在過去的時間里，全球已經遭受兩次有關勒索的惡意軟件的大型攻擊，這些惡意軟件會鎖住儲存在電腦上的照片和其他文件，然后要求支付贖金。

顯而易見，全球需要更好的防御系統。幸運的是已經開始出現這樣的防御系統了，盡管還剛起步，發展過程仍較混雜。當這些防御系統得以完善的時候，我們可能還需要感謝人工智能。

比起其他攻擊你電腦的惡意軟件，勒索軟件不見得更復雜或者更有要害，但它可能會更令人惱火，有時甚至是一大禍害。大多數木馬病毒不會像勒索軟件機器學習那樣直接當面消除你的電子文件，也不會勒索個幾百美元，讓你瑟瑟發抖。

盡管電腦里存在要修復的系統漏洞，很多人還是不會更新升級安全軟件。然而，近期兩起勒索軟件事件都攻擊了那些沒有安裝幾個月前就更新發布的Windows系統的電腦用戶。

當然，安全監管軟件自身也有問題。根據安全研究人員的說法，在本周的勒索軟件攻擊事件中，所測試的60個安全監管軟件中，最初只有兩個軟件成功攔截勒索軟件。

加州安全供應商專家RyanKalember說，“許多合法應用程序運行起來很像惡意軟件，尤其在Windows系統上，所以而且很難將兩者區分開來”。

在早期，可以識別出病毒等惡意程序，并將其代碼與已知的惡意軟件數據庫相匹配。但該技術還是依賴于數據庫，新變異的惡意軟件一旦出現，就能輕松躲過監測。

因此，安全監管軟件公司開始通過辨別軟件運行模式來監測惡意軟件。至于勒索軟件，監管軟件可以監測那些重復加密鎖定文件的運行模式。但這也會標記像文件壓縮這樣正常的計算機運行方式為惡意行為。

更新的技術涉及尋找綜合的運行方式。例如，新西蘭安全公司Emsisoft的首席技術官FabianWosar說，一個程序開始加密文件，而不顯示屏幕上的進度條，可能會被標記為暗中運行方式。但這也有可能出現因鎖定一些文件，導致太晚識別惡意軟件的風險。

更好的識別方法是監測通常跟惡意軟件目的相關的一些顯性特征。例如，有的程序會偽裝成PDF圖標，以隱藏其惡意軟件的事實。這種惡意軟件的性能分析不需要精確的代碼匹配，因此惡意軟件無法輕易躲過監測。而且這種監測可以先于具有潛在危險的程序運行之前進行。

機器VS機器

僅兩三個特征可能無法正確區分惡意軟件和合法軟件。但幾十個特征呢？幾百個呢？甚至幾千個呢？

為此，安全研究人員求助于機器學習，也是人工智能的一種形式。安全系統分析了惡意軟件和合法軟件的樣本，并找出了惡意軟件的綜合因素。

遇到新軟件時，系統會自動計算出它可能是惡意軟件的概率，并阻止那些概率高于某一閾值的軟件。如果有些軟件想要通過監測，就需要改進運算或調整閾值。研究人員有時碰到新的惡意行為，便在機器上做出新調整。

一場軍備競賽

另一方面，惡意軟件作者也可以獲取這些安全監測工具，并對代碼進行調整，以判斷惡意軟件是否能躲過檢測。一些網站已經開始提供針對主要安全系統的軟件測試。最終，惡意軟件作者可能會開始他們自己的機器學習模式，以擊敗安全的人工智能系統。

加州供應商CrowdStrike的聯合創始人和首席技術官Alperovitch說，“即使某個安全系統提供99%的保障系數，但如何在多次攻擊中成為躲過的那1%，僅僅是一個數學問題。”

不過，運用機器學習的一些安全軟件公司聲稱，已經成功阻止了大多數惡意軟件，而且不僅僅是勒索軟件。SentinelOne提供100萬美元來攔截惡意軟件。

一個根本性的挑戰

為什么勒索軟件還能在最近幾周內傳播呢？

隨著許多軟件將運行監測和機器學習技術結合，即使是一些免費的殺毒軟件，也能攔截各種新形式的惡意軟件。

但這類軟件仍依賴于惡意軟件數據庫，用戶通常無法及時更新數據庫。諸如CrowdStrike、SentinelOne和Cylance之類新一代服務公司傾向于徹底拋棄數據庫，轉而使用機器學習。

但這些服務主要面向企業客戶，每臺電腦每年收取40至50美元的費用。規模較小的企業往往沒有這類的預算。

忘了提消費者，這些安全服務公司還沒有向他們銷售產品。雖然Cylance計劃發布一個消費者版本，但該公司表示，在有人遭到惡意軟件攻擊，或認識的某位親友有這種遭遇之前，這都將是一項艱難的銷售。

正如Cylance首席執行官斯圖爾特Stuart McClure所言：“沒遭受龍卷風的襲擊前，你怎么會去買龍卷風保險呢？”