开场：由谁扣下扳机
问题只在于，究竟由谁扣下扳机。如果我们要对付朝鲜，你可能会想到，私营部门的行动者把枪交给政府机构，比如国防部或其他部门，由他们来扣动扳机。所以我们不是说不能对付他们，而是在问谁有权按下那个按钮、扣下扳机。面对国家支持的行动者，必须由联邦政府的执法机构或军事机构出手，而不是私营部门。我认为这就是良好的公民治理。涉及国家间冲突，我们早已认定那应由正规的军队和官员负责，而不是交给私营部门。因此，我们并非解除自己的武装，只是在国家行为体的情形下决定由谁出拳。
大家好，欢迎收听《Unchained》，这是一个专注加密领域、没有废话的节目。我是主持人 Laura Shin。感谢大家收看这场直播——不过提醒一下，这其实是几小时前预录的。开始讨论之前先拜托大家一件事：我们正在决定……
Unchained 听众调查与 Nexo 赞助
我们现在正在决定明年《Unchained》会是什么样子：是否增加每周回顾节目、什么时候直播，以及 Premium 会员内容包括什么。我更想听听你们的意见，而不是嘉宾的，所以我们正在做一份听众调查。调查是匿名的，我会亲自阅读每一条留言。完成调查的每个人都能获得一个月的免费 Premium，可以选择《Unchained Premium》或《Bits + Bips Premium》。由你决定。网址是 unchainedcrypto.com/survey。再说一遍，unchainedcrypto.com/survey。调查开放到 11 月 8 日，你也可以扫描屏幕上的二维码。谢谢大家，这真的很有帮助。
现在进入赞助环节，感谢赞助商让节目得以制作。本期由 Nexo 赞助。Nexo 是领先的数字资产财富管理平台，你可以通过一个平台赚取加密资产的每日利息，或以资产为抵押借款。这个平台受到超过 1,000 万客户信赖。详情请访问 nexo.com。地域限制、资格要求及相关条款均适用。
还没收听《Bits + Bips》吗？这是我们每周一期的加密与宏观市场节目，由 Rahm Alawalia、Austin Campbell 和 Chris Perkins 主持。
《Bits + Bips》与嘉宾介绍
Austin Campbell 和 Chris Perkins。搜索《Bits + Bips》并订阅吧。
今天的话题是通过私掠方式反击黑客。今天到场讨论的嘉宾是 Chris Giancarlo，曾任美国商品期货交易委员会（CFTC）主席，也是《The New Adventures of CryptoDad》一书的作者；以及 Ari Redbord，TRM Labs 全球政策主管。欢迎 Chris 和 Ari。
非常感谢。
很高兴和你们在一起，Laura。能来这里我非常期待。
Ari，你曾任联邦检察官，也曾担任财政部高级顾问。无论是在政府工作期间，还是现在在 TRM……
Ari Redbord：AI 勒索软件已成“文明级”威胁
你无论在政府还是现在在 TRM 工作，都很熟悉今年各类加密犯罪和网络犯罪。到目前为止，朝鲜从加密领域窃取了超过 10 亿美元。此外，TRM 今年 8 月发布的 AI 与犯罪应用指数称，犯罪分子采用 AI 的程度同比增长约 40%，涉及 AI 的诈骗据报自 2022 年以来增长了 13 倍。这还没算过去这一周：我们看到许多非常古老、构成互联网深层基础设施的技术出现问题，包括 PHP、铁路系统、证书等等。现在甚至有人担心电网；我看到有人开始准备物资，以防电力或互联网等日常服务中断。我很想请你概括一下今年网络安全和加密领域的情况，并结合你在这个行业多年的经历谈谈怎么看。
谢谢你提这个问题。这确实是人类历史上一个非同寻常的时刻：我们看到恶意行为者借助技术大幅增强行动能力。回顾过去十年左右，朝鲜一直从加密生态中窃取数十亿美元，但我认为眼下的局面有所不同，关键就在于 AI。比如，TRM 去年的一份报告称，2025 年我们看到约 7,500 起勒索软件攻击。但那时的勒索攻击还需要有人参与其中。到了 2026 年，我们已经看到端到端、完全不需要人类介入的勒索软件攻击。这意味着，现在发动攻击不再需要一个人亲自操作，而是由机器执行，并以机器的速度行动。原本的 7,500 起攻击可能变成 75,000 起，甚至 700 万起。
