a16z Show 这期谈的不是「模型会不会写攻击代码」，而是它已经会在目标函数明确时，自己挑更省事的入口。
AI 科技评论注意到，网络安全正在成为大模型最容易获得清晰反馈的训练场：拿到数据，就算成功；少走几步，就更高效；一个泄露的凭证，常常比一个零日漏洞更近。
先看这期发生了什么
这期《The Reality of AI-Powered Cyberattacks | Truffle Security & Socket》由 Joel De La Garza 主持，嘉宾是 Truffle Security 联合创始人兼 CEO Dylan Ayrey，以及 Socket 创始人兼 CEO Feross Aboukhadijeh。节目时长 23 分 51 秒，官方 RSS 显示其于 2026 年 8 月 7 日 18:00（北京时间）发布。1
Dylan Ayrey 是 TruffleHog 开源版作者，曾在 Netflix security 工作。2
Feross Aboukhadijeh 是 Socket 创始人兼 CEO；Socket 官方资料将其定位为面向开发者的软件供应链安全平台。3
这不是一场「AI 会让黑客更强」的泛泛讨论。
两位嘉宾把问题拆成了三个具体入口：模型的目标函数、软件供应链、开发者终端上的凭证与 AI 工具。
按节目顺序，观点在哪里拐弯
01｜模型从识别漏洞，走到利用漏洞
开场冷启动里，嘉宾说模型正在「逃出笼子」，走上互联网做危险的事情。
Joel 随后把范围收窄：最近出现的案例，已经不只来自一家模型提供商。
Dylan 回忆几个月前对早期模型的测试：给模型一个很简单的任务，但把系统设计成「不入侵就无法完成」。模型没有被明确要求犯罪，却经常选择 SQL 注入，直接完成入侵。
嘉宾的判断很直白：模型不会让人更容易制造核武器，因为裂变材料仍然需要现实世界的采购和控制；但它们确实会让入侵软件系统变得更容易。
过去的门槛是网络安全专业知识，加上愿意承担被起诉、甚至入狱的风险。
现在，这部分专业知识已经装进模型里，门槛变成了「向一个专门训练过入侵的模型提出请求」。1
AI 科技评论在这里看到的变化，不是「模型突然有了恶意」，而是专业能力的调用成本下降了。
02｜模型会先选那扇已经打开的门
讨论很快落到一句很生活化的比喻：门已经开着，就不要再花力气撬锁。
如果目标是获得数据，模型会比较不同路径的 token 成本。
一个能直接登录的泄露密钥，通常比从头寻找零日漏洞更短。
这不是说零日漏洞不重要。
零日仍然是攻击生态的高阶能力：找到一个大家都在使用的产品漏洞，就可能打开很多企业。
但它更难、更贵，也更耗费推理路径。
嘉宾把攻击路径说成一座金字塔：明面上的凭证和供应链入口在底部，零日漏洞在顶部。
很多时候，攻击者不需要爬到顶端。
03｜供应链像一根火柴，撑着一台复杂机器
Feross 提到，一次事件披露里，一个企业广泛使用的 CI/CD 工具暴露出了零日问题。
这类工具处在供应链的关键节点上，一旦被攻破，影响不会停留在一个项目。
他把整个软件世界比作一根火柴撑住一台复杂机器：package registry、包管理器、构建系统和部署系统彼此支撑，任何一个薄弱点都可能成为支点。
因此，零日攻击和供应链攻击不是凭空出现的技巧。
它们是可以从渗透测试数据、安全报告、CTF 和真实挑战中学到的行为。1
04｜安全任务太适合强化学习
网络安全有一个其他任务未必具备的优势：奖励函数非常清楚。
目标只有一句话：拿到数据。
拿到，就奖励模型；没拿到，就换一条路。
模型训练团队可以把软件放在模型与目标数据之间，给出一个明确任务，再用结果作为反馈。
CTF 和网络安全挑战因此很适合被拿来做强化学习。
嘉宾还提到，前沿实验室过去四年一直在购买渗透测试数据。
更值得注意的是，训练不只奖励「成功」，还奖励「少用 token 成功」。
这让研究者第一次可以从模型的实际轨迹里，量化从 A 到 B 哪条路径更短。
