--- id: "b51mx9usZYc" title: "黑色十月！互联网正在发生什么？" channel: "Bankless" host: ["David Hoffman"] guests: ["Hari Mulackal","Odysseas Lamtzidis"] date: "2026-10-24" updated: "2026-10-25" duration: "44:31" duration_seconds: 2671 source_type: "youtube" youtube: "https://www.youtube.com/watch?v=b51mx9usZYc" canonical: "https://pod-exp.pages.dev/b51mx9usZYc/" transcript_jsonl: "https://pod-exp.pages.dev/b51mx9usZYc/transcript.jsonl" language: "zh-CN" translation: true translated_from: "en" timestamp_precision: "block" topics: ["AI 安全","AI 基础设施","加密与 Web3","企业软件"] series: [] --- # 黑色十月！互联网正在发生什么？ > 中文译文，由英文原音字幕翻译整理，不是官方逐字稿；引用原话请核对英文原视频。说话人标签由整理者依上下文标注，带「未确认 / 未标注 / 不确定」等字样的标签不可靠。时间戳一般为块级（所在时间块的起点），不是逐句时间；正文自带 [hh:mm:ss] 的段落除外。 **内容提要：** David Hoffman 与安全专家 Hari Mulackal、Odysseas Lamtzidis 讨论所谓“黑色十月”背后的网络攻防变化。AI 智能体让漏洞发现和攻击的边际成本快速下降，推动勒索、数据泄露和定向诈骗规模化；而漏洞披露速度也压缩了修复窗口。嘉宾认为，未来一段时间攻击方可能占优，但安全智能体、主动自测、冗余和缩小风险暴露面能帮助组织应对。加密行业长期处在高对抗环境，部分企业因此积累了经验；普通人应审查自己使用的服务、谨慎点击链接，并要求产品建设者承担安全责任。 ## [0:05] Intro · YouTube **David Hoffman：** 他们把这个月称为“黑色十月”，说这是网络安全史上最糟糕的一个月。 ## [0:08] 黑色十月：网络安全的新现实 · YouTube **David Hoffman：** 互联网简直像遭遇了末日。今天我们要弄清楚，情况到底是不是真的那么糟。今天直播请来了 Canina Security 的 CEO Hari。Hari，欢迎来到直播间。 **Hari Mulackal：** 谢谢你，David。 **David Hoffman：** 和 Hari 一起来的还有 Odysseas，他是 Filix 的 CEO。Odysseas 之前上过我们的播客，每次聊到安全问题，我们都会请他来。很高兴你回来——不过在这样的情况下，可能也不算什么好事。 **Odysseas Lamtzidis：** 不管怎样，很高兴和你们聊聊，伙计。 **David Hoffman：** 非常感谢。首先想了解一下你们最近两天都在忙什么。你们都是安全专家，而现在据说是有史以来网络安全最糟糕的一周。你们很忙吗？现在做安全工作是什么感觉？Hari，先从你开始。 ## [1:02] 网络安全事件为何激增 · YouTube **Hari Mulackal：** 我给你的答案可能和你预想的不一样：公众看到的这些事件，报道得非常危言耸听。大家听说了各种公开披露的事件，但实际上，这种情况已经持续了大约 18 个月。事件数量增加了很多，只是很多人不会公开报告。PHP 那起事件以及一些医疗行业事件之所以成了大新闻，是因为它们规模很大。 **Hari Mulackal：** 退一步看，去年我们就开始看到智能体和大语言模型在网络安全方面变得很强。今年大约二月，我们开始看到变化：攻击方和防御方都开始利用这种新能力来开发产品、披露安全问题。大约一月时，网络攻防能力出现了跃升，模型变得很强，成本也足够低，可以同时大规模扫描许多公司并披露问题。今年年初我们就做了很多这类工作。