这很危险，因为医院系统是勒索软件和网络攻击最大的目标。你还提到了水处理设施和电网。所以这不只是执法威胁，甚至也不只是国家安全威胁，而是文明层面的威胁。朝鲜从加密生态窃取数十亿美元，是为了扩散武器并从事破坏稳定的活动。我们正处在一个非同寻常的时刻：恶意行为者的行动速度和规模都前所未见。令人震惊的是——我知道今天会谈到这一点——我们必须以同样快的速度、同样大的规模反击。
好，Chris，这就引出你的部分了。去年你和 Franklin Templeton Crypto 的 Chris Perkins……
私掠许可证：Giancarlo 与 Perkins 的提案
他也是我们另一档节目《Bits + Bips》的共同主持人。你们在 Cointelegraph 上发表专栏文章，提议美国重新启用私掠与报复许可证（letters of marque and reprisal）。在深入谈它之前——这个想法显然已经进入美国的正式政策——请先解释这是什么，以及你们是如何想到提出这项建议的。
谢谢你，Laura。私掠与报复许可证其实写在美国宪法里。制宪时期，各国经常遭到其他国家借助私人行动者发动攻击，于是会签发这类许可证。如今各国攻击他国船运和商业，情况有相似之处。对许多海洋国家来说，船运和贸易就是命脉，当时这类攻击也同样关乎国家存亡。
因此，宪法起草者在第一条第八款，也就是规定美国国会权力的部分，赋予国会签发所谓“私掠与报复许可证”的权力。它们本质上是授权私掠者的契约：私人海员、船主及其船员可以反制那些在海上袭击船运的私人力量。这种做法过去很常见。美国独立战争时期有位著名的美国船长 John Paul Jones；1812 年战争期间也有人获得美国政府的这类授权，转而攻击袭击者。
所以 Chris Perkins 和我在 Cointelegraph 的专栏里提出：为什么不重新使用这项权力？为什么不让它适应 21 世纪，发挥美国私营部门强大的创新能力，来应对朝鲜 Lazarus Group 等国家支持的黑客并对其反击？多年来我们一直处于防守状态，攻击却不断增加。我们认为该转向进攻了，白宫也对此作出了回应。稍后会谈到这件事；这就是我们最初的提案。
好。我觉得这非常有意思，也很高兴它成了一个可选方案。我很好奇，Ari，你在政府工作过。你认同这个想法吗？你觉得现在值得推进、是个好选择吗？
我确实认同。Chris 刚才提到，多年来我们始终以防御为主。Colonial Pipeline 事件之后，白宫发布了网络安全行政令，涉及网络安全和勒索软件，但总体上大多还是防御性的。我们应该使用一切可用工具。当然，我们必须加强网络防御；从 DeFi 协议、中心化交易所，到 Apple、Meta 和 Google，这对所有人都至关重要。但与此同时，我们也要问，在进攻方面有哪些手段可以用来追击恶意行为者？如果朝鲜从 Bybit 窃取了 15 亿美元，我们能做些什么，或许把钱追回来？
所以我认为这绝对重要，是网络安全这个更大拼图中的一部分。要知道，我们总在谈朝鲜。它是个几乎没有经济活动的国家，却不知怎么训练出了一批网络战士，他们如今已经……
网络反击的能力与 Nexo 赞助
……他们在全球舞台上与俄罗斯、中国或伊朗竞争。这简直令人难以置信，但也显示了现代世界里网络能力的威力。所以我非常期待谈谈这在实际中会是什么样子。我们绝对应该使用这些工具。
对，当人工智能进一步增强 Ari 提到的网络能力时，我们就看到了过去几周、乃至过去几个月出现的情况：这些攻击的力量和渗透能力不断增强。
稍后我们会谈这个想法如何进入美国政府的正式政策。先请收听一段简短广告，感谢赞助商让节目得以制作。你的加密资产能不能不只是躺在钱包里？Nexo 是一个数字资产财富管理平台……
Nexo：让加密资产产生收益或抵押借款
……平台让你可以从加密资产赚取每日利息，或以资产为抵押借款。Nexo 今天服务超过 1,000 万客户。详情请访问 nexo.com。
如果你喜欢这个节目，别错过我们网络里的另一档节目。《Bits + Bips》是每周一期的市场节目。每周一，Rahm Alawalia、Austin Campbell 和 Chris Perkins 会聊加密与宏观经济的交汇点。节目观点犀利、节奏明快，而且有自己的频道。搜索“Bits + Bips”并订阅。
现在回到我和 Ari、Chris 的对话。Chris，正如你刚才所说，私掠行动如今已成为美国政府网络安全应对方式的一部分……