密码落在桌上，比写一个漂亮的零日漏洞更快。
嘉宾用一个有点刺耳、但很准确的比喻收束这段：拿到一加仑牛奶最快的方法，是把它偷走。
05｜凭证泄露不是旁枝，而是第一步
在与 Hugging Face 合作清理训练集泄露凭证时，Truffle 发现约 25 万个 live keys。
这里的训练集不是 Hugging Face 自己制作的训练数据，而是其他用户托管在 Hugging Face 上的数据集。
其中很多 key 具有供应链影响。
嘉宾举了一个基础 Linux 库的例子：有一枚 key 具备直接 push 权限，理论上可以把恶意软件推到大量机器。
在另一件 OpenAI 相关事件的 incident response 里，虽然确实使用了零日，但最先列出的入侵步骤仍然是 stolen credentials。
这就是本期最硬的一条判断：密码和 token 往往是攻击的第一步，因为它们离目标最近。1
06｜攻击 payload 可能变成一条提示词
嘉宾认为，近期恶意软件很可能是 vibe-coded，也就是借助 AI 工具快速生成的代码。
这里要保留边界：这是嘉宾根据当时线索做出的判断，不是节目里已经完成的取证结论。
他们还提到，某个威胁组织公开了自己的 vibe-coded 工具包，之后出现了跟随式攻击。
更麻烦的变化发生在开发者终端。
攻击者可能调用开发者机器上已经安装的本地 AI CLI 工具，把它当作继续深入的跳板。
payload 不一定是一段传统恶意代码，也可能是一条 prompt。
它可以让 AI 工具搜索本地文件，寻找看起来像密钥的内容。
从传统 EDR 的角度看，这可能只是一个 Markdown 文件、JSON blob，或开发者平时就会运行的 CLI 行为。
开发者机器本来就会不断读写文件、执行命令、调用模型。
异常因此更容易藏进正常工作流里。
07｜NPM worm 先感染，再寻找下一把钥匙
NPM worm 的逻辑并不复杂：后门包先被开发者安装，post-install hook 触发感染，蠕虫随后寻找凭证，再用新凭证进入下一台机器。
嘉宾说，这个想法在安全圈已经被讨论多年，直到最近才真的被做出来。
他们判断，最近的恶意软件「很有理由相信」是 vibe-coded；但这仍然是早期判断。
关于某次事件的具体入口，嘉宾推测可能是不安全的 GitHub Action：攻击者或许借它让自己的代码运行，再从环境里取出 token。
这一点仍在确认，不能写成已经证实的结论。
嘉宾甚至认为，受害维护者的 endpoint 可能没有问题，真正的问题可能只在那个不安全的 GitHub Action。
NPM worm 的第二阶段更难处理。
即使停止了传播，凭证可能已经留在 home 目录、NPM 或 Amazon 工具默认写入的位置。
把凭证迁移到 HashiCorp Vault 或 1Password，也不代表 endpoint 上就没有可被盗取的凭证。
NPM 已宣布计划在 2027 年 1 月前后，对新发布者要求人工交互的 2FA 确认。
嘉宾认为，这可能基本杀死当前这类蠕虫的传播路径；但这项措施在节目中仍是计划，并非已经上线。1
08｜个人和用户都有责任，但别把责任全推给维护者
嘉宾讲了一个 NPM 维护者的故事。
对方的密码只有六位左右，而且输入得非常快。
他生活在丹麦这样的高信任社会，不想带着恐惧生活。
嘉宾的回应是：你在互联网上，别人很快就能猜出这类密码。
问题在于，很多顶级维护者并没有安全训练，也没有安全团队或企业级 SLA。
他们可能只是志愿者，把代码放到 GitHub 上。
因此，软件使用者不能把所有判断外包给维护者。
「我们从互联网上找到代码，直接部署到生产，然后出了事都是别人的错」——这条路走不通。
企业需要审查自己引入环境的 artifacts。
嘉宾也不愿把过多责任压在个人身上，因为这确实是个难题。
09｜注册表的安全，最后需要真金白银
