2013 年，一款售价 2000 美元的 Linux 银行木马，被安全研究人员当成了“失败投资”。它叫 Hand of Thief（HoT）。
当时 Windows 是恶意软件的主战场。用户多、软件来源杂，盗版、破解、外挂都能当传播渠道。对靠规模赚钱的攻击者来说，做 Windows 木马更容易找到足够多的受害者。
Linux 桌面用户少、发行版散、安装方式也不同。但 2013 年 8 月，地下市场还是出现了这款专攻 Linux 桌面的银行木马。宣传里说它能监控浏览器、截获表单、收集信息、回传数据，看起来像要正式进入商业市场。
研究人员买来一分析，发现宣传和现实差很远：Fedora 下 Firefox 频繁崩溃，Chrome 里收集的数据几乎没用，Ubuntu 甚至跑不起来。更讽刺的是，生成木马的工具本身还得在 Windows 上跑。
最终评价接近玩笑：真正亏的，可能是花了 2000 美元的那个人。
HoT 失败，不是因为 Linux“攻击不了”，而是当时攻击 Linux 桌面的成本不划算。攻击成本决定软件安全。
安全优势，很多时候来自攻击者不愿意支付的成本
很多人后来把 HoT 当成 Linux 更安全的证据。更准确的说法是：一个系统会不会成为目标，不只看有没有漏洞，也看攻击者愿不愿意投入成本、能拿到多少收益。
Windows 时代常见路径很直接：做个伪装程序，骗用户下载执行，然后偷数据。攻击者主要操心怎么覆盖更多人。
Linux 桌面把这条路变复杂了——软件获取方式不同、发行版差异大、权限更严、用户更散。这不代表 Linux 没有漏洞，也不代表用户不会中招，只是对当时靠大规模传播赚钱的黑产来说，成本更高。
所以 HoT 真正说明的是：安全往往不是系统本身绝对更强，而是攻击者算完账之后的选择。
后来黑客找到了更便宜的入口
如果只能攻击用户电脑，攻击者得解决一个问题：怎么让用户相信自己的程序。后来他们发现，直接骗用户不是最高效的办法。
2024 年的 xz-utils 后门是个典型。目标不再是某台电脑上的程序，而是软件供应链本身。攻击者没有甩出一个明显的恶意软件，而是花很长时间建立身份、混进社区、拿到维护权限，最后让恶意代码进入一个被广泛使用的组件。
和 HoT 的区别很清楚：HoT 试图骗用户“安装我”；xz-utils 攻击的是开发者和社区的信任——“相信我的代码可以进项目”。
过去要说服大量用户，供应链攻击只需要拿下关键节点，一次成功就能影响大量下游。
软件安全正在变成保护信任链
现在的软件很少完全自己写。一个应用可能依赖开源组件、第三方服务、自动构建、软件仓库、CI 流程。
用户信任的也不只是最终代码，还包括：谁在维护、这个依赖为什么能用、这个版本为什么能发、这个提交为什么能合。
攻击者找的也不再只是代码漏洞，而是信任链上的薄弱环节。防御重点因此也得变：以前是别随便跑未知程序，现在得管依赖来源、代码签名、构建流程和权限。
AI Agent 时代，攻击目标可能变成自动化决策
AI Agent 正在进入开发和业务流程。未来一个 Agent 可能会搜依赖、读文档、改代码、提 PR、跑测试、部署服务。
效率提高了，攻击面也变了。过去骗的是工程师“下载这个软件”，未来可能是“让一个 Agent 觉得这个选择是对的”。
比如开发 Agent 要找一个日期处理库，它会看 README 完不完整、测试过不过、仓库活不活跃、社区评价正不正常。如果恶意项目提前把这些信号伪造好，攻击的就不是代码本身，而是 Agent 的判断过程。攻击者不需要让 AI 做明显错误的事，只需要让它自动选错方向。
防御得跟着攻击入口变
2013 年面对桌面木马，关键是软件来源和用户权限。
2024 年面对供应链攻击，关键是依赖管理、发布流程和维护者身份。
AI Agent 时代，关键变成限制自动化决策的权限：高风险操作要人工确认，Agent 用的工具要隔离，关键行为要记录审计，外部信息要验证来源。
黑客不会死磕某个系统，只会找成本最低、收益最高的入口。
2013 年可能是骗用户装软件，2024 年可能是混进供应链，未来可能是影响 AI 的自动决策。
防御真正要保护的，也一直在变：从设备，到代码，再到信任关系。
当软件越来越依赖开源、自动化和 AI，安全的核心问题会越来越接近——谁被允许进入信任链，谁被允许替我们做决定。
如果让 AI Agent 自己干活，你最怕它在哪一步“自作主张”？
— 完 —