眼下只是到了一个临界点，许多公司开始出现在新闻里。对我们来说这不新鲜。过去几天，我们用自己的产品提醒了一些客户注意 PHP 相关事件，因为产品可以扫描他们的服务范围。我们已经观察这种情况 18 个月了，所以对我们来说并不新鲜。 **David Hoffman：** 对你们来说不新鲜，但过去一周的感觉还是不一样。也许正如 Hari 所说，Twitter 上制造末日气氛的现象不一样了——散播恐慌很容易病毒式传播。Odysseas，你觉得这周为什么和前几周如此不同？ **Odysseas Lamtzidis：** 我认为临界点确实在于能力，就像 Hari 说的。去年我们可能先看到了大量社会工程攻击，深度伪造是能力上的第一个重大变化。不过那更偏向定向攻击，显然加密行业是很好的目标。现在我们看到，大规模把这些能力投放到互联网上、扫描所有东西，成本已经非常低。因此，“靠隐蔽性实现安全”正在实时瓦解，这就是我们现在看到的情况。 **David Hoffman：** 我看到一条 Anthropic 安全研究人员发的推文：“过去四天情况已经糟成这样，之后还会恶化很多，才可能好转。安全负责人千万别浪费危机。现在就去找董事会求助。”情况会继续恶化吗？这只是第一次进入公众视野，接下来还会升级吗？下周或下个月会比十月更糟吗？Hari，你怎么看？ ## [4:06] AI 让黑客攻击变得廉价且可规模化 · YouTube **Hari Mulackal：** 绝对会。随着 AI 能力提升，呈现出一种指数级趋势：能力持续提高，或者成本持续下降。能力已经具备之后，问题就变成经济性：怎样才能大规模、低成本地扫描每一个网站？这种变化正在加速。同样的事情，1 月份做起来的成本，现在已经降到了原来的十五分之一，这是我们内部效率提升的结果。之后每 6 到 12 个月，成本还可能再降十倍。 **Hari Mulackal：** 可以这样理解：攻击范围扩大了。过去黑客入侵是一种定制化技能，要攻击一家公司，需要一群很有才华的人花几周、几个月甚至几年，最终还得有利可图，所以难以规模化。现在攻击可以规模化了：你可以搭一座“工厂”，给它一个网站，比如 banklist.com，它就会去攻击。成本低到可能只要 10 美元，不必再像以前那样投入两周的人力，也不用先算攻击 Bankless 能获得多少投资回报。 **Hari Mulackal：** 令人遗憾的是，现在可以建一座自动寻找漏洞并生成利用程序的工厂，完全不需要人参与，成本正在趋近于零。 **Odysseas Lamtzidis：** 我觉得这也是注意力从加密行业转向更广泛 Web2 的原因。以前加密行业是很明确的目标，因为盗取资产就能直接获利；Web2 的变现方式没那么明确。但现在攻击成本这么低，攻击者不必先想清楚怎么变现，可以先动手，之后再想办法。 **David Hoffman：** 你们的回答一点也没让我安心，听起来情况很糟。我们来谈谈实际造成的损害范围吧，因为现在有些混杂：发现并披露大量漏洞本身不一定是坏事；确实发生了一些利用漏洞的攻击，那是坏事。但它们不像加密货币攻击那样，一旦成功就会让人直接损失钱。所以现在发生的情况到底是什么，还不太清楚。 ## [6:46] 数据泄露的现实代价 · YouTube **David Hoffman：** 我们该如何理解或衡量眼下实际造成的损害？ **Hari Mulackal：** 归根结底，数据的价值、声誉的价值、金钱的价值都是什么？如今这三者都成了攻击目标。如果你使用的应用里有宝贵数据，比如牙医诊所掌握着你不希望公开的信息，诊所也不愿泄露客户数据，因为这会带来责任。攻击这些公司已经变得非常便宜，所以有人就会去攻击。常见的赚钱方式是威胁公司：“如果你不给我某笔钱，我就入侵你的数据库。”这已经成为一种可规模化的网络犯罪模式。 **Hari Mulackal：** 要把网络犯罪看作一门生意：犯罪分子需要赚钱，也需要可规模化的单位经济效益。过去加密货币是重要目标，因为收益巨大。朝鲜曾通过加密货币攻击为其核导弹项目筹资。但攻击牙医诊所赚不到多少钱，而入侵医疗机构所需的资源成本又很高，因此投资回报不划算。 **Hari Mulackal：** 过去回报最高的方式是钓鱼：绕过电子邮件或消息过滤器，向数百万人群发邮件或消息。