)機/網-云端設備)安全的重要性就更加提高，必需處理或預防，以減少問題發(fā)生時造成的損失。接下來，本文將從三個層面(物-終端設備/聯(lián)-網絡聯(lián)機/網-云端設備)來分別切入看可能造成的問題：
　　1、終端設備在安全上有傳輸信息被看光光、設備被操控兩大問題。
　　在終端設備上，很多使用者因為沒有修改設備商提供的原有管理員賬號/密碼(如 admin/admin、 root/r00t…等等)，或是管理員的賬號/密碼很容易被猜出來，在被黑客在找到這臺設備后，以管理員登入而擁有控制權，得到消費者的所有數據，可能讓消費者的相關隱私蕩然無存，例如，在家中穿得很少的清涼裝扮，就可能透過聯(lián)網攝影機傳到黑客家的機器上了。
　　駭入之后，此機器也被控制，可以達成其他目的。例如 2016 年 Dyn 公司的 DNS(由英文網域查到真正數字網域功能)被大量被操控的終端設備攻擊后，讓很多公司的網站(Twitter、Netflix、Airbnb…等等)，因為 DNS 信息無法被終端設備及時查知而無法服務。
　　去年因為比特幣挖礦盛行，也讓黑客開始駭入這些終端機器與云端機器，運用其運算力幫忙挖比特幣，至少造成設備異常大量耗電與通訊傳輸量大增。
　　黑客能控制或干擾終端設備的方法還有以下幾種：
　　(1)終端設備的固件，廠商明明更新了，但終端使用者并不知道要更新，或懶得更新。這也給了黑客可趁之機，利用舊有固件的已知安全問題駭入這臺機器，獲得操控權。這也說明買會不定時升級新的固件的廠商生產的設備，并常常對此設備做固件升級是比較安全的，不然設備被操控后，就等于養(yǎng)了黑客的間諜在身邊。
　　(2)設備沒有驗證收到的信息或命令，就如之前傳出的某些智能音箱會因為黑客發(fā)出的人耳無法聽出的超音波被控制而誤動作。
　　(3)設備本身的物理安全防護不夠，不必要或外露的接頭被黑客使用入侵，或是容易被黑客取下來，讓黑客竄改固件后再放回，這個風險存在已久，這也反映出設備廠商硬件在信息安全相關的設計考慮很重要。
　　2、網絡聯(lián)機的信息安全力不夠，讓黑客可以攔截。
　　這種聯(lián)機的安全出包，輕則得出所有通訊清楚內容(如公司機密被獲取)，更甚者則竄改傳輸內容，讓終端設備們以及云端設備們彼此誤認對方的訊息，而做出錯誤動作：更甚者機器因此被完整操控。
　　例如使用的網絡未加密，當使用時，同在一個場域的黑客就可以透過這個網絡攔截到終端設備與云端設備之間傳輸的信息，讓黑客可以直接抓取出以分析讀取，甚至竄改后再回送，造成系統(tǒng)誤動作。
　　另外網絡聯(lián)機配對不安全，讓黑客找出漏洞破解；或是使用已被攻破或本身被證實不安全的加密算法，都會造成同樣的問題。例如 2016 年傳出的安全連接協(xié)議 Open SSL 的大漏洞，此漏洞會允許黑客執(zhí)行任何程序，就造成了很多大網站(如 Google、臉書、Yahoo…等等)受害，所以 AIoT 的通信協(xié)議就不能用這類被證實有問題的協(xié)議。
　　為了解決消費者自行升級終端設備固件的不便性，讓終端設備能自動更新固件是一種新的趨勢。也就是讓終端設備會進行從網絡下載固件升級(Over The Air，簡稱 OTA)，但如果被黑客找出網絡漏洞，而讓此設備升級了有問題的固件，反而會讓黑客取得終端設備控制權，這個信息安全風險不得不考慮。
　　3、云端設備：黑客利用安全弱點駭入云端設備。
　　黑客在獲得云端設備的控制權后，得到重要信息(特別是公司機密)，或被操控后送出錯誤信息誤導終端設備。
　　缺乏設備驗證、或脆弱的用戶密碼/常用密碼，造成黑客直接登入是常見安全風險。不過，這個部分已經隨著因特網的發(fā)展至今，有二十年以上的歷史，相對的黑客的攻擊方法與安全對應的解決方案也多元。
　　在現在較新面對的安全問題，是人工智能深度學習的介入：黑客可以透過深度學習在虛擬世界中找出網站與設備新的弱點，而做進階持續(xù)威脅(APT)的攻擊。一般的人類信息安全專家，要對抗這種攻擊，會有處理速度太慢的問題，也唯有藉助人工智能深度學習的力量強化，例如從定義正常的網絡行為模式，再用人工智能及時發(fā)現可能異常行為并因應處理，才有可能達成防范效果。
　　由以上可知，AIoT 服務，如果沒有在信息安全做好防護，將會被黑客利用造成重要信息被獲取，有的甚至操控設備：終端設備被操控后，變成客戶身邊的間諜，讓客戶有重大傷害或損失：例如隱私被曝光，不雅照讓名譽受損，人身傷亡或被綁架…等等；云端設備被操控，造成商業(yè)機密被獲取，客戶公司因而損失重大。
　　也因為 AIoT 服務在我們身邊的興盛，已經是必然的趨勢，這些引發(fā)的風險，接下來必須好好預防與及時處理，以避免問題產生時造成的重大損失。