两年的社交操纵，构建脚本中的隐藏后门，通过SSH延迟500毫秒的检测。《Half a Second》一书重现了CVE-2024-3094，并为每位开发者总结了应汲取的教训。

XZ Utils 与“半秒”事件：解析几乎颠覆互联网的供应链攻击

具体案例

2024年3月。微软工程师Andres Freund注意到他的SSH连接多花费了500毫秒。他深入调查后发现，liblzma（XZ Utils压缩库）被篡改，向大多数Linux发行版的SSH守护进程注入了恶意代码。CVE-2024-3094，CVSS评分10.0。这一后门本可让攻击者在数百万台服务器上以root权限执行代码。

这场攻击的独特之处在于：它并未利用代码漏洞，而是利用了人类信任与开源治理流程——经过两年耐心的铺垫。

“Jia Tan”如何行动

攻击者自2021年起开始为XZ Utils项目贡献代码。贡献合法、优质且频繁。两年间，攻击者通过建立声誉、赢得维护者Lasse Collin的信任（特别是利用其公开的健康问题）逐步获得提交权限。在获得信任与权限后，后门被植入——藏于构建脚本中，而非可见的源代码中，以避开传统的代码审查。

没有自动化工具能检测到它。是一位好奇的开发者发现的SSH连接异常500毫秒延迟。

“Half a Second”带来的启示

本书重建了完整的时间线，分析了构建脚本中的混淆技术，并提出了增强开源项目韧性的框架。对2026年的开发者而言，核心教训如下：

治理是一大攻击面。谁有权合并你的项目？授予新贡献者权限的流程是什么？这些是安全问题，而非仅仅组织问题。

构建脚本是关键代码。Makefile、CMakeLists.txt、打包脚本——它们在流水线中以高权限执行，却很少像主源代码那样被严格审查。

行为检测优于签名检测。Andres Freund并未设置“XZ Utils后门”检测规则——他习惯观察系统异常。

关键要点

关键要点

• CVE-2024-3094：在两年社交渗透后注入的后门。通过SSH延迟异常500毫秒检测。
• 真正的攻击向量：对开源治理流程的信任，而非代码漏洞。
• 具体行动：审计合并权限、将构建脚本视为关键代码、培养行为警惕性。
• 《Half a Second》是每位开源维护者或贡献者的必读书——即，在2026年，几乎整个开发行业都应阅读。

XZ攻击是一个模板。其他行为者已对其进行研究。问题不在于类似尝试是否会发生——而是何时发生，以及我们是否已做好准备。