也许一百万人中有一千人会点开，再从这千人中有一百人交出数据，之后这些数据就可以拿来威胁他们。现在勒索软件攻击者开始转向入侵系统，或者利用他们发现、而公司还没有修复的零日漏洞，大规模窃取数据，再威胁公司付钱，否则就公开数据。我们已经在各行各业看到这种情况，而且还会不断增加，因此这确实有经济价值。 **Hari Mulackal：** 从更大的政治层面想象一下，如果摩根大通的数据库泄露——我不是说这一定会发生，只是设想一下——那将是政治灾难。如果世界上最大的一些银行的记录遭到泄露，会产生二阶、三阶影响，甚至改变一个国家的政治，因为人们的财务状况会被暴露。所以这些事件确实会造成经济损害。 **Odysseas Lamtzidis：** 一个很容易理解的例子是 Ledger 在 2021 年左右发生的数据泄露，以及其他数据库泄露，后来和入室抢劫有关联：有人先找出高净值人士，再亲自上门攻击他们。这也是损害难以量化的原因之一。二阶、三阶影响并不总是显而易见：攻击者先发现这些数据，再把它和其他数据关联起来，最后发动人身攻击，窃取数百万美元的加密资产或其他贵重财物。 **David Hoffman：** 所以我听到的核心是，数据会被暴露。说实话，如果你在这些事情发生之前问我个人数据是不是已经在网上，我大概会说，从统计上看很可能已经是这样。作为个人，我不确定自己会不会更担心又有更多个人数据上网。我理解摩根大通不希望数据泄露，毕竟公司有保护数据的责任，大多数公司的顾虑也都在数据安全上。 ## [10:47] 数据泄露的现实代价 · YouTube **David Hoffman：** 但就我个人而言，作为一个普通人，我没那么在意。这种想法你们能理解吗？你们会怎么回应？Hari？ ## [11:01] AI、个人数据与定向诈骗 · YouTube **David Hoffman：** 这确实是个好问题。我听过其他人提出这种疑问，但我认为现在有好几件事同时发生，情况确实和过去不同。我们做 AI 安全产品。我们的一位 AI 工程师在办公室演示时，让自己的 ChatGPT 告诉大家它知道他的一切。它列出了他的薪酬、恋爱对象等大量非常私人的信息。他看到之后震惊于自己的 AI 智能体竟然知道这么多。因此我觉得这次真的不一样：人们正在把大量数据交给新产品，而智能体会把这些数据整合起来替你做恶意的事。比如，一个智能体如果能访问 David 的全部数据，就能做过去做不到的事。过去还得有人亲自查看所有泄露的数据，琢磨能用它对 David 做什么；现在只要提示模型：“这是 David 的数据，请写一封精准的邮件，让他去做某件原本不会做的事。”这种做法可以扩展到数百万人。 **Odysseas Lamtzidis：** 是的，我想最近我们看到的一个很典型的例子是针对老年人的诈骗：骗子打电话告诉老人，他们的儿子或亲戚被警察拘留了，或者欠了税款之类，然后说服他们转钱。现在想象一下，骗子掌握了你的全部信息，骗局就能变得百分之百可信。他们可以说服数百万、数十亿还不了解 AI 能力、因此更容易上当的人，让他们转出钱财。这种工业化规模的诈骗是第一次出现。 **David Hoffman：** 我做加密货币交易近十年，用过很多钱包、交易所、聚合器和前端。我一直在找一个界面，能跨多条链和多种资产提供深度流动性，让我访问市场、赚取收益、保密交易，同时仍然掌控所有资金。我始终没找到，只能不断换钱包、处理 Gas 费，还会被滑点吞掉收益。但 Near.com 对我来说完全不同：我可以在任何链上做想做的事，并让所有活动保持保密，包括加密代币、代币化资产和点对点支付，甚至可以保密地赚取收益。一个账户覆盖 30 多条链，默认保密。这才是加密货币应该有的样子。它由 Near 提供支持，跨链交易额超过 300 亿美元，使用抗量子签名，主网上线五年多来零宕机。Near.com 是链上活动并由自己掌控的最佳方式。通过节目说明里的 Bankless 链接使用 Near.com，可拿回 20% 交易费。本内容不构成投资建议。 **David Hoffman：** 美元稳定币教会了拉丁美洲如何在链上储存价值。Ripio 把这个理念带到人们每天实际使用的本地货币上。Ripio 利用十多年来为拉丁美洲领先企业提供加密基础设施的经验，推出六种本地货币稳定币，覆盖阿根廷、巴西、墨西哥、哥伦比亚、智利和秘鲁。