2. V2EX
  3. 你会在虚拟机里跑你不信任的代码吗？

你会在虚拟机里跑你不信任的代码吗？

emptyiscolor 2026-10-20 07:39 1

国内，虚拟机逃逸：
https://mp.weixin.qq.com/s/SzEIBZY7RfK71Bm4GckgGg


海外，虚拟机逃逸： https://pwn.ai/blog/pwnescape
容器逃逸和安卓 root： https://github.com/V4bel/InfinityCore


最近看到各种 AI 辅助公布虚拟机逃逸，或者容器逃逸的案例，而且几乎覆盖全服务器环境，甚至 vercel 这种云托管也不能保证租户隔离的安全。InfinityCore 这种甚至还能搞安卓 root 。


以前 wannacry 出来的时候大家都说不可信的程序开虚拟机里面跑，但现在不可信的代码哪怕给 AI 去在虚拟机里面运行，都不能保证虚拟机逃逸的案例被 AI 滥用。


我是在想，当我们把不可信代码放进去就安全了，当作一个默认前提时，是不是把信任放错了地方？

最新回复 (8)
  • loading 10-20 08:00
    1楼
    难道在非虚拟机里跑？独立主机还是有点难度。
  • kkwa56188 10-20 08:09
    2楼
    门锁可以被撬开，不等于锁门没有意义。
    我反正能锁就锁.
  • passive 10-20 08:19
    3楼
    宿主机跑 Solaris 或者 BSD
  • emptyiscolor 楼主 10-20 08:29
    4楼
    最近还看到很多用 AI 把一键安卓 root 变成安装个 apk 就搞定的事情： https://github.com/diabl0w/DFRoot

    假如说某国产 app 也大范围使用这种思路（之前某多多还藏着混淆代码），完全可以绕过任何用户察觉到的迹象，用 root 权限在用户手机里面乱搞。

    有点信任危机的感觉了。
  • wfg 10-20 08:45
    5楼
    为什么要跑不信任的代码
  • littleddfu 10-20 10:12
    6楼
    @wfg 按照国产软件的风格，难免会有一些场景需要虚拟机运行的吧。比如 xx 网盘，破解软件之类的。
  • chhtdd 10-20 10:32
    7楼
    @emptyiscolor 你说的这个一键安装来获取特殊权限，某购物软件干过
  • emptyiscolor 楼主 10-20 12:36
    8楼
    @chhtdd 当年 PDD 被外网实锤公开了技术细节，现在用 LLM 干这种坏事更容易了。
* 帖子来源V2EX
附近帖子
返回
飞读
随机推荐