360“一戰”進入區塊鏈？好吧， 至少在外界看來， 360從一個區塊鏈的旁觀者轉身就成了區塊鏈的參與者。
事實也的確如此。 5月30日中午， 360集團創始人兼CEO周鴻禕接受火星財經發起人王峰在3點鐘區塊鏈微信群“王峰十問”中， 直面外界直面外界質疑， 並表示區塊鏈平臺EOS存在的多項高危漏洞， EOS官方是確認真實有效的， 並否認“陰謀論”這一說法。
昨日， 北京奇虎科技有限公司（簡稱360）官方微博表示， 360公司於近日宣佈， 其團隊發現區塊鏈平臺EOS多項高危安全性漏洞。 360集團創始人兼CEO周鴻禕在微博上稱， 這一漏洞價值超過“百億美金”，
周鴻禕表示， 安全廠商對外公開披露的漏洞， 一定是先和對方溝通， 提交給對方去修復， 在得到他們修復的確認之後， 然後再公開。
“非常明確地說我們先私下聯繫了BM 通知了他們EOS漏洞 希望他們先修復， 這都是有聊天記錄截屏的， 等到EOS修復了， 我們再對外發佈這個漏洞公告。 ”周鴻禕認為EOS目前估值已有百億美元， 所以漏洞價值“百億美金”並不誇張。
“如果漏洞被人利用， 就不僅僅是接管網路裡面的虛擬貨幣、各種交易和應用， 而是可以接管節點裡面所有參與的伺服器。 拿到伺服器許可權， 就可以為所欲為。 ”他說。
對於外界質疑360是否單方面做空EOS的說法， 周鴻禕說：“從披露漏洞的時間來看就知道肯定不是在做空。
最後， 周鴻禕公開呼籲大眾關注區塊鏈技術的同時也應該注意區塊鏈安全。
“我們一定要記住， ‘沒有攻不破的網路’， 只有沒被發現的漏洞， 或者被發現沒公開的， 不存在沒有漏洞的網路。 所以， 我們希望無論是區塊鏈行業， 還是其他行業， 要能夠正視網路安全問題的重要性。 ”
下附“王峰十問”完整版
披露漏洞是安全公司職責所在
王峰第一問：此前從未過多關注區塊鏈行業， 但此次通過爆料EOS嚴重安全性漏洞之際， 360閃電出擊， 在一天之內連續公佈了與幣安、歐鏈、EOSLaoMao、Dbank等項目的合作， 這是為什麼？看起來你是蓄謀已久， 後面還有大招。
周鴻禕：其實也沒有謀多久，
在這個過程中， 我們和業內很多項目也都有過接觸溝通和交流， 心態比較開放的， 也希望大家能夠關注安全問題， 後續繼續保持開放心態， 歡迎大家來交流合作。
我們最近發現了很多區塊鏈系統、交易所系統、錢包系統存在問題。 最近EOS準備上線， 在區塊鏈行業裡非常具有代表性， 我們這次發現EOS漏洞， 提交給對方， 希望督促他們修補系統， 所以披露漏洞， 是安全公司的職責所在。
沒有大家想像的蓄謀已久，
漏洞價值“百億美金”並不誇張
王峰第二問：在360公佈#3498 EOS漏洞之前， EOS的bug已經在Github上提交了3497條， 但360出手前鮮有人關注並產生如此之大的影響。 實話實說， 你如何看待昨天披露安全性漏洞的嚴重程度？為什麼稱這個漏洞價值百億美元？為什麼360安全衛士在微博上將之稱為“史詩級”漏洞？
周鴻禕：我先來解釋下這個漏洞被人利用可以用來幹什麼。 如果漏洞被人利用， 可以控制EOS網路裡面的每一個節點每一個伺服器， 那就不僅僅是接管網路裡面的虛擬貨幣、各種交易和應用， 也可以接管節點裡面所有參與的伺服器。 拿到伺服器許可權， 就可以為所欲為。
再說“史詩級”， EOS在區塊鏈發展史上的重要性大家肯定知道， 如果說， 這個漏洞我們沒有提出來， EOS沒有修復， 等到EOS主網上線， 被惡意的駭客發現並利用了， 那時候EOS會不會一夜之間就被搞掉了， 我們都不好說。 EOS現在的估值至少百億美金了， 所以我覺得這個漏洞價值百億美金並不誇張。 另外就是這個其實是我們安全圈內部的說法， 是半個舶來語。 “史詩級”是從“Epic”翻譯過來的， 國外安全社區經常用“Epic bug”或者“Epic fail”來形容比較重大的安全性漏洞。
遵循行業標準， 先報告再修復最後公開
王峰第三問：今天淩晨， EOS創始人BM在電報群中回應360披露的EOS安全性漏洞問題， 稱360報告中提到的漏洞早已被EOS修復， 且早於360發佈報告的時間。 對於漏洞本身， BM稱大部分漏洞是來源於協力廠商代碼庫而非EOS核心代碼；且該漏洞並不能改寫可執行記憶體， 且不能獲得Root許可權，除非部署節點時就已經是以Root用戶身份來運行。BM的回應，暗指360製造恐慌，並聲明對於任何挑起市場恐慌的行為將取消其獎勵資格。對此，你怎麼看？
