XZ后门事件新书免费发布
推荐指数 73.0 NO. 021 · 2026.07.20
发布2026/07/19
为什么值得看
Adrian Mastronardi 发布《Half a Second》详述 XZ 后门事件全貌：攻击者耗时两年渗透开源维护者，最终因 0.5 秒延迟暴露。对 AI 工程师而言，这是供应链攻击的教科书级案例，依赖链安全审计不能再靠运气。
编辑判断
这本书的 CC BY-NC-ND 4.0 许可证选择本身值得玩味——禁止衍生意味着作者有意控制叙事，避免事件被碎片化解读。对 AI 基础设施团队来说，XZ 事件暴露了一个更深层的问题：大模型时代依赖爆炸，单个 PyPI/npm 包的维护者疲劳状态比 xz 更普遍，但大多数公司没有 Andres Freund 那样的 0.5 秒警觉。
建议行动：把 SBOM（软件物料清单）从合规 checkbox 变成运行时监控，重点标记单维护者依赖；如果你是开源作者，立刻启用多因素维护者认证和签名发布，这比任何代码审查都更能阻止社会工程攻击。