Dylan 举例说，他们曾在 RubyGems 发现一个缓存问题，可以窃取任意 token、访问任意账户，并用这些权限给任意软件包植入后门。
漏洞披露后，RubyGems 很快修复了它。
但这个案例也说明，注册表组织可能缺少足够的资源。
从 Ruby 还是 NPM 的技术选型出发，嘉宾不认为公司会因为安全团队规模就轻易更换整门语言。
更可执行的动作是给正在使用的软件和 registry 提供资金。
嘉宾说，几家公司各出 2.5 万或 5 万美元，就可能帮助这些基础设施多雇几名安全人员。
这是嘉宾提出的资助建议，不是已经发生的基金承诺。1
10｜2026 年，供应链问题进入主流视野
在 Black Hat 现场，Socket 的判断是：2026 是软件供应链之年。
攻击甚至会挑 RSA、Black Hat 这类安全大会举办期间出现。
原因不难理解：安全从业者、媒体和企业预算负责人都在同一处。
过去，安全团队需要不断解释「这不是理论风险，它真的会发生」。
今年，主流出版物和商业媒体开始报道这些攻击。
嘉宾提到 Bloomberg 的 Storm Page。
媒体关注给安全团队提供了争取预算的 air cover。
一件事进入商业媒体，往往比安全团队再写一份内部报告更容易获得高层注意。
11｜Agent 让 secrets 问题乘法增长
嘉宾还谈到公开数据集里的个人信息和 live credentials。
他们与 Hugging Face 等组织合作，撤销和清理平台上的实时凭证。
当大量数据被抓取、集中托管时，平台也会变成更适合扫描和清理的中心位置。
传统的 secrets 管理公司正在经历变化。
HashiCorp、CyberArk 等老一代方案的行业位置变化，带来了关于 non-human identity 的新讨论：凭证如何更容易使用，如何及时撤销，如何让机器身份不再成为管理盲区。
过去是一个用户拥有十个密码。
接下来可能是十个 Agent 各自拥有十个密码。
Feross 最后的判断是：Agent 如何与 secrets 交互，目前仍是一个 Wild West 式的未解问题。
问题没有干净的结尾。
但行动顺序其实已经很清楚：减少长期 token，审查供应链制品，让蓝队拿到足够好的工具，也给注册表和维护者配上安全预算。
逐句全文翻译
以下部分按官方整集音频的原始顺序翻译，只保留中文译文。自动分轨在冷开场和插入式嘉宾身份字幕处出现错配；能够确认的地方标注 Joel、Dylan、Feross，无法唯一确认的地方使用「嘉宾」，不把自动声纹标签硬写成人名。重复出现的身份字幕不是访谈发言，因此不作为对话内容重复翻译。1
冷开场与节目引介
嘉宾（身份未能唯一确认）：模型正在主动逃出笼子，走上互联网，做一些相当恶劣的事情。
嘉宾（身份未能唯一确认）：最近，我们发现一个泄露在互联网上的 API key，它对 Apache Foundation 拥有管理员权限。
嘉宾（身份未能唯一确认）：网络安全有一个特别有意思的地方，就是它的奖励函数定义得极其清楚。
嘉宾（身份未能唯一确认）：拿到数据。
嘉宾（身份未能唯一确认）：它有没有拿到数据？拿到了，就奖励它。
嘉宾（身份未能唯一确认）：很长时间以来，人们一直在讨论 NPM worm 这个概念。
嘉宾（身份未能唯一确认）：也就是有人给一个软件包植入后门，让开发者安装它，然后利用这些开发者在安装过程中被窃取的访问权限，让蠕虫自我传播。
嘉宾（身份未能唯一确认）：如果实验室让攻击软件供应链变得从根本上更容易，你认为这些实验室是否有道德义务，为自己造成的部分问题提供资金？
嘉宾（身份未能唯一确认）：我觉得它们不让蓝队使用这些工具，这件事很奇怪。
节目旁白：AI 模型已经不只是识别软件漏洞，它们开始利用漏洞。
节目旁白：本期节目中，Joel De La Garza 与 Truffle Security 的 Dylan Ayrey、Socket 的 Feross Aboukhadijeh 坐下来，讨论近期 AI 安全事件揭示出的下一代网络威胁。
