看似無虞，實則有患：基準線缺席時的靜默缺口

資訊安全裡有一類缺口，在失效時不產生任何錯誤訊息——甚至更糟，它們產生的訊號正常得像是安全的證明。本報告以三個技術領域的第一手觀察為例：軟體供應鏈的校驗和（一個正確的 sha256 可能只驗證了最終程式碼的一小部分，因為 build 期的 npm／pip 下載逃出了它的涵蓋範圍）、Linux 主機的持久化偵測（在一台從未建立基準線的主機上，cron 與 shell 啟動檔這兩種最常見的後門若只做漂移比對而無內容啟發式，會回報零跡證），以及設定「宣告」與「生效」之間的落差。三者分屬不同層面，卻共享同一種故障模式與同一種對策：從外部、以攻擊者的視角驗證生效狀態，而不是檢視宣告內容。全文的實作宣稱皆可自行複驗，偵測驗證以良性替身進行、未執行任何真實惡意程式。