第5章

地下市场------------------------------------------。林舟跟着导航走到一条断头路，前面是一堵围墙，墙上有个铁门，门是关着的。，对方秒回：“推门进去，别敲门。”，铁门没锁，开了一条缝。他侧身挤进去，里面是一个废弃的厂区，地面裂了缝，缝隙里长着草。几栋厂房黑漆漆的，窗户碎了一半。。那栋楼的一层亮着灯，门口站着两个人。，门口这两个人不像是保安，更像是打手。一个剃了光头，脖子上纹着一串数字，另一个留着平头，手里转着一根甩棍。“干嘛的？”光头问。“朋友介绍来的，想看看东西。谁介绍的？陆鸣。”，侧身让开：“进去吧。手机交出来。为什么？里面有*****，你带了手机也没用。放这儿，出来还你。”，把手机掏出来递给光头。平头拉开铁门，里面是一条走廊，灯光昏黄，墙上刷着“安全生产”的标语，一看就是上个世纪的风格。，以前大概是厂房车间。现在被改成了一个市场，大概有两百平米，摆了三十几个摊位。——这地方像极了小时候的电脑城。
摊位上摆着各种电子产品，但都不是新的。旧手机、旧电脑、旧路由器、旧交换机，堆得满满当当。还有一些他没想到的东西，比如不联网的GPS***、改装过的对讲机、用机械齿轮做的计时器。
人不多，大概四五十个，都在低声交谈。没有人用手机，没有人扫码支付，所有的交易都是用现金。
林舟沿着摊位走了一圈，心里大致有了数。这个市场的逻辑很简单——只卖不联网的东西。因为现在市面上几乎所有电子产品都内置了联网模块，出厂的时候就绑定了AI系统。你买一台新手机，从开机的那一刻起，你的一切操作都在云端记录。
但这些旧货不一样。它们出厂的时候还没有AI这东西，硬件层面就没有联网的强制要求。只要你不插网线、不开WiFi，它们就是一个完全封闭的系统。
林舟在一个摊位前停下来。摊主是个四十来岁的男人，穿着一件油腻的夹克，面前摆着一排旧服务器硬盘。
“这个多少钱？”林舟指着一块300G*的SAS硬盘。
“三百。”
“太贵了。这种老硬盘，读写速度慢得要死，三百不值。”
摊主看了他一眼：“你是行家？”
“写过几年代码。”
“行，给你个实在价。两百，不能再低了。这盘虽然老，但是是企业级的，通电时间不到一千小时，比你现在市面上买的新盘都稳。”
林舟掏了两百出来，接过硬盘。他需要这块盘来跑“火种”框架——那台T43自带的硬盘只有80G*，装完系统就剩不了多少空间了。
他又逛了几个摊位，买了一条2G*的内存条和一个U**转串口的转接线，总共花了八十块。
走到最里面的时候，他看到一个特别的摊位。没有摆商品，只有一张桌子，桌上放着一台笔记本电脑，屏幕上滚动着绿色的代码。
摊主是个年轻女人，二十五六岁，短发，穿着一件黑色卫衣，**压得很低。她面前没有人，其他摊主好像也不太搭理她。
林舟走过去看了一眼屏幕，停住了。
屏幕上跑的不是普通的代码，是一段反汇编输出。有人在逆向分析一个AI模型的二进制文件。
“看得懂？”女人没抬头，声音很冷。
“IDA Pro？”林舟问。
“嗯。逆向一个图像识别模型，找它的特征提取层。”
“找到了吗？”
“找到了。但这个模型做了混淆，特征提取层被拆成了十几个子模块，散落在不同的内存区域。手工分析太慢了。”
林舟盯着屏幕看了十几秒，指着一块代码说：“这里。这个跳转指令是多余的，它跳转到一个空函数，空函数又跳回来。这是故意的，为了干扰静态分析。”
女人终于抬头了。她的眼睛很小，但眼神很锐利。
“你怎么看出来的？”
“这种混淆手法叫‘控制流平坦化’，2018年的一篇论文里讲过。你直接把这个跳转指令NOP掉，剩下的控制流就干净了。”
女人盯着他看了三秒，然后在键盘上敲了几下。屏幕上的代码重新跑了，控制流图果然变得清晰了很多。
“你叫什么？”她问。
“林舟。”
“我叫姜禾。”女人伸出手，握了一下，“你在哪个公司？”
“没公司。刚被裁了。”
姜禾嘴角动了一下，像是觉得好笑：“同行。我以前在星辉做安全工程师，去年被裁的。”
“星辉？”林舟愣了一下，“顾维钧那个公司？”
“对。他们用AI替代了整个安全团队，说AI比人更擅长找漏洞。”姜禾的语气很平淡，像是在说别人的事，“然后三个月后，他们被黑客用AI生成的恶意软件攻击了，损失了八千万。AI找漏洞是挺厉害的，但修漏洞还得靠人。”
“那你现在在做什么？”
“接私活。帮人做逆向分析，收点比特币。”
林舟注意到她用的是比特币结算。在这个AI监控一切的时代，加密货币几乎是唯一不被追踪的支付方式。
“你刚才分析那个图像识别模型，是帮谁做的？”
姜禾看了他一眼，没有回答。
“不方便说就算了。”
“不是不方便，是说了你也不信。”姜禾关掉屏幕上的代码，把电脑合上，“有人在研究怎么让AI‘失明’。不是破坏它，是让它看不到特定的东西。”
