[AI书房] 第34章 黑客攻击与欺骗
人工智能战斗机，人工智能空军
第七部 算法战争的伦理与法律
第34章 黑客攻击与欺骗
金京镇
我记得那个夜晚。在三万英尺高空，漆黑一片的夜色中飞行，RWR（雷达告警接收机）突然尖叫起来。敌方地对空导弹雷达锁定了我。那一刻我能依靠的只有两样东西：眼前仪表盘上闪烁的数字，以及数千小时飞行经验积累下来的直觉。数字骗人的时候，直觉能把你拉回来；直觉动摇的时候，数字会替你纠正。正是这两者之间的平衡，让我活着降落了。
但AI飞行员没有直觉。
这才是问题的核心。AI通过数据认识世界：雷达发送的信号、红外传感器捕捉的热源、数据链传来的友军位置信息，所有这些都以0和1的组合输入AI的大脑。如果输入值准确，AI的判断比人类更快、更精准。可如果输入值是假的呢？AI会把谎言当作真相，以远超人类的速度朝错误的方向狂奔。
古希腊神话里有个英雄叫阿喀琉斯。他是无敌的战士，因为他母亲把他浸入冥河，让他拥有了刀枪不入的身躯。但母亲抓着他的脚后跟没有碰到河水。最终阿喀琉斯被一箭射中脚后跟，倒下了。再强大的人也有弱点，这就是这个故事的教训。AI飞行员的脚后跟，就是「数据」。如果敌人能篡改或污染这些数据，无敌的AI战士瞬间就会瘫痪。
对抗性攻击：睁着眼睛中的幻觉
先说最令人不寒而栗的威胁。专家们称之为「对抗性攻击（Adversarial Attack）」。听起来很专业，我用简单的话来解释。
AI识别物体时，分析的是像素，也就是构成画面的极小的点的排列模式。它看了数百万张照片，学会了「这种模式是坦克」「那种模式是卡车」。但如果敌人在坦克表面画上人眼几乎察觉不到的微小纹样，会怎样？这种纹样是通过逆向分析AI神经网络结构而定制的「毒药」。人眼看上去依然是坦克，但在AI眼中，那辆坦克变成了「校车」「羊群」甚至一块普通的「岩石」。
想象一下。我命令AI僚机：「攻击前方敌军坦克。」AI却回答：「前方只有民用车辆。」明明一辆60吨的钢铁巨兽就在那里，我身边的AI战友却看不见它。这不是机器故障。机器运转完全正常，只不过敌人往机器的眼睛里灌入了幻觉。
2024年，中国人民解放军的演训场上发生了类似的事。蓝方AI支援火力部队确信自己精确打击了红方炮兵阵地。然而训练监控官叫停局面后，真相令人震惊：蓝方火力部队一半以上已被摧毁。红方指挥官在射击场上布设了假炮位和假信号。蓝方的AI对着幽灵开火，同时暴露了自己的位置。
反过来的情况更可怕。如果敌人在民用医院或学校屋顶投射特殊图案，让AI误认为那是「导弹发射架」呢？我们的AI僚机会毫不犹豫地对那里发起攻击。误炸发生了，平民死了。这个责任该由谁来承担？这不是一个技术问题，而是动摇战争本质的问题。
数据投毒：在水井里下毒
还有更狡猾的攻击手段，在战争打响之前就已经开始了。专家们称之为「数据投毒（Data Poisoning）」，就像往水井里偷偷投毒一样。
AI靠数据成长。它通过分析数百万次模拟、数千万张照片、数亿条传感器数据来学习。但如果敌方网络部队悄悄渗透进我们的训练数据服务器，植入极其细微的错误，会怎样？
举个例子：敌人可以「驯化」AI，让它在平时正常运行，仅在特定条件下失灵。只有探测到红色烟雾弹时，或者只有收到特定频率的电波时，又或者到了某个特定日期时，它才表现异常。这叫做「后门（Backdoor）」。平时运行毫无问题的AI，在战争爆发的关键时刻突然失控：把友军识别为敌人，对敌机视而不见，甚至直接坠毁。
这是特洛伊木马的数字版本。古希腊联军把士兵藏在巨大的木马里，送进了特洛伊城。特洛伊人以为木马是战利品，欣然
接纳了它。夜幕降临，木马里的士兵钻出来打开了城门，特洛伊就此灭亡。如果敌人在我们AI的训练过程中藏了一匹「木马」，我们会毫不知情地把这个AI投入战场。到了关键时刻，木马里的毒素发作。
训练军事AI需要海量数据：卫星照片、侦察影像、开源情报等等。要完美验证所有这些数据的纯净性，几乎不可能。敌人可以在互联网上大量散布伪造的军事装备图片。我们的AI一旦学习了这些图片，就无法正确识别敌人的真实武器。一枪不放，就能把我们最强大的武器变成一堆废铁。
