Aaron D Campbell 谈 AI 时代如何应对 WordPress 安全挑战

[00:00:19] Nathan Wrigley：欢迎收听 WP Tavern 的 Jukebox 播客。我叫 Nathan Wrigley。

Jukebox 是一档专注于 WordPress 各个方面的播客，包括相关人物、活动、插件、区块、主题，以及本期要讨论的：在 AI 时代如何应对 WordPress 安全问题。

如果你想订阅这档播客，可以在常用的播客应用中搜索 WP Tavern，也可以访问 wptavern.com/feed/podcast，并将该网址复制到大多数播客应用中。

如果你有希望我们在播客中分享的话题，我非常期待听到你的想法，也希望你的建议或创意能在节目中亮相。请前往 wptavern.com/contact/jukebox 并使用其中的表单。

今天来到播客的是 Aaron D. Campbell。

Aaron 在互联网和 WordPress 领域都是一位经验丰富的资深专家，拥有超过 25 年的经验，横跨代理服务、安全产品、GoDaddy 和 Newfold 等托管巨头，以及他目前在 Monarx 的职位。Monarx 是一家专注于恶意软件检测和修复的公司，尤其服务于网络托管服务商。他曾领导 WordPress 安全团队，深入参与塑造安全实践，并始终与 WordPress 生态系统保持紧密联系。

我们讨论了快速变化的 WordPress 安全形势，具体包括 AI 的出现如何提升攻击的速度、规模和复杂度，将安全领域的较量从斗智斗勇转变为算力之争。Aaron Discusses 了过去需要人类 ingenuity 才能发动的攻击，如今如何由 AI 智能体统筹策划；这些智能体能够串联漏洞链，而人类很难想象出这种攻击方式。

我们还谈到了整个 WordPress 生态系统从被动响应转向主动防御的转变。Aaron 解释了如今攻击者和防御者都在部署 AI，由此引发了一场军备竞赛：用 AI 对抗 AI；在这种局势下，安全团队之间的协作与对手之间的信息共享同样至关重要。

我们将讨论攻击背后的动机——剧透一下，几乎总是为了钱——以及作为网络上最流行 CMS，WordPress 面临的具体漏洞。值得关注的是，漏洞从被发现到遭到利用之间的时间窗口正在缩短，供应链攻击日益增多，以及 WordPress 的“保护夏尔”创新对插件安全意味着什么。

在本期节目接近尾声时，我们探讨了针对日常 WordPress 用户的实用安全建议。Aaron 推荐了关于更新、选择注重安全的主机，以及监控凭据是否已遭入侵等切实可行的建议。

如果你担心 AI 正在重塑 WordPress 安全格局，并想了解社区如何应对，本期节目正适合你。

如果你想了解更多，可以前往 wptavern.com/podcast 查看节目说明中的所有链接，那里也能找到其他所有单集。

话不多说，下面请听 Aaron D. Campbell。

今天与我一起参加播客的是 Aaron Campbell。你好，Aaron。

[00:03:43] Aaron D Campbell：你好，很高兴来到这里。

[00:03:44] Nathan Wrigley：是的，谢谢你加入我的节目。我得先说明一下：我们是在走廊里。这里是 WordCamp US，所以如果背景噪音造成干扰，我们只能设法应对了。抱歉。不过还是谢谢你愿意在走廊里和我一起录制节目。

[00:03:57] Aaron D Campbell：完全没问题。

[00:03:58] Nathan Wrigley: 今天我们会稍微谈谈 WordPress 安全性，尤其是 AI 的出现，以及它在不久之前似乎彻底颠覆了曾经正常的情况。我觉得这么说很公平。事情正以极快的速度发展，而这种速度在一年或两年前我们未必能预见到。

能否简单介绍一下自己的背景，比如你曾在哪些地方工作、目前在哪里工作，以及你的职业是什么？

[00:04:25] Aaron D Campbell: 好的。我想我已经在互联网领域工作很长时间了，大概 25 年左右。我经营自己的代理公司很多年，后来进入 WordPress 领域的安全产品行业，又辗转 GoDaddy、Newfold 和 hosting.com 从事托管业务。

在那段时间里，我管理过 WordPress 安全团队几年，此后也一直参与其中。现在我在 Monarx。我们从事恶意软件检测和修复，并为网络主机提供一些安全工具。所以我仍与这个领域紧密相关，主要体现在几个方面。

[00:05:09] Nathan Wrigley: Monarx 是一家新公司吗？因为谈到在线安全，尤其是 WordPress 安全时，它不一定是人们首先会想到的公司。

如果你愿意，能否简单讲讲 Monarx 的发展历程，以及你具体在 WordPress 领域做什么？我认为这项工作或许更多与托管公司相关，而不是终端用户。能否详细谈谈？

