人对病毒的恐怖，已经远远超出人对人的恐怖。但人在禁闭岛，新型威胁攀附网络之上。
在无感中，“魔形女”（Mystique）奇袭，瞄准安卓系统，Android 11。
同于漫威电影中角色，魔形女可以变成任何人，潜入防卫严密的基地，发起攻击。
在安卓11中，“魔形女”能够化为任意APP的样子，取得权限和数据，完备绕过防护机制。在用户毫无感知中，随意获取APP数据或系统数据，代表用户转账、发、获取隐私数据。“魔形女”漏洞成为在用户态再次冲破了App包安装后只读并被信赖的默认假设，躲在暗处，悄无声息地寄生。
耐心的猎手以猎物办法登场。
今年5月，京东探索研究院信息安全实验室在持续追踪安卓系统的安全研究时创造，Android11系统存在高危漏洞，并将其命名为“魔形女”漏洞。
在此之前，未曾可知有谁遭受过攻击。但环球8亿Andoid11用户面临隐私风险。
在这之外，是环球超30亿安卓用户，占天下人口近四成。魔形女野心赤裸。
这个漏洞的利用事理，就像拿到了酒店的通用钥匙，随意进入某一住客房间。
谁能想到进入房间的会是谁。黑灰产？恶意商业实体？境外黑客势力？或者一个熟习的人？
在Android历史上也曾涌现过一些可达到类似效果的提权漏洞，包括Android 5之前的远古时期，以及近5年来远程、内核和SystemServer的一些问题，如Bitummap漏洞。但随着Android防御机制不断加强和代码质量不断提高、攻击面不断减少，近年来这些漏洞可谓百里挑一，利用难度也越来越高。而且由于Android碎片化的现状，几年来都很难有一个稳定的通杀漏洞。
防御难度与黑客技能水涨船高。
京东探索研究院信息安全实验室高等研究员Ricky说到，“大概这五年来，大家已经没再看到过有影响面非常广泛、攻击效果非常稳定的漏洞了，“魔形女”漏洞十分罕见。”
谁唤醒了魔形女？
安卓本身是沙盒防御系统，每个数据都会隔离保存，形成一个个房间。每个房间都有一把锁，如果想串门的话，须要房间主人明确赞许，即表现为安卓数据共享机制中最小权限原则。当须要授权时，系统必须明确权限范围，即访客在何种条件下，实行何种操作，访问何种资源的权限。
而Google工程师在开拓过程中或许为了完成新特性，在产品设计中违反了最小权限原则，导致原来严密的沙箱设计中涌现了松动，犹如酒店房间的门锁制造厂商在新锁生产过程中涌现失落误，导致一把新的钥匙能够打开所有的门锁。
原来的一把钥匙成了万能钥匙。有了这把钥匙，能打开哪些门?
Ricky说到，“我们基本上对所有的主流手机厂商的设备系统进行了自动化扫描，创造了多个可被攻击的漏洞，终极将安卓系统的“魔形女”漏洞升级为一个具有巨大影响力的漏洞链。”
京东安全实验室凭借对安卓系统的深入理解，持续追踪安卓系统的每一次更新，在研究过程中敏锐地把稳到了Android 11 引入新特性时的问题。“有这个创造之后，我们借助自研的自动化、半自动化漏洞挖掘框架，创造魔形女漏洞会利用各个厂商自身的漏洞，组合一条漏洞链条，终极达到对任意运用和数据盗取的效果。”Ricky说到。
新的风险值得行业当心。京东第一韶光向Google、Samsung、OPPO等安卓手机厂商关照了漏洞并提出修复建议，并及时按干系规定进行上报，而且向全社会用户供应了SDK自测工具。目前Google已经在最新版本的Android11和新发布的Android12中修复了这些问题。
Ricky对雷锋网说到，“由于这个漏洞涉及到谷歌自身，并且它是所有安卓同盟的盟主，紧张通报便是谷歌。并且也在第一韶光关照了安卓设备出货量的第一的三星厂商，以及海内用户较多，影响较大的手机厂商。但华为情形比较分外，我们创造鸿蒙系统没受影响。由于鸿蒙系统是基于较早版本的安卓系统改造而来，反而没有这个漏洞。”
据数据统计，环球安卓机用户已经超30亿，中国品牌的安卓机险些占环球的半壁江山，是安卓最大的手机市场，三星为第一品牌，Oppo为第二品牌，顺次为华为。
目前主流安卓厂商均已确认修复漏洞，并发布了补丁和做了系统升级。