周鴻禕：對於已經修復這個事情，我還是需要和大家普及一個知識，安全廠商對外公開披露的漏洞，一定是先和對方溝通，提交給對方去修復，在得到他們修復的確認之後，然後再公開。非常明確的說我們先私下聯繫了BM 通知了他們EOS漏洞，希望他們先修復，這都是有聊天記錄截屏的，等到EOS修復了，再對外發佈漏洞公告。這不僅僅是對EOS，對微軟穀歌蘋果都是一樣的。我們遵循了負責人的行業標準流程，報告——修復——公開。
我們現在還在和對方繼續保持溝通，對方對我們表示感謝，也表示會給我們發放漏洞獎金，會對外發致謝。
EOS他們提到的這個root許可權，root許可權是指電腦系統裡面的最高許可權。是否獲得root許可權也是一樣的。如果用戶使用root許可權運行EOS，那麼攻擊者就可以獲取root許可權。
至於製造恐慌，如果說我們製造恐慌，直接在主網上線時放出這個（消息），恐慌效果一定比現在要好的多。在這整個過程中，360都是非常負責任的嚴格遵循安全行業的安全性漏洞披露原則。我們作為國內最大的一家安全廠商，在全球也是排名前三的安全廠商，我們希望和全球同行和科技公司一起，解決網路安全問題，降低網路安全問題給使用者帶去的損害。幫助大家發現漏洞，修復漏洞，讓大家提供安全放心的產品給使用者，使我們共同的責任。
區塊鏈作為新興的技術方向，我們參與進來，無論是這次披露EOS漏洞，還是之前和其他區塊鏈機構的溝通，都是希望和大家一起共同構建安全放心的區塊鏈產品和服務。
王峰：今年的區塊鏈最大的話題就是EOS，現在很多人都擔心EOS會延期發佈公網版本，這個安全隱患被曝光後，更多人關心他們的發佈時間。以360安全技術團隊評估，EOSDawn4.0的公網版本是否有可能推遲發佈。
周鴻禕：我認為應該延遲上線，我們安全團隊還在發現一些EOS漏洞，也會第一時間及時的提交給他們，我們建議修復之後再上線。
否認將與EOS合作
王峰第四問：此次發佈EOS漏洞事件，讓Vulcan（伏爾甘）團隊一戰成名，可是此前行業內很少有關於他們的消息，大家對他們依然陌生，能否向我們具體介紹下他們？我們注意到，你最近不斷提及360安全大腦，能一併介紹下嗎？在這個事情上，你們安全大腦團隊跟BM團隊是通過telegram直接交流的，你們實質接觸是從什麼時候開始的？坊間說，你們和EOS很快合作要公佈，你方便在這裡透露嗎？
周鴻禕：你們說的行業內，肯定不是安全圈子裡。360Vulcan團隊在安全圈子裡，大家應該多多少少都知道。Vulcan最早是360安全衛士的攻防研究團隊。有一年他們要參加Pwn2Own，這是一個比較厲害的世界駭客大賽，所以他們組了一個小組，就是Vulcan團隊。
他們在攻防研究，挖掘廠商漏洞和幫助廠商修復漏洞上實力很強。他們2015年組隊去參加Pwn2Own時就曾獲獎，當時用了17秒攻破了微軟的IE11,是歷史上首支成功攻破IE的亞洲團隊。Pwn2Own駭客大賽上，Vucal團隊連續多年斬獲了十幾項冠軍，在Pwn2own 2017比賽中上更是拿到了世界總冠軍。
簡單說，360安全大腦，是一個具有感知能力、學習能力、推理能力、預測能力和決策能力的綜合性智慧系統。360安全大腦能夠幹什麼？這次EOS漏洞的發掘，其實就是結合360安全大腦和安全專家的能力。
再給大家舉個例子說一下吧。不知道大家記不記得2016年美國曾遭遇過一次大斷網事件，這個事情後來查出來了，是駭客利用安防智能攝像頭搞了一次DDoS攻擊，360被邀請參與了事件的緊急處置，最後還受到了FBI的致謝。
其實這個事情發生之前，我們就在安全社區裡做了預警，我們是最早做過預警的。是360安全大腦，發現了有針對安防智慧攝像頭的異常訪問流量。安全大腦是人工智慧基於大資料的分析判斷，加上我們的富有經驗的安全專家的人腦，構成了真正的安全超腦。跟BM團隊聯繫是安全團隊直接聯繫溝通的，最早應該就是28號的時候。
我們和EOS方面目前沒有直接合作的，區塊鏈安全是我們一直關注的問題，此外360也是互聯網科技企業，像EOS這些主要的公鏈，我們在技術研究方面一直有投入。從年初開始就已經與一些合作夥伴，就EOS生態建設、安全防護、主節點的競爭等方面進行交流討論。
