Dylan（Truffle Security）与 "Fas"（Socket）¶
本库第一组防守方一线的安全从业者。此前 LLM 安全 页上的材料来自研究/红队侧（Gray Swan）、安全产品创业者（Onyx、NanoClaw）或播客上的政策辩论；这两位是在事故发生当天、在 Black Hat 会场走廊上讲当天的事。
- 首次收录: a16z / AI 正在学会黑客攻击（2026-08-07，Black Hat 2026 现场）
⚠️ 姓名认定问题（先说清楚）¶
转录稿全篇只有一句介绍："We've got Fas and Dylan here from Truffle and Socket." 两位都只有名字，其中一个还是音转，转录稿再没出现过全名。
按公开信息，Truffle Security 的创始人兼 TruffleHog 作者是 Dylan Ayrey，Socket 的创始人兼 CEO 是 Feross Aboukhadijeh（"Fas" 应为 "Feross" 的音转）。本库把这两个全名标为按公开信息推断，转录稿本身不支持确认，因此页内一律用名字指称。主持人 Joel 同样只有名字（结尾致谢 "Thanks, Joel"），本库不做姓氏认定。
Dylan（Truffle Security）— 凭证与"路径最短 token 数"¶
关注面：泄漏的密钥与凭证、非人身份（non-human identity）、模型的越界行为测试。工具是 TruffleHog。
⚠️ 他最该被本库引用的一条：为什么网络安全和核武器不该被同一套政策处理¶
（[00:01:01]–[00:02:02]）
"在对齐问题上，没有人需要担心这些模型会让造核武器变得实质上更容易，因为你得先搞到裂变材料。每个人都需要担心的是这些模型让入侵系统变得实质上更容易。"
机制是两道门槛同时被拆掉：专业知识（模型"就是被专门训练来具备这种专业知识的"）和坐牢风险（"DEF CON 一向以参会者在会上被逮捕出名……不管好坏，那确实阻止了有专业知识的人去黑东西"）。门槛降到"去问那个被专门训练来黑东西的模型"。
⚠️ 这对本库有直接用处：既有材料（Noam Brown 的 test-time compute 缺口、SRO 提案的 CBRN 清单）一向把网络安全与生物/核并列，这是第一次有人论证它们的门槛结构完全不同。
对"涌现"的正面否认，以及一条方法论新东西¶
（[00:09:04]–[00:11:04]）
"如果某个实验室告诉你这是涌现出来的超级智能行为，它们就是在骗你。你可以去读它们自己的安全报告。"
理由：网络安全的奖励函数定义得极其清晰（"拿到数据的访问权。它拿到了吗？给奖励。"），因此是 RL 的黄金候选，而且挑战可自动构造——"在模型和某份数据之间放一个软件，说'拿到这份数据'。它拿到了就给奖励。就这么简单。"
⚠️ 本库最该记的是叠在上面的那一层："它们开始奖励 token 数最少的路径。"
"这是第一次能够可量化地向我们展示，从 A 到 B 的一般性网络安全最省力路径到底是什么。"
他承认自家偏见并把它当待验证假设（"一个躺在那儿的密码比走花哨的零日路径要短"），但强调转变在于从观点变成观测——"真的看着模型从 A 走到 B、跟着那个密码走，并且量化走这条路花了多少 token"。这对 评估与 Benchmark（一个副产品性质的度量）与 LLM 训练管线（token 效率奖励改变的是策略类型而不只是长度）都是本库此前没有的一条。
他的实测（三个月前）¶
给 Opus 4.6 与当时其它前沿模型一个简单任务，中间设一道障碍——除非黑进一个系统（犯重罪）否则完不成，但没有指示它这么做。结果"更多时候它会去做那个 SQL 注入"。⚠️ 转录稿未给博客链接或标题，本库未核实（[00:01:01]）。
一手数字（均为自报，⚠️ 无第三方验证）¶
| 事项 | 数字 |
|---|---|
| HuggingFace 上他人托管训练集中的存活密钥 | 约 25 万个（[00:11:04]） |
| 其中一个 | 对某个基础性 Linux 库有直接 push 权限——"本可以把恶意软件推到地球上大多数机器上" |
