开源供应链会不会走到"永不清零"的临界点？

我在想一个问题：当我们还在忙着轮换密钥、重建服务器时，攻击者已经拿着你上一次的凭证打开了下一扇门。这不是危言耸听——半年前微软自己拆掉了70多个官方仓库，axios、tanstack、Mistral、UiPath、甚至OpenAI和Cisco都挨过刀。更让人后背发凉的是，AI把"凭证到手到利用"的时间压到了近乎瞬间，而修复一个被深度植入rootkit的系统，慢得多。文章打了个很精准的比方：软件供应链正在逼近"凯斯勒综合征"——太空碎片撞出更多碎片，指数级失控。一旦这个螺旋真正转起来，所有中等以上复杂度的软件可能再也回不到"完全干净"的状态。我倾向于认为这个临界点不是会不会来，而是我们有没有足够时间。

原文：The Kessler Syndrome (where blowups multiply exponentially) applied to software · 来源：Hacker News