從時間上看肯定不是做空
王峰第五問：讓我們直面一下陰謀論吧，雖然我不相信，但坊間有傳聞，360聯合某些組織在做空EOS。抱歉我不得不問這個問題，因為在國內有很多EOS超級節點的參與者，他們中有很多人是EOS的狂熱支持者，昨天360曝光安全性漏洞，引發了各種猜測和起哄，有群友要求提出這個問題。
周鴻禕：從披露漏洞的時間上來看，就能知道我們肯定不是在做空。假如我真想惡意做空的話，完全可以捂著，等EOS主網上線，直接爆出來。
我們現在的做法是什麼？是安全行業標準的漏洞通報機制，先和EOS團隊聯繫，提交漏洞詳情，然後等他們修復完成了，我們才對外公佈，這是非常負責任的做法。我們是希望EOS乃至整個區塊鏈行業發展的更好。
區塊鏈領域中，真正的安全還沒曝出來
王峰第六問：關於安全問題，我從“王峰十問”一開始就問過做量子鏈的帥初。後來發現其中很多隱患，比如除了EOS之外，我注意到乙太坊也有過幾次嚴重的安全事件：2016年6月17日，當時最大的眾籌項目TheDAO遭到攻擊，導致300多萬乙太幣資產被分離出資產池；2017年7月21日，智慧合約編碼公司Parity確認有 15萬乙太幣被盜。以及，最近的BEC被巨量增發拋售。以EOS和乙太坊如此的體量和實力尚且如此，對於其他區塊鏈項目而言，也需額外警惕安全風險。你認為區塊鏈企業自身應該採取哪些措施，加強區塊鏈的安全性？
周鴻禕：區塊鏈領域裡面，我認為真正的安全問題其實還沒出來。通過這次披露EOS漏洞，我們希望讓大家能夠重視區塊鏈安全問題。在網路安全行業裡，有兩種情況是最可怕的，一種是做沙漠裡的鴕鳥，知道不改，還有一種是知道了不爆出來，最後被人利用。
我最近還在提一個概念，叫“大安全”。簡單說，就是網路安全的影響已經從最初簡單的資訊安全，演變到現在，從線上到線下，都會受到網路攻擊的威脅，並且新威脅越來越多。
區塊鏈作為這兩年新火起來的技術，它遇到的安全威脅，我也把它歸到新威脅裡面。
這種情況下，光靠某個企業（是不行的）。比如區塊鏈行業裡，某個項目自身，安全防護能力肯定是有限的。反過來光靠360這樣一家安全公司也不行，所以應該是整個安全行業需要得到發展。
所以，區塊鏈行業，要能夠與網路安全行業，做到協同開放，大家一起來做這個事情。如果我們來給你們做一下安全檢測，是不是安全風險就會降低很多？
我們一定要記住，有這麼一句話，叫“沒有攻不破的網路”，只有沒被發現的漏洞，或者被發現沒公開的，不存在沒有漏洞的網路。所以，我們希望無論是區塊鏈行業，還是其他行業，要能夠正視網路安全問題的重要性。
再補充一下，做法上，除了我剛剛說的，利用網路安全行業的外部公司力量，你還可以做一些漏洞獎勵計畫，讓整個安全社區都來幫助你解決安全問題。我們每年都會幫穀歌、微軟和蘋果他們解決很多問題，他們都有自己的漏洞獎勵計畫，對提交漏洞的團隊給予獎勵。
王峰：從目前的漏洞產生機制上看，360安全團隊只曝光了EOS智慧合約的設計缺陷，實際上，從漏洞風險上看，我們認為可能在P2P埠、RPC埠、伺服器與集群等方面還可能潛藏著很多安全的大坑。360的技術團隊對這些問題是否會對EOS進行系統的評估？這個問題，比較技術向一些。希望你和360安全團隊給我一些你們的看法。
周鴻禕：是的，從駭客攻擊者的角度來說，對一個系統或者應用來說，有很多的攻擊面，他們通過各種途徑和方式嘗試突破，軟體設計和實現的缺陷是其中一個也是最直接的攻擊面。
360有很多安全團隊，他們會從不同角度發現系統的脆弱性，通過評估給出整體的安全解決方案。目前區塊鏈應用主要以智慧合約應用和數位貨幣為主，從360安全團隊發現的安全威脅來看，在區塊鏈新領域的確還存在很多安全威脅，我們會逐步在這方面拓寬關注和研究的方向。
呼籲大眾關注區塊鏈安全
王峰第七問：一位元從事過資訊安全的朋友提醒我問您這樣一個問題，顯然是只有你同行才有這樣的水準。這個問題是：在Vulcan團隊發現這個大漏洞之後，你們是如何考量曝光漏洞的時機和方式？你們認為現在這樣的漏洞爆出時機和方式，是否體現了或者符合網路安全行業通用的、負責任的處理方式？
周鴻禕：前面我也說了，這次我們的處理方式，是非常負責任的，也是網路安全行業比較通用的。