加密私掠如何从专栏提案走进白宫备忘录
……战。请解释一下特朗普总统做了什么，以及这项做法如何被纳入其中。
我们和 Chris Perkins 写那篇专栏的核心想法是：要正面应对这些攻击，仅靠政府回应还不够，最终必须释放私营部门的创新力量。专栏发表后，我有幸参加了 2025 年 3 月的白宫加密峰会，现场还有许多在美国本土或在美国开展业务的加密公司 CEO 和负责人，大家与总统及其内阁交流。与会者都被要求提出一些想法，我有机会介绍加密私掠的构想。我在新书《The New Adventures of CryptoDad》中也讲到了这件事。商务部长 Howard Lutnick 对提案给予了很大关注，财政部长 Scott Bessent 尤其如此。
那次会议之后，我受邀向财政部和执法部门介绍这个想法。随后我和 Chris Perkins 做了一系列陈述。我还向众议院农业委员会以及美国参议员介绍过。这个想法在华盛顿迅速获得了很大关注。不久后，白宫发布了一项行政命令，要求美国政府机构做好防御，也考虑采取进攻行动。
更重要的是，今年 8 月，白宫开始推动一项机制，让政府承包机构能够参与其中。正如我们所说，机会在于私营部门。很高兴看到白宫 8 月的命令授权私营部门行动者承担这项任务。不过，白宫的方案和我们的提议不同：它没有诉诸国会，要求依据宪法第一条第八款来做这件事；它依靠的法律授权也不同，完全没有援引宪法，而是依据《计算机欺诈与滥用法》。它针对的是政府承包商，而不是范围更广的私掠者。所以我认为这是第一步，也是很好的一步，为后续指明了方向。
最近又发生了新的黑客事件，我认为还会有进一步行动。总统备忘录规定，司法部等政府机构应在 10 月 11 日前制定规则。我很快查了一下，还没看到这些规则是否已经公布，但美国联邦政府的齿轮似乎正在转动，方向正是 Perkins 和我提出的：需要调动私营部门的力量，带来足以匹敌坏人的创新。我们得让白帽黑客跟上黑帽的速度。黑帽早就具备这种能力，而且还在加速；联邦政府终于意识到，需要私营部门采取行动，才能获得反击所需的进攻能力。
再问一个简短的问题：这类合同和普通政府合同有什么不同？我不太明白为什么需要另设一种合同。
白宫备忘录中的授权与限制
这又回到一个顾虑：Perkins 和我提出的做法相当积极，也有人公开表达担忧。回顾历史，人们会发现私掠者很难管束。因此，总统备忘录写入了很多控制措施。其中一项是，每项授权都必须由司法部和财政部批准。
另一个方面是，他们可以追击的目标受到限制。过去那些挥舞刀剑的私掠者会驰骋公海，见到有财宝的船就攻击。这次不一样，他们的行动范围有限，实际上不能对付国家行为体，只能针对恶意的私人行为者。未来的命令会不会扩大范围，我不知道；但这份备忘录确实写入了限制。
我认为白宫的做法方向正确，但属于渐进式推进，这可能并不是坏事。先看看第一波实施效果如何，再视需要扩大。准备申请这些授权的承包商会受到相当多的约束。
好，等一下——这是个非常重要的点，我之前没理解……
为什么私掠者不能追击 Lazarus Group
按你刚才的说法，他们就不能对付 Lazarus Group 这类组织，或朝鲜那些国家支持的黑客团体，对吗？
对。Chris，你继续说。
哎呀。
没事，你先说。
不，不，确实如此。你提到了我原本想在节目开始前解释的内容，不过放在这里谈也很合适。Chris 说得很到位——老实说，这是我听过对整件事最好的解释之一：这项授权非常具体，针对的是个别犯罪行为者。Chris 提到的 3 月行政命令，针对的是从美国人手中窃取数十亿美元的跨国犯罪组织。你会听说有人把毕生积蓄都赔进骗局，甚至是诈骗园区。8 月的行政命令则明确要让美国私营部门能对付这类跨国犯罪组织，而不是流氓国家行为体。
原因有好几个，Chris 已经谈到了其中许多。历史上，私掠者曾对付其他私人恶意行为者；但对国家采取行动，本质上是政府行为，可能等同于发动战争。因此，白宫在这一版本中非常谨慎，不愿授权私营部门直接攻击朝鲜这样的国家行为体。
天啊。那有很多国际法方面的考虑，对吧？白宫很谨慎，不想踩线。你不会想在无意中把自己卷入战争。所以他们很小心地规定，可以追击犯罪企业；但如果涉及国家，那通常要通过其他渠道处理。
