近兩年來，隨著我國數(shù)字化進程的不斷推進和深入，網(wǎng)絡(luò)安全產(chǎn)業(yè)迎來了飛速發(fā)展的新機遇。日益復雜的網(wǎng)絡(luò)威脅形勢，讓網(wǎng)絡(luò)安全產(chǎn)業(yè)的土壤更加肥沃，讓那些懷揣著技術(shù)理想的安全研究者們逐漸登上時代的舞臺，他們希望乘著行業(yè)發(fā)展的浪潮，為之貢獻自己的力量。

　　本期是安全419創(chuàng)業(yè)者說欄目的第十篇，文章的主角是行業(yè)中又一位年輕的創(chuàng)業(yè)者——北京云起無垠科技有限公司創(chuàng)始人沈凱文，我們邀請他圍繞當前網(wǎng)絡(luò)安全行業(yè)的創(chuàng)業(yè)環(huán)境、創(chuàng)辦云起無垠的心路歷程以及對這家公司未來的愿景和規(guī)劃等話題帶來一次深度分享。

　　雖然當前市場環(huán)境較為嚴酷，但沈凱文認為，在實網(wǎng)攻防演練行動的推動下，國內(nèi)“業(yè)務驅(qū)動安全”市場將迎來爆發(fā)式增長。這意味著技術(shù)創(chuàng)業(yè)者們迎來了屬于自己的時代，創(chuàng)業(yè)這件事情恰逢其時。

　　沈凱文創(chuàng)辦的云起無垠專注于Fuzzing（模糊測試）技術(shù)領(lǐng)域，致力于研發(fā)新一代智能模糊測試引擎為協(xié)議、數(shù)據(jù)庫、API、APP、Web3.0 等應用提供強大的軟件安全自動化分析能力，從源頭助力企業(yè)自動化檢測與修復業(yè)務系統(tǒng)安全問題，為互聯(lián)網(wǎng)每行代碼的安全運行保駕護航。

　　不久前，云起無垠剛剛宣布完成數(shù)千萬元天使輪融資，由綠洲資本獨家投資。

　　一位技術(shù)研究員的自我迭代和打怪升級

　　雖然在創(chuàng)業(yè)者這個身份語境下沈凱文相對年輕，但在安全行業(yè)中，他的經(jīng)歷卻比絕大多數(shù)人豐富，堪稱網(wǎng)安行業(yè)的“OG”。

　　出于對網(wǎng)絡(luò)安全技術(shù)的熱愛，沈凱文在初高中時期就已經(jīng)對“紅藍攻防對抗”得心應手，用他的話說，“紅藍攻防在那個時期很好做，每個網(wǎng)站都存在很多的漏洞。只要給我一個目標，基本上一個下午肯定能夠攻破?！?/p>

　　癡迷于網(wǎng)絡(luò)安全攻防技術(shù)的沈凱文，先是考入湖南大學，就讀網(wǎng)絡(luò)安全專業(yè)。隨后又憑借著遠超同輩的領(lǐng)悟天賦和技術(shù)功底，被保送到了清華大學攻讀碩士學位，并經(jīng)引薦加入了國內(nèi)網(wǎng)絡(luò)安全競賽和研究領(lǐng)域最頂級的藍蓮花戰(zhàn)隊，開始跟隨一眾黑客大神們征戰(zhàn)世界最高水平的各大黑客競賽，成為中國首屈一指的CTF佼佼者。

　　在藍蓮花戰(zhàn)隊期間，沈凱文與隊友們連續(xù)六次入圍全球網(wǎng)絡(luò)安全頂級賽事DEFCON總決賽，2019年代表中國大陸在臺灣HITCON黑客大賽上奪得冠軍，同年在GeekPwn國際安全極客大賽中獲得全球第一名。

　　在談到這一段高光時刻的時候，他回憶道，“在藍蓮花打比賽的那段時間，我們?nèi)サ搅耸澜缟献钋把氐牡胤剑吹搅俗铐敿獾木W(wǎng)絡(luò)安全研究是什么樣子。”