時機上，我們發現漏洞之後，Vulcan團隊在完成對這個大漏洞利用研究測試之後，立刻聯繫了EOS創始人BM，我們是希望幫助EOS開發團隊先解決這個漏洞，保證漏洞不會攻擊者利用，在他們修復完成之後，才披露的。
採用這種比較公開的方式，我們也是希望以此呼籲大眾關注區塊鏈技術的同時也注意區塊鏈安全。我認為現在的漏洞爆出時機和處理方式都是合適的，負責任的。
360涉足區塊鏈將圍繞安全
王峰第八問：如果360進入區塊鏈行業，360的機會在哪裡？你如何評價目前區塊鏈行業數字貨幣交易所處於中心地位的狀況？
周鴻禕：我們現在看區塊鏈，涉足區塊鏈，肯定還是圍繞安全。安全問題不是說這次我們披露了，大家熱鬧一天就完了。我希望大家記住，EOS這個漏洞，不是最後一個，也一定不是最厲害的一個。
未來區塊鏈行業一定會出現更多的安全問題，之前傳統互聯網領域裡面遇到的安全問題，區塊鏈行業裡面一定也會遇到。這就是我們在其中的機會，當然我們也有自信和實力在其中擔起責任，保護區塊鏈行業健康穩定安全發展。
王峰：我們有注意到，360在5月中旬發佈了“區塊鏈安全態勢感知系統”，同時針對錢包、交易所、礦池和智慧合約四大塊推出了“區塊鏈生態安全解決方案”。已經上線的產品有Dbank數位錢包，功能比imtoken還要多。能否介紹下360在區塊鏈安全方面的佈局和方案，比如：交易所安全怎麼做？礦池安全怎麼做？智慧合約安全方面又怎麼做？
周鴻禕：我們未來會基於區塊鏈安全生態推出三個系統，主要包括數位貨幣錢包安全審計系統、區塊鏈安全態勢感知系統和區塊鏈節點安全解決方案。
第一個，數位貨幣錢包安全審計系統，這裡面會詳細地列一些審計的要點，闡述如何做一款比較安全的數字錢包，從而保障使用者的財產安全。
第二個是區塊鏈安全態勢感知系統，這個系統是基於360安全大腦，可以自動對異常區塊、異常交易、異常位址和智慧合約進行監控，不僅可以將交易風險降到最低，而且還可對非法數位貨幣進行溯源。
最後一個是區塊鏈節點安全解決方案，目前主要會針對EOS。
王峰：未來幾年，區塊鏈行業會出現一家像PC互聯網時代的360這樣有影響力的安全企業嗎？在區塊鏈時代，360安全產品是否能否全面開源？
周鴻禕：我覺得應該不會出現這種情況，區塊鏈方面問題的解決會是產業化的，360肯定會是其中的主力，但不會像PC時代那樣一枝獨秀，會有很多從事安全的企業和個人一起來保障區塊鏈的安全。
“我們的邊界是一個有限的無限邊界”
王峰第九問：在前不久的第二屆世界智慧大會上，你提到過“人工智慧本身就存在安全問題。”你舉例說，360安全團隊曾利用超聲波干擾技術，成功實現對特斯拉的欺騙，讓它相信前方的障礙物並不存在；360安全團隊也因為上報了這個漏洞，進入了特斯拉名人堂。你的觀點是，人工智慧也許可以有99.99%的概率保證識別是正確的，但是對於安全來講，它只要出現一次識別錯誤，就會造成嚴重後果。比如，前段時間，Uber公司改裝後的自動駕駛測試車在美國撞死了一位女士，充分表明今天的人工智慧技術並不是一個完備體系。真沒想到360在安全方面考慮和涉獵到這麼廣的領域，我好奇地是，360定義的安全業務的邊界有多大？AI/IOT/Blockchain？
周鴻禕：我們關注人工智慧或者區塊鏈，其實不管是AI和區塊鏈的安全，都有一個共同點，就是無論是AI的演算法，還是區塊鏈的演算法，都是要寫代碼實現的，而代碼是人寫的，肯定會有漏洞。
我之前看到過一個資料，開源軟體中，每千行平均就有6-8個安全性漏洞。
所以對於新生事物，不管是新興技術還是什麼，看到美好一面的同時，作為搞安全的，我會不自覺的看到他們潛在的安全風險。搞安全的人更像是一個“看門人”，時刻都要保持一顆懷疑之心、守護之心。
關於邊界這個事情，我們現在在進入一個大安全時代，為雲計算、大資料、人工智慧還有物聯網這些新技術的發展，網路安全已然不是最初的資訊安全，而是從個人的資訊安全、金融安全、家庭安全、出行安全，到企業安全，再到社會的公共安全，再到國家的信息基礎設施安全、政治安全、軍事安全……
所以我覺得不能把安全業務的邊界框死了，網路安全行業，有越來越多的安全問題會出現，這對於360來說，是我們面臨的挑戰，但也是我們的機遇。
作為一個創業者的角度看，或者從企業運營者的角度看，企業也不應該是框死在一個事情上的，我們核心是安全基因，基於此，我們的邊界是一個有限的無限邊界。