[00:05:33] Aaron D Campbell: 是的。Monarx 成立的时间可能比你预想的更早，有六七年了。这个名字可能不太为人熟知，因为很多时候我们都是以白标服务的形式在幕后运行。主机商使用我们的服务，你可能并不知道。

我们保护的不只是 WordPress，但显然 WordPress 是其中很重要的一部分。我们通过监控文件、运行环境、设置 WAF 层等方式，在整个过程中提供多层保护，帮助主机商确保其用户和终端用户安全、无恶意软件。

[00:06:08] Nathan Wrigley: 所以这算是某种白标解决方案吗？你们会与主机商洽谈合作，其中很多主机商我肯定都听说过，但它们购买你销售的产品和服务时，都会以自有品牌包装。

[00:06:20] Aaron D Campbell: 是的，它们可能把我们包装成自己的安全产品，也可能直接把我们的服务纳入高端托管套餐，让恶意软件检测和修复之类的功能随套餐提供。不同主机商的做法各不相同，但大多数时候你看不到前台展示 Monarx 的名字，却仍在享受我们的服务。

[00:06:40] Nathan Wrigley: 由于你们面向各类主机商开展跨平台业务，比如主机商 X、主机商 Y，以及主机商 A、B 和 C，这是否能让你们获得更深入、更全面的认知？比如你们能看出主机商 A 采用了某种 Linux 配置，并且正在发生这类事情。

[00:06:59] Aaron D Campbell: 是的，确实如此。这与他们的具体配置关系不大。我认为，跨越如此多主机的最大价值在于，我们能在各处发现攻击、全新的恶意软件或诸如此类的情况，随后通常便能在全球范围内加以防护，即便它最初可能只是从主机 A 开始。

等到它扩散到你举例中的主机 B、X 或 Y 时，我们已经能够了解它是什么，并阻止其蔓延至整个范围。因此，我们能看到更全面的情况，这非常有用。尤其是当我们开始讨论其中一些 AI 相关内容以及它发展得有多快时，要跟上这一趋势确实必不可少。

[00:07:42] Nathan Wrigley: 好，那我们来深入谈谈这个话题。我想，如果我们把这段对话放在四年前，那个时间跨度已经足够长，当时 AI 基本上还没有进入任何人的视野。

而现在，我们似乎已经进入了一个时代：人类在几乎所有逻辑层面都真的被超越了，我们就用这个词吧。如果某件事可以通过某种逻辑来实现，那么 AI 似乎就已经超越了人类。

尤其是最近，不仅在 WordPress 的新闻周期中，而且在整体新闻周期中，似乎都出现了升温：好吧，我们需要对所购买的产品和服务多一点谨慎；需要对安全性、登录机制和凭据等所有方面更加谨慎。

但具体说到过去三四个月里的 WordPress 领域，我听说了一个又一个故事，这和我以前听过的任何情况都不一样。这类链式攻击如今已经成为可能——人类可能根本不会想到、更不可能成功实施这种攻击。你花 25 美分让一个 AI 智能体运行，等待六小时，它就设计出了这 14 个相互重叠的东西，还能入侵 WordPress Core 以及各种其他目标。

所以，请先描述一下这究竟有多令人警惕，然后大概也可以描述一下它没那么令人警惕的一面，因为你可以采取哪些措施来缓解这种威胁。

[00:09:00] Aaron D Campbell： 说得有道理。让我们先解释实际情况，然后希望至少能让大家稍微安心一点。这确实可能相当可怕。你说得完全对，AI 已经彻底改变了游戏规则。我喜欢这样解释：它并没有改变这场博弈最根本的现实，因为其中仍然有一点猫和老鼠的较量——它们试图超越我们，而我们则努力保持领先。

但如今事情发生的规模、速度和复杂度，是四年前我们根本无法想象的。老实说，两年前，甚至两年半前也无法想象。它发展得就是这么快。这体现在几个不同的方面。

第一，AI 发现代码问题、潜在利用手段和漏洞等方面的速度，远远快于任何人类。让它来执行这些逻辑运算，而不是由人类来做，速度就会如此之快。因此，被发现、被报告或被利用的事项数量，或者说其中被报告或被利用的比例，都大幅上升了。

然后，说到复杂性这一点，你说得对。举一个简单的例子，我最近查看的 WordPress Core 漏洞报告之一，我需要把它打印出来，用笔做标注，才能理解它所经历的所有这些步骤。当我把它打印出来时，共有 11 页。11 页的步骤和说明，涉及的是一个后来被证实确实存在的真实漏洞。

如果四年前，你的软件中存在这样的问题，你会认为自己的软件绝对安全。绝不可能有人找到它，也永远不会有人知道它。而如今，AI 能够把所有这些步骤串联起来，编写脚本，自动发起攻击并加以利用。