　　連續(xù)打了三年比賽后，他也逐漸在安全研究中找到了一絲“手感”，但此時他也面臨畢業(yè)的抉擇——繼續(xù)留校做科研還是去找一份工作？

　　舉棋不定的時候，學校向沈凱文拋來了繼續(xù)保送本校攻讀博士學位的機會，稍作糾結(jié)后，他便做出了繼續(xù)留校做科研的選擇。就在不久前，沈凱文剛剛完成了博士學位論文的答辯，告別了自己的學生時代。

　　他告訴我們，從成為博士生開始，便正式放棄了曾經(jīng)無比風光的CTF選手的身份，開始沉下心來專攻協(xié)議安全的研究方向，聚焦在自動化漏洞挖掘和協(xié)議模糊測試領(lǐng)域，去持續(xù)探索新攻擊、新技術(shù)與新方法。

　　碩士到博士的這幾年中，在做科研之余，沈凱文并沒有停止對前沿技術(shù)的洞察與追蹤。他曾深入到產(chǎn)業(yè)界，以實習生的身份加入隊友們創(chuàng)辦的長亭科技，到一線觀察用戶的真實痛點和需求，拿來與自己的技術(shù)研究相互印證。這一實習經(jīng)歷拓寬了他在網(wǎng)絡(luò)安全市場的視野，同時也為他積攢了大量甲方客戶資源；

　　他也曾以合伙人的身份與隊友共同創(chuàng)辦了一家安全公司，在那里他不僅是一名技術(shù)研究員，更是一位企業(yè)管理者。在研究自動化漏洞挖掘的同時，他錘煉了自己關(guān)于公司戰(zhàn)略、制度體系、業(yè)務流程、財務核算、品牌管理等方面的管理能力。

　　從與隊友創(chuàng)立的安全公司退出后，沈凱文又馬不停蹄地加入了中信資本。在這里他以投資人的視角認真觀察國內(nèi)外優(yōu)秀網(wǎng)絡(luò)安全公司的發(fā)展邏輯、產(chǎn)品形態(tài)，在這個過程中，他更加堅定了未來創(chuàng)業(yè)的方向——開發(fā)安全。

　　在與沈凱文的交談中，我們能感覺到他始終保持著強烈的學習欲望和熱情，從技術(shù)到管理，從商業(yè)模式到融資策略，他都能夠侃侃而談、如數(shù)家珍。過往的工作經(jīng)歷讓他如同打怪升級一般，逐一點亮了在公司管理上面的所有“技能點”。

　　「開發(fā)安全」賽道挑戰(zhàn)與機遇并存

　　屬于技術(shù)創(chuàng)業(yè)者的時代已經(jīng)到來

　　在沈凱文看來，當前整個網(wǎng)絡(luò)安全行業(yè)的大趨勢正在變化，實戰(zhàn)攻防演練和數(shù)字化轉(zhuǎn)型正在推動整個網(wǎng)絡(luò)安全市場從合規(guī)驅(qū)動向業(yè)務驅(qū)動和結(jié)果導向轉(zhuǎn)變，“合規(guī)驅(qū)動的時代是關(guān)系型、資源型創(chuàng)業(yè)者的天下，而需求驅(qū)動、業(yè)務驅(qū)動將會是屬于技術(shù)創(chuàng)業(yè)者的時代。”

　　在技術(shù)驅(qū)動的大背景下，甲方企業(yè)負責人開始主動尋找更好的技術(shù)解決方案。因此，能明顯觀察到甲方企業(yè)主每年會專門預留部分預算，以采購新興的安全技術(shù)，比如開發(fā)安全、威脅情報產(chǎn)品等。另一方面，傳統(tǒng)安全設(shè)備（WAF、IDS）對于大型甲方企業(yè)來說，已經(jīng)逐漸采購齊全，每年只需要付出少量成本進行更新與維護即可。在這個維度上，它們釋放了更多預算空間。

　　今年，在創(chuàng)業(yè)環(huán)境、博士畢業(yè)、合伙人、大方向、技術(shù)基礎(chǔ)、商業(yè)模式、天使投資人全都處于ready的狀態(tài)后，云起無垠這家公司順理成章地成立了。

　　沈凱文談到，“雖然我們在科研上做出了一些小的突破，但科研本身相對曲高和寡。追溯內(nèi)心，我還是一個實踐型理想主義者，希望為網(wǎng)絡(luò)安全行業(yè)做出一點貢獻，真正能夠為行業(yè)解決一些現(xiàn)實性、根源性的問題。”

