互联网曾因一个关键漏洞濒临崩溃，但这一危机在爆发前几周被悄然修复，公众对此毫不知情。

《互联网曾距灾难仅数周之遥却无人知晓》内容摘要

Veritasium频道发布的这则视频（2026年2月25日，362万次观看）揭示了一起险些引发全球互联网灾难的安全事件。以下是核心内容：

1. 事件背景

• 黑客通过入侵Linux系统中广泛使用的XZ Utils压缩工具，植入了后门代码
• 该漏洞可能允许攻击者绕过SSH加密，获取服务器完全控制权
• 全球90%的互联网服务器使用Linux系统，影响范围极其广泛

2. 发现过程

• 微软工程师Andres Freund因发现SSH登录延迟0.5秒的异常展开调查
• 最终追溯到XZ Utils 5.6.0/5.6.1版本中被恶意植入的代码
• 漏洞被发现时，距离其被纳入主流Linux发行版仅剩数周时间

3. 攻击手法分析

• 攻击者"Jia Tan"通过长期参与开源项目获取信任
• 利用维护者Lasse Collin身心俱疲的时机接管项目
• 在压缩算法中植入精心设计的后门代码

4. 行业反思

• 暴露开源社区维护者过度劳累的问题
• 突显供应链攻击的隐蔽性和破坏力
• 开放源代码与封闭系统的安全性对比讨论

视频通过生动的类比（如用颜料混合解释SSH加密）和情景再现，向非技术观众清晰阐释了这一复杂的安全事件。多位安全专家参与了视频制作，包括对XZ后门的深度技术分析（Denzel Farmer）和加密原理演示（Karsten Nohl等）。

该事件被业内人士称为"有史以来最严重的漏洞之一"，但因技术复杂性未引起主流媒体广泛报道。视频同时向默默维护关键基础设施的开源开发者致敬。

注：视频由NordVPN赞助，包含相关推广内容。完整参考资料见ve42.co/XZHackRefs。

以下是评论内容的总结：

1. 对开源开发者基本收入的建议

   • 观点：爱尔兰为艺术家提供基本收入，欧洲应为重要开源项目（如xz）的开发者提供类似支持。
   • 引用：
     • "Europe should have an equivalent scheme for programmers of important Open Source projects such as this one."
     • （中文）"欧洲应为重要开源项目（如xz）的程序员提供类似的计划。"

2. 对xz后门事件的技术惊叹与疑问

   • 观点：事件展现了高超的黑客技术，但幕后黑手和动机仍不明确。
   • 引用：
     • "seriously amazing spycraft & hacking skills"
     • "Are we still just totally in the dark about what was going on here?"
     • （中文）"真正令人惊叹的间谍技术和黑客技能"；"我们仍然完全不知道发生了什么吗？"

3. 对发现者的赞扬与阴谋论调侃

   • 观点：Andres Freund的发现体现了其卓越的工程能力，也有人调侃可能是情报机构提示。
   • 引用：
     • "It's such a testament to an incredible engineer."
     • "my conspiratorially-inclined mind is quite entertained..."
     • （中文）"这是对一位杰出工程师的证明"；"我的阴谋论倾向让我觉得很有趣..."

4. 对相关视频的评价

   • 观点：视频内容全面但受众定位模糊，技术解释对非专业人士仍复杂，但成功传达了事件的严重性。
   • 引用：
     • "The technical explanations are way too complex... it feels almost like it's made for people like my mum."
     • "The actual weight of the situation kinda lands though, and that's important."
     • （中文）"技术解释太复杂...感觉像是为我妈妈这样的人制作的"；"但事件的严重性确实传达出来了，这很重要。"

5. 对系统设计的批评

   • 观点：视频未提及systemd的设计问题（如过度依赖库），这可能是后门事件的关键因素。
   • 引用：
     • "zero mention of systemd's recommendation for programs to link in the libsystemd kitchen sink"
     • "Is the real master hacker Lennart Poettering...?"
     • （中文）"完全没有提到systemd推荐程序链接整个libsystemd"；"真正的幕后黑手是Lennart Poettering吗？"

6. 对事件影响的担忧

   • 观点：后门事件的发现极其幸运，但类似漏洞可能已存在于系统中，且幕后黑手身份成谜。
   • 引用：
     • "how incredibly lucky we were to catch it"
     • "anxious that such things are already in our systems"
     • （中文）"我们能发现它真是太幸运了"；"担心这样的东西已经存在于我们的系统中。"

7. 推荐其他相关内容

   • 观点：推荐了与Andres Freund关于发现后门的播客访谈。
   • 引用：
     • "Oxide and Friends also had a great podcast with Andres about the discovery"
     • （中文）"Oxide and Friends还播出了与Andres关于发现后门的精彩对话。"