所以，这两件事确实都从根本上改变了游戏规则，让人感觉软件所有者、软件经理、SaaS 服务以及所有这些相关方都陷入了被动挨打的境地。这就像一场洪水，而且正有一场极其复杂的洪水向你袭来。

[00:11:10] Nathan Wrigley: 所以我想，另一个问题是，这些东西从不休息。四年前，每个人或许能在电脑前投入 10 个小时，然后就必须休息。因此你能获得一段喘息空间，让人类专注于做这一件事。

但现在情况并非如此。有了 AI，它大概可以同时进行 10 件、50 件、100 件、1000 件事，没有上限。只需测试一切可能组合的每一种排列组合，然后带着结果回来。我甚至不知道我们要如何与之竞争Obviously，我们很快可以详细谈谈这一点。

这是一个绝望的时刻，还是确实有办法抢在它前面？还是说，我们永远只能着眼未来，被动应对而不是主动出击？换句话说，当你早上醒来，打印出那份 11 页的报告；然后是明年 30 页的报告，再过一年变成 80 页的报告，你对此有什么感受？你是乐观，还是觉得这预示着末日？

[00:12:08] Aaron D Campbell: 我认为这是一个令人应接不暇的时刻，但希望不是绝望的时刻。这两者是有区别的。我认为，当重大的技术变革到来时——AI 就是一次重大的技术变革——通常都会带来一段显著的调整期。我们正处在那个阶段。我甚至可能会说，情况可能会在好转之前变得更糟一些，但最终一定会好转。

我看到了通往那一步的路径，就在我们当下这段令人应接不暇的时期所奠定的一些基础之中，也在我们此刻学到的东西之中。尽管我们感到洪水般的信息冲击如此猛烈，它仍会让我们开始进入一个逐步好转的阶段。

我觉得该怎么说才准确呢？我认为通往那一步的路径是显而易见的，但需要一些时间。部分原因在于，我们必须从一直处于被动应对，转为主动出击。因为智能体全天候、一周六天七天地高速行动。它们一旦发现某个问题，就能立即自动开始尝试利用它。

我们必须设法抢在前面。因为现在，当一个问题被发现和遭到利用之间，已经不再有间隙让我们修复它。我们必须领先一步。

[00:13:36] Nathan Wrigley： 显然，你已经深入研究了这方面，而且听起来，你有一种直觉：在不久的将来或中期内，你认为事情会开始改善。我想，这正是你刚才那番话所隐含的意思。

这种直觉是什么？你是如何得出事情有望改善这一结论的？即使需要稍微深入细节也无妨。我很好奇，你为何认为这并不是一场末日预言，以及你为何相信一个时刻终将到来——我没办法替你回答这个问题。我就敞开这个话题吧。

[00:14:06] Aaron D Campbell： 是的。我认为，这其中一部分来自历史经验，对吧？过去我们经历过类似的情况，比如说，我们过去用于安全防护的某种哈希算法，最终随着黑客获得足够的计算能力，变成了一种他们能够破解的东西。

当时给人的感觉是末日将至。但与此同时，我们也创造了更好的哈希算法，创造了更好的东西来抵消这种威胁。我们能够转向这些新方案，也能够从中吸取经验，进一步向前思考。

因此，我们现在使用的一些算法不仅足以应对当前的算力，而且好到我们认为它们在未来相当长一段时间内都能继续使用。

我认为，如今 AI 领域也存在类似的情况。我们正在利用与那些恶意行为者相同的工具，同时也在学习如何使用这些工具，不仅是为了抵御恶意行为者使用它们的方式，也是为了取得足够的领先优势，从而始终领先于他们。

具体呈现出来是什么样呢？因为这听起来或许太模糊了，不太现实，我猜。我们并不只是用相同的算法扫描我们的代码，或用相同的模型扫描我们的代码，指望自己能在他们之前发现目标。我们同时也在思考：怎样才能向技术栈的其他层面推进？怎样防范我们从未见过的事物？怎样开始识别这些模式，以便观察行为并加以防范，而不只是修补漏洞。这多少改变了我们的思维方式，但我认为从某种意义上说，这将帮助我们在这场博弈中取得领先。

[00:16:03] Nathan Wrigley： 好。这真的很有意思。我有一个关于这类事情如何发生的问题，我是站在攻击者的角度来思考的。那会是什么样子？因为我有个想法：十年前，作案的往往是个人，或许说“办公室”不太准确，而是一群人待在某个空间里，但人数是有限的。一个房间里有 10 个人，1 个人，或者 100 个人。

但我不知道现在是否仍然如此。你们面对的攻击者会采取协同黑客攻击的方式吗？他们会共享信息吗？另一方面，在你所处的这个行业中，你们也会共享信息吗？

如果你发现了某个问题，Monarx 会把它视为你们的知识产权吗？还是说，整个行业有一套在社群内共享这些发现的机制，让所有人都能从你们的工作中受益？如果是这样的话，你们就是在把自己辛苦完成的工作拱手让人。