“搞安全 要耐得住寂寞”
王峰第十問：在PC互聯網時代，360和騰訊的3Q大戰，堪稱中國互聯網史影響最大、波及用戶範圍最廣的一場戰爭，也創下了360發展史上的輝煌記錄，事後馬化騰在騰訊內外也多次提及，是3Q大戰刺激了騰訊的開放平臺戰略，而在移動互聯網時代，今日頭條、小米科技、美團點評等等迅速崛起，與PC互聯網時代占儘先發優勢不同，360優勢並不明顯，這會不會讓你感覺到失落？我們都知道你是一個不服輸的人，這會不會是360有一天大舉進軍區塊鏈很大的動力？
周鴻禕：其實做安全這個行業，說刺激也很刺激，你看不管是去年5月的勒索病毒，還是昨天的EOS漏洞，一下子就讓全行業都關注到你。
但與此同時，搞安全是一件需要耐得住寂寞，需要長久投入努力的事情。比如上面我說Vulcan他們參加駭客大賽11秒攻破IE11，但在那之前，他們扒代碼的時間你是想像不到的。我們更像是一群守護者，站在大家身後的人。
PC時代那時候，病毒木馬橫行，我們順應潮流用360安全衛士、360殺毒幫大家解決了安全問題，可能獲得的關注比較多。
但在移動互聯網時代，實際上我們也做了很多事情，你們可以看看去年穀歌致謝榜單裡面，我們在安卓上，幫助穀歌修復兩百多個漏洞，全球第一，是第二名的三倍。除了這類工作，我們還和公安合作，比如推出獵網平臺，打擊電信電話網絡詐騙。
這些事情，可能不會像當年一樣刺激，但我覺得我們是做了非常有價值的事情，從內心來說，我們還是比較驕傲的。
這些年，我們在原創核心技術上積累也是非常多的，比如上面說的安全大腦，其實是我們多年技術積累的結晶。
360安全大腦的網路安全空間大資料，現在是全球規模最大的。也因為有這些大資料和資料中心，360安全大腦的態勢感知、智慧查殺、攻防與溯源，包括應急回應上，現在在全球都非常具備競爭力。
我不服輸，但不是說非要進軍區塊鏈，而是說，在大安全這個新時代裡面，希望能夠繼續發揮360安全守護者這個作用。區塊鏈應用以後有可能深入生活、生產的多個方面，360作為國內最大的安全公司，當然希望充當一個“守護者”的角色，為區塊鏈應用保駕護航。（北京時間財經賈穎慧）
且不能獲得Root許可權，除非部署節點時就已經是以Root用戶身份來運行。BM的回應，暗指360製造恐慌，並聲明對於任何挑起市場恐慌的行為將取消其獎勵資格。對此，你怎麼看？周鴻禕：對於已經修復這個事情，我還是需要和大家普及一個知識，安全廠商對外公開披露的漏洞，一定是先和對方溝通，提交給對方去修復，在得到他們修復的確認之後，然後再公開。非常明確的說我們先私下聯繫了BM 通知了他們EOS漏洞，希望他們先修復，這都是有聊天記錄截屏的，等到EOS修復了，再對外發佈漏洞公告。這不僅僅是對EOS，對微軟穀歌蘋果都是一樣的。我們遵循了負責人的行業標準流程，報告——修復——公開。
我們現在還在和對方繼續保持溝通，對方對我們表示感謝，也表示會給我們發放漏洞獎金，會對外發致謝。
EOS他們提到的這個root許可權，root許可權是指電腦系統裡面的最高許可權。是否獲得root許可權也是一樣的。如果用戶使用root許可權運行EOS，那麼攻擊者就可以獲取root許可權。
至於製造恐慌，如果說我們製造恐慌，直接在主網上線時放出這個（消息），恐慌效果一定比現在要好的多。在這整個過程中，360都是非常負責任的嚴格遵循安全行業的安全性漏洞披露原則。我們作為國內最大的一家安全廠商，在全球也是排名前三的安全廠商，我們希望和全球同行和科技公司一起，解決網路安全問題，降低網路安全問題給使用者帶去的損害。幫助大家發現漏洞，修復漏洞，讓大家提供安全放心的產品給使用者，使我們共同的責任。
區塊鏈作為新興的技術方向，我們參與進來，無論是這次披露EOS漏洞，還是之前和其他區塊鏈機構的溝通，都是希望和大家一起共同構建安全放心的區塊鏈產品和服務。
王峰：今年的區塊鏈最大的話題就是EOS，現在很多人都擔心EOS會延期發佈公網版本，這個安全隱患被曝光後，更多人關心他們的發佈時間。以360安全技術團隊評估，EOSDawn4.0的公網版本是否有可能推遲發佈。
周鴻禕：我認為應該延遲上線，我們安全團隊還在發現一些EOS漏洞，也會第一時間及時的提交給他們，我們建議修復之後再上線。
否認將與EOS合作
