美国国防部DARPA宣布，由卡内基美隆大学组成的新创团队AllForSecure设计的机器人系统Mayhem，成为第24届DEF CON CTF最后一队、也是第15队的参赛队伍，将和其他14队CTF团队一起在CGC平台上比拼找漏洞的速度。
图片来源:DARPA提供
由美国国防部国防高等研究计划署（DARPA）推出的CGC（Cyber Grand Challenge）漏洞自动攻防比赛，由美国七个团队设计出七套CRS（Cyber Reasoning System，网路决策推理系统）竞技的结果，在美国8月4日比赛出炉，由卡内基美隆大学成员组成的新创公司AllForSecure推出的Mayhem机器人（Bot），不仅是CGC初赛的冠军，更在全球第一次的机器人漏洞修补的决赛中夺冠，并获得200万美元的奖金。其余第二名为TECHx的Xandra机器人，第三名原本8月4日宣布是由Shellphish的Mechaphish月4日机器人获得，但8月5日主办单位则宣布，第三名的成绩需要重新複验，因此第三名目前尚未能正式确认。
而Mayhem也在DEF CON CTF举办团队正式邀请下，成为8月5日～7日举办的第24届DEF CON CTF比赛中，最后一位、也是第十五名的参赛者，将和其他全球14队人类CTF团队较劲。
这次的DEF CON比赛主题是：Rise of the Machines，代表台湾参赛的HITCON CTF战队领队李伦铨表示，CTF参赛的14个人类队伍和机器人队伍Mayhem，都必须一起在CGC的开发平台上DECREE比赛找漏洞的速度，HITCON有机会和机器人冠军一起在CTF比赛一争高下，更是台湾队伍见证人类决战机器人的历史性时刻。
在DEF CON CTF第一天的比赛中，机器人冠军Mayhem一直未能突破排名末位的窘境，反倒是去年DEF CON CTF冠军DEFKOR首先取得First Blood（第一滴血）突破零分，台湾队伍HITCON表现也渐入佳境。
漏洞出现速度超过人类能力所及，只能仰赖自动化工具才能解决
由美国国防部DARPA推出的这个CGC挑战赛，其实是为了解决当软体和系统有越来越多的漏洞时，原本透过人类找寻相关漏洞的速度，根本追不上软体和系统漏洞出现的速度，更遑论是漏洞修补的速度。
李伦铨便说，像是在2003年曾经出现的微软SQL漏洞：SQL slammer蠕虫，在短短10分钟内就感染7万多台电脑，这样的感染速度，人类根本没办法追上，唯有依赖电脑的自动化工具，才有可以遏止。因此，DARPA希望，透过这样的CGC计画，可以研发出一套自动分析，找出系统漏洞、过滤各种攻击程式，并且自动产生防御机制以及自动修补系统漏洞的CRS系统。而这套系统的出现，将对人类追求软体和系统的安全，带来极大的进步和发展。
因为，现在各种常用的作业系统中，在经过多年的发展下，都已经有相对完善的软体安全机制，像是在记忆体中检查以防止恶意程式执行的DEP（Data Execution Prevention，防止资料执行）技术、防止恶意程式对已经位址攻击的ASLR（随机分配位址空间）技术等。
使用简化过的作业系统DECREE，进行自动化漏洞攻防研究
所以，这次CGC的比赛中，是使用一套由DARPA简化过的、专门做电脑安全研究的开源DECREE系统（DARPA Experimental Cybersecurity Research Evaluation Environment）。李伦铨指出，DECREE具有单纯性（Simplicity）、可重现性（High Determinism）和限制性（Incompatibility）等特色，以单纯性为例，DECREE仅有7个系统呼叫，简单的系统可以让电脑自动分析漏洞，并使用修改过ELF作为自己的档案格式，并限制只有单一入口点以降低分析的难度。
再者，他说，DARPA也透过调整DECREE的作业系统核心（Kernel），让这个作业系统可以记录完整的程式执行流程，可以重现问题或状况，改善现在的作业系统，因为太多包括时间、乱数等不确定因素，而无法顺利的分析漏洞。
第三点，李伦铨指出，为了让研究可以聚焦，DECREE使用自己的档案格式，并不相容于主流作业系统的程式码和通讯协定，也让DECREE上面的程式漏洞没办法用于真实世界，而真实世界的漏洞也没办法用在DRCREE作业系统中。
七队CGC参赛队伍，不乏CTF比赛常客队伍