[00:16:59] Aaron D Campbell: 首先，我只想从个人角度说，对我来说最重要的事情之一，就是提升整个互联网的安全水平，因为人类如此依赖互联网，而互联网对于我们日常生活中的各种事务、分享信息以及推动人类进步都大有裨益。

我认为，在这一领域我并不孤单。我觉得，许多被网络安全领域吸引的人之所以来到这里，是因为这是一个改善所有人生活的方式。个别公司会拥有一些知识产权吗？会的，但我认为，关键更多在于我们处理问题的方式，而不是我们不会告诉大家这个新发现的漏洞，或者我们找到的这种新方法。因为我们确实希望看到最终用户受到保护。这就是我们将采用的方式。

回到你刚才提到的，那些对手是如何工作的？我想，他们已经很久没有坐在一起讨论了。现在他们是在虚拟房间里，对吧？他们可以散布在世界各地，但仍然协同工作。而且他们确实会这么做。他们会相互分享信息。为了让我们能够跟上，我们也必须相互分享信息。这一点至关重要。

以 WordPress Security Team 为例。让我暂时撇开 Monarx，更多谈谈整个领域。WordPress Security Team。你提到，过去几个月里，你可能看到 WordPress 发布了更多安全更新之类的东西。WordPress Security Team 在发现漏洞、对漏洞进行分类研判、确认漏洞真实存在，并开始制定修补方案时，会采取这样的处理方式。随后，我们还有一个私密的 Slack 频道，里面有其他人，可以帮助我们尽快推出防护措施。通过更早分享部分信息，范围也能更广、更大。

Cloudflare 或许可以提前设置一些规则，在 WordPress 发布更新之前就保护大量用户。一些大型托管服务商也可以做到。一些安全团队同样可以。因此，我们不仅分享这些信息，还将其纳入流程，作为必须执行的步骤，因为只有这样才能真正把事情做对，并尽可能保护更多人。因为我们的对手正是这样做的，所以我们也必须这样做。而我们只是刚刚意识到这一点、从中学到了经验，并将其确立为正确的做法。

[00:19:26] Nathan Wrigley: 我想回到你刚才提到的一点：你说自己醒来后打印出了这样一份汇总。我们就接着这个话题聊吧。它有 11 页 Presumably，这花费了你一天中的相当一部分时间来解析和理解。

这个过程有多大概率会超出人类的实际处理能力？举个例子，假设一年后，你打印出来的东西变成了 50 页或 80 页。光是阅读就会占用整个上午，更不用说理解其中的各个层级、各个堆栈，以及它们彼此重叠和相互依赖的方式。

如今，我们这个行业是否已经——或者说你是否已经——几乎把弄清楚这些事情、弄清楚对手在做什么的责任交给了 AI？从你这边来说，这也交给 AI 了吗？所以这基本上就是 AI 对 AI 的较量，看起来非常反乌托邦。

[00:20:18] Aaron D Campbell：我们确实会让 AI 与 AI 相互对抗。本质上，这是一项极其有用的工具，可以用来与自身对抗。是的，即使对于那份 11 页的报告也是如此。我确实得通读一遍并弄清楚其中的内容，但我还是使用 AI 来帮助总结它。我需要做哪些步骤？这在代码库中实际对应什么地方？

我把它当作一种辅助工具，帮助我完成这项工作。我确实认为，报告越长，就越需要这样做。现在，我个人以及与我共事的其他几个人，已经利用 AI、各种模型搭建了专门用于此目的的测试装置。

我可以把一份报告和代码库交给它，让它检查可行性。它能看出内容是否已简化，检查各种事项。这是否需要某种身份验证？所有这些事情，过去我们都必须手动完成。现在，我们会分享这类测试装置或评估装置，利用 AI 来帮助我们，这样大家都能使用它们，并更快地扩展和改进它们，使其更高效。因为我们在许多方面都是让 AI 与 AI 相互对抗。

但我认为，作为人类，仍然重要的是由人类来引导整个过程，确保修复方案具有足够的前瞻性，确保它处于正确的位置等等。因为归根结底，软件主要是由人类使用的。不过，为了扩展到 AI 正推动我们达到的规模，人类必须成为决策者，并且在形式与功能上可能还要有自己的主张，但现在不能再充当其中任何逻辑力量的来源。

[00:22:01] Nathan Wrigley：你是否有这样的感觉：WordPress 本身才是目标，还是说 WordPress 只是附带受害者？这些对手是否专门针对 WordPress，因为它拥有如此庞大的足迹？还是说，这只是对手在四处散射式攻击，只不过他们偶尔会撞上一个 WordPress 的问题？