王峰第四問：此次發佈EOS漏洞事件，讓Vulcan（伏爾甘）團隊一戰成名，可是此前行業內很少有關於他們的消息，大家對他們依然陌生，能否向我們具體介紹下他們？我們注意到，你最近不斷提及360安全大腦，能一併介紹下嗎？在這個事情上，你們安全大腦團隊跟BM團隊是通過telegram直接交流的，你們實質接觸是從什麼時候開始的？坊間說，你們和EOS很快合作要公佈，你方便在這裡透露嗎？
周鴻禕：你們說的行業內，肯定不是安全圈子裡。360Vulcan團隊在安全圈子裡，大家應該多多少少都知道。Vulcan最早是360安全衛士的攻防研究團隊。有一年他們要參加Pwn2Own，這是一個比較厲害的世界駭客大賽，所以他們組了一個小組，就是Vulcan團隊。
他們在攻防研究，挖掘廠商漏洞和幫助廠商修復漏洞上實力很強。他們2015年組隊去參加Pwn2Own時就曾獲獎，當時用了17秒攻破了微軟的IE11,是歷史上首支成功攻破IE的亞洲團隊。Pwn2Own駭客大賽上，Vucal團隊連續多年斬獲了十幾項冠軍，在Pwn2own 2017比賽中上更是拿到了世界總冠軍。
簡單說，360安全大腦，是一個具有感知能力、學習能力、推理能力、預測能力和決策能力的綜合性智慧系統。360安全大腦能夠幹什麼？這次EOS漏洞的發掘，其實就是結合360安全大腦和安全專家的能力。
再給大家舉個例子說一下吧。不知道大家記不記得2016年美國曾遭遇過一次大斷網事件，這個事情後來查出來了，是駭客利用安防智能攝像頭搞了一次DDoS攻擊，360被邀請參與了事件的緊急處置，最後還受到了FBI的致謝。
其實這個事情發生之前，我們就在安全社區裡做了預警，我們是最早做過預警的。是360安全大腦，發現了有針對安防智慧攝像頭的異常訪問流量。安全大腦是人工智慧基於大資料的分析判斷，加上我們的富有經驗的安全專家的人腦，構成了真正的安全超腦。跟BM團隊聯繫是安全團隊直接聯繫溝通的，最早應該就是28號的時候。
我們和EOS方面目前沒有直接合作的，區塊鏈安全是我們一直關注的問題，此外360也是互聯網科技企業，像EOS這些主要的公鏈，我們在技術研究方面一直有投入。從年初開始就已經與一些合作夥伴，就EOS生態建設、安全防護、主節點的競爭等方面進行交流討論。
從時間上看肯定不是做空
王峰第五問：讓我們直面一下陰謀論吧，雖然我不相信，但坊間有傳聞，360聯合某些組織在做空EOS。抱歉我不得不問這個問題，因為在國內有很多EOS超級節點的參與者，他們中有很多人是EOS的狂熱支持者，昨天360曝光安全性漏洞，引發了各種猜測和起哄，有群友要求提出這個問題。
周鴻禕：從披露漏洞的時間上來看，就能知道我們肯定不是在做空。假如我真想惡意做空的話，完全可以捂著，等EOS主網上線，直接爆出來。
我們現在的做法是什麼？是安全行業標準的漏洞通報機制，先和EOS團隊聯繫，提交漏洞詳情，然後等他們修復完成了，我們才對外公佈，這是非常負責任的做法。我們是希望EOS乃至整個區塊鏈行業發展的更好。
區塊鏈領域中，真正的安全還沒曝出來
王峰第六問：關於安全問題，我從“王峰十問”一開始就問過做量子鏈的帥初。後來發現其中很多隱患，比如除了EOS之外，我注意到乙太坊也有過幾次嚴重的安全事件：2016年6月17日，當時最大的眾籌項目TheDAO遭到攻擊，導致300多萬乙太幣資產被分離出資產池；2017年7月21日，智慧合約編碼公司Parity確認有 15萬乙太幣被盜。以及，最近的BEC被巨量增發拋售。以EOS和乙太坊如此的體量和實力尚且如此，對於其他區塊鏈項目而言，也需額外警惕安全風險。你認為區塊鏈企業自身應該採取哪些措施，加強區塊鏈的安全性？
周鴻禕：區塊鏈領域裡面，我認為真正的安全問題其實還沒出來。通過這次披露EOS漏洞，我們希望讓大家能夠重視區塊鏈安全問題。在網路安全行業裡，有兩種情況是最可怕的，一種是做沙漠裡的鴕鳥，知道不改，還有一種是知道了不爆出來，最後被人利用。
我最近還在提一個概念，叫“大安全”。簡單說，就是網路安全的影響已經從最初簡單的資訊安全，演變到現在，從線上到線下，都會受到網路攻擊的威脅，並且新威脅越來越多。
區塊鏈作為這兩年新火起來的技術，它遇到的安全威脅，我也把它歸到新威脅裡面。
這種情況下，光靠某個企業（是不行的）。比如區塊鏈行業裡，某個項目自身，安全防護能力肯定是有限的。反過來光靠360這樣一家安全公司也不行，所以應該是整個安全行業需要得到發展。