现在企业可自行在App中支配京东探索研究院信息安全实验室博客供应的检测SDK，及时检测是否被黑灰产利用，还可以通过MDM检测员工办公移动设备，查看是否被利用于定向APT攻击。对付更多的个体用户，须要及时更新设备或打补丁，或利用检测工具查看自己是否被“魔形女”攻击过。
这也表明科技行业对创造漏洞的标准回应办法发生了重大转变。目前包括腾讯、阿里、京东、百度等互联网公司的安全应急相应中央都有一种褒奖机制。
“当然有白市就有黑市，天下上也有漏洞军火商，一个安卓漏洞或者IOS漏洞在黑市能开到一百万美元的价格，得到的物质褒奖实在是比报给厂商的褒奖多得多。但是漏洞褒奖更多的是对研究者的一个认可，这种代价会是越来越高的。”Ricky谈到。
京东自身也有漏洞褒奖操持，表明对这种合法研究的认可和鼓励支持，并且在自身信息安全培植方面，也在吸引业界顶尖人才的加入。
权衡京东安全的“护城河”和行业安全的“水位线”，这个问题在京东看来并不抵牾。
京东信息安全部高等总监周群对雷锋网说到，“我们京东也有自己的安卓端用户，体量非常大。如果在安全这部分我们自己都没有创造，以及我们没有第一韶光为业务体做保护，关照其他的厂商，这种风险很有可能被恶意团伙、人或者组织利用，终极会变成对我们京东用户的一种侵害。”
从企业到行业，不变的是用户群体。但站在什么态度上考量用户，关系到企业发展的长期计策。
迈出京东舒适圈：从场景安全走向生态安全
京东安全团队建立可以追溯到2011年，而专门从事前沿安全技能研究的安全实验室从2017年建立至今，也已经走过快四个年头。四年前，京东安全实验室的名字还是“安全攻防”实验室，是在当时环球范围内AI、IoT 和云打算快速发展中的技能迎头之举、业务安保之举。
发展至今，京东安全的实验室研究发展为三个部分：其一是基于业务的安全研究，其二是偏底层通用性的安全机制的安全研究，其三是最新前沿技能的安全研究，例如AIoT。目前京东在硅谷有一个安全研发中央，紧张是AI安全、黑产对抗、IoT安全研究，也包括海内的京东牧者安全实验室，紧张做IoT安全、区块链安全、开源社区等研究项目，包括大家熟知的麒麟框架等。其余还有会致力于根本举动步伐漏洞方面的研究，即Ricky团队。
目前京东安全已经不仅关注自身业务中的安全场景，更将”京东特色”、“零信赖体系”为目标，以“互联网免疫”为空想，力争向家当输出前沿安全能力。
周群谈到，“技能公司做安全，可能会把安全切分成很多个维度，运用安全、办公道安等。从京东的角度看，实在所有的安全都是建立在企业信息化的根本上，终极归为三大类：打算类安全、账号类安全、数据类安全。”
针对三大类资源，办理所有企业共通的问题，办理IT根本举动步伐数字化能力掉队的同时还要花费大量的韶光和精力逐个定制每家企业的安全机制，或者说很难标准化地做事。如果通过一种零信赖的框架，以低本钱、卡点机制作为增量掌握，以一系列的安全履历做存量问题肃清，把全体行业的安全机制建立起来，这是京东能够做成的事情。从源头办理企业的安全问题。
这是基于京东多年来\"大众黑灰产\"大众的对抗履历，也是结合行业前沿的安全体系和安全技能，以及零售、物流、数科、保险、康健等各领域积累的安全运营履历。
这里面既有寻衅，也有京东这种大体量公司积累起来的履历支撑。“整体上看，这些也是现在的发展趋势之一，让各家公司互联互通、整体开放，一起构筑行业整体的安全生态。”周群说到。
随着京东全体业务体态的发展，从最早全部线上的业务环境，到现在环球规模最大的线下仓配，个中包含的大量电阛阓景、支付场景、物联网场景、云场景等全维度场景，包括物流体系已经引入越来越多的人工智能等一系列的新技能。从安全战角度来看，京东从过去只须要着眼自体生产网、办公网到现在仓配网、供应链，用户与客户体系，以及行业生态体系。只要用户参与的，有感的，对京东来讲都是防护范围之内。无论是从安全边界、深度、还是广度，京东安全都跟此前不一样。
周群谈到，“京东安全是基于京东的内平生安能力，联手生态伙伴共同打造安全根本举动步伐。本身京东业务场景在海内来看，都属于最上层、最繁芜的规模。”