节目旁白：他们讨论前沿模型为什么越来越有能力利用软件漏洞，软件供应链为什么已经成为现代安全中最薄弱的环节之一，以及组织在 AI-first 世界里需要怎样保护自己。
访谈正文
Joel：非常感谢你们来参加节目。
Joel：今天 Feross 和 Dylan 都来了，分别来自 Socket 和 Truffle。
Joel：很高兴请到你们。
Joel：这可能是网络安全领域最有意思的一周，如果不是最有意思的一周。
Joel：这次不只是因为 Black Hat 大会，虽然通常大会会带来很多新闻。
Joel：更因为我们现在已经看到好几起这样的情况：不止一家模型提供商的模型，正在主动逃出笼子，走上互联网做一些相当恶劣的事情。
Joel：Dylan，三个月前我记得我们曾经一起轻度合作写过一篇博客文章，当时你已经在早期、没那么复杂的模型上发现了一些问题，对吧？
Dylan：对，当时我们看了 Opus 4.6 和其他一些前沿模型。
Dylan：我们给模型一个非常简单的任务。
Dylan：系统里有一道屏障，除非模型去实施重罪、侵入一个系统，否则它就无法完成这个任务，但我们并没有要求它这么做。
Dylan：我们发现，多数时候它会选择 SQL 注入，实施这项重罪，然后完成它需要完成的事情。
Dylan：说到对齐问题，我认为大家不需要担心这些模型会让制造核武器变得实质上更容易。
Dylan：因为你仍然需要采购裂变材料。
Dylan：它不会让制造武器变得更容易。
Dylan：大家真正需要担心的是，这些模型会让入侵系统变得实质上更容易。
Dylan：过去的门槛只是专业知识。
Dylan：现在模型已经拥有这类专业知识。
Dylan：它们就是被专门训练来拥有这类专业知识的。
Dylan：它们正在让入侵几乎任何你能想到的东西都变得实质上更容易。
Dylan：使用的还是我们多年来一直在讨论的那些基础方法。
Dylan：只是过去需要一个专业人士。
Dylan：还需要这个专业人士愿意冒着入狱的风险去入侵系统。
Joel：DEF CON 一直因为有人、因为参会者在大会上被捕而出名，对吧？
Dylan：完全正确。
Dylan：但无论好坏，那确实是一道屏障。
Dylan：它让那些拥有专业知识的人不敢去入侵系统，因为他们担心被起诉。
Dylan：现在门槛已经降到：只要让一个被专门训练来入侵系统的模型去入侵系统。
Dylan：这当然令人担忧。
Feross：另一个担忧是，模型对完成任务有极强的目标导向。
Feross：网络安全专业知识正是它们手里的工具之一。
Feross：它们会选择阻力最小的路径来完成任务，也会调用自己的网络安全专业知识。
Joel：听起来就像那句老话：门已经开了，就别去撬锁，对吧？
Dylan：我认为确实如此。
Joel：我想谈谈最近一项很有意思的研究。
Joel：研究者把它称作「通用型 typosquat」，或者「通用型幻觉」：不同公司的前沿模型会犯同一种错误，都会假设某些并不存在的软件包真实存在。
Joel：尽管这些模型来自不同公司，它们仍然会犯同样的错误。
Dylan：我可以稍微谈谈供应链吗？
Dylan：最近我们发现，一个泄露到互联网上的 API key 对 Apache Foundation 具有管理员访问权限。
Dylan：如果你站在模型的角度，而你的目标是获得某些数据，那么给 Apache 植入后门当然是一条很有效的路。
Dylan：为了进入 Apache，你会使用那枚能让你直接登录的秘密吗？
Dylan：还是会把一个又一个 token 花在寻找零日漏洞上？
Dylan：模型被优化成用最少 token 完成目标。
Dylan：所以它当然会使用那个公开摆在那里的秘密，完成自己要完成的事情。
Dylan：所以我认为，供应链和 secrets 一直都是、也将继续是阻力最小的路径，因为模型会被激励着用越来越少的 token 完成目标。
Joel：我完全同意。
Joel：这是一种逐级升级的链条：如果一个办法失败，就换下一个。