所以，區塊鏈行業，要能夠與網路安全行業，做到協同開放，大家一起來做這個事情。如果我們來給你們做一下安全檢測，是不是安全風險就會降低很多？
我們一定要記住，有這麼一句話，叫“沒有攻不破的網路”，只有沒被發現的漏洞，或者被發現沒公開的，不存在沒有漏洞的網路。所以，我們希望無論是區塊鏈行業，還是其他行業，要能夠正視網路安全問題的重要性。
再補充一下，做法上，除了我剛剛說的，利用網路安全行業的外部公司力量，你還可以做一些漏洞獎勵計畫，讓整個安全社區都來幫助你解決安全問題。我們每年都會幫穀歌、微軟和蘋果他們解決很多問題，他們都有自己的漏洞獎勵計畫，對提交漏洞的團隊給予獎勵。
王峰：從目前的漏洞產生機制上看，360安全團隊只曝光了EOS智慧合約的設計缺陷，實際上，從漏洞風險上看，我們認為可能在P2P埠、RPC埠、伺服器與集群等方面還可能潛藏著很多安全的大坑。360的技術團隊對這些問題是否會對EOS進行系統的評估？這個問題，比較技術向一些。希望你和360安全團隊給我一些你們的看法。
周鴻禕：是的，從駭客攻擊者的角度來說，對一個系統或者應用來說，有很多的攻擊面，他們通過各種途徑和方式嘗試突破，軟體設計和實現的缺陷是其中一個也是最直接的攻擊面。
360有很多安全團隊，他們會從不同角度發現系統的脆弱性，通過評估給出整體的安全解決方案。目前區塊鏈應用主要以智慧合約應用和數位貨幣為主，從360安全團隊發現的安全威脅來看，在區塊鏈新領域的確還存在很多安全威脅，我們會逐步在這方面拓寬關注和研究的方向。
呼籲大眾關注區塊鏈安全
王峰第七問：一位元從事過資訊安全的朋友提醒我問您這樣一個問題，顯然是只有你同行才有這樣的水準。這個問題是：在Vulcan團隊發現這個大漏洞之後，你們是如何考量曝光漏洞的時機和方式？你們認為現在這樣的漏洞爆出時機和方式，是否體現了或者符合網路安全行業通用的、負責任的處理方式？
周鴻禕：前面我也說了，這次我們的處理方式，是非常負責任的，也是網路安全行業比較通用的。
時機上，我們發現漏洞之後，Vulcan團隊在完成對這個大漏洞利用研究測試之後，立刻聯繫了EOS創始人BM，我們是希望幫助EOS開發團隊先解決這個漏洞，保證漏洞不會攻擊者利用，在他們修復完成之後，才披露的。
採用這種比較公開的方式，我們也是希望以此呼籲大眾關注區塊鏈技術的同時也注意區塊鏈安全。我認為現在的漏洞爆出時機和處理方式都是合適的，負責任的。
360涉足區塊鏈將圍繞安全
王峰第八問：如果360進入區塊鏈行業，360的機會在哪裡？你如何評價目前區塊鏈行業數字貨幣交易所處於中心地位的狀況？
周鴻禕：我們現在看區塊鏈，涉足區塊鏈，肯定還是圍繞安全。安全問題不是說這次我們披露了，大家熱鬧一天就完了。我希望大家記住，EOS這個漏洞，不是最後一個，也一定不是最厲害的一個。
未來區塊鏈行業一定會出現更多的安全問題，之前傳統互聯網領域裡面遇到的安全問題，區塊鏈行業裡面一定也會遇到。這就是我們在其中的機會，當然我們也有自信和實力在其中擔起責任，保護區塊鏈行業健康穩定安全發展。
王峰：我們有注意到，360在5月中旬發佈了“區塊鏈安全態勢感知系統”，同時針對錢包、交易所、礦池和智慧合約四大塊推出了“區塊鏈生態安全解決方案”。已經上線的產品有Dbank數位錢包，功能比imtoken還要多。能否介紹下360在區塊鏈安全方面的佈局和方案，比如：交易所安全怎麼做？礦池安全怎麼做？智慧合約安全方面又怎麼做？
周鴻禕：我們未來會基於區塊鏈安全生態推出三個系統，主要包括數位貨幣錢包安全審計系統、區塊鏈安全態勢感知系統和區塊鏈節點安全解決方案。
第一個，數位貨幣錢包安全審計系統，這裡面會詳細地列一些審計的要點，闡述如何做一款比較安全的數字錢包，從而保障使用者的財產安全。
第二個是區塊鏈安全態勢感知系統，這個系統是基於360安全大腦，可以自動對異常區塊、異常交易、異常位址和智慧合約進行監控，不僅可以將交易風險降到最低，而且還可對非法數位貨幣進行溯源。
最後一個是區塊鏈節點安全解決方案，目前主要會針對EOS。
王峰：未來幾年，區塊鏈行業會出現一家像PC互聯網時代的360這樣有影響力的安全企業嗎？在區塊鏈時代，360安全產品是否能否全面開源？
