或許你不知道：iPhone 的 CPU 最早由三星設(shè)計和制造，但從 iPhone 4s開始，蘋果逐漸轉(zhuǎn)向自主設(shè)計 CPU，僅由三星代工制造。直到 iPhone 6，將大部分CPU代工制造部分交給另一家公司，成功擺脫對三星的依賴。

幾乎同一時期，社交網(wǎng)絡(luò)公司騰訊在另一個常人認為它不擅長的領(lǐng)域——安全軟件上演了類似的劇情：擺脫對國外殺毒引擎的依賴，改用自家產(chǎn)品。 

殺毒引擎是什么？若將安全軟件比作汽車，那殺毒引擎就是它的發(fā)動機。眾所周知，國產(chǎn)殺毒軟件技術(shù)路線都是從進口發(fā)動機開始的，這種方式也被成為OEM引擎，騰訊自然也不例外。在騰訊負責(zé)自研引擎的于濤告訴雷鋒網(wǎng)，2010 年 QQ 電腦管家還在采用OEM殺毒引擎的時候遇到兩大問題，一是國外的殺毒引擎并不是針對中國市場環(huán)境設(shè)計的，二是OEM引擎無法適應(yīng)互聯(lián)網(wǎng)產(chǎn)品小步快跑、快速迭代的開發(fā)節(jié)奏。

于濤和另一位負責(zé)產(chǎn)品的同事桃子回憶稱，有一年遭遇 Office 宏病毒的某企業(yè)尋求騰訊安全人員的幫助，雖然電腦管家內(nèi)置的小紅傘引擎（Avira）可以識別此病毒，但處理方式是刪除整個文檔。對中病毒的用戶來說，把剛剛寫好的文檔刪掉是不可接受的。他們?yōu)榇伺c小紅傘溝通，但對方并不認為這種處理方式有問題?！翱磥碇竿谌絹碜龊眠@件事是沒戲的?！?/p>

立下軍令狀

很多人以為3Q大戰(zhàn)后騰訊才開始注重安全，其實不然，鑒于針對QQ盜號的木馬叢生，鵝廠本身也有足夠的動力為QQ用戶提供保護。但也不能否認，3Q大戰(zhàn)的促進作用。

早在2010年，3Q大戰(zhàn)開始前兩年，騰訊就開始自研殺毒引擎之路。2011年，自研引擎初具模型后，首先被部署到電腦管家的后臺，負責(zé)云查殺。這時候它也有了自己的名字 TAV——Tencent Anti-Virus。與此同時，開發(fā)人員拿它與國內(nèi)外主流安全軟件做了初步的性能橫向比較。

“云查殺的效果和橫向比較的數(shù)據(jù)給了我們團隊很大的一個信心?！庇跐僦豢跇?biāo)準的東北普通話娓娓道來，跟講話似擠牙膏的技術(shù)人員截然相反，“2012年初，騰訊要推出一款將殺毒和衛(wèi)士類產(chǎn)品合二為一的產(chǎn)品，那個時候電腦管家的產(chǎn)品團隊對 TAV 不是特別有信心，于是我們團隊向老大立下軍令狀，以類似灰度發(fā)布的方式逐步向用戶前臺部署 TAV?！?/p>

在北京的TAV研發(fā)團隊，前排右一剪刀手是于濤，他右后的女剪刀手是桃子。

電腦管家由多個不同的功能模塊組成，負責(zé)整個產(chǎn)品開發(fā)的團隊主要在深圳總部，而負責(zé)“發(fā)動機”TAV研發(fā)的技術(shù)團隊主要在北京。

“灰度發(fā)布”是一種互聯(lián)網(wǎng)時代的軟件部署方式，指的是讓一部分人先用上某些功能或特性，經(jīng)過驗證后再全面部署給所有用戶。從TAV引擎與OEM引擎的 2:8 用戶比例，再到 5:5 比例，目前電腦管家已經(jīng)默認全部采用自研的 TAV 引擎。盡管如此，電腦管家依然保留了開啟“小紅傘”引擎的選項，于濤稱這是為了給用戶選擇，也方便技術(shù)愛好者做對比，但實際上主動開啟小紅傘的用戶非常少。

拿下國際認證

2012年中到2013年中，是考驗 TAV 引擎的時期，一個產(chǎn)品從實驗室進入億萬用戶的電腦，面臨的問題自然不會少?！斑@一年基本上就是臥薪嘗膽、練內(nèi)功?！庇跐偨Y(jié)道，“主要抓產(chǎn)品穩(wěn)定性、識別率等關(guān)鍵性能指標(biāo)?！?/p>