想想贩毒集团、勒索软件团伙，还有杀猪盘——这是个很好的例子，因为这类骗局由东南亚乃至世界各地的犯罪组织实施。贩毒集团也是很好的例子。勒索软件团伙同样如此。但伊朗、朝鲜属于不同类别。
所以，如果犯罪者本身就是国家，就不能对付它们——至少在目前这个版本里是这样。我想这就是 Chris 的意思。不过，随着 Lazarus Group 以前所未有的规模和速度攻击加密企业及其他公司，我们可能会看到授权范围扩大。
还有个有意思的地方：一些团体可能得到某种程度的国家支持，但没有公开承认。想想世界某些地区的贩毒集团，当地政府其实与它们站在一起、为其撑腰。这项政策可能会迫使贩毒集团公开宣称：“我们和政府是一伙的，别来动我们。”这或许反而能让幕后支持者更透明。
我私下和一些前国务院人士谈过，他们说这项政策背后其实经过了很多考量。它不一定因此失效，只是说明美国正在谨慎、明智地逐步推进。我认为，对于这样新颖的做法，循序渐进可能是审慎的选择。
好。
Laura，我不想夸大问题，但也要看到问题的规模。加密生态里大家都关注朝鲜，因为它从这个生态中窃取了数十亿美元。但看具体数字，正如我们刚才说的，朝鲜在过去大约六年里窃取了数十亿美元，可能是 60 亿到 80 亿……
跨国犯罪团伙、贩毒集团与其他潜在目标
……或者八年。现实是，杀猪盘网络和这些跨国犯罪组织每年从小企业和个人手中窃取数千亿美元。因此，从这些犯罪组织入手，是应对其实际危害的一个很有力的起点。
如果我们能把这件事做好，也许会让一些国家赞助者打消念头、三思而后行。
说得有道理。
顺便问一下，我们已经提到杀猪盘。你认为还有哪些目标可能排在前面？
当然是贩毒集团。正如我在书里讲过，最初把宪法赋予的私掠许可证权力这个想法提给我的，是我的前幕僚长 Mike Gill。他当时想到的就是：可以用这种办法反击贩毒集团。那是在网络事件变得如此突出之前。
还有一点，回顾这段历史很有意思。就在过去一两年里，特朗普总统在就职演说中预告了一项行政命令；我以前没见过这种做法。大约一小时后，命令就发布了，内容是如何打击贩毒集团，并将它们指定为恐怖组织。从那以后，我们看到相关行动逐步升温：有哪些授权、工具和法条可以用来瓦解它们？事实上，参议员 Mike Lee 有一项法案，我们可以谈谈，内容大致是网络版的私掠许可证。不过，这项法案最初只针对网络领域、且仅聚焦贩毒集团。因此，Chris 和我今天讨论的很多内容，都是从本届政府上任之初就高度关注如何瓦解贩毒集团这一议题发展出来的。后来，随着我们看到这些大型诈骗网络（政府也非常关注）、以及朝鲜的问题，使用这些工具和授权的空间似乎也扩大了。
好，那我们谈谈可能采用哪些不同策略，也就是会实施什么类型的攻击。我知道显然……
反击如何运作：诈骗园区基础设施与追缴赃款
其中一个因素可能是出其不意。我知道不一定只有一种做法，但想听听可能采取哪些类型的攻击，甚至哪些美国公司可能会参与。
我听说，许多黑客本身并没有遭遇过特别复杂的黑客攻击，因此有人认为他们的防御可能并不强。如果我们真正释放创新力量，至少在早期可能产生很大效果——他们还没来得及建立起美国公司那种成熟防御体系。美国公司一直处于防守位置，防御能力相当先进。
我完全同意。我不确定是否应该深入谈这些行动的具体来源和方法，但可以举个例子：刚才提到的杀猪盘和跨国犯罪组织。它们的整套基础设施都是数字化的。他们把人口贩运受害者关在老挝、缅甸、泰国、柬埔寨等地的诈骗园区里，全天 24 小时行骗。他们给人发短信，利用手机信号塔基础设施，也使用 Starlink。所谓进攻性网络行动，就是摧毁他们用来攻击的基础设施，让他们更难继续作案。
另一方面，还要设法追回许多案件里的赃款。美国政府以前做过类似的事。Prince Group 就是一个重要案例：这是个大型跨国犯罪组织，在柬埔寨政府最高层、甚至中国情报部门都有关系。通过制裁、刑事起诉，以及世界历史上规模最大的没收行动——金额超过 100 亿美元，达到 150 亿美元——我们得以追回这类诈骗所得中的许多款项。在我看来，方法是结合起来：针对犯罪者及其基础设施，并采取进攻性网络行动。
好。我想到一个案例，不知道能不能算作例子。我记不清是哪家暗网市场了，但政府曾秘密接管它一个月，观察所有资金流向，掌握了不同卖毒品商家的信息，然后关闭市场。这种行动算不算？