[00:22:23] Aaron D Campbell：确实存在散射式攻击。仅仅运行 WordPress，或者运行你自己的定制系统，并不足以让你逃脱 AI 试图攻破你系统的行为。但你的规模越大，从你身上找到漏洞所获得的潜在收益就越大。因此，你的规模越大，你就越会成为目标。

所以 WordPress 的目标很大，但不只是 WordPress。一些大型托管公司的基础设施也同样会成为目标，就像他们针对 WordPress 那样。他们瞄准的也许是 Hostinger、GoDaddy 或 Bluehost 这样的大型企业。这些企业承载着许多用户，并非因为他们认为自身的安全措施松懈，或有什么理由怀疑存在漏洞，而是因为在那里发现漏洞所能获得的回报可能非常丰厚。因此，那里的关注度非常高。

所以没错，你的规模越大，目标就越大。但这并不意味着散射式攻击不会同时发生，也不意味着他们不会攻击较小的目标。

[00:23:24] Nathan Wrigley: 是啊。我想，过去要想发现这一点，人类必须进行大量的联想思考：“好吧，Linux 这边有这个东西，好吧，我们把它存到某个地方。但这边又有个 PHP 的东西。哦，然后奇怪的是，WordPress 里也有个 PHP 的东西，这个……”这一切都得由人类构想出来。而且随着时间推移，要记住这些并不容易。但想必 AI 可以永远记住它。把那个 PHP 的东西存上十年，然后突然在它恰好与其他某件事重合时拿出来。这相当悲观。

好吧，就 WordPress 而言，具体有什么动机？具体来说，为什么会有人——假设有人在追查 WordPress——他们能得到什么？以一个 WordPress Core 漏洞为例，我也不知道，比如他们可以成功以管理员身份登录之类的。他们究竟能得到什么？

[00:24:17] Aaron D Campbell: 老实说，归根结底还是钱。WordPress Core 为全网数千万个网站提供支持。其中一些网站上有很有价值的东西。很多说实话没有。但这并不意味着它们毫无价值。它们可以被利用；你们见过药品广告之类的东西出现在网站上，那是一种按点击付费的模式。有人通过在你的网站上投放不太好的广告赚到一些钱。即使你的流量不大，他们也能赚到一点。而当你考虑到这个漏洞可能影响数千万个网站时，你不需要从每个网站上赚很多钱。

但你也可以把那个网站当作一种途径，利用它广泛的计算能力去攻击另一个网站。你使用数万个网站来做这件事。每个网站都有各自独立的 IP 地址。这样一来，你就发动了一次分布式攻击，比从同一个地方发动同样的攻击更难被拦截。

但你之所以这么做，只是因为从各地购买自己的分布式算力成本很高。所以你实际上是在窃取这些算力，而这就带来了某种相应的金钱价值。

所以你可能会想，他们从我的网站上赚不到什么。他们不必赚。你的网站只是他们试图获取的庞大网站阵列中的一小部分，最终从中获得某种经济利益。

[00:25:40] Nathan Wrigley: 所以没有一种放之四海而皆准的情况。但归根结底，钱是其中广泛重合的共同因素？

[00:25:46] Aaron D Campbell: 我的意思是，也有例外，比如有人是出于某种政治原因才这么做。或者他们有某种道德使命之类的。但绝大多数情况最终都可以归结为：其中某个地方有利可图。

[00:25:59] Nathan Wrigley: 我好奇的是，因为你提到了按点击付费之类的模式：接管一个网站，然后用大量——我也不知道——关于你拥有的某个东西的胡言乱语来刷屏，让全世界都注意到。我好奇的是，人们对 AI 的采用，以及我们搜索东西方式的改变，是否真的会让我们穷困于那种变现模式，因为搜索时实际上根本没人会去看；而且人们似乎越来越依赖搜索引擎了——我是说，越来越少地依赖它——所以也许其中这一部分最终会枯竭。谁知道呢？

[00:26:27] Aaron D Campbell：我很欣赏这种乐观精神。我也想认为，那些广告迟早会具体产生作用。但其运作方式的根源在于，只要我能入侵某个网站，就能注入一段 JavaScript 广告之类的代码。

如果那些广告不再有价值，也许我就能注入一些 AI 指令，这样当某种 AI 智能体访问该网站时，就会把一些偷偷塞进去的东西写入它的记忆，或作为一项技能加载进来，之后便可能利用这个 AI 智能体达成恶意目的。

我认为，我们不能对这类事情放松警惕，因为我们的对手会转向并将其用于其他用途。因此，我们会继续防范它。

[00:27:13] Nathan Wrigley：我接下来要稍微揭开你脑海中的内容。因为我经常想知道，像你这样始终面对这股浪潮的人，究竟有什么特质。你每天早上起床时，可能一觉醒来就发现下一个重大事件出现了。

