北京
一份通过了苹果公证、在第三方恶意软件分析工具里拿到0个阳性检出的二进制文件，被谷歌的自动化安全策略标记为“恶意二进制文件”。RACE 的创建者 Przemyslaw Alexander Kaminski 记录了这件事的完整经过：广告活动刚启动，分发账户就被自动暂停。
RACE 是一款用 Rust 语言编写的开源原生 macOS 终端多路复用器。它的分发路径并不复杂——产品文档域名加二进制文件下载地址。活动上线后，平台的安全策略爬虫把开发者账户同时标上了两个标签：“遭入侵网站”和“恶意二进制文件”。
问题出在行为特征上。RACE 与 tmux 这类基于网格的终端多路复用器不同，它采用无限画布架构，shell 窗口可以任意放置、调整大小和分组。架构上，它把命令执行与窗口布局的生命周期拆开，桌面应用重启或 UI 崩溃后，子交互式 shell 仍然持续运行。
在 macOS 下实现这一点，需要通过内部 PTY 主机守护进程或外部 dtach 后端来管理伪终端对和后台工作进程。而自动化安全扫描器评估二进制文件时，看的是文件签名、静态字符串和动态进程执行模式。一个可执行文件不断分出能接收任意命令行输入的孤立后台进程——这套行为特征，在扫描器眼里与持久型后门和远程访问木马一致。
Kaminski 手动做了验证。第三方恶意软件分析工具和谷歌自有的诊断工具都显示报告正常；谷歌搜索控制台和谷歌安全浏览验证服务报告称，该域名的根目录和下载基础设施中未发现任何受感染的资产。他在自动申诉审查中提交的诊断载荷里写着：目标二进制 RACE.dmg，公证状态为 Apple Notarized Developer ID，安全浏览结果为 CLEAN，搜索控制台安全状态为 NO_ISSUES_DETECTED，VirusTotal 阳性数为 0，进程生命周期标注为“已记录的 PTY 多路复用”。
申诉没有走通。通过标准申诉接口提交诊断报告后，系统以确定性的方式拒绝请求，且不披露触发策略标记的具体二进制哈希值、规则匹配结果或网络日志。转向账户支持同样受阻——必须先解决底层的安全暂停问题，而这个问题本身又卡在申诉循环里。
为了确认标记是否由运行时守护进程的持久化功能引起，Kaminski 在 1.0.39 版本中修改了生命周期清理例程，加入显式用户提示和进程清理钩子，在父进程被删除时终止孤立的多路复用线程。他在文章中表示，将通过一切可能的途径继续抗争，甚至不惜诉诸欧盟法院。
账户最终恢复，靠的不是申诉通道。他在博文后续的编辑内容里写道，多亏了 Hacker News 那看似神奇的力量，谷歌广告账户已经恢复，但至今仍未得到账户为什么会被暂停的解释。
这起案例指向的是安全自动化与非标准系统编程之间的系统性矛盾。平台运营商越来越依赖黑盒行为模型检查软件生态，而那些管理进程、操作内存映射、挂钩低级内核抽象的合法原生工具，在分发和商业基础设施中遇到的阻力正在变大。对负责分发开发者二进制文件的工程团队来说，可操作的预防手段有两条：记录进程拓扑结构，把持久化工作代理与主要 UI 二进制文件隔离。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