每种代币都与当地货币一比一挂钩，并由受监管金融机构持有的储备金全额支持；每种代币都会发布独立鉴证报告。 ## [15:02] AI、个人数据与定向诈骗 · YouTube **David Hoffman：** Wrapped Fiat 不只是用来存放资金，也为资金流转而设计。这套产品已在 10 条 EVM 链上运行，流动性和集成覆盖 Morpho、Uniswap、Chainlink 等平台。用户可以在 Pix、SPay 等本地支付渠道与一比一对应的 Wrapped Fiat 之间实时转换，出入金均零手续费，也不需要外汇兑换：本地渠道接入，链上负责中间环节。开发者从第一天起就能使用 Ripio 提供的 API、webhook、组件和沙盒。现在就到 platform.rio.com 开始构建。 ## [15:35] 大规模数据泄露是否不可避免？ · YouTube **David Hoffman：** 听起来，未来默认的情况会是每个人的个人记录——包括我的健康记录。我甚至不知道健康记录在哪里、由谁掌握——都会被利用并暴露到互联网上。对于数据来说，默认路径似乎就是这样：很快，大多数数据都会变得可被利用、容易受攻击，并能被开放权重模型访问，因为互联网本来就是用胶带和木棍搭起来的，现在 AI 正在把这些东西拆开，于是数据就成了网上随手可得的东西。这就是默认的未来吗？这是我们正在努力阻止的最坏情况。我不希望它发生，我希望你的数据只被你愿意授权的人看到。 **Hari Mulackal：** 对，我们还没走到那一步。互联网的“末日”还没有造成那种环境；但如果我们什么都不做，发展方向就是如此。 **David Hoffman：** 明白。那距离这种情况发生还有多久？ **Hari Mulackal：** 有个有趣的衡量方式叫“零日时钟”：你还有多久必须修复环境中的零日漏洞？过去可能有几个月甚至几年，可以慢慢修复。现在零日时钟已经是负数了。 **David Hoffman：** 也就是说，时钟已经归零，我们此刻都在透支时间。 **Hari Mulackal：** 没错。如果你是一家持有客户数据、声誉和资金需要保护的公司，就必须今天采取行动。你本来六个月前就该行动，但现在开始就是最好的时机。你已经在透支时间；否则就是不负责任，因为你有义务保护客户数据。 **David Hoffman：** 我喜欢 Nikita Bier 发的一条推文，大意是：即使公司里的工程师被称作 IT 部门，也不用担心安全事件，因为它们已经发生了。 ## [18:04] CVE 激增揭示了什么 · YouTube **David Hoffman：** 我在看一张来自 ZeroX Osprey 的图表。能不能带我们看看图表内容，以及它为什么重要？ **Hari Mulackal：** 这张图很好地展示了我们正在面对什么。如果软件里存在漏洞，可以向公众披露，让软件使用者或依赖该软件的项目修复问题。这类漏洞叫 CVE（通用漏洞披露）。通常下一步就是升级软件包，因为某个版本存在 CVE。这张图展示的是每天公布的 CVE 累计数量。相关数据库会发布这些信息；开源项目很常见，闭源项目的数量少一些，不一定总会披露，但像苹果这样的公司会为软件的重要修复分配 CVE。最近数量呈指数级增长。大约一年前出现过一次跃升，那时相关能力开始显现。现在披露存在明显滞后，我们看到的许多变化是六个月前启动、如今才公开的项目。真正发生的变化是成本正在下降，安全已经变成经济问题。许多网络风险都可以换算成攻击成本，而这个成本正在趋近于零，这意味着攻击数量会趋近无穷大。 **Odysseas Lamtzidis：** 我还想补充，漏洞识别速度变快了。以前发现问题后，会留出时间让人们升级，再进行披露。但现在只要你说某处有漏洞，别人就能让智能体去检查，比如对着 PHP 说“帮我找出漏洞”，它马上就能做到。因此人们几乎没有时间升级：一旦知道某种攻击可能存在，攻击者就能立刻出手。 **David Hoffman：** 对于通过 RSS 收听的听众，我们现在看的图表一开始基本是平的，然后缓慢上升，最后几乎垂直。Hari 和 Odysseas 的意思是，现实中的曲线也在垂直上升，只是图表有所滞后；所以现在的增长比屏幕上的曲线还陡。 ## [20:50] AI 防御者能跟上吗？ · YouTube **David Hoffman：** 人类跟不上这种速度。