面对这一切，你究竟是如何保持冷静的？我意识到这是个 peculiar 问题，但明天可能会出现下一个重大事件，后天也可能会出现。我猜如今大多数时候未必会有什么重大事件，但总会有事情发生。这就像你是一名消防员之类的人，只不过全城每个区都在起火，而你始终忙个不停，永远没机会放下消防水枪。你就是一直在工作。

[00:27:52] Aaron D Campbell：我们有些人喜欢这种持续而稳定的肾上腺素刺激，只是我们获取它的方式与消防员不同。但说实话，我热爱解决复杂的问题。我喜欢这些挑战。当问题真的每天持续出现一段时间时，我有时会不会精疲力竭、身心俱疲？当然会，我是人，我需要睡觉，诸如此类。但我认为，正因为我享受解决那些真正困难的问题，享受身处这个领域，尤其是这个领域的白帽一侧。

[00:28:26] Nathan Wrigley：是的。我想这就像在下国际象棋时遇到一个强劲的对手。你享受下棋这个过程，尽管它很难，而且会拉伸你的大脑。你一次又一次地下棋，因为以这种方式锻炼大脑是一件令人愉悦的事。

[00:28:39] Aaron D Campbell：而且做得越多，你在棋局中获胜的机会就越大。我想我们的工作也是一样的，对吧？你做得越多，就越能找到在策略上胜过对手并最终获胜、让人们在网上保持安全的方法。这令人兴奋。

[00:28:56] Nathan Wrigley：你会有握拳庆祝的时刻吧？偶尔你真的想通了某个问题，然后会想：“我搞定了。”

[00:29:04] Aaron D Campbell：当然会有。

[00:29:04] Nathan Wrigley：好的，是的。这真的很有意思。你的个人简介读起来就像一份开源宣言。我知道，整个职业生涯中，开源一直是你的追求。我猜，你本来也可以进入专有安全领域之类的发展道路。

但开源，尤其是 WordPress，这种软件开发方式究竟如何有利于我们所能采取的立场、所能构建的安全态势，以及未来 WordPress 等项目的可靠性？在你看来，它是否提供了一种对抗攻击者的更优模式？

[00:29:35] Aaron D Campbell：是的，在我看来，它提供了一种对抗攻击者的更优模式。原因其实与我 20 年前刚开始从事这项工作时完全相同。我马上会解释原因，但首先，是因为我们能够从许多聪明人士那里受益，人数远多于任何一家单一公司仅凭其源代码所能获得的帮助。

他们查看我们的源代码，发现其中的弱点，甚至主动提交代码来帮助修复。全世界有几十万、甚至数百万人在查看我们的源代码，发现这些问题，并能够协助提交修复方案，或者向我们报告这些问题。因此，凭借这些信息公开在外的机制，它有点像一栋建筑不会因为无人发现裂缝而更容易倒塌。实际上，正是因为人们不断检查、发现问题并确保一切正确落实，效果反而更好。

不过如今情况已经略有变化。过去，我们的攻击者也会查看源代码，对吧？每当有新内容发布时，他们都会立即查看我们的代码仓库。事实上，当我负责安全团队时，我有一段时间停止提交代码，因为事实证明，这往往意味着某个东西很可能存在安全问题，人们会查看相关内容并试图弄清楚其中原理。

如今，攻击者正在使用 AI 全天候 24/7 监控我们的源代码，而源代码也同样向他们开放，他们会真正深入研究。但同样有成千上万的人在善用我们的源代码。因此，我们这一方仍有许许多多的人在帮助我们，因为我们的源代码因开源而公开在外的优势超过了负面影响。正因如此，我们能更快地发现问题，并最终更迅速地获得更安全的软件。

[00:31:36] Nathan Wrigley：有没有可能出现这样一种情况：漏洞可利用的时间窗口最终变得无关紧要？过去，WordPress Core 中某个问题有六个小时未被修补，这确实存在，但算不上什么大问题。如果有整整一个月未修补，那就是个大问题了。我只是想知道，未来Considering你所描述的攻击者，以及他们能够调用的工具，甚至三到五秒钟的窗口是否也会成为一种现实。

[00:32:05] Aaron D Campbell：这是有可能的。我们目前还没有进入三到五秒钟的窗口，所以大家可以稍微放心。但过去几年里，从漏洞披露到被利用的时间已经大幅缩短。

事实上，过去我们曾有几周时间，后来也有几天时间，在此期间，获知漏洞并不算紧急，负责任的个人、负责任的主机商或负责任的软件公司可以看到披露信息，并在漏洞得到大规模利用之前修补问题。而如今，对于重大漏洞，这个时间已经缩短到了数小时。