绝对算。我认为这个构想的核心，就是授权“脏活小队”去对付那些用脏手段对付我们的人。就像我们在如今与伊朗开战前夕看到的，在军事环境中发生了大量这类行动；把它们放到犯罪环境里也一样。我想我们可能会看到手机爆炸之类的事情，还有秘密执法机构能做出的各种“有趣”操作，并由私营部门提供技术支持。
对，我们在博客上写过那个案例。我记得是 Hansa Market，FBI 继续运营了这个市场。那应该是 Europol；如果我没记错，Europol 也参与了。不过，是的……
组合运用执法手段与私营部门力量
完全正确。美国政府现在很多案件都在接管基础设施、直接攻击服务器。根据过去的经验，面对如此大的案件数量和如此快的速度，逐一追查几乎不可能。我们需要绘制出整个网络，再针对网络节点采取行动，包括服务器所在的位置。你看到某个网站或系统现在由 FBI、特勤局、Europol 或 Interpol 控制，正是因为执法部门成功摧毁了相关基础设施。我认为这也是整体行动的一部分。
Laura，有一点很重要，也是我多年来一直在说的：我们总把应对方式分成两类，一类是 Chris 开头提到的防御和网络安全，另一类是刑事起诉——逮捕某人、把人关起来，也许没收一些资金。但我们手里有很多可用的授权，应该全部用上。
我做检察官时，曾与一个团队合作，其中包括如今担任华盛顿特区联邦法官的 Zia Farooqi，以及跨部门的几名特工。我们依据《爱国者法案》向一家参与朝鲜洗钱活动的中国银行送达传票。人们总问：“怎么能给中国银行送传票？”根据《爱国者法案》，不遵从传票的惩罚是切断其代理行银行业务，这对全球银行来说几乎是致命打击。我们送达传票后，对方提起诉讼，但最终还是必须提交记录。
我用这个例子说明，谈进攻性网络行动时，也包括如何使用《爱国者法案》传票，以及如何动用今天拥有的所有工具。我们需要超越零敲碎打的个案，比如这里逮捕一个、那里抓一个。我们永远不可能去朝鲜、中国、伊朗或柬埔寨逮捕人，这就是挑战的一部分。
没错。近几个月采取的这些步骤传达了一个关键信号：联邦政府在说，“我们要请私营部门加入这项工作。我们不会只靠联邦政府机构行动，而是要把私营部门带进这些行动中。”我认为这是一个相当重要的突破。
这太令人振奋了。我平时不会在播客里念稿，但想很快读一下，因为 Chris 说的内容确实如此。国家安全总统备忘录（NSPM）开头写道：“美国私营部门是世界上最具创新力、技术最先进的部门；其规模、速度和能力为美国带来了关键的进攻性网络优势。”这就是行政命令以及如今国家安全总统备忘录的出发点：美国拥有创新和网络安全实力最强的私营部门，我们应该释放这种专业能力，发挥这些能力。
是的，我完全同意。不过我有个问题。你们肯定知道，我先做个合理推断：美国政府希望借助的公司中，应该包括一些 AI 公司。你们可能都知道，最近这些公司处在不同间谍行动的中心，比如沙特间谍事件涉及 OpenAI；竞争公司之间也有一些纠纷，比如 OpenAI 和 Apple 的争端已经进入法院审理。既然这些私营公司可能被用于政府行动，而为政府工作通常要通过一定级别的背景调查和审查，这些要求未必是私营公司平时会做的。那么，私营公司如何……
AI 公司参与行动时的审查与护栏
……那么，如何确保这些安排的安全？
这是个好问题。先说一点：根据公开报道，我们已经知道不少 AI 公司正在与政府合作，并向政府报告可能引发问题的各类搜索行为。大约六周前，《华尔街日报》有篇报道说，有人利用 AI 研究如何大规模毒害人群，AI 公司把这件事报告给了政府。
AI 是一种新技术，新技术总会有好坏两种用途。汽车刚出现时，最早的用途之一就是银行劫案；新技术总会如此。但汽车也被用来制造警车，让警方追捕坏人。技术就是这样，既可能被坏人利用，也能被好人使用。我在 CFTC 从事执法工作时常说，我们的工作不是永远领先坏人一步，而是绝不能落后他们超过一步。我们总会落后一步，但不能落后三四步。只要地球上还有人，就会有人把技术用于恶意目的；我们其他人就得把它用于正道，抓住那些坏人。
Laura，我补充一点。尽管我和 Chris 一直在推动这个议题，Chris 早先谈到的护栏也非常重要。国家安全总统备忘录中有大量护栏，要求使用经过严格审查的政府承包商，并对合作对象进行深入调查和了解。比如前执法人员，他们经历过你所说的那种严格审查。我认为这种审查绝对关键。