唯一的应对方式就是用 AI，所以我们的 AI 防御必须比 AI 攻击更快。防御者要和攻击者一样快，甚至更快。这做得到吗？如今攻防双方的力量平衡在哪里？ **Hari Mulackal：** 这是个好问题。很遗憾，我认为接下来 12 到 18 个月，攻击方仍会占主导。了解该做什么的最好方法就是安全地攻击自己：从外部攻击面模拟攻击者的行为。我们的产品 Apex 就是一个进攻型安全智能体。它可以分析网站、源代码和其他资料，模拟攻击，展示所有可入侵的途径。你能做的最好的事，就是修复它发现的每一条攻击路径。因此接下来的一项重点工作就是先攻击自己，再修复发现的问题。 **Hari Mulackal：** 不过也有一线希望。软件工程正在工业化，大家开始谈“软件工厂”，软件不再只是人们在办公室里手写，而是通过工厂化流程构建。未来两年，安全也会出现类似变化：每家公司都会有自己的“安全工厂”，持续寻找入侵途径，同时主动修复漏洞。 **Hari Mulackal：** 接下来几个月、未来一年里，先攻击自己，修复发现的问题，让攻击者攻击你的成本高到难以接受。如果攻击一次只要 1 美元，你肯定会被攻击；把成本提高到 1 万美元，大多数人就不会来攻击你。一伙人不会花 1 万美元来规模化攻击一家随机公司，但他们当然愿意花 1 美元。 **David Hoffman：** 有意思。 **Odysseas Lamtzidis：** 是的，产品非常棒。我们在 Highlights 也用了它，很满意。 **David Hoffman：** 确实令人印象深刻。不过我觉得这也说明了另一件事…… ## [23:23] 为什么加密行业可能准备得更充分 · YouTube **Odysseas Lamtzidis：** 我觉得这也说明了为什么可能还要 12 个月甚至更久。问题不在于相关能力不存在，Apex 这样的产品已经有了。我们是一家初创公司，正在使用它，也没有官僚流程；但大型组织里，人和官僚流程才是瓶颈，适应这些变化需要很长时间。这就是为什么修复所有问题要花这么久。 **Odysseas Lamtzidis：** 加密行业一直是“黑暗森林”，我们在那种环境里成长、演化，也理解它。但互联网过去不是黑暗森林，靠隐蔽性实现安全曾经有效。人会偷懒，可短短几个月之内，整个互联网突然变成了黑暗森林，而组织和个人都还不习惯这种环境。就像一艘巨型油轮正遭到快艇围攻，却必须掉头一样——还不能有官僚流程拖后腿。 **Hari Mulackal：** 说得很好。我会把它想成一架非常快、非常便宜的无人机。智能体蜂群就像这些低成本无人机，正朝你袭来。 **Hari Mulackal：** 我觉得 Odysseas 提到了一个重要点。许多人还记得 2020、2021 年加密行业的黑客事件：几乎每周都有重大事件，有人损失 1 亿美元，人们总嘲笑这个行业不安全。但现实是整个软件行业都不安全，只是加密行业里攻击者的获利动机特别强。 **Odysseas Lamtzidis：** 不同的是经济因素。 **Hari Mulackal：** 经济因素不同，而且所有东西都是公开的。 **Odysseas Lamtzidis：** 没错。现在经济条件变了。欢迎来到“2020 年的加密行业”：每周都有重大事件。现实世界也迎来了这种新常态。你们在另一个时代经历过类似情况。 **David Hoffman：** 我的第一反应是看着加密行业说：“这其实是利好，因为这正是加密行业诞生的环境，我们在这里如鱼得水。”现在非加密行业的安全人士也和我们身处同一个房间——我们是在黑暗中长大的。我不知道这是否意味着币价会上涨，但区块链系统诞生于对抗性环境，而现在整个世界都是对抗性环境，这让我稍感安心。还有比这更看好加密行业的说法吗？ **Hari Mulackal：** 你提到一个有意思的点。我总对别人说，我们是一家安全公司，过去我们的工作是保护资金。 **David Hoffman：** 保护资金可是全世界最热门、最疯狂的事情，可能只有政府之间的网络攻防例外，那完全是另一个行业。要是你的工作圈子就是保护资金，那当然相对容易。 **Hari Mulackal：** 所以现在有很大一部分工作变成了规模化：怎样让互联网上的每一家公司都能获得一些大型加密公司同等水平的保护？这是一个思考角度。