事实上，我们与 Patchstack 联合进行了一次 Monarx 回顾活动，审视了上一年的情况。我们发现，对于较为严重的漏洞，平均响应时间约为五小时。对于一个持续监控主机并在漏洞出现时立即打补丁的人来说，尤其是在半夜发生漏洞时，这段时间并不够长。我确实认为这个时间还会继续缩短，而造成风险的窗口也会越来越短。

我们还注意到最近的 wp2shell WordPress 漏洞利用。一旦我们发布了补丁，并且所有相关信息都已公开，我们 Monarx 监控到的漏洞利用活动激增是在 30 分钟内发生的。坦白说，甚至可能还快一点。但大规模激增是在大约 30 分钟后才开始出现的，这真的非常快。

但另一方面，我刚才提到的 WordPress 所做的大量协调工作，意味着到那时已有数百万人得到了保护。我们必须以此来看待问题。我们必须说，最终从发现漏洞到完成处理的时间会缩短到三到五秒。我们怎样才能抢在攻击前面？这正是我们努力的方向。

[00:34:03] Nathan Wrigley：目前有一项非常及时的事情，是 WordPress 领域的一项新创新，称为“Protect the Shire”。Protect the Shire 设定了一个有期限的时段，在这段时间内，有更新的插件暂时无法更新；据我了解，目前这个期限大约是六小时。表面上看，这似乎是一种非常 excellent 的防护态势。但事情还有另一面。如果某个漏洞利用被发现，而人们又无法在六小时内更新插件，那么我们就开创了一个长达六小时的窗口。未来可能连几毫秒都很重要。您对此怎么看？这是一项有趣的创新，也是一种新尝试，值得一试。您认为这是未来的方向吗？

[00:34:41] Aaron D Campbell：我认为这不仅值得一试，而且是一个非常好的选择，我认为它还会继续发挥作用。我们看到，目前许多攻击本质上是供应链攻击。无论是某个软件包、NPM 包之类的东西，还是某个被卖给恶意人员的插件，甚至只是被入侵并被恶意人员接管，都可能成为入侵途径。这样的情况越来越多，而这六小时的间隔有助于防御这些攻击。

但它不能成为一条不可动摇、永远不允许例外的硬性规定。事实上，它并非如此。如果您的插件，尤其是某个主流插件，存在漏洞，请联系 WordPress Security Team，因为我们可以协调更快地发布补丁，也可以在必要时为这条规则作出例外。

我认为，对于那些明确属于安全问题的安全修复，要作出这样的例外很容易，因为我们确实希望立即进行保护。但将发布速度适当放缓，以确保不存在某种实际上会引入而非修复漏洞的供应链问题，是明智的。

因此，我认为随着我们继续前进，并围绕这一点建立更好的流程，这项机制会找到合适的平衡点，让人们始终更容易做正确的事，也确切知道该做哪些正确的事。不过我认为，目前我们在这方面处于一个相当不错的位置，并且仍在继续寻找最恰当的平衡点。

[00:36:18] Nathan Wrigley: 从外部来看，安全似乎是个非黑即白的问题。一边是对手，另一边是好人；一边是被黑了，另一边是没有被黑。这是黑与白的区分。但从你今天所说的一切来看，你们似乎正处在一个相当灰暗的灰色地带。你们只是在努力找出前进的道路。你们不断望向未来，试图弄清楚对手在做什么，努力修补漏洞，努力确保一切都能达到尽可能好的状态。我以前从未这样思考过这个问题。这里没有一个最终能让一切都变白的终点。这是一段旅程，而且每一天都会有一些灰色。中间会有一点黑色、一点白色，但更多的是灰色。

[00:36:58] Aaron D Campbell: 我不会把它看成灰色，不过我能理解你想表达的意思。但我认为，存在这种黑与白，然后还有某种云雾朦胧的灰色。你往前看得越远，就越难准确判断黑与白未来会落在哪里。而其中一部分看起来就像灰色。这有点模糊。你无法完全弄清楚。

但你说得对，这里确实存在预测。我们认为往这个方向走会带来更多白色、更少黑色，而这正是我们始终追求的目标。但你不能简单地说向右转总会让事情变得更白，因为有时那边某处也可能藏着黑色，对吧？你真正需要的是进行有依据的预测，而不是随意猜测，对吧？

许多像我这样努力帮助指引前进方向的人，还有比我更多的其他人，比如 Matt——是他制定了这项等待政策——以及 WordPress 安全团队中的一些人，我们都花了几十年时间观察这些情况，这有助于我们作出预测。所以我们并不是在毫无根据地乱猜。我认为，这一点很重要，应该向那些依赖我们的人指出，帮助他们今后走向正确的方向。