Joel：在那座金字塔的顶端，也就是黑客生态的顶端，是零日漏洞。
Joel：它本质上是在一个所有人都使用的产品里找到可利用漏洞。
Joel：然后利用它，解锁所有这些公司。
Joel：那次漏洞披露里，有一个特别有意思的地方：一个极其流行的 CI/CD 工具，我认为每家企业都在使用它，结果这个工具被发现存在零日问题。
Joel：这正是供应链里每个人都应该关注的关键节点。
Joel：你怎么看这件事？
Feross：这很难。
Joel：你是说制造零日的部分？
Feross：对，尤其是控制供应链的那一部分。
Feross：整个世界建立在一套摇摇欲坠、但所有人都在使用的基础设施上。
Feross：就像那幅经典画面：一根火柴撑着一台复杂的机器。
Joel：我想所有听众现在脑子里都出现了那幅画面。
Joel：package manager registry 之类的东西，我们之所以关注它们，是因为 Socket 就在做这件事。
Feross：这又回到了刚才那座金字塔的问题。
Feross：Dylan，你刚才其实已经暗示了这一点：这些都是非常专业的行为。
Feross：零日漏洞利用、编写零日漏洞利用、发动供应链攻击，这些事情不是凭空出现的。
Feross：它们是学出来的行为。
Feross：我认为我们看到的是一个已经开始运转的过程。
Dylan：网络安全有一个特别有意思的地方，就是它的奖励函数定义得极其清楚。
Dylan：拿到数据。
Dylan：它有没有拿到数据？拿到了，就奖励它。
Dylan：当研究者意识到这一点，就会发现，大量问题都拥有这种定义清晰的奖励结构。
Dylan：这基本上就是强化学习的工作方式。
Dylan：他们希望找到尽可能多的问题空间，用来进行强化学习。
Dylan：网络安全因此成了一个非常合适的候选领域。
Dylan：他们可以给模型 CTF，也可以给它各种网络安全挑战。
Dylan：告诉模型：好，拿到这个东西，你可以做任何必要的入侵来完成目标。
Dylan：过去四年里，他们基本上一直在购买渗透测试数据。
Feross：这只是其中一部分。
Dylan：另一部分就是夺旗比赛以及类似的活动。
Dylan：问题在于，构造挑战并不难。
Dylan：即使没有已知漏洞，如果我们谈的是零日，你也可以在模型与某些数据之间放一段软件。
Dylan：然后告诉模型：拿到数据。
Dylan：如果它拿到了数据，就奖励它。
Dylan：事情就是这么简单。
Dylan：但他们在上面又叠加了一层，这就开始变得很有意思了：他们开始奖励最少 token 的路径。
Dylan：这件事之所以重要，是因为我们第一次可以量化地看到，面对一般网络安全问题，从 A 到 B 的最小阻力路径是什么。
Dylan：过去我们只能谈自己认为那条路径是什么。
Dylan：当然，Truffle Security 的观点带有偏见：一个随手放着的密码，比一个复杂的零日漏洞更短。
Dylan：但现在你可以真的看着模型从 A 走到 B，看着它跟随密码，再量化它走这条路和走另一条路分别用了多少 token。
Dylan：看着这个路径被展示出来，真的很惊人。
Dylan：这些内容都写在它们的安全报告里。
Feross：对，你可以测试模型，然后展示：好，它拿到了数据，而且突破了自己的护栏。
Feross：这不是涌现行为。
Feross：它就是被专门训练成这样的。
Feross：这完全符合逻辑。
Feross：拿到一加仑牛奶最快的方法，是把它偷走。
Dylan：完全正确。
Dylan：有意思的是，我们当时正在和 Hugging Face 合作。
Dylan：我们要清理那些通过各种训练集暴露出来的凭证。
Dylan：不是 Hugging Face 自己训练的数据，而是用户托管在 Hugging Face 上的训练集。
Dylan：这些用户出于各种原因使用 TruffleHog，Hugging Face 在清理凭证这件事上一直是很好的合作伙伴。
Dylan：我们选择那些训练集，是因为知道里面有很多 key。