但加密行业里的大公司也得投入安全。只有偏执者才能生存。今天各行各业都需要投资网络安全。 ## [27:24] 为什么加密行业可能准备得更充分 · YouTube **Hari Mulackal：** 但从理念和运营角度看，在这种极具攻击性的环境里建立起来的公司，确实有优势；而这种环境现在已经变得司空见惯。 ## [27:36] 加密资产还安全吗？ · YouTube **David Hoffman：** 我想问的是，我存在 Coinbase 里的加密资产怎么办？Coinbase 会不会有漏洞？听你们的回答，我理解是攻击成本下降，所以 Coinbase 也确实更容易受到攻击。但 Coinbase 投入防御的动力一直强得多、持续时间也更长。所以，是的，Coinbase 应该保持警惕；不过它的起点完全不同。我的钱放在 Coinbase 里，可能并没有比一周前或一个月前更不安全，但 Coinbase 仍必须紧跟安全实践的发展。 **Hari Mulackal：** 我想强调一下这一点。比如把 Coinbase 和摩根大通这样的大型金融机构相比，Coinbase 某些方面其实准备得更充分，能更好地防御攻击。 **Odysseas Lamtzidis：** 人们常以为传统金融机构不用担心网络风险，因为资金总能撤回。但事实并非如此。人们建立了支付渠道，滥用这些渠道会造成实实在在的风险。看看朝鲜：在网上银行出现之前，他们就发现了 ATM 漏洞，并利用它们取钱。还有人举过一个例子：攻击者找到利用 Target 礼品卡系统的方法，再用礼品卡把钱从系统里取出来。所以某种程度上，从来没承受过这种网络压力的传统公司，风险可能比 Coinbase 更高。 **Hari Mulackal：** 我对 Coinbase 团队相当了解，他们正在做准备。不过他们仍需要持续投资网络安全。就目前而言，你的钱放在 Coinbase，比放在 Target 礼品卡里安全。 **David Hoffman：** 希望一直都是这样。 **David Hoffman：** Bankless Nation，我们为你们打造了 Bankless MCP。ChatGPT 和 Claude 能做很多事，但如果问它们加密货币基础知识以外的问题，比如协议机制、代币经济学，或上周加密行业发生了什么，它们就会暴露短板。问题在于缺少上下文。近十年来，Bankless 建立了业内最丰富的加密数据档案之一：超过 2,000 份播客文字稿、10,000 篇文章，以及与行业建设者的无数对话。现在我们把这些数据整理进 Bankless MCP，你可以连接 Claude 或 ChatGPT，让 AI 借助整个 Bankless 档案回答加密问题。每篇新文章和每期新节目都会自动加入，保持上下文更新。Bankless MCP 仅向 Bankless Premium 订阅者开放。前往 bankless.com 升级到 Premium，几分钟就能连接 MCP，让你使用的 AI 大模型更好地回答加密问题。节目说明里有链接。成为 Premium 会员后，也可以加入 Bankless Discord 告诉我使用感受。 **David Hoffman：** 还有个好消息：我们要推出一档新播客，帮助大家判断和应对加密市场周期。我认识的最好的周期投资者是 Michael Nato，他运营 DeFi Report。在 10 月 10 日价格下跌之前，他就给我发过卖出提醒；他的周期分析一直非常精准。我关注他好几年了，今年我们开始每周录制播客，讨论他的投资组合、持仓、市场结构、入场目标、比特币和以太坊的公允价值，以及当前周期所处阶段。每周三发布新节目，每集 30 分钟，简短有力。我觉得这轮周期比以往更难应对，我们一起面对吧。到你常用的播客平台、YouTube、Apple 或 Spotify 搜索 DeFi Report，也可以点节目说明里的链接。新的一集已经上线。 ## [31:37] 加密资产还安全吗？ · YouTube **David Hoffman：** 从长远来看，这段时期会有一线希望吗？毕竟我们一直知道，由人类编写、运行在互联网上的现代软件漏洞百出…… ## [31:42] 网络动荡之后的一线希望 · YouTube **David Hoffman：** 现代软件由人编写，运行在互联网上，多年来一直漏洞百出。