　　談及為何選擇「開發(fā)安全」這個細分賽道時，沈凱文認為，作為一個科研型創(chuàng)業(yè)團隊，它的使命就是去解決科研型技術(shù)難題，去思考如何在本質(zhì)上提升安全，而不是關(guān)注工程問題。而開發(fā)安全天然就是適合科研人員從事的領(lǐng)域，包括污點分析、符號執(zhí)行、模糊測試以及最終的自動化漏洞挖掘在內(nèi)，每一個都是適合科研人員長期投入的技術(shù)挑戰(zhàn)。

　　拋開科研使命不談，沈凱文對于開發(fā)安全還有著更深一層的理解。

　　他認為，過去網(wǎng)絡(luò)安全行業(yè)存在一個幾乎無解的核心矛盾：安全效果難以度量。這就導致用戶很難衡量各款安全產(chǎn)品效果的優(yōu)劣，最終讓整個市場淪為關(guān)系型的商業(yè)模式。“任何一家網(wǎng)絡(luò)安全廠商在銷售安全產(chǎn)品時，都無法承諾一定能夠為用戶帶來價值。拿WAF舉例，因為攻擊是低頻的，誰也不知道用戶是否會被攻擊，保證一定能夠檢測到攻擊。在用戶的視角中，如果攻擊失敗了，產(chǎn)品效果如何證明？如果攻擊成功了，產(chǎn)品效果更是無從談起。”

　　而開發(fā)安全則是一種度量標準十分清晰的商業(yè)模式。開發(fā)安全并不向用戶保證防御效果，而是直接向用戶交付漏洞，漏洞數(shù)量的指標讓每一位企業(yè)管理者都能夠更直觀地量化和判斷安全產(chǎn)品帶來的價值，因此，安全左移實際上在某種意義上賦予了安全度量的標準，實現(xiàn)商業(yè)模式的轉(zhuǎn)變。

　　“開發(fā)安全是一個更加高頻的領(lǐng)域，比如用戶采購了ABCD四家開發(fā)安全產(chǎn)品，誰能夠真正地挖出漏洞，這個事情能夠很直接地驗證和度量效果。也只有這件事情上，技術(shù)創(chuàng)業(yè)者才能夠利用技術(shù)優(yōu)勢構(gòu)造自身的壁壘。”

　　因此，沈凱文認為，面臨國內(nèi)從合規(guī)市場向業(yè)務驅(qū)動市場的轉(zhuǎn)型，在所有的新興市場中，相比數(shù)據(jù)安全和零信任安全，開發(fā)安全會成為增速最快的細分賽道。

　　Fuzzing技術(shù)

　　注定是軟件安全測試技術(shù)的未來

　　沈凱文介紹，F(xiàn)uzzing 是一種針對軟件安全的自動化測試方法，它主要的理念是追尋測試樣例的變異，并通過海量的測試數(shù)據(jù)來覆蓋更多的程序執(zhí)行流，從而找到更多的安全問題。Fuzzing 不僅可以發(fā)現(xiàn)邏輯類漏洞，還能檢測到內(nèi)存破壞的漏洞，比如緩沖區(qū)溢出、內(nèi)存泄漏、條件競爭等。其本質(zhì)原因在于，F(xiàn)uzzing 對軟件安全測試的整體粒度更細，測試點更多，判斷位置也會更精準。

　　“Fuzzing技術(shù)雖然九幾年就被提出了，但當時它還是利用較為落后的暴力枚舉法，更多停留在實驗室環(huán)境下。但近 30 年，F(xiàn)uzzing 技術(shù)呈飛躍式發(fā)展，它目前除了可以覆蓋 AST 技術(shù)以外，還可以利用到一些其他的技術(shù)，包括符號執(zhí)行、語法樹變異、代碼覆蓋引導技術(shù)、遺傳算法變異、污點跟蹤等?！币虼怂J為，雖然當前安全行業(yè)還有很多從業(yè)者還沒有認識到Fuzzing的價值，但從科研的角度看，現(xiàn)代的Fuzzing技術(shù)已經(jīng)趨于成熟，并且逐漸成為軟件測試方法的集成者和開拓者。

