各位嘉宾，我今天有一个问题想问大家：如果今天某个网站瘫痪了，哪个会让你们感到崩溃？>> 肯定是 X（推特）。我需要我的“末日刷屏”。 >> 我觉得对我来说，应该是 Google。不然我还能去哪里查找所有信息呢？ >> 我认为互联网每天至少应该宕机三到四次，这样人们才能去读读书、出去看看鸟儿、听听树木和风吹的声音。 >> 我也是这么想的。 >> Jim，这是最棒的答案，伙计。我完全同意。

发现这些漏洞后，恶意行为者将利用它们来发动攻击。我们如何利用这些信息让自己变得更好、更具网络韧性，并将其作为“安全设计”战略的持续组成部分？>> 现在，唐。承接吉姆刚才所说的话，了解你所使用的工具非常重要。以 PHP 基金会为例，这些漏洞是在该基金会在数年后首次接受外部安全审计之后被发现的。我觉得这非常迷人，同时也令人担忧，因为距离他们上次接受此类安全审计已经过去很久了。进行外部安全审计的好处是什么？公司对此可以期待什么结果？>> 其中最大的一点是，它挑战了组织所持有的假设。你们团队做出了哪些安全假设？你认为已经采取了缓解漏洞或防护措施，但在真正从外部视角进行测试之前，你并不确定这些措施是否真的有效。因为人类的天性是认为：“好的，我已经覆盖了这一点。”然后我就继续做待办事项列表上的下一件事了。因此，让外部机构介入并提供一个无偏见的视角，将会带来巨大的回报。>> 是的，唐。你刚才提到的内容与一个很好的类比非常相似：为什么你要让别人校对你的文章？因为你会看到你想看到的，而别人会以完全不同的方式看待它。所以我认为这是一件非常好的事情，应该更频繁地进行。>> 尼克，你应该成为一名图书编辑。>> 哈哈，我花了很多时间做这件事。好建议。

研究人员来自一家领先的前沿公司，审视另一家领先的前沿公司并发现其未知的漏洞，随后与其共享以增强系统韧性、使其更强大且更具恢复力。我喜欢吉姆的这一评估，因为他们的做法似乎并非创新，而是重复造轮子。这感觉更像是一场夸大其词、复杂且旨在宣传的公关活动，意在展示“看我们做了什么”。我并非反对 Anthropic，但这只是我的个人看法。我觉得此事被过度渲染了。

我认为有更好的做法。这个行业已有百年历史，一直采用特定方式运作，拥有诸多保障机制。全球每家上市公司都有审计师轮换制度，且审计师之间会相互审核工作成果。从中我们可以学到很多东西。如果这些前沿 AI 公司能竭尽全力生产最具韧性的模型，世界会感到更加安心和放心。

金融机构的类比非常恰当。Anthropic 在其解释为何引入评估者时使用了类似逻辑。斯科特，我想问问你，对于将评估员嵌入此类公司这一场景，你的理想情况是什么？作为安全研究员，你希望看到什么结果？这件事有什么让你兴奋或担忧的地方吗？

这确实很有趣。我同意另外两位先生的观点，即这很可能是一场公关活动。但若能通过外部视角看到他们的工作成果及发现的漏洞，将非常有趣。如果他们能展示良好的结果并交付实质内容，使其超越单纯的公关噱头，那将是这一计划的最佳成果。不过，引入外部人员也能达到类似效果。

我们的最后一个故事有几层有趣的含义，稍后你会觉得好笑。十月份有几天，333 个 Tor 出口节点被劫持，匿名流量和电子邮件被未知行为者重定向并拦截。如果你不熟悉 Tor（洋葱路由器），它是一种匿名网络层，允许人们通过互联网匿名通信和传输信息。

这在隐藏 IP 地址、位置以及加密电子邮件等通讯内容时非常有用。因此，当涉及 Tor 网络时，被劫持的出口节点是一个相当令人担忧的问题。据《Ars Technica》和 Tor 志愿者称，攻击者重复使用有效密码访问了 Tor 管理服务器，并在那里安装了 Linux 后门和凭据窃取工具。

尼克，我可能比你年轻一些，但你知道，对我来说，Tor 一直与安全、匿名的网络连接同义。我想知道在你的圈子里是否也是如此？从我大学使用 Tor 到现在，情况是否有变化？

这仅仅是一种假设，尤其是作为一名安全专业人员。我并非否认其存在价值和使用场景，匿名性确实有其用途。但我一直认为，面对任何 Tor 事物，你都需要假设它是坏的。

我完全同意尼克的观点。如果你在这个行业待得足够久，你可能需要做些需要匿名的事情——无论是研究还是追捕坏人。你必须使用可用的工具来完成这些任务。

我一直假设所有的 Tor 出口节点从开始就是被劫持的。这就是结论。这是普遍的共识。唐，我想请你加入我这边对 Tor 的看法，虽然我对这不太抱希望。

不幸的是不能。我必须同意你的看法。你在 Tor 网络上看到的大多数内容都不是好的。否则，人们会更倾向于在公共互联网上托管内容并吸引用户访问，而不是使用 Tor 网络。

但它对某些特定类型的人确实有好处。例如那些试图规避审查制度的人，如果这在他们的国家是非法的，这可能是一个目标。所以我不认为它一定是邪恶的，这是一个我能想到的例子。

我要指出一个有趣的点：研究人员无法验证或认证的 RSA 密钥以及重复使用的密码。这是典型的网络安全卫生疏忽，还是匿名浏览中的更大问题？

不，我认为这只是个失误。我无法证明这一点，但我认为这就是原因：仅在今年，我们就看到许多威胁行为者的网站被入侵——无论是通过法律调查机构还是其他威胁行为者，都归咎于他们自身糟糕的安全卫生状况。这表明即使是威胁行为者也并非免疫于不良安全实践。

这就是我们本期节目的全部内容。感谢我们的嘉宾：尼克、唐和吉姆。也感谢制作团队，以及观看收听的你们。请在播客平台订阅 Security Intelligence，以免错过任何一期节目。保持安全。