"恶意软件作者从来都不是很厉害的程序员。所以如果代码开始看起来更好，那可能是‘vibecoded’了。这和你想象的完全相反。" Truffle Security CEO Dylan Ayrey 和 Socket Security CEO Feross Aboukhadijeh 在 Black Hat USA 2026 上与 a16z 的 Joel de la Garza 坐下来聊了聊。以前黑客的门槛是专业技能加上愿意冒坐牢的风险，现在只需要问一个被训