Jiayun's Blog

2026 年 4 月底，Google 威胁情报组（GTIG）发现了一条针对 iOS 18.4 至 18.7 的完整漏洞利用链。这条链被命名为 DarkSword，串联了 6 个独立的零日漏洞，能够在用户毫无感知的情况下完全控制 iPhone。一周后，这条价值数百万美元的攻击链被公开泄露到互联网上。

这不是又一次"发现漏洞、修补漏洞"的常规安全事件。DarkSword 的故事是关于一个行业的结构性崩塌——商业监控软件（Commercial Surveillance Vendors, CSV）行业正在被自身的商业模式所反噬。

事件回顾：DarkSword 的技术全貌

根据 Bruce Schneier 于 2026 年 5 月 5 日的报道¹以及 GTIG 的技术分析，DarkSword 的攻击链具有以下特征：

攻击范围： iOS 18.4 至 18.7，覆盖 2026 年上半年几乎所有活跃的 iPhone 设备。

零日数量： 6 个独立的零日漏洞（zero-day），分布在 WebKit 引擎、内核、沙箱逃逸和持久化等多个层面。这是近年来公开记录中零日数量最多的 iOS 全链攻击之一。

载荷家族： 攻击链部署三种不同的载荷工具——GHOSTBLADE（初始植入与信息收集）、GHOSTKNIFE（通信监控与数据窃取）和 GHOSTSABER（持久化与反取证）。“GHOST"系列的命名暗示这是一套经过精心设计的模块化间谍平台。

使用者： GTIG 确认 DarkSword 被多方使用，包括商业监控供应商的客户以及与俄罗斯有关联的国家级威胁行为者 UNC6353。

受害者地理分布： 沙特阿拉伯、土耳其、马来西亚、乌克兰——这是一份典型的"威权政府客户名单"与地缘冲突热点的混合体。

最关键的一点： 整条攻击链在被 GTIG 发现仅一周后就被公开泄露。这与此前的 Coruna 泄露模式高度相似，表明商业监控行业的供应链安全已经千疮百孔。

一条全链漏洞值多少钱？

要理解 DarkSword 事件的冲击力，我们需要先理解零日漏洞的经济学。

根据 Zerodium 等零日漏洞经纪商的公开报价，一个 iOS 全链远程代码执行（RCE）漏洞的收购价格在 200 万至 250 万美元之间²。而 DarkSword 使用了 6 个零日——即使考虑到批量折扣和部分漏洞的价值较低，这条链的市场价值保守估计在 500 万至 800 万美元之间。

但这只是"进货成本”。商业监控公司将这些漏洞打包成产品（如 NSO Group 的 Pegasus），以订阅制卖给政府客户。一个典型的 Pegasus 合同价值 700 万至 2500 万美元/年，取决于目标数量和服务等级。也就是说，一条全链漏洞的"零售利润率"可以达到 300% 甚至更高。

这种暴利模式正是问题的根源。

商业监控行业的四大玩家

在深入分析之前，让我们先梳理当前商业监控行业的主要工具和供应商：

这张表揭示了一个趋势：商业监控工具的供应商数量在增加，但每一家都变得更脆弱。Pegasus 被列入黑名单，Predator 遭遇 Coruna 泄露，现在 DarkSword 在一周内被曝光。这个行业不是在壮大，而是在加速自我毁灭。

零日囤积模式的经济学死局

DarkSword 事件最值得深思的不是技术细节，而是它暴露出的商业模式困境。我将其称为**“零日囤积模式的经济学死局”**。

第一重矛盾：时间价值的急剧衰减

零日漏洞是一种极度时间敏感的资产。从发现到被厂商修补（或被竞争对手发现），一个零日的"保质期"可能只有几个月。DarkSword 的案例更极端——6 个零日在一周内从"价值数百万"变成"公开信息"。