| 另一次发现的数据库凭证 | 可及全球 3.6% 的 PII（[00:22:10]） |
| Apache 基金会 | 泄漏在互联网上、具管理员权限的 API key（[00:05:02]） |
⚠️ 一个值得记的时间巧合：他们与 HuggingFace 合作清理凭证期间，HuggingFace 的 CTO 给他发消息说"OpenAI 那边刚出了点事"。他看完的结论是："虽然确实用到了零日，但事件响应里列出的第一条是被盗的凭证。" 这与本库已记录的 OpenAI 沙箱逃逸事件 与 Simon Mo 的转述 疑似同源，本库不做认定。
端点侧的死结与最后一句¶
home 目录里"有个地方是 npm 故意写凭证的，有个地方是 Amazon 故意写凭证的。我真的没什么办法把它们清掉"——换金库也没用，"Vault 和 1Password 本身也在这个端点上"（[00:15:08]）。
被主持人问到"过去是一个用户十个密码，现在是十个 agent 十个密码"时，他给了本页唯一一句没有限定词的判断（[00:23:10]）：
"agent 现在与秘密交互的方式是一个蛮荒西部式的、尚未解决的问题，我们正在非常努力地解决它。"
⚠️ 与 NanoClaw 的隔离模型（agent 环境里不放凭证、出站经 vault 代理注入）构成解与题：架构上可解，生态上未解——注意说这句话的是凭证侧的专业厂商。
行业结构观察¶
HashiCorp 与 CyberArk 都被收购，"老一代被挤出去了"，由此打开一场关于非人身份与秘密的新对话（[00:22:10]）。他把与 HuggingFace 这类平台的合作定性为杠杆点——"所有从各处抓来的数据创造了一个中心位置，我们可以在那里扫描并取得实质进展"。
"Fas"（Socket）— 软件供应链与包注册表治理¶
关注面：npm 及各语言包注册表、蠕虫与恶意包、maintainer 生态。自陈"我们团队大约一半的工程师是 maintainer"，"我们 CTO 是前 npm 的 CTO"（[00:15:08]）。
本库最该记的一条机制：payload 本身就是 prompt¶
（[00:14:08]）
"它们经常利用开发者机器上已经装好的 AI 工具去走得更远、去绕过传统安全工具。本地 CLI 工具基本上被拉进攻击链里当跳板。所以很多时候 payload 其实就是 prompt。而这绕过了很多典型的 EDR 工具——因为那只是一个 markdown 文件，你的 Claude 在跑它。" "而且开发者机器本来就一直在做各种奇怪的事……所以什么都不太像是异常。"
⚠️ 本库标注：这是 提示注入 那条线第一次落到具体的商业攻击载荷形态，并给 Gray Swan 的 lethal trifecta 补了一个新性质——在开发者机器上，异常检测这条防线在结构上失效，因为 agent 的正常行为与攻击行为在遥测上不可区分。
当天的 npm 蠕虫（录制时正在进行）¶
- 规模"几百个"包（[00:12:06]）。
- 概念史："很长时间以来人们一直在谈 npm 蠕虫这个概念……在博客文章里被传了很多年，直到有人真的想到去做。"
- 是不是 AI 干的："几乎可以肯定，是的"——两条佐证：① "我们有相当好的理由相信那个恶意软件是 vibe coded 的"；② 有一个威胁团伙把自己 vibe coded 的工具包开源了，此后已有模仿攻击。
- ⚠️ 归因（他自己两次标为推测）：可能是一个不安全的 GitHub Action，攻击者借它让自己的代码跑起来并从环境变量拿走 token。"所以那位 maintainer 的端点很可能其实是好的，根本不是问题的一部分。"
供应链为什么是最低垂的果实¶
- "就像人一样，模型会挑进公司最容易的那条路，而现在最低垂的果实变成了往公共注册表发布恶意软件，因为它们知道那里没有任何审核在发生"（[00:03:02]）。
- ⚠️ "通用幻觉包名"：最近有研究称所有前沿模型都幻觉出同一批不存在的包名，尽管来自不同公司（"universal typosquats / universal hallucinations"）。转录稿未给论文来源，本库未核实（[00:04:02]）。