整个CGC的比赛从2013年10月正式展开，期间经过3场初赛后，在2015年8月的DEF CON中，宣布最终入围的7个队伍，包括：由加州柏克莱大学组成的CodeJits；由卡内基美隆大学David Brumley教授创立的新创公司ForAllSecure；由程式分析公司GrammaTech和维吉尼亚大学组队的TECHx；由爱德华大学资工系的教授Jim Alves-Foss及其博士后研究员Jia Song组成的两人团队CSDS；美国国防公司Raytheon（雷神）组成的DeepRed；乔治亚大学学术理论分析人员和CTF选手组成的四人小组disekt；以及加州大学圣塔芭芭拉分校的学生组成的Shellphish等七队，其中，像是Shellphish则是同时参与CGC比赛，且入围DEF CON CTF比赛的队伍。
这次的CGC比赛，主要是希望解决现实社会中难以解决的零时差（Zero Day）漏洞的问题，透过即时的自动化网路防御系统，可以透过系统自动化找出漏洞并且完成修补，真正做到降低这种零时差漏洞对系统和使用者带来的损害。因此，李伦铨表示，这次CGC的比赛，主要是以记忆体操作错的软体漏洞为主，像是常见的缓冲区溢位（Buffer Over Flow）、Format String Error等。
七队CGC参赛队伍，可以使用相关的自动化和漏洞修补技术包括：动态分析（Dynamic Analysis）、静态分析（Static Analysis）、符号化执行（Symbolic Execution）、Constraint Solving、资讯流追蹤技术（Data Flow Tracking）以及自动化测试（Fuzz Testing）等，并和其他半自动化技术搭配，开发出一整套全自动的网路决策推理系统（Cyber Reasoning System，CRS），针对所有待测试的各种漏洞，包括曾经对于全球网站造成极大冲击的Heartbleed漏进行分析，不仅要自动推论出漏洞的所在位置，也必须要能触发该漏洞以证明漏洞的存在，最后，则必须要可以自动化产生修补该漏洞的程式，而所有的过程和步骤，都必须要做到全程自动化，才符合CGC比赛的规定。
李伦铨表示，这次DEF CON CTF比赛，加入了机器人团队，不仅是拚技术，也要拚速度，「不然一旦这场人类对电脑之战输了，将证明了电脑又快又稳，人类就只能被电脑慢慢取代了。」他说。
?
CGC专案经理 Mike Walker在2015年DEF CON活动中，除了宣布入围CGC决赛的七队餐菜队伍外，也宣布CGC比赛冠军，将加入DEF CON CTF比赛，和其他14队CTF队伍一起较劲。照片来源：黄彦棻摄
?
?
为了让更多人了解CGC比赛的过程，主办单位DARPA也透过视觉化的设计，让更多人可以即时了解攻防状况。照片来源：DARPA提供
曾经影响百万台网站伺服器安全的Heartbleed漏洞，也成为此次CGC比赛的待测漏洞之一。照片来源：DARPA
?
这次的CGC比赛中，主办单位还安排了主播现场播放比赛实况。照片来源：DARPA提供
CGC比赛由卡内基美隆大学组成的新创团队AllForSecure设计的Mayhem机器人，得到冠军并赢得200万美元奖金。照片来源：HTCON CTF领队李伦铨提供
代表台湾参加DEF CON CTF的HITCON战队，在8月5日也正面迎击来自全球其他13个CTF战队以及机器人Mayhem的挑战。照片来源：HITCON CTF领队李伦铨
?
?
?
Modern Web 2016 精彩议程
I 相关 / Other
世界最长寿圈养大熊猫佳佳迎38岁生日相当于人类百岁！佳佳38岁出生于1978年居香港海洋公园巴斯出生于1980年北京亚运会吉祥物盼盼原型居福州大熊猫研究中心庆庆出生于1984年居成都动物园安安出生于1986年居香港海洋公
里约奥运会首日参加运动员及比赛项目介绍 [非常娱乐]两位奥运首金得主联手冲击里约奥运首金，有人管这叫双保险”，其实谈不上保险。不过中国队在开幕后第一个正式比赛日就收获金牌的可能性还是很大的，因为我们
奥运会比赛时间表 2016里约奥运会比赛项目时间 [非常娱乐]
奥运会比赛时间表 2016里约奥运会比赛项目时间 [非常娱乐] 2016年巴西奥运会万众瞩目，中国历年在奥运会上成绩优异，中国运动健儿挥洒汗水，勇于拼搏!小编就为大家整理2016年里约奥运会比赛项目时间，让我们一起期
微软推出一系列第三方Skype机器人应用程式，帮你规画旅游、订购活动门票
图片来源: 微软 微软在4月时推出了Skype机器人（Skype Bot）预览版，现在微软推出了一系列的Skype机器人第三方应用程式，提供使用者可以用来安排旅游计画、搜寻活动门票等，而这些Skype机器人的新功能支援Windows、A
（中央社洛杉矶4日综合外电报道）美国营收第5大连锁速食业者温蒂公司（Wendy's Co）今天指出，明年以前即不再使用施打对人类影响重大的抗生素的鸡只。速食产业领导者麦当劳1日宣布，已达成不再使用抗生素鸡只的目标，