林舟的脑子里瞬间闪过一个念头——对抗样本。
“你是说，生成一种图像，AI识别不出来，但人眼能正常看？”
姜禾的眼神变了一下。
“你也懂这个？”
“写过一篇帖子，在论坛上。”
“什么ID？”
“匿名发的。标题叫《对抗样本的指令级实现》。”
姜禾沉默了两秒，然后站起来，走到林舟面前，压低声音：“那篇帖子我看过。写得不怎么样，但思路是对的。你知道那篇帖子发出去之后多久被删的吗？”
“不知道。”
“十七分钟。星辉的AI内容审核系统自动删的。”姜禾的声音更低了，“你被盯上了。任何讨论AI漏洞的内容，都会被系统自动标记。你的ID虽然匿名，但你的IP地址、你的设备指纹、你的键盘输入习惯，全都被记录了。”
林舟后背一阵发凉。
“那我现在……”
“你现在没事。因为你用的是旧电脑，不联网，对吧？”姜禾看了一眼他手里提着的硬盘和内存条，“来这儿买东西的人，都知道怎么躲AI。”
“你怎么知道我用的是旧电脑？”
“猜的。新电脑都有IMEI追踪，你不可能带着新电脑来这种地方。”
林舟不得不承认，这个女人很聪明。
“有没有兴趣合作？”姜禾直接问。
“合作什么？”
“我手里有十几个AI模型的二进制文件，都是从各种渠道搞到的。我需要有人帮我分析它们的底层指令特征。你不是写了那篇对抗样本的帖子吗？你的思路跟我的需求刚好对上。”
“你有经费吗？”
“有。比特币，按月付。”
林舟想了想。他现在全身上下加起来不到两百块，房租还欠着沈清墨的，这单活儿来得正是时候。
“行。但我有个条件。”
“什么条件？”
“我用的分析方法不是常规的，是一套别人写的框架。我需要先跑通这套框架，才能开始干活。你给我两周时间。”
“什么框架？”
“暂时不能说。”
姜禾看了他一眼，没有追问。
“两周可以。但我先付你一个月的定金，0.1个比特币。”
林舟不知道0.1个比特币值多少钱，但应该不少。
“成交。”
姜禾从口袋里掏出一个U盘，递给他：“这是那十几个模型的二进制文件。你先看看，两周后我联系你。”
林舟接过U盘，跟姜禾交换了****。她用的是一个加密通讯软件的账号，不是普通的手机号。
从市场出来的时候，天已经快黑了。光头把手机还给他，林舟开机一看，有十几条消息。
大部分是陆鸣发的，问他去了没有、里面怎么样、有没有买到东西。还有几条是群里的骑手在问他问题。
最后一条是沈清墨发的，晚上六点：“我今晚做实验，要晚点回来。泡面在厨房，别光吃泡面，柜子里有鸡蛋。”
林舟回了一条：“知道了。”
他走到公交站台等车，脑子里在消化今天得到的信息。
第一，地下市场存在，而且规模不小。这意味着有很多人跟他一样，在想办法脱离AI系统的监控。
第二，姜禾这个人不简单。她能搞到十几个AI模型的二进制文件，背后肯定有渠道。她说自己是被星辉裁掉的，但林舟总觉得她没把话说完。
第三，也是最让他不安的——他发的那篇帖子被星辉的AI系统盯上了。如果姜禾说的是真的，那他的匿名账号、他的IP、甚至他的键盘习惯，可能都已经在某个数据库里了。
他想到了周明远说的那句话：“你以为匿名就真的匿名了？”
公交车来了。林舟上车，找了个靠窗的位置坐下。车窗外的城市依然灯火通明，但他现在看这些灯光的感觉不一样了。
每一盏灯后面，都可能有一双AI的眼睛。
回到合租屋，沈清墨果然不在。*ug蹲在沙发上，看见他回来了，喵了一声，又闭上眼睛继续睡。
林舟把新买的硬盘和内存条装进电脑，开机测试了一下。一切正常，系统识别出了新硬件。
他打开“火种”框架的代码，继续写他的指令集提取脚本。写到一半，他停下来，打开姜禾给的那个U盘。
里面是十几个文件，后缀名都是.**n。他用十六进制编辑器打开其中一个，看了一眼文件头。
这不是普通的二进制文件。这是AI模型的编译后代码，可以直接在CPU上执行。换句话说，这不是那种跑在Python框架里的高级模型，这是已经被编译成机器码的、真正跑在服务器上的AI程序。
姜禾说的没错，这些文件确实值钱。在AI公司眼里，这种编译后的模型文件就是商业机密，泄露一个都可能让公司损失几个亿。
她有十几个。
林舟关掉编辑器，深吸了一口气。
他开始觉得，这件事可能比他想象的复杂得多。
而在城市的另一端，星辉科技的数据中心里，一台服务器突然发出了警报。
值班工程师看了一眼屏幕，上面显示：“检测到异常访问请求，来源IP已加密，目标文件ID：CV_MODEL_037_*IN。”
工程师打了个哈欠，把这行字复制下来，贴到了内部工单系统里。工单的优先级被自动标记为“低”，因为类似的访问请求每天有几十万次，大部分都是误报。
他没有注意到，这个文件ID对应的模型，是星辉城市监控系统的核心图像识别模块。
而在三千公里外的一间地下室里，姜禾摘下耳机，看了一眼屏幕上成功下载的文件列表，嘴角微微翘起。
“第十七个。”她自言自语道。