周鴻禕：我覺得應該不會出現這種情況，區塊鏈方面問題的解決會是產業化的，360肯定會是其中的主力，但不會像PC時代那樣一枝獨秀，會有很多從事安全的企業和個人一起來保障區塊鏈的安全。
“我們的邊界是一個有限的無限邊界”
王峰第九問：在前不久的第二屆世界智慧大會上，你提到過“人工智慧本身就存在安全問題。”你舉例說，360安全團隊曾利用超聲波干擾技術，成功實現對特斯拉的欺騙，讓它相信前方的障礙物並不存在；360安全團隊也因為上報了這個漏洞，進入了特斯拉名人堂。你的觀點是，人工智慧也許可以有99.99%的概率保證識別是正確的，但是對於安全來講，它只要出現一次識別錯誤，就會造成嚴重後果。比如，前段時間，Uber公司改裝後的自動駕駛測試車在美國撞死了一位女士，充分表明今天的人工智慧技術並不是一個完備體系。真沒想到360在安全方面考慮和涉獵到這麼廣的領域，我好奇地是，360定義的安全業務的邊界有多大？AI/IOT/Blockchain？
周鴻禕：我們關注人工智慧或者區塊鏈，其實不管是AI和區塊鏈的安全，都有一個共同點，就是無論是AI的演算法，還是區塊鏈的演算法，都是要寫代碼實現的，而代碼是人寫的，肯定會有漏洞。
我之前看到過一個資料，開源軟體中，每千行平均就有6-8個安全性漏洞。
所以對於新生事物，不管是新興技術還是什麼，看到美好一面的同時，作為搞安全的，我會不自覺的看到他們潛在的安全風險。搞安全的人更像是一個“看門人”，時刻都要保持一顆懷疑之心、守護之心。
關於邊界這個事情，我們現在在進入一個大安全時代，為雲計算、大資料、人工智慧還有物聯網這些新技術的發展，網路安全已然不是最初的資訊安全，而是從個人的資訊安全、金融安全、家庭安全、出行安全，到企業安全，再到社會的公共安全，再到國家的信息基礎設施安全、政治安全、軍事安全……
所以我覺得不能把安全業務的邊界框死了，網路安全行業，有越來越多的安全問題會出現，這對於360來說，是我們面臨的挑戰，但也是我們的機遇。
作為一個創業者的角度看，或者從企業運營者的角度看，企業也不應該是框死在一個事情上的，我們核心是安全基因，基於此，我們的邊界是一個有限的無限邊界。
“搞安全 要耐得住寂寞”
王峰第十問：在PC互聯網時代，360和騰訊的3Q大戰，堪稱中國互聯網史影響最大、波及用戶範圍最廣的一場戰爭，也創下了360發展史上的輝煌記錄，事後馬化騰在騰訊內外也多次提及，是3Q大戰刺激了騰訊的開放平臺戰略，而在移動互聯網時代，今日頭條、小米科技、美團點評等等迅速崛起，與PC互聯網時代占儘先發優勢不同，360優勢並不明顯，這會不會讓你感覺到失落？我們都知道你是一個不服輸的人，這會不會是360有一天大舉進軍區塊鏈很大的動力？
周鴻禕：其實做安全這個行業，說刺激也很刺激，你看不管是去年5月的勒索病毒，還是昨天的EOS漏洞，一下子就讓全行業都關注到你。
但與此同時，搞安全是一件需要耐得住寂寞，需要長久投入努力的事情。比如上面我說Vulcan他們參加駭客大賽11秒攻破IE11，但在那之前，他們扒代碼的時間你是想像不到的。我們更像是一群守護者，站在大家身後的人。
PC時代那時候，病毒木馬橫行，我們順應潮流用360安全衛士、360殺毒幫大家解決了安全問題，可能獲得的關注比較多。
但在移動互聯網時代，實際上我們也做了很多事情，你們可以看看去年穀歌致謝榜單裡面，我們在安卓上，幫助穀歌修復兩百多個漏洞，全球第一，是第二名的三倍。除了這類工作，我們還和公安合作，比如推出獵網平臺，打擊電信電話網絡詐騙。
這些事情，可能不會像當年一樣刺激，但我覺得我們是做了非常有價值的事情，從內心來說，我們還是比較驕傲的。
這些年，我們在原創核心技術上積累也是非常多的，比如上面說的安全大腦，其實是我們多年技術積累的結晶。
360安全大腦的網路安全空間大資料，現在是全球規模最大的。也因為有這些大資料和資料中心，360安全大腦的態勢感知、智慧查殺、攻防與溯源，包括應急回應上，現在在全球都非常具備競爭力。
我不服輸，但不是說非要進軍區塊鏈，而是說，在大安全這個新時代裡面，希望能夠繼續發揮360安全守護者這個作用。區塊鏈應用以後有可能深入生活、生產的多個方面，360作為國內最大的安全公司，當然希望充當一個“守護者”的角色，為區塊鏈應用保駕護航。（北京時間財經賈穎慧）