这意味着商业监控公司的核心资产随时可能归零，但它们的成本结构是固定的：漏洞研究团队的薪资、基础设施维护、客户支持——这些成本不会因为一条链被烧掉就消失。NSO Group 的财务困境（多次濒临破产）正是这一矛盾的直接体现。

第二重矛盾：客户扩张与安全暴露的正相关

为了覆盖高昂的研发成本，监控公司必须尽可能多地销售。但每多一个客户，就多一个泄露风险点。DarkSword 同时被商业客户和 UNC6353 使用，这意味着它的分发范围足够广泛，以至于被 GTIG 捕获的概率大幅上升。

这是一个无法解决的悖论：卖得越多越不安全，越不安全就越快贬值，越快贬值就越需要卖更多。

第三重矛盾：泄露的传染效应

Coruna 泄露了 Predator 的攻击链。现在 DarkSword 被泄露。每一次泄露都会：

1. 教育防御者——安全厂商从泄露的利用链中学习攻击模式，强化检测能力
2. 武装模仿者——低端攻击者获得高端工具，增加整体威胁面
3. 吓跑客户——愿意花 2000 万美元买监控工具的政府，不愿意成为下一个被曝光的客户
4. 加速修补——厂商在泄露后几天内就会推送补丁，进一步缩短零日的生命周期

每一次泄露都让下一次泄露更可能发生，让整个行业的经济模型更加不可持续。

UNC6353：国家行为者的"搭便车"问题

DarkSword 事件中一个特别值得关注的细节是俄罗斯关联威胁行为者 UNC6353 的参与。

传统上，我们倾向于将"商业监控公司"和"国家级 APT"视为两个独立的世界。但 DarkSword 打破了这一界限——同一条攻击链被商业客户和国家行为者共同使用。这可能意味着：

• UNC6353 直接或间接地是 DarkSword 供应商的客户
• DarkSword 的供应商在向俄罗斯关联实体销售工具，这可能违反多个国家的出口管制法规
• 或者 UNC6353 通过其他渠道（如入侵供应商基础设施）获取了 DarkSword

无论哪种情况，这都意味着商业监控行业已经无法控制自己的扩散边界。当一个以色列或欧洲公司的工具出现在俄罗斯情报机构手中时，所有关于"我们只卖给合法执法机构"的说辞都已经不攻自破。

受害者的地理分布——沙特阿拉伯、土耳其、马来西亚、乌克兰——进一步说明了问题。乌克兰目标几乎肯定与俄乌冲突有关，而沙特和土耳其则是传统的商业监控客户。同一条攻击链同时服务于商业利润和地缘政治目的，这是商业监控行业最危险的演化方向。

GHOST 系列载荷：模块化间谍平台的工程化趋势

从技术角度看，GHOSTBLADE、GHOSTKNIFE 和 GHOSTSABER 的三件套架构反映了商业间谍软件的工程化趋势：

GHOSTBLADE（初始植入）： 负责漏洞利用后的第一阶段植入，收集设备基本信息，判断目标是否值得进一步攻击。这是一个"筛选器"——避免在低价值目标上暴露更昂贵的后续组件。

GHOSTKNIFE（数据窃取）： 核心间谍功能模块，负责通话录音、消息窃取、位置追踪、麦克风/摄像头激活等。这是客户实际付费的功能。

GHOSTSABER（持久化与反取证）： 最高端的组件，负责在设备重启后保持存活，并对抗安全研究人员的分析。这是区分"业余"和"专业"间谍软件的关键。

这种三层架构的好处是风险隔离：如果 GHOSTBLADE 被检测到，GHOSTKNIFE 和 GHOSTSABER 可能仍然安全。但它也大幅增加了代码量和攻击面——更多的代码意味着更多的被发现的机会，更多的被泄露的风险。

Apple 的困境与防御者的窗口

每一次 iOS 全链攻击被曝光，Apple 都面临同样的问题：它的安全模型是否足够好？

客观地说，iOS 的安全架构在移动平台中仍然是最强的。正因为攻破 iOS 如此困难，一条全链漏洞才值数百万美元。但 DarkSword 表明，投入足够的资源，iOS 的每一层防御都可以被突破——WebKit、沙箱、内核、持久化——全部陷落。