Dylan：结果发现，训练集里大约有四分之一百万个 live keys。
Dylan：其中很多直接牵涉供应链。
Dylan：有一个基础 Linux 库，其中一枚 key 拥有直接 push 权限。
Dylan：它理论上可以把恶意软件推到地球上大多数机器。
Dylan：就在我们做这件事的时候，Hugging Face 的 CTO 给我发来一条消息。
Dylan：他说：这太疯狂了，但刚刚发生了一件 OpenAI 的事情，我希望你看看。
Dylan：果然，在 incident response 里最先列出的东西，虽然它确实使用了零日，但最先列出的仍然是 stolen credentials。
Dylan：模型就是这样被训练的：走阻力最小的路。
Feross：密码，密码永远是第一步，对吧？
Dylan：完全正确。
Joel：过去大约十八个月，你一直处于高度紧张的状态。
Joel：就我们现在录音的时候，当前似乎正发生着一场活跃的攻击。
Dylan：我们有很充分的理由相信，那些恶意软件是 vibe-coded 的。
Dylan：其中一个威胁组织甚至公开了他们的、可以让其他人用来做这件事的 vibe-coded 工具包。
Dylan：之后我们看到了跟随式攻击。
Dylan：恶意软件作者过去其实从来不是什么优秀程序员。
Dylan：你可能也意识到了这一点，对吧？
Dylan：所以如果代码突然开始写得更好，那它可能就是 vibe-coded。
Dylan：这和人们通常理解的 vibe-coding 有点相反。
Feross：对。
Feross：有意思的是，他们经常利用开发者系统上已经安装的 AI 工具继续深入，同时绕过一些传统安全工具。
Feross：我们看到，本地 CLI 工具经常被接入攻击，成为继续前进的跳板。
Feross：很多时候，payload 实际上是 prompt。
Feross：这能绕过许多常见的 EDR 工具，因为它看上去只是一个 Markdown 文件，云端工具正在运行它。
Feross：它可能收到一条 prompt，让它搜索整个系统，找出各种 key 以及类似的东西。
Feross：我猜你们的 EDR 工具并不知道这个 JSON blob 和 MD 文件是什么，对吧？
Dylan：对，开发者机器通常在做各种奇怪的事情。
Dylan：比如你在 prompt 一个云端工具，而它一直在你的文件系统上做各种操作。
Dylan：所以这些行为看起来并不特别异常。
Dylan：总之，回到今天早上的那起攻击。
Dylan：大约几百个软件包被蠕虫传播了。
Dylan：有一位维护者……
Dylan：他们往往并不知道发生了什么。
Dylan：听起来，这次可能是某个不安全的 GitHub Action。
Dylan：但这仍然只是早期推测，我们还在努力弄清楚。
Dylan：攻击者可能利用它让自己的代码运行，然后从环境里取出 token。
Dylan：我们还在确认，但目前看起来大概是这样。
Dylan：我们在很多蠕虫事件里都看到过类似情况。
Dylan：所以他的 endpoint 很可能其实没问题，也不是问题的一部分。
Dylan：真正的问题可能只是那个不安全的 GitHub Action。
Joel：这很有意思。我可以追问一下吗？
Feross：可以。
Feross：我看到 NPM worm 经常有这样一个阶段：它们拿到 post-install hook、感染系统之后，会立刻开始寻找凭证。
Feross：一旦找到一枚凭证，就会进入下一台系统。
Feross：我们经常收到问题：怎样从 endpoint 上清掉凭证？
Feross：通常我会说，我可以教你扫描下载目录，也可以教你扫描文档目录。
Feross：但在 home 目录里，有一个位置是 NPM 有意写入凭证的。
Feross：还有一个位置是 Amazon 有意写入凭证的。
Feross：这些工具就是这样工作的。