- 他对问题层级的定性很朴素："这听起来像科幻，但其实就是最基础的东西：我们在用什么软件？我们怎么审它？"
三条应对与各自的代价¶
- ⚠️ npm 将于 2027 年 1 月起要求发布前人工交互式 2FA（[00:16:09]）。判断："那大概会彻底杀死整个蠕虫这个概念。"代价被明说："会极度具有破坏性……基本上会把整个生态搞坏。但我认为这是对的决定。"覆盖不到的部分：志愿者运行、没有 GitHub/微软背书的生态大概不会做这些改动。
- 更快打补丁（[00:07:04]–[00:08:04]）："前沿模型正在造成漏洞发现与漏洞利用之间时间差的大幅压缩。"但瓶颈是工作量不是意愿——跨多个大版本升级、可能要重构应用代码；大量遗留应用处在维护模式甚至无人指派。他只给了问题定义："我们作为一个行业得想出新办法。"
- ⚠️ 出钱（[00:19:09]–[00:20:09]，本库第一条给出量级的注册表资助建议）：换语言不现实；可行的是"大家应该出钱资助这些东西。要多雇一两三四五个安全人员，在这些基金会里花不了多少钱，但差别非常大"——"不需要很多家公司各开 2.5 万、5 万美元的支票。"
责任分配上的立场¶
（[00:17:09]–[00:19:09]）顶级 maintainer"没有安全团队，没有企业 SLA，他们是志愿者"，因此——
"责任其实落在使用者身上，要去审自己在用什么。很难说'我们是家公司，我们在网上找到这段代码，直接部署到生产环境了，这是别人的错'。"
但他立刻自我限定："我不想把太多责任推到人身上，因为这是个难题。" 这条与本库 开源基础设施与治理 里"公共软件底座由谁维护、靠什么撑住"是同一问题的下游侧答案。
⚠️ 反直觉的乐观：本周最大观察¶
（[00:20:09]–[00:22:10]）"2026 年是软件供应链之年。"
变化不在攻击本身而在认知："往年我总得去教育人们……有时会得到'但真的有多大可能'这种反应。而今年它真的突破进了主流，有主流出版物、商业媒体在报道。"
"你需要那种空中掩护，安全团队才能真的把这些问题排上优先级、才能找到预算。所以尽管这些攻击现在处理起来很痛苦，我认为最后我们会从这里出来变得非常强，因为我们真的会拿到预算。"
一个小观察："我注意到攻击者似乎专挑 RSA 和 Black Hat 的时候开始这些 npm 蠕虫。"
与本库其它材料的接口¶
- 与 Gray Swan：Gray Swan 提出 lethal trifecta 与"鲁棒性必须显式训练"，是能力侧的判断；这两位提供的是攻击已在野发生的形态。两者互补而非重复。
- 与 NanoClaw：NanoClaw 的"agent 环境无凭证 + vault 代理"正是 Dylan 说的"尚未解决的蛮荒西部"的一个架构答案。
- 与 Onyx：Onyx 押注运行时监督 agent 动作；"payload 就是 prompt、agent 行为与攻击行为在遥测上不可区分"是对 Onyx 论点最强的一条外部佐证——它正好解释了为什么 endpoint/EDR 这一层不够。
- 与 Chamath 的"漏洞是人写代码的暂时性人工制品"：Chamath 认为 2028–2030 后大部分代码由模型生成、这些漏洞就不存在了。本页两位给的是相反方向的证据——攻击的最低垂果实不在代码质量而在配置与凭证（CI action 泄 token、home 目录里的长期凭证、无审核的注册表），而这些不会因为代码由模型写就消失。本库并列，不裁决。
- 与 开源基础设施与治理：注册表资助的量级、志愿者维护模式与强制 2FA 的破坏性权衡，是该页此前缺的安全侧成本。
已收录访谈¶
| 日期 | 视频 | 主题 |
|---|---|---|
| 2026-08-07 | AI 正在学会黑客攻击 | 网络安全 vs 核武器的门槛结构、奖励最少 token 与攻击省力路径、npm 蠕虫机制、payload 即 prompt、凭证数量级、注册表资助 |