待验证60% 置信事实精确时间

源代码审计无法发现信任信任攻击的威胁，因为威胁存在于构建工具链的二进制中而非源代码里

2

来源数

60%

置信度

长期有效

时效性

2026/9/9

首次发现

来源

信任信任攻击：如何污染整个Linux发行版的信任链

涉及实体

信任信任攻击concept

相关事实

待验证信任信任攻击的核心是让被污染的编译器在编译自身时重新注入恶意逻辑，使得即使源代码干净，编译出的编译器仍带有后门72% 相似待验证绝不能把API key直接写死在源代码里，会带来严重安全隐患67% 相似待验证发现恶意依赖被安装并不能证明恶意代码真的运行过，命中查询工具应被视为深入调查的理由而非入侵结论67% 相似待验证威胁来源与供应商国籍无关，而与软件开发、构建、分发流程的安全控制质量直接相关66% 相似待验证通过 Google Drive 分发源码难以建立与 Git 签名标签同等级别的密码学信任链，构成软件供应链安全隐患66% 相似

引用此条事实

Stable URI

https://kongchang.com/claim/881635

API

curl https://kongchang.com/api/v1/knowledge/claims/881635

MCP

get_claim(id=881635)