互联网安全的社会工程时代
2026年4月，axios库被投毒的消息震惊了整个开发者社区。一个每周下载量接近1亿次的超级开源库，被黑客通过社会工程手段攻破了发布令牌植入了木马。这个事件的意义远不止于一个库的安全问题——它标志着互联网安全已经进入了"社会工程时代"。
精心策划的降维打击
axios的安全防护堪称典范。作为最流行的JavaScript库之一，它的代码审查流程、发布机制、供应链安全措施必然是业界标杆。然而这次攻击完全绕过了技术层面的防护，直接在人的层面发起进攻。
攻击者做了什么？他们假冒某公司创始人联系维护者Jason Saayman，不仅克隆了创始人的外貌，还克隆了整家公司。他们创建了逼真的Slack工作区，里面有品牌标识、项目文档、宣传物料，甚至还有虚假的团队成员账号。他们安排了一场微软Teams视频会议，一群人亲自出镜配合演出。会议中途，主持人"善意地"指出他的系统缺少微软插件，于是他收到了木马安装包。
这套剧本的精致程度令人发指。每一个环节都经过排练和演练，针对目标人物量身定制。这不是技术攻击，而是一场精心导演的"真人秀"。
16天的情感投入
如果axios事件还不够极端，那么印度一位77岁老太太的遭遇则彻底刷新了人们对骗子耐心的认知。
这位老太太收到了"警察局"的Whatsapp视频电话，对方声称她的银行账户涉及洗钱案，要求她远程参加法院调查听证会。为了增加可信度，对方不仅提供了逼真的警局布景，还安排了"法官"主持听证会。
真正的离谱之处在于：这场骗局持续了整整16天。
在这16天里，老太太每天开着摄像头与"警官"们连线。他们陪她聊天，一起阅读印度教经典，请教人生问题，称呼她为"母亲"。老太太渐渐喜欢上了这些"孩子们"，心甘情愿地在16天内累计转账160万美元。
16天的持续投入，换来160万美元的回报。这是何等的耐心和成本投入？但对于专业的诈骗集团来说，这或许只是标准操作流程。
AI时代的安全新现实
这两个案例指向同一个趋势：互联网安全的技术边界正在被社会工程突破。
传统的安全思维是假定技术系统可能被攻破，所以层层设防、纵深防御。但当攻击者选择在"人"这个最脆弱的环节发力时，所有的技术防护都形同虚设。你可以通过代码审查，但你无法审查一场精心准备的视频会议；你可以检查服务器日志，但你无法识别一个陪你聊了16天的"朋友"。
更令人不安的是，AI正在让这种社会工程攻击的门槛进一步降低。生成逼真的面部、克隆声音、创建虚假身份——这些曾经需要大量资源才能做到的事情，现在只需几句话的提示词。
阮一峰在最新一期的科技周刊中写道："网站开发有一条规则：客户端的每一个请求都不可信任，必须假定是恶意请求。以后，现实生活恐怕也是这样：每一个陌生人都不可信任，必须假定是恶意骗局。"
这或许并非危言耸听。当技术防护已经足够完善时，攻击者自然会把目标转向人。而人，永远是最脆弱的环节。
我们能做什么
面对这种趋势，个人能做的其实很有限。无非是：不要轻易安装陌生人发来的软件，对视频会议保持警惕，对任何"官方"要求保持合理的怀疑。但这些防护在精心设计的剧本面前往往不堪一击——因为骗局的设计本身就是奔着突破你的防线去的。
真正的问题是：当社会工程攻击已经成为产业链，当骗子愿意投入16天去赢得一个老太太的信任，传统的安全教育和防范意识是否还能跟上这个时代的变化？
axios事件给我们的最大启示或许不是"要小心陌生人"，而是"供应链安全的下一章，必须考虑人的因素"。技术可以加固，但人永远是最脆弱的一环。而这一环，正在成为攻击者的主攻方向。
---
题图：Midjourney生成