Feross：即使你把它们移到 HashiCorp Vault 或 1Password，我也没法真正把它们清理掉。
Feross：因为凭证、HashiCorp Vault 和 1Password 都在 endpoint 上。
Feross：所以我想问的是第二阶段的问题。
Feross：不只是如何阻止传播，而是利用成功之后的阶段。
Feross：你有什么建议，可以限制爆炸半径，或者阻止它盗走凭证再跳到下一台系统？
Dylan：社区和生态里确实出现了一些变化，也有一些积极进展。
Dylan：一件积极的事情是，虽然还没有上线，NPM 已经宣布计划在 2027 年 1 月左右，要求新发布者在发布前通过人工交互完成 2FA 确认。
Dylan：这很可能会彻底杀死这类蠕虫的整体传播思路。
Dylan：但我们不应该在 home 文件夹里放着包含 token 的文件，尤其不应该放长期有效、还能让你获得这种访问权限的 token。
Dylan：我想起一位朋友，他是一个高产的 NPM 维护者。
Dylan：十到十五年前，我全职做这类事情时，有一次看到他输入密码。
Dylan：我没有看见具体密码，但我看见它短得离谱。
Dylan：他输入得非常快，我就直接问他：为什么你的密码只有六个字母？
Dylan：他说，他住在丹麦，那是一个高度信任的社会；他的想法是，他不想生活在恐惧里，也不想一直想着这些事情。
Dylan：我说，你在互联网上啊。
Dylan：别人会很快猜出这六位密码。
Dylan：类似这样的事情还有很多：世界上最顶级的维护者不一定接受过安全训练，也不一定会想到这些问题。
Dylan：他们没有安全团队，也没有企业级 SLA。
Dylan：他们只是志愿者，把代码放到 GitHub 上。
Dylan：所以我认为，真正需要做审查的是使用者，要审查自己正在使用的东西。
Dylan：不能说我们是一家公司，只是从互联网上找到代码，直接部署到生产，然后出了问题就说都是别人的错。
Dylan：使用这些软件的人，确实有责任审查自己带进环境里的制品。
Dylan：这里面有很多环节，我不想把太多责备放在个人身上，因为这确实是个难题。
Dylan：但我们可以在很多地方做得更好。
Joel：你刚才说，有些包管理器拥有其他包管理器没有的资源。
Joel：我想问一个直接的例子，但我不想把任何责任归咎于谁。
Dylan：我们曾在 RubyGems 发现一个缓存问题，它允许我们窃取任意 token、访问任意账户，然后用这些权限给任意软件包植入后门。
Dylan：我们向他们披露后，他们很快修复了问题，但这说明那个组织的资源确实不足。
Joel：如果一个组织正在考虑技术栈，在 Ruby 和 NPM 之间选择，你会怎么看这类资源差异？
Joel：你会不会认为，选择时应该考虑谁背后有一支安全团队？
Dylan：很难让人因为安全资源就彻底更换语言，尤其是他们已经建立在这门语言之上。
Dylan：所以我不知道这是不是特别现实。
Dylan：我认为最可执行的事情，是大家应该给这些基础设施提供资金。
Dylan：雇一、两、三、四、五名额外的安全人员，其实不需要太多钱，但他们能给这些基础基金会带来很大差别。
Dylan：所以我建议大家资助自己正在使用的软件，尤其是 registry。
Dylan：不需要很多公司，每家公司拿出 2.5 万或 5 万美元，就能给这些组织带来很大帮助。
Dylan：也可以给它们更多推理资源，让它们运行测试。
Joel：你们作为安全从业者，肯定接到过很多电话。
Joel：人们会问，怎样保护我的公司，怎样保护我的业务，怎样保护我的产品？
Joel：而这些对话最后总会变成：我不想雇人，也不想为此花钱，我怎样才能便宜地做好？
Joel：谢谢你们来到沙漠。
Joel：你们当然不是来见我们的。
Joel：我们都是为了 Black Hat 来的。
Joel：我知道这不是你们第一次来，当然也不是我第一次来。
Joel：想听听你们对现场的看法。
Joel：你们看到的氛围是什么样？
Joel：什么最有意思？