互联网就像用木棍、胶带和纸浆糊搭起来的，因为它是人写的；正如 Odysseas 之前说的，人会偷懒，所以互联网也以一种偷懒的方式搭建起来。我们过去只在需要时才加固安全，但现在环境变了。假设我们熬过这段时期——我不知道，也许是 18 个月的网络安全动荡，Hari 你说过大约 18 个月——那之后我们是不是就会第一次拥有完全安全的软件？如果真到了那一步，会有什么好处？会有一线希望，还是只是回到正常环境继续往前走？ **Odysseas Lamtzidis：** 直觉上我会说大概是的。情况未必变得更好，但应该会恢复正常。现在是全面入侵，经历一阵“血腥洗礼”之后，攻防双方大概会回到势均力敌的常规近身搏斗。 **David Hoffman：** 好。 **Odysseas Lamtzidis：** 不过在那之前会先经历这场血腥洗礼。 **Hari Mulackal：** 我有两种相互矛盾的看法。一方面，智能体参与网络攻防，会让软件更好；经历大约 18 个月之后，我们构建的软件会比过去安全得多。但人们必须意识到，下一位攻击者就是智能体，它们不会消失，就像一种外星物种，会在我们中间长期存在。我觉得人们还没有充分思考这意味着什么：你想生活在一种犯一次错就完蛋的世界吗？你会一直承受这种压力。我认为人类社会过去并不是这样运作的。社会的基本假设是人是安全的，大多数人不是罪犯。但现在，可规模化的智能体随时可以攻击你，只要你犯一次错就会出事；这将是一个完全不同的世界。 ## [34:21] 给个人的实用安全建议 · YouTube **David Hoffman：** 好，各位，我觉得自己已经了解得差不多了。对于像我这样的普通人、持有加密资产或有个人数据的播客听众，以及生活在现代社会的个人，你们有什么通用建议？面对这些情况，你们自己正在做什么？有什么行为值得个人了解和学习？ **Hari Mulackal：** 这适用于加密和非加密领域。想想你现在使用的所有产品，联系它们，问：“你们在做什么来保护我的数据、资金和声誉？”如果答案不能让你满意，就考虑把数据和资金迁出这个系统。公司今天不采取行动保护客户，几乎是不负责任的。你也要留意：确保自己的数据和资金放在负责任的产品里，现在也是你的责任。 **Hari Mulackal：** 我给个人消费者的第一条建议是，做一次个人审查：自己使用哪些产品和服务，数据在哪里，钱在哪里。可以联系相关公司，看看它们公开做了哪些安全工作。如果它们的安全计划和过去一模一样，那就离开；如果它们没有改变，风险迟早会找上门。所以我建议每个消费者重新审视自己的资金放在哪里。 ## [36:06] 冗余、自我托管与限制风险 · YouTube **Odysseas Lamtzidis：** 对我来说，关键是冗余和限制爆炸半径。你要假设自己会遭遇安全事件，比如手机服务商发生事故。假设你正在使用的服务都可能暴露、被入侵，然后准备足够的冗余措施，让多个组织必须同时出问题，你才会损失资金。 **Odysseas Lamtzidis：** 举例来说，如果你自我托管资产，可以用 Ledger，也可以用 iPhone。这样就需要发生两起供应链攻击，而且安全交易流程本身也得遭到入侵。还可以再加一些其他防护。要逐层建立防御，假设你使用的每项服务都可能被攻破，然后问自己：真发生了，我会暴露到什么程度？ **David Hoffman：** 这听起来有点让人发怵。我会想，我在这里有一些资产，在那里也有一些资产；要审查、检验的东西太多了，而我又不懂技术。我该怎么做？ **Odysseas Lamtzidis：** 我不确定有没有完美答案。 **Hari Mulackal：** 关于自我托管资产，我觉得比较好的设置可能是用带生物识别功能的 iPhone 保护密钥，并准备多个这样的设备。如果 Apple 发生供应链攻击，要担心的事情会比你的资产多得多。 **David Hoffman：** 明白。我给一个实际建议…… ## [38:04] 保护钱包的简单做法 · YouTube **Hari Mulackal：** 我给一个实际建议。我们在网上披露过很多安全问题，许多加密公司也这样做。结合我们见过的一些事件，别点击那些看起来有点可疑的链接，这是常见的攻击升级方式。要小心点击链接。