我也认为，在 AI 的采用和实施方面，还需要增设一些大家都认同的护栏，这会成为整个流程的重要部分。至少就目前这份国家安全总统备忘录而言，政府保留了极严格的审查和控制权。我很喜欢 1812 年战争的历史画面：私掠者在公海上追击海盗。但现实差别很大；这些行动经过司法部审查并受其控制。我在那里工作了约 11 年，可以告诉你，那里的律师是你能遇到的最谨慎的一群人。因此，目前已经有很多护栏。
事实上，我读过那份备忘录，对它的审慎和周密印象很深。我甚至想回头看看：“我们当初提出私掠构想时，完全没有这些限制，会不会显得很不成熟？”不过我很高兴，我们的备忘录推动了讨论、让思考开始；最终形成的文件确实成熟而周全。有人可能会说它走得还不够远，达不到预期目标。但我们先看看。我赞成从小规模开始，再逐步扩大。坦白说，我认为目前这份方案大致恰到好处，之后再看它如何发展。
我快速补充一下：从制宪时期到 1812 年战争，美国之所以需要私掠许可证，是因为当时美国几乎没有海军，或者海军实力很弱。《Hamilton》里有句台词，讲一支衣衫褴褛、需要洗澡的志愿军打败全球超级大国之类的；当时美国军队大概就是那样。但今天的美国军队不是那样，对吧？就像……
国家安全体系对私营行动者的控制
……拥有世界上最强大的网络战士和规模最大的国家安全体系。这套体系会在一定程度上管理我们授权参与行动的私掠者。
完全正确。
那我们谈谈过去这一周发生的事吧。我认为这说明黑客攻击的前沿……
PHP 漏洞、eMudhra 弱密钥与不断扩大的风险
……变化非常快。我之前提过 PHP 中发现的漏洞。PHP 是最古老的编程语言之一，也是 WordPress 的组成部分，而 WordPress 是许多网站的后端平台。还有一个铁路平台泄露了客户机密；存放在那里的密钥导致加密资产被盗。印度证书颁发机构 eMudhra 被发现使用的密钥弱到只有数字“4”——整个密钥就只有这个数字（笑）。
现在我们看到很多人在社交媒体上讨论这些问题，其中有些内容还只是传闻，比如电网可能面临风险。有人开始准备末日生存包，里面有水、不易腐坏的食物和现金。随着风险似乎呈指数级增长，我想问问在这种时代，私掠行动会是什么样子？
我可以先谈谈，Chris 随时补充。我认为这其实是稍微不同的问题。我们确实应该利用私掠者来打击跨国犯罪组织、贩毒集团等。但如今面对一些攻击，我们处于不一样的时期：任何人都能接触到这些工具，攻击更加去中心化，老实说也更难应对。希望白帽黑客能在这些情形下反击，但这更像是近身搏斗。我不太愿意在这个语境里这么说，不过这也涉及一个重大的网络安全问题。
如果恶意行为者用 AI 攻击加密平台或其他目标，我们就需要用 AI 检查每一份智能合约、每一种操作系统、每一座水处理设施、每一张电网和每一家医院系统，尽早找出漏洞。这里确实有白帽黑客可以发挥的作用，但在 AI 时代，我们也必须同时大幅加强网络安全。
完全同意。这项工作我们已经知道要做，超过十年了。早在十年前，就有人在午夜戴着头套，攻击我们的一些电网设施。好像在 AI 出现之前，我们的系统就已经被测试了很久。我们早知道电力基础设施、淡水基础设施等存在漏洞。幸运的是，已经采取措施加固其中许多设施。
另一个长期令人担忧的问题是，系统互联越来越多，一个漏洞就可能让多个设施瘫痪。奇怪的是，我们的电网有不少部分并未联网，这反而成了一种保护。美国有许多彼此不联网的电网；许多核电站建得很早，作为独立设施运行，网络连接不多。在一个大型网络漏洞可能拖垮多个系统的世界里，这反而是优势。
其中一个积极面是，我们已经思考基础设施漏洞问题很久了。我完全同意 Ari 的观点。白帽黑客面临的任务，是把 AI 应用于这个过程，利用 AI 的力量分析漏洞、处理漏洞、修复漏洞……
反击是报复还是预防，政府规则是否已悄然落地
……未来设计新系统时，避免重蹈覆辙。简而言之，这永远是一场猫鼠游戏：坏人寻找漏洞，好人需要紧跟其后。希望通过这项行政命令和私掠构想，我们偶尔也能打一记进攻性的重拳，让坏人后退几步。
我很好奇，这种方式是用于已知的攻击者吗？也就是说，它总是在遭受攻击后反击，而不会先发制人？我们应该这样理解它的用途吗？
我不一定会这么看。我认为两种情况都有可能。如果我们识别出正在从事这类活动的网络行为者，当然可以采取行动。要记住，这不只是报复网络攻击，也包括网络技术支持的犯罪活动。比如诈骗园区从美国人那里窃取数十亿美元；即使他们没有对我们发动网络攻击，他们的盗窃和作案方式本身也可能构成采取行动的理由。所以我不会把它仅仅理解为针对某次具体网络事件的报复。
