想象一下：你安裝了一款知名安全公司發(fā)布的軟件，結(jié)果有人告訴你——這個安裝包里，居然附帶了一把能打開這家公司所有網(wǎng)絡(luò)后門的“萬能鑰匙”。聽起來像是天方夜譚？不，這件事真實發(fā)生過。
2026年3月，360發(fā)布了一款名為“安全龍蝦”的AI智能體一鍵部署工具。然而僅僅兩天后，安全社區(qū)的研究人員就發(fā)現(xiàn)：在這個公開發(fā)布的安裝包里，竟然明文存放著一份SSL證書的私鑰文件。
這不是一張普通的證書。它是一張泛域名證書，覆蓋了“.myclaw.#”下的所有子域名，有效期從2026年3月12日到2027年4月12日。持有這張證書的私鑰，就相當于擁有了這把“萬能鑰匙”，可以偽造該域名下的任意子站點。
經(jīng)技術(shù)人員使用OpenSSL工具驗證，安裝包里提取的私鑰與證書中的公鑰指紋完全一致——確認是真實有效的私鑰，不是占位文件。
360官方在回應(yīng)中將此事歸因為“發(fā)布環(huán)節(jié)的操作失誤”，并表示已第一時間吊銷涉事證書。但這件事的風險絕不只是“一張證書被吊銷”那么簡單。
私鑰泄露，意味著信任的徹底崩塌。
在數(shù)字簽名的體系中，私鑰是保證簽名唯一性和安全性的關(guān)鍵。一旦私鑰泄露，任何人都可以利用它來偽造簽名，導致整個數(shù)字簽名信任體系崩潰，許多知名企業(yè)都曾因簽名密鑰泄露而遭遇嚴重的安全問題。
持有這個私鑰的攻擊者可以輕易地做到這三件事：
第一，中間人攻擊。 在公共Wi-Fi、企業(yè)內(nèi)網(wǎng)等場景下，攻擊者可以利用這把私鑰偽造合法的HTTPS服務(wù)。由于證書本身是合法簽發(fā)的，客戶端不會彈出任何安全警告，用戶的加密流量可以被實時解密竊取。
第二，API Key截獲。 360安全龍蝦作為部署工具，用戶使用過程中通常會配置各類大模型的API密鑰。如果客戶端與服務(wù)器之間的通信被劫持，這些API密鑰存在被明文截獲的風險。
第三，供應(yīng)鏈劫持。 如果客戶端的自動更新、配置下發(fā)等機制依賴于該域名的HTTPS驗證，攻擊者理論上可以偽造服務(wù)器，向客戶端推送未經(jīng)授權(quán)的指令或惡意代碼。
正如一位安全社區(qū)的分析師所言：“一家以安全為核心賣點的公司，把自己的通配符證書私鑰，打包進了面向公眾分發(fā)的安裝包里?！边@顯然是一個極不應(yīng)該出現(xiàn)的低級錯誤。
360安全龍蝦的事件雖然是SSL證書而非代碼簽名證書，但背后暴露的是同一個核心問題：私鑰管理失當。安全沒有捷徑，私鑰管理不容僥幸。
私鑰泄露的常見場景包括：1.把私鑰保存在電腦硬盤、U盤甚至網(wǎng)盤里；2.通過即時通訊工具、郵件傳輸包含私鑰的壓縮包；3.在代碼倉庫中意外提交了私鑰文件；4.開發(fā)、測試、生產(chǎn)環(huán)境共用同一套私鑰。這些做法，無異于把家里的大門鑰匙貼在門框上。
無論你是獨立開發(fā)者還是大企業(yè)員工，當私鑰被放在不安全的地方時，它就已經(jīng)不是你的了——它屬于任何一個可能發(fā)現(xiàn)它的人。保護好私鑰，就是對用戶負責，也是對自己負責。私鑰一旦可能暴露，就必須立即吊銷——不管是大公司還是小團隊，都別無選擇。
安全無小事，防患于未然。CnTrus數(shù)字認證愿與你一起，守好數(shù)字世界的每一道門。