　　目前，F(xiàn)uzzing技術(shù)在國際上已被應用在 Google、Microsoft、美國國防部（DoD）等頭部組織機構(gòu)。據(jù)公開統(tǒng)計，近 5 年 Project Zero 項目中已有 37%以上的 CVE 漏洞是由Fuzzing技術(shù)挖掘出來的。在國內(nèi)，F(xiàn)uzzing技術(shù)也已被各大廠商廣泛應用，如華為、阿里等一線廠商均開始嘗試落地Fuzzing技術(shù)。

　　沈凱文表示，未來Fuzzing技術(shù)在安全行業(yè)中的應用和落地將會像AI技術(shù)一般，可以從算法引擎上優(yōu)化傳統(tǒng)軟件安全測試方法（比如傳統(tǒng) AST 方案）。因此，它會在很多方面比傳統(tǒng)的 AST 方法效果更好，也是目前科研界和工業(yè)界認定的下一代軟件測試方法的突破方向。

　　打造開箱即用的“代碼安全基礎(chǔ)設(shè)施”

　　讓Fuzzing技術(shù)真正為企業(yè)賦能

　　“大家都覺得AI技術(shù)很厲害，但事實上較少有人主動關(guān)注AI的框架，使用AI技術(shù)的人可以不懂遺傳、蟻群和反向傳播等算法，但他們依然可以通過接口調(diào)用的方式把AI技術(shù)順暢地使用起來，享受AI技術(shù)為生產(chǎn)和生活帶來的便捷。不遠的將來，F(xiàn)uzzing也會到達這個階段，它會成為一個成熟的技術(shù)，如同API接口一樣能夠直接調(diào)用，真正造福于開發(fā)人員?！?/p>

　　沈凱文談到，互聯(lián)網(wǎng)科技發(fā)展和技術(shù)更迭都始于研發(fā)。無論是傳統(tǒng)的數(shù)據(jù)庫、操作系統(tǒng)，還是新興的車聯(lián)網(wǎng)、腦機接口、元宇宙，最終都需要由代碼開發(fā)來詮釋與實現(xiàn)。而云起無垠提供的智能模糊測試技術(shù)將作為代碼開發(fā)的基礎(chǔ)設(shè)施，為一切開發(fā)場景安全賦能。

　　他表示，F(xiàn)uzzing的算法引擎對安全人員的技術(shù)能力要求較高，比如操作系統(tǒng)底層原理、編譯原理、動靜態(tài)分析、符號執(zhí)行、智能算法等，普通的安全工程師很難在一兩年之內(nèi)掌握。相較于與WAF類產(chǎn)品，甲方安全人員需要與Fuzzing類產(chǎn)品高頻交互，過高的使用門檻往往會讓用戶望而生畏。因此如何提高產(chǎn)品的易用性，提高用戶的友好程度非常關(guān)鍵。

　　當前，云起無垠正在基于智能Fuzzing技術(shù)逐步建立產(chǎn)品矩陣，為用戶提供包括黑盒、灰盒和白盒在內(nèi)的模糊測試類產(chǎn)品，全面覆蓋“開發(fā)、測試、部署、運維”在內(nèi)的各個階段。在產(chǎn)品層面，云起無垠主攻“開箱即用”的設(shè)計思路，目前正在通過將技術(shù)細節(jié)封裝在核？算法引擎中的方式，讓甲方用戶能夠在不深度了解Fuzzing技術(shù)的前提下，更便捷地使用安全測試產(chǎn)品，以此來增強用戶的使用友好度。

　　沈凱文最后談到：“在未來的一段時間里，云起無垠也將持續(xù)對產(chǎn)品進行打磨，不斷提升產(chǎn)品的用戶友好程度。云起無垠的價值和使命就在于，把Fuzzing技術(shù)做到平民化落地，讓它變成一項開發(fā)人員能夠真正用起來的技術(shù)，成為‘代碼安全基礎(chǔ)設(shè)施’，以助力整個信息安全產(chǎn)業(yè)的發(fā)展”。

更多信息可以來這里獲取==>>電子技術(shù)應用-AET<<