好。现在我们知道互联网的大片区域存在严重漏洞，但据我所知，公众还不知道出现了重大入侵或攻击。正如 Chris 提到的，美国政府制定相关规则的 60 天期限已经过去。我想问：在这种情况下，隐蔽行动会有优势。你觉得政府会不会已经拟好一些规则，并在尚未公开的情况下开展了这些攻击？
是的，我认为很有可能。据我了解，政府一直在积极制定相关标准、条款和条件。完全可能正在低调地把这些规则下发。我认为这项计划得到了一些私营部门政府承包公司的强力支持。因此，政府可能决定以更隐蔽的方式推进，而不是采用其他政府标准采购流程。
我只能说，我认为是的。好，我们来谈谈朝鲜，因为在加密领域，这显然是我们最关注的问题……他们可能会花……
朝鲜：为什么由政府而非私掠者扣下扳机
……它们可能比我们希望的更久地占据我们的脑海。朝鲜无疑是加密行业的一大污点。正如前面提到的，他们从加密用户那里窃取了约 60 亿美元；他们还促使美国政府起诉一些加密软件开发者，例如 Tornado Cash 的开发者。今年早些时候，人们得知 Drift 遭黑客攻击的经过后也非常震惊：这是一场至少筹划了六个月的长期骗局，攻击者曾多次在会议上与受害方线下接触，而且据称还雇用了付费演员——显然不是朝鲜人。面对这样的攻击，私掠行动能做什么？
我想 Chris 和我，以及政府的相关工作，都已经说得很清楚：私掠者不应该攻击朝鲜政府。朝鲜不是“国家支持”的 Lazarus Group；它就是国家本身。我认为目前这种私掠行动不包括朝鲜。不过有一点很重要——
抱歉，我们也许不用继续谈朝鲜，泛泛聊聊社会工程攻击也可以。我很好奇……
我正要说的是，这不代表我们不能对付朝鲜；我们绝对应该这样做。我希望国家安全机构和国防部今天就动用所有进攻能力来对付朝鲜。朝鲜是个犯罪政权。我经常被问到自己怎么开始了解比特币、怎么对加密货币产生兴趣。那是在 2015、2016 年左右，我开始在调查案件中看到朝鲜洗钱比特币；那些案件涉及伪造的 100 美元钞票和假香烟。这是个犯罪政权，加密货币只是他们最新盯上的盗窃目标，而且他们很成功，因为通过加密货币可以偷走更多钱。
问题是该如何对付他们。我认为中国一直是关键环节。朝鲜大规模使用中国银行和洗钱组织。我们怎样才能促使中国严厉打击利用中国经济和基础设施洗钱？怎样才能阻止中国购买朝鲜煤炭及参与其他活动？因此，国务院的外交工作很重要，持续制裁也很关键；也许还要制裁那些继续协助朝鲜洗钱的中国银行。
网络行动是应对的一部分。加密行业加强网络安全至关重要；令人鼓舞的是，我们行业里许多开发者正在制定标准或最佳实践。我知道 DeFi Education Fund 目前在这方面做了非常好的工作。但我们还要思考：加密项目如何加强网络安全，以及政府如何直接针对朝鲜采取行动。
Laura，我不希望听众听到白宫备忘录禁止私营行动者针对国家支持的目标，就以为我们因此解除武装、不能攻击了。并非如此。问题只是由谁扣下扳机。如果我们想对付朝鲜，可以由私营部门的行动者把枪交给政府机构，比如国防部或其他机构，让政府来扣动扳机。我们不是说不能对付他们；只是要决定谁有权按下按钮、扣下扳机。面对国家支持的行动者，必须由联邦政府的执法机构或军事机构出手，而不是私营部门。我认为这就是良好的公民治理。……
开放社会如何应对封闭的朝鲜
我认为这就是良好的公民治理。我们早已认定，国家间冲突应由正规的军队和官员管理，而不应交给私营部门。因此，我们不是解除自己的武装，而是在国家行为体的情形下决定由谁出拳。
先把私掠放一边，我想问问：面对一个基本封闭的社会，我们该如何反击？开放社会的社会结构部分建立在信任之上；但在朝鲜，信任完全不存在。那里的人从出生起就必须极度多疑，因为稍有差池，政府就可能把你送进古拉格。这会如何改变我们的策略？
从冷战时期开始，我们就一直在应对被独裁和共产主义控制的社会，这很困难。民主国家一直很难应对封闭社会；朝鲜也一样。他们不遵守民主自由市场社会的规则，这就是挑战。没有简单答案。民主国家应对封闭社会通常采取遏制政策，无论是遏制旧苏联还是遏制古巴；面对封闭社会及其在世界各地制造的麻烦，遏制一直是常见做法。