[00:38:02] Nathan Wrigley: 是的，好吧。我所接受的化学教育 Pretty basic，但我知道，如果我想理解化学，最快的方式就是依靠专家，去找一位拥有多年经验的化学家。这里也是一样。我想，我们大多数人都可能没有能力真正掌握你所说的内容。我们明白，需要听取你们的专业意见。但我只是想问，对于许多正在收听这档播客的普通 WordPress 用户来说，他们有一个 WordPress 网站，却对安全本身并不感兴趣，只是关心安全问题会如何影响自己的业务。

所以我想在这里请教一些非常基本的建议。对于完全没有任何安全背景知识、使用 WordPress 的人，你会建议他们去阅读、去完成或者去思考的少数几件事是什么？

[00:38:51] Aaron D Campbell：是的，所以我认为我最先想鼓励他们做的事情，基本上就是让自己处于能够依赖专家的位置，对吧？你不是专家，这没关系。没有人能成为所有领域的专家。但你可以采取一些措施，让自己处于能够从这些专家的专长中受益的状态。

其中一项就是尽可能及时地更新。比如开启 WordPress 自动更新之类的功能。我提到的这个 WordPress Security Team 在该领域拥有丰富的专业知识，他们的全部重点就是确保 WordPress 始终安全。这样一来，你就可以依赖他们来帮助保障你的网站安全。

我认为，同样重要的是，你应当找到一家也在为你实施这些安全措施的合适主机提供商，这样你就不必亲自处理。或许你可以询问主机提供商：“你们会采取什么措施来保障我的安全？”我们可以谈谈安全，因为最好的安全是分层安全。这有点像住宅园区既有大门安保，你自家门上也有锁，对吧？诸如此类。你也可以问主机提供商：“你们会采取哪些措施，以分层方式保护我？”

也许这个问题对你来说没有意义，也许他们的回答你也看不明白，但如果他们能给出答案，这对你来说就是好事。这意味着你可以依赖他们的专业能力。

然后，跳出显而易见的那部分，再说一件人们应该做的事情。这件事听起来或许有点出人意料，但你应该针对自己以及自己的凭证信息进行某种暗网监测。比如去 Have I Been Pwned 之类的网站，查看自己的电子邮件地址和密码是否出现在某个来源泄露的数据中，并且如今正在暗网上出售。或者使用提供这类服务的平台。我认为这比以往任何时候都更加重要。

因为 AI 正在做的另一件事，就是特别擅长收集过去几十年间发生的大量数据泄露信息，而这些信息正在暗网上出售。把它们全部汇总起来，然后说：“哦，我们发现了这个。天哪，15 年前，Aaron 的一个账户曾出现在数据泄露事件中。而我们现在知道了他的一个密码。”

当然，那已经是 15 年前的密码了，但 AI 很容易接着判断：Aaron 现在在哪里？他在做什么？我们可以了解他什么情况？他在 Monarx 工作。我想知道这个密码是否适用于他的 Monarx 账户。我想知道这个密码是否适用于他所在的银行。或者我们看到他在使用的其他工具。让我们试试他的所有社交媒体账户。

因此，知道这些信息是否已经外泄，并且能够采取相应措施保护自己——虽然你无法彻底消除那些数据，但既然你现在知道它们已经外泄，采取防护措施就比以往任何时候都更重要。

[00:41:47] Nathan Wrigley：希望你能以我提出这个话题时的初衷来理解它，但我真的希望生活在一个你不需要工作的世界里。

[00:41:55] Aaron D Campbell：我也是。

[00:41:56] Nathan Wrigley：不过，我很高兴我们生活在一个你确实有工作的世界里，像你这样的人确实有份工作。希望我的意思被正确理解了。

[00:42:02] Aaron D Campbell：如果我能工作到把自己彻底“工作没了”的地步，我会找到一份新职业，并且会感到无比成就，那种感觉是你根本无法想象的。我对此很满意。

[00:42:12] Nathan Wrigley: 是的，很好。Aaron，在我们结束之前，如果大家有问题，可以去你常待的线上平台联系你吗？或者对于我们刚才讨论的内容，你有什么想法？

[00:42:21] Aaron D Campbell: 是的，如果你想找我处理专业事务，可以访问 Monarx.com，M-O-N-A-R-X.com。我还拥有 aarondcampbell.com，如果你想看看我对安全等方面更个人化的看法。你也可以在 Bluesky 或 WordPress Slack 上找到我。这应该是我最常活跃的两个地方。

[00:42:40] Nathan Wrigley: 亲爱的听众，我会把相关链接放进节目说明。如果你访问 wptavern.com，并搜索 Aaron Campbell 那一集，就能找到这些链接。我会把 Bluesky、各类社交媒体链接以及 Monarx 网站之类的都整理出来，这样你就不必四处寻找了。去 wptavern.com 看看吧。Aaron，非常感谢你今天接受我的采访。

[00:43:01] Aaron D Campbell: 谢谢你。这次聊天非常愉快。