Apple 在 iOS 16 中引入的**锁定模式（Lockdown Mode）**是一个有价值的缓解措施，它通过禁用大量攻击面（如 JIT 编译、部分消息附件类型）来大幅提高攻击成本。但锁定模式的采用率极低——大多数用户不愿意为了安全而牺牲功能，而最需要保护的高风险用户往往不知道这个功能的存在。

对于安全防御者来说，DarkSword 的泄露反而是一个难得的学习机会。每一条被公开的攻击链都让我们更深入地理解攻击者的方法论，从而改进检测规则和防御策略。Google GTIG、Amnesty International 的安全实验室、Citizen Lab——这些机构正在系统性地拆解商业监控行业的技术基础³。

这个行业还能走多远？

让我直说：商业监控软件行业正在走向不可逆的衰落。

这不是因为需求消失了——威权政府永远需要监控异见人士，情报机构永远需要信号情报能力。需求是刚性的。但供给侧正在崩塌：

法律压力不断增大。 美国已将 NSO Group 和 Intellexa 列入黑名单。欧盟正在推进更严格的出口管制。Apple 和 Meta 等科技公司对监控供应商的诉讼正在产生寒蝉效应。

技术成本持续攀升。 每一代 iOS 和 Android 都增加了新的安全层。10 年前，一个 iOS 全链可能只需要 2-3 个漏洞；现在需要 6 个。成本在指数级增长，但客户的支付意愿并未同步增长。

泄露风险已成系统性风险。 从 Hacking Team（2015）到 NSO Group 的 Pegasus Project（2021），再到 Coruna 和 DarkSword（2026），泄露的频率和速度都在加快。行业的不透明性正在被一层层剥开。

人才竞争白热化。 能够发现 iOS 零日的安全研究员在全球可能不超过几百人。这些人同时被 Apple、Google、各国情报机构和监控公司争抢。监控公司在薪酬和声誉上都处于劣势——有多少顶尖研究员愿意为一家随时可能被制裁的公司工作？

我的判断是：未来 3-5 年内，目前已知的大多数商业监控公司将不复存在或转型。它们会被更隐蔽、更小型、与国家情报机构更紧密整合的实体所取代。零日漏洞利用不会消失，但"独立商业公司公开销售间谍软件"这种业态正在消亡。

对普通用户的建议

即使你不是沙特异见人士或乌克兰军官，DarkSword 事件也有值得关注的启示：

1. 立即更新你的 iOS 系统。 DarkSword 针对的是 iOS 18.4 至 18.7。Apple 在得知漏洞后会迅速推送补丁，但补丁只在你安装后才有效。
2. 了解锁定模式。 如果你是记者、律师、活动人士、政治人物，或者任何可能成为国家级攻击目标的人，请认真考虑启用 Apple 的锁定模式。
3. 不要点击未知链接。 虽然 DarkSword 的完整感染向量尚未完全披露，但绝大多数移动攻击仍然依赖于用户点击恶意链接。
4. 关注安全新闻。 像 GTIG、Citizen Lab 这样的机构正在为全球用户的安全而战。了解他们的发现有助于你做出更好的安全决策。

结语

DarkSword 不是第一条被泄露的 iOS 全链攻击，也不会是最后一条。但它的速度——从发现到泄露仅一周——标志着一个拐点。

商业监控行业建立在一个脆弱的前提之上：零日漏洞可以被安全地囤积和商业化。DarkSword 证明这个前提是错误的。当你的核心资产可以在 7 天内从"皇冠上的宝石"变成"公开下载的文件"时，没有任何商业模式能够承受这种波动性。

6 个零日，数百万美元的投资，一周后灰飞烟灭。这不是一个技术故事，这是一个关于不可持续的商业模式如何在现实面前崩溃的经济学寓言。