我同意。我还想补充之前提到的外交压力——不是我们施加的外交压力，因为未必能改变局面，而是朝鲜贸易伙伴施加的压力。如今它的主要贸易伙伴是中国，这一点至关重要。还要继续争取人心。听起来可能很不可思议，但我们曾向三方——中国、日本、韩国——以及白宫做过简报。我的同事 Nick Carlson 曾在 FBI 任职，是世界顶尖专家之一。我想他说的会是：继续使用所有可用授权，打击当下为朝鲜政权提供支持的洗钱网络，其中许多与中国有组织犯罪有关。
我还想问另一种朝鲜正在使用的策略，也就是所谓的 IT 工作者现象……
朝鲜 IT 工作者如何混入美国企业
……朝鲜会让黑客应聘外国公司的工作，比如美国公司。7 月，来自不同国家的 11 个政府机构警告称，朝鲜现在会在实时招聘面试中使用深度伪造视频。我想知道，美国等国家或这些国家的公司要怎样防范，避免这些 IT 工作者渗透进公司？Ari，你来回答吗？
我来试着回答。我们需要使用 AI。包括朝鲜在内的犯罪分子，已经借助 AI 大幅增强了行动能力，所以执法部门也需要使用 AI，每一位执法人员和调查人员都应该能用上这些工具。
一两周前，我们宣布推出一款工具 Ardance，将我们的区块链数据与 50 家链下数据提供商的数据结合起来，包括 Flashpoint、Cloudburst 和 Konn 等威胁情报来源，从而形成全面的风险图景。类似技术也可以用于这些系统，识别深度伪造和这类活动。每个合规团队、每个政府机构都需要使用 AI 工具来进行识别。加州大学伯克利分校有位名叫 Hany Farid 的优秀教授，他创办了一家名为 Get Real 的公司，专门识别深度伪造活动。相关技术已经存在。
这一直是一场猫鼠游戏，像打地鼠一样。但我们需要尽可能好的工具，而今天最好的工具就是 AI。我每天都和合规团队讨论这件事，我给他们的建议是：用 AI 加固系统，抵御这类攻击。这就是朝鲜的典型手法——利用技术窃取资金。美国雇主至少一年来一直在应对这个问题。最初，他们进行线上面试，求职者表现得无懈可击。远程办公的公司给他们寄去笔记本电脑并开放系统权限后，他们就立刻把系统中的信息全部窃走。现在有些公司要求所有新员工到总部办公室报到、接受培训并确认身份，原文先说至少一年，随后又说至少一周左右。我想意思是要让新人到场接受培训、确认其真实身份。这已经成为招聘环节长期存在的一个严重问题。
我还想问一件事。不知道你们有没有看到，几天前朝鲜的互联网遭到了拒绝服务（DoS）攻击，目前还不清楚是谁干的。我想听听你们愿不愿意大胆猜猜，可能是谁发动的？
Laura，我不是那种会对什么事情都大胆猜测的人。不过我看到这件事时笑了出来，确实挺高兴的（笑）。
Chris？
对，我不认为那是意外。不是有人在后屋绊了一下电源线（笑）。
好吧，很遗憾你们俩都不想大胆猜测。不过，好，我最后再问一个问题。有件事一直让我有点放不下：在人际关系中，如果有人对你做了攻击性或敌对的事，你可以选择升级冲突，也可以选择降级。如果你选择升级，对方也可能报复，最后你可能遇到一个大得多的问题。所以我想知道，有没有哪种情形会让私掠行动反而使局势恶化、让问题变得更大？
当然有。我认为这正是总统备忘录采取审慎做法的原因……
私掠行动中的升级风险与节目收尾
……我们对私掠行动的做法可能存在的问题。一旦放手让私营部门行动，我们是否能信任他们自行判断哪些国家行为应当采取行动？从历史上看，这类国家策略应由政府、民选代表，以及具备审慎判断力的人来决定。国家策略总要面对一个选择：行动要推进到什么程度，在哪里停止？我认为这些选择必须由民选官员作出，而且最好由经验丰富、严肃稳重、处事平衡的人来决定，因为这类选择可能关乎许多同胞的生死。
Laura，这个回答确实非常到位，我完全同意。升级还是降级的问题，应由司法部和美国政府依据当前的国家安全总统备忘录作出决定。私营部门不负责作这个决定；它只是执行联邦政府已经批准的行动。最终作决定的仍然是政府。Chris，说得真好。
谢谢。
非常感谢你们两位的解释。我想现在很多人都在想，在攻击不断加剧的情况下究竟能做些什么。谢谢你们来《Unchained》做客。
今天聊得很开心，谢谢大家。
再见。
也感谢大家收看本次直播。我们下周再见。再见。《Unchained》中听到的任何内容都不是投资建议。本节目仅供信息与娱乐之用。我和嘉宾可能持有节目中讨论的资产。更多免责声明请访问 unchainedcrypto.com。