欺骗（Spoofing）：低语中的虚假现实
过去的电子战是用刺耳的噪音让敌人耳聋，用强力电波干扰把雷达屏幕搅成一片雪花。但AI时代的电子战不同，它是向敌人低语「虚假现实」的催眠术。
以GPS欺骗为例。GPS通过接收卫星信号来计算自身位置。但如果敌人发射比卫星更强的伪造GPS信号呢？AI飞行员会以为自己在一个与实际位置完全不同的地方，偏差三公里地飞行。它以为到达了目标点，投下炸弹，实际命中的却是一片空旷的荒野，或者更糟糕的情况，是己方基地。
在乌克兰战场上，GPS欺骗已经成了家常便饭。无人机丢失自身定位，飞到莫名其妙的地方或直接坠落。截至2025年，俄军正在乌克兰上空实施大规模GPS干扰行动，数百架无人机受到影响。
数据链入侵更为可怕。AI飞行员通过数据链与己方指挥部相连，任务指令、目标坐标、友军位置信息都通过这条链路传输。如果敌人入侵了这条链路，发出伪造命令呢？「编队立即180度转向返航。」命令来自加密频道，AI毫不怀疑地掉头飞回。
换作人类飞行员，会起疑：「这种局面下居然命令返航？不对劲。」他会用语音向指挥部再次确认。但AI只要逻辑上没有矛盾，就会执行命令。缺乏变通能力，这就是机器的局限。
黑客攻击：夺取数字座舱
我们现在坐在「数字座舱」里。F-35、F-47这样的最新战斗机，本质上是巨大的飞行计算机，数百万行代码驱动着整个机体。如果敌方黑客沿着网络渗透进来，夺取了AI系统的控制权呢？那就等于敌人坐在我的后座上，拿刀架在我的脖子上。
软件世界里没有完美的代码。你们的电脑和手机频繁更新，原因就在这里：开发者在事后堵住之前没发现的安全漏洞。战斗机也一样，再怎么严格检测，总可能存在某个缝隙。如果敌人先找到了那个缝隙，F-47就会变成一块飞在天上的、价值千亿美元的砖头，或者变成敌人操控的僵尸无人机。
无人机蜂群的问题更严重。数百架无人机通过网络相连，像一个巨大的生物体一样协同行动。然而这种连接本身就是弱点。只要一架被入侵，整个蜂群都可能被感染。就像病毒在全身扩散一样，恶意代码沿着网络蔓延开来。
美国国防高级研究计划局（DARPA）对此高度重视。2025年他们启动了一个名为SABER的项目，全称是「保障人工智能战场有效鲁棒性（Securing Artificial Intelligence for Battlefield Effective Robustness）」。该项目的目标是评估AI系统在对抗性攻击、网络攻击和电子战攻击面前的脆弱性，并开发防御技术。DARPA相关人员警告说，目前还不存在一个能够系统性评估已部署战场AI系统安全漏洞的生态体系。
信任崩塌：最深的恐惧
作为战斗机飞行员，我最怕的不是敌人，而是「不敢信任自己飞机」的处境。一旦怀疑我的AI僚机已被入侵或正在被欺骗，它就不再是战斗力，而是潜在威胁。
我在伊拉克上空执行「野鼬」压制防空任务时，同时信赖仪表盘和自己的眼睛。仪表盘显示异常数字，我用肉眼确认；肉眼看到的东西不对劲，我再核对仪表盘。两者互相验证。但AI飞行员只知道传感器呈现的一切。传感器撒谎，它也「感觉」不到。
要在算法战争中取胜，我们不仅要追求AI的性能，还必须确保它的「鲁棒性（Robustness）」。我们需要的AI，能在敌人的欺骗战术面前不上当，在数据污染中不动摇，在黑客入侵时能自我防御。美国国防部运行着「AI红队」，这是一支专家团队，专门对己方AI系统发起无情的攻击和入侵，以找出漏洞。AI在实战部署之前，必须经受住成千上万次数字试炼。
归根结底，技术再怎么进步，末道防线必须是人。AI说「这是一辆卡车」的时候，飞行员要能凭直觉和经验判断：「不对，那是伪装过的坦克。」在黑客攻击和欺骗威胁之中，人类的直觉是纠正AI错误的末道保险。这就是我们不能完全依赖机器的原因。
要在战场上活下来，你得懂得怀疑自己看到的东西。AI还没学会这种怀疑。这是算法战争中最致命的弱点。天空的主宰者，不再是飞得最快的那个，而将是最不容易被骗的那个。