网络漫画 xkcd（编号 2347）中有一幅插图，经常在工程论坛和公司 Slack 频道中流传。乍一看，这是一个关于软件依赖关系的视觉笑话。实际上，它是现代数字经济最准确的架构图。
画面上是一座由积木堆砌而成的巨大城堡，标注为”所有现代数字基础设施”。这座代表全球金融系统到云基础设施的庞大结构，摇摇欲坠地平衡在一个细小的支柱上：“一个自 2003 年以来由内布拉斯加州的某个无名人士无偿维护的项目”。
多年来，工程师们边笑边感到不安。我们知道这是事实。然而，直到最近，整个行业才亲身感受到，这个预言几乎导致互联网史上最严重的安全崩塌。
原图作者：Randall Munroe (xkcd.com/2347)
开源领域的公地悲剧
当今的开发生态系统是人类协作的胜利。当我们初始化一个项目时，不会从头编写数据压缩算法或加密协议，而是将这些责任委托给开源库。
这种模式极大地民主化并加速了创新，但隐藏了一个严重的结构性问题：提取价值与回报价值之间的不对称。市值数万亿美元的企业，将其商业产品建立在上千名独立开发者业余时间无偿维护的代码之上。
当那个”内布拉斯加人”疲惫不堪、遭遇职业倦怠或改变兴趣时，塔基的基石就开始出现裂痕。而现代威胁恰恰在这些裂痕中运作。
xz-utils 事件：噩梦成为现实
要理解这种结构性脆弱的严重性，我们必须分析 xz-utils (CVE-2024-3094) 事件——这起事件重新定义了我们对供应链攻击的认知。
目标：一根隐形的支柱
xz-utils 是 Linux 和 Unix 系统中广泛使用的数据压缩工具。它是一个如此底层的组件，以至于绝大多数开发者从不直接与之交互，但关键操作系统进程却依赖它运行。
项目的创建者和主要维护者 Lasse Collin 已经独自维护该项目多年。像许多独立维护者一样，Collin 面临着持续的压力、心理健康问题，以及应对全球用户群无偿需求的自然损耗。
长期社会工程攻击
2021 年底，一位化名为”Jia Tan”的用户开始向该项目贡献代码。与暴力攻击不同，这是一场持续数年的精密情报行动。
Jia Tan 从提交有用且合法的补丁开始。与此同时，其他虚假账户开始在公开论坛上向 Collin 施压，抱怨代码审查速度缓慢，要求将更多控制权交给其他开发者。疲惫不堪的 Collin 最终让步了。Jia Tan 逐渐获得了共同维护者权限，最终几乎完全控制了代码仓库。
恶意载荷
一旦获得控制权，Jia Tan 引入了技术精度极高的后门。恶意代码并不明显地存在于 GitHub 主仓库中，而是隐藏在看似无害的二进制测试文件内部。在构建过程中，一个高度混淆的脚本会提取并执行恶意代码，将其直接注入 OpenSSH（远程访问服务器的标准协议）。最终目标是允许攻击者在全球几乎所有现代 Linux 服务器上以管理员权限执行任意代码，且不留日志痕迹。
500 毫秒拯救了互联网
这次攻击几乎被整合到 Debian 和 Red Hat 等主要发行版的稳定版本中。全球性的灾难因纯粹的偶然得以避免。
微软工程师 Andres Freund 正在对 Debian 系统进行微优化时，注意到 SSH 进程消耗了异常多的 CPU，完成时间比正常情况多了大约 500 毫秒。
他的专业好奇心驱使他调查这半秒的延迟。顺着线索，Freund 揭开了这场阴谋，发现了后门，并在恶意更新全球分发前仅数周向世界发出了警报。
结构性教训
xz-utils 事件证明，我们的数字基础设施面临的最紧迫威胁不一定是加密漏洞，而是开源中人为因素的系统性利用。
我们不能指望每次都有细心的工程师注意到 500 毫秒的延迟来拯救互联网。解决方案需要在企业和制度层面实现范式转变：
- 供应链审计 (SBOM)：组织必须实施严格的软件物料清单，清楚了解依赖哪些项目以及谁在维护它们。
- 机构资助：市值数十亿美元的企业必须将赞助开源项目视为关键基础设施运营支出，而非慈善行为。为基础库的维护付费与支付 AWS 账单同等重要。
- 维护者支持：我们必须重新思考关键项目的管理模式，确保关键基础设施组件不依赖单一的无偿个人。
我们所处的数字塔是现代工程的奇迹，但它仍然是玻璃结构。在行业承认并回报支撑塔基的无形努力之前，我们将继续受制于内布拉斯加支柱的脆弱性。