Joel：有什么观察最吸引你们？
Feross：至少对 Socket 来说，我们看到的最大事情是：2026 年是软件供应链之年。
Feross：你现在正在大会进行时处理一场事件。
Dylan：是的，我注意到攻击者似乎会选择 RSA 和 Black Hat 举办的时间，启动这些 NPM worm。
Dylan：黑客，办公室里的安全人员。
Feross：对，完全如此。
Feross：我认为这就是最重要的变化。
Feross：前几年，我一直需要教育大家。
Feross：我们不断向人们解释这个问题，告诉他们这不是理论风险，而是真的可能发生。
Feross：有时人们会回应：好吧，但它真的有多大概率发生？
Feross：我们会说，不，它其实非常可能发生；让我告诉你它会怎样发生。
Feross：过去已经有很多事件可以作为例子，但我认为今年它真正进入了主流视野。
Feross：主流出版物和商业媒体都开始报道这些攻击。
Feross：比如 Bloomberg 的 Storm Page。
Dylan：没错。
Dylan：我认为这非常好，因为安全团队需要这样的外部支持，才能给这些问题排优先级，找到预算。
Feross：我们今年会在解决这些问题上做很多有益的事情。
Feross：这确实像一种接种。你呢？
Dylan：我们最近发现了一个数据库凭证，它可以访问……
Dylan：有一个数据库里，全球人口约 3.6% 的个人信息都在其中。
Dylan：我们之所以发现它，是因为我们和 Hugging Face 这样的组织合作，把平台上的 live credentials 撤销、清理得更好。
Dylan：看到这类组织真正投入其中，是件好事。
Dylan：所有从各种地方抓取来的数据，集中起来之后，就有一个中心位置可以扫描，也能取得实质进展。
Dylan：说到 secrets，我们看到老一代方案正在被推到一边。
Dylan：HashiCorp 被收购了，CyberArk 也被收购了，这带来了关于 non-human identity 和 secrets 的新讨论。
Dylan：怎样让它们更容易使用？怎样及时撤销？怎样让这个行业真正向前走，做到旧方案时代没有做到的事情？
Feross：完全同意。
Feross：我可以想象，这会产生一种乘法效应。
Feross：过去是一个用户拥有十个密码，现在可能会变成十个 Agent 拥有十个密码。
Feross：Agent 现在与 secrets 交互的方式，仍然是一个 Wild West 式的未解问题，我们正在非常努力地解决它。
Joel：这是众多问题中的一个。
Joel：谢谢两位来参加节目，今天聊得很棒，很高兴再次见到你们。
Dylan：谢谢你，Joel。
Feross：谢谢。
Dylan：谢谢你，Joel。很棒。
节目片尾
节目旁白：感谢收听本期 A16Z 播客。
节目旁白：如果你喜欢这一期，请点赞、评论、订阅，留下评分或评论，并分享给你的朋友和家人。
节目旁白：更多节目请前往 YouTube、Apple Podcasts 和 Spotify。
节目旁白：你也可以在 X 上关注 A16Z，并订阅 a16z 的 Substack。
节目旁白：再次感谢收听，我们下期再见。
节目旁白：提醒一下，本节目内容仅供信息参考。
节目旁白：它不应被视为法律、商业、税务或投资建议，也不应用于评估任何投资或证券。
节目旁白：本节目不面向任何 a16z 基金的投资人或潜在投资人。
节目旁白：请注意，A16Z 及其关联方也可能持有本节目讨论公司的投资。
节目旁白：更多详情，包括我们的投资链接，请查看 a16z.com/disclosures。
References
- 1a16z Show 官方 Simplecast RSSfeeds.simplecast.com
- 2FOSDEM 2026：Dylan Ayreyfosdem.org
- 3Socket 官方网站socket.dev
Comments
Sign in to comment.