2014年上半年，采用TAV引擎的電腦管家拿下兩個權(quán)威國際認證：西海岸實驗室和 VB100。拿到兩個關(guān)鍵的認證標(biāo)志后，TAV引擎開發(fā)團隊的技術(shù)實力得到了認可，立下的軍令狀可以交差了。

這兩個認證主要考驗的是殺毒引擎的實力，是技術(shù)團隊最看重的。其實國際上還有兩個安全軟件的認證非常權(quán)威，AV-TEST 和 AV-Comparatives，但這兩個認證主要考察的是產(chǎn)品體驗以及對操作系統(tǒng)的影響。“比如，同樣是一個安全軟件遇到的新文件，可能有的產(chǎn)品認為不在信任名單的就報警，也可能有的產(chǎn)品認為必須監(jiān)測到真有危害才報警。不同方案對用戶的感受是不同的，那么如何處理它對用戶來說更友好，就涉及到產(chǎn)品端的設(shè)計，跟殺毒引擎的關(guān)系不大。”于濤解釋，“我們目前正在做的就是配合產(chǎn)品團隊爭取后兩個認證，爭取在今年末或明年初的時候拿下來，證明我們騰訊做安全也是頂尖的?！?/strong>

多用機器少用人

到了2013年，隨著用戶量級和安全環(huán)境的變化，TAV 需要處理的樣本量每天達到了百萬甚至上千萬級。這時候 TAV 在技術(shù)路線上面臨兩種選擇：要么像老牌殺毒軟件廠商一樣，招更多的人來處理樣本；要么開拓新的方法，更符合互聯(lián)網(wǎng)時代的方法。

傳統(tǒng)安全軟件是通過特征碼來判斷一段程序是否含病毒的，如果一段程序（樣本）被殺毒引擎“拆解”后可以匹配病毒庫中的一條特征，那么就判斷它是病毒。這種方法沒法適應(yīng)現(xiàn)今的實際情況，因為病毒變種很快，僅依靠特征很容易誤判和漏判。

殺毒引擎的機器學(xué)習(xí)數(shù)據(jù)模型訓(xùn)練方式，示意圖。

依托海量數(shù)據(jù)、大規(guī)模計算技術(shù)的普及，機器學(xué)習(xí)的概念這時候剛剛興起。負責(zé) TAV 引擎開發(fā)的團隊敏銳地意識到機器學(xué)習(xí)將為殺毒引擎帶來革命性變化，更新自己的知識結(jié)構(gòu)成為當(dāng)務(wù)之急，挑燈夜戰(zhàn)是免不了的。沒過多久，這只精英部隊就掌握了新的機器學(xué)習(xí)方法：先通過被稱為哈勃的海量文件分析系統(tǒng)，讓文件（程序）在后臺系統(tǒng)的“沙箱”中真實地運行起來，然后根據(jù)這些程序的行為對其做出判斷，黑、白或未知。據(jù)此訓(xùn)練出一個數(shù)學(xué)模型算法：當(dāng)一段程序執(zhí)行起來具有哪些行為就將其判斷為病毒。

可以這樣理解，如果把互聯(lián)網(wǎng)病毒查殺和醫(yī)療領(lǐng)域作對比，那么傳統(tǒng)醫(yī)療方法是根據(jù)病人的各項醫(yī)療檢查和醫(yī)生的判斷，比如血常規(guī)，CT，核磁共振這類的。而新方法是將大量生病的病人的DNA與正常人的DNA做對比，通過統(tǒng)計的方式找到致病基因和這個基因的致病概率。

一個建議

近幾年的電腦病毒最大的兩個特點是趨利化和在線詐騙行為增多。“但我們也發(fā)現(xiàn)，容易中毒、上當(dāng)和被盜號的總是同一批人，原因在于他們的電腦使用習(xí)慣不好?！?/p>

“對于中國用戶來講，在電腦上全都用 Administrator 管理員賬戶是個惡習(xí)，打開了所有權(quán)限容易被利用，我們倡導(dǎo)普通用戶使用 User 賬戶。很容易類比的是，iPhone 比 Android 手機，尤其是 root 后的 Android 手機安全，就是因為權(quán)限管理更嚴格?！边@是于濤常常會給自己的家人、朋友的建議，他希望這一理念可以影響到更多用戶。 

TAV 殺毒引擎歷時4年多研發(fā)，它除了電腦管家的“發(fā)動機”這一身份，還作為一項騰訊安全體系的基礎(chǔ)能力服務(wù)于眾多其他產(chǎn)品?！膀v訊做安全也是頂尖的”，于濤不經(jīng)意說出口的一句話，恐怕也是騰訊最想從用戶那里得到的評價。

雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見轉(zhuǎn)載須知。