特别是自我托管时，攻击者通常需要你触发某个操作；如果没有触发行为，攻击就很少成功，虽然也不是完全不可能，但难度要高得多。所以如果你在某处使用钱包，攻击者需要诱使你进行某个操作，尽量减少这种机会。 **Hari Mulackal：** 更重要的是，联系这些公司问问他们在做什么。归根结底，他们也有责任。如果每个个人都要负责保护自己使用的软件，那根本行不通。 **Odysseas Lamtzidis：** 大多数人不懂技术，我们需要为全世界的人打造产品，并确保产品安全。责任在建设产品的人身上。 **Hari Mulackal：** 在可预见的未来，也许别随手乱点链接。 **Odysseas Lamtzidis：** 另外，至少在可预见的未来，可以考虑先不要自我托管。或许可以把资产分散到多家交易所：这样既把安全托付给专业团队，也能获得网络保险，万一出了问题，平台要承担一定责任。不过我认为未来几个月会有很多网络保险承保方倒闭。一个很有意思的数据是，全球最大的承保机构 Lloyd’s 在 2024 年表示，大语言模型会带来更多网络风险，但自 2024 年以来，网络保险保费却一直在下降。因此我认为会有不少承保方倒闭。这不是万能解法，但未来 12 个月暂时不要自我托管，可能是个不错的主意。 ## [40:42] 加密托管方应该做什么 · YouTube **David Hoffman：** 我觉得托管方应该主动、积极地沟通和发表声明。对我来说，Coinbase 是最大的例子；我自己也在用 Infinex 钱包。任何持有客户资产的平台，我都希望看到他们发条推文说：“互联网很可怕，但我们已经准备好了。”这些公司应该有人负责思考这些问题、保护用户资产。我觉得在这个时候，看到加密行业一些最大的平台和托管方主动发声，会让人耳目一新。 **David Hoffman：** Odysseas、Hari，谢谢你们。我现在对这件事了解多了。感谢你们上直播，告诉我和 Bankless 的听众今天到底发生了什么。 **Hari Mulackal：** 非常感谢。 ## [41:29] 安全初创公司如何提供帮助 · YouTube **Odysseas Lamtzidis：** 谢谢，再见。 **David Hoffman：** Hari，在我让你们离开之前，你们两位都有安全初创公司。你们最好的客户是谁？如果有人需要额外帮助，什么类型的客户最常找你们？Hari，我先问你，再问另一位。 **Hari Mulackal：** 我们服务一些最大的加密公司。Invest 是客户，Robinhood Crypto 和 Mascot 也都是客户。但随着保护公司的工具变得相似——用的是你们构建的智能体和模型——我们现在也开始服务医疗公司，保护医疗科技公司及其患者医疗数据；也保护越来越多汇集大量数据的 AI 公司。记得前面 ChatGPT 的例子吗？ **Hari Mulackal：** 欢迎联系我。我们会向很多公司发送漏洞披露通知。正如我说的，我们有一座可以不断生成漏洞利用程序的“工厂”。最好的防御方式就是先攻击自己，再修复发现的一切。我们很愿意免费帮助公司，因为向你发送漏洞披露通知的成本很低。可以联系我，或者在 Twitter 上找我，我们会发给你相关披露信息。如果你是感到压力很大的大型公司，我们有资源能在这个糟糕的时代帮到你。 **David Hoffman：** Odysseas，你们服务哪些客户？ **Odysseas Lamtzidis：** 目前我们在服务 Linea 生态，为 Consensys 的二层网络提供保护。我们也愿意帮你建立安全机制。我们即将推出一个新网络，关注我们的社交账号就能看到技术何时开放使用。现在客户越来越关注冗余方案，希望让完全独立的安全系统、来自另一家组织、运行在另一套代码基础上的系统来保护资产，这样就必须两个系统同时失效，资产才会受损。 **David Hoffman：** Odysseas、Hari，感谢你们参加节目。很高兴知道加密行业出于现实需要，一直比较重视这些问题；现在轮到世界其他地方面对了。和你们聊过之后，再加上我本来就在加密行业，我觉得自己更有准备了。谢谢你们来节目，教育我和其他听众。Bankless Nation，你们知道的：加密货币风险很高，投入的钱可能会亏掉。这是前沿领域，不适合所有人，但很高兴你们和我们一起踏上 Bankless 旅程。非常感谢。