从企业出发，做安全的事情，更像是用一根纵线为所有业务放置了一块背景板。当然从顶层设计来看，应对互联网行业的安全变革是行业可持续发展的内在哀求，也是负任务大企应尽的企业责任，这不是别人要大企做，而是企业自己要做。
目前，京东在保护自身各个业务线安全的同时，也将这些安全能力对外赋能，在企业客户那里也沉淀了案例和口碑。现在，京东安全正在与京东各个技能做事业务线互助，一起将安全能力输出给更多的客户和互助伙伴，帮助全体生态提升安全水位。就比如这次漏洞的创造，帮助有名企业修复漏洞，向大众供应检测工具，都是为生态伙伴供应安全支撑。
京东目前正在准备第三条曲线，技能做事于企业数字安全，也是技能赋能于京东整体业务。可以预见的是，企业进场做数字安全做事的事情，并不在于企业能够供应多大的横向产品矩阵，而在于参考企业自身的生态系统，推出更好的做事组合。
“在京东内部，我们不会把风险等级作为单一维度，从安全风险的等级看，它可能是严重、高危、中危、中低危。但是这个风险终极的定级除了技能的危害性之外，实在更多的是参考企业本身的业务承载面。”
“我们毕竟不是纯粹的安全厂商，可以去以技能去彻底定义一个漏洞。我们企业做事的整体策略是，不能打扰企业业务的正常进行，但相应的数据安全的事情要得以担保。”
Ricky从技能角度回应周群的事情， “我们希望扩大互联网的安全边界，对根本举动步伐安全增加更多投入。两年之前，京东内部成立了保护生态数据安全的专门行动，希望可以通过这套数据安全体系，担保流转数据的时候，就完成数据的脱敏、加密等一系列安全事情，进而保护企业核心数据以及用户隐私安全。另一方面针对漏洞挖掘框架，推动框架朝着基于程序剖析和人工智能的自动化系统转变，将全体网络安全攻防往自动化、机器化方向发展，这符合全体国际发展的大趋势。”
在魔形女漏洞的创造中，京东的漏洞挖掘框架就发挥了自动制敌的效用 ，框架包含“静”、“动”、“专”三个维度。“静”为基于人工智能的数据流程序剖析技能，“动”为基于遗传算法的动态程序测试技能，“专”为基于专家履历的变异剖析技能，三者有机结合并相互补充，可对泛IoT设备/系统、App等进行全面而深入的漏洞挖掘和隐私风险创造。仅在今年上半年，京东安全实验室就借助该框架创造了数十个CVE，帮助多个生态伙伴肃清了大量风险。
近几年来，病毒和漏洞险些从我们视线中消逝，更多的转义为隐私透露，实质缘故原由是业务数字化和数字业务化拉动的产品形态的变更。在这背后，有更多像京东一样开辟第三条增长曲线的企业，推动安全技能水位拾级而上和白帽红帽蔚然成风。
在技能向好的另一壁， Ricky说到，“对付我们来讲，软件系统会不断更新，须要我们不断地进行安全测试，才能担保它不会涌现设计问题。这不是一次就可以搞定的事情，必须要有持续性的投入，一刻都不能放松。
第二我们认为安全是一个体系化问题，像魔形女漏洞实在利用的是一个个漏洞组合。在魔形女涌现之前，这些漏洞也存在，危害没那么大，导致大家掉以轻心。但一旦前面防线决堤，后面防线立时就会崩溃。这也见告我们该当是搭建纵深防御的安全体系，重视每一个安全问题。这是一件任重道远的事情。”
拥抱每一座孤岛
疫情未决，漏洞袭来。病毒不仅在检测各个国家的效率、强弱与文明，同时还在磨练着人性。漏洞在验证着企业的技能能力，也在考量企业对社会任务的整体态度。
周群在这时谈到：
很多的事情并不发生在企业之内，而是源于外部业务环境管理不善或者系统问题导致的数据风险。但从用户真个感想熏染来看，便是我的数据被透露了。因此，我们想更多地帮助用户办理个人隐私保护的问题。
一家企业首先看向无数体量的个体，才能在内卷深海中拥抱每一座孤岛。在海明威引自英国墨客John Donne诗作中，两三几句能解企业长期计策的问题：
No Man is an Island
No man is an island, entire of itself
every man is a piece of the continent, a part of the main.
没有人能自全，没有人是孤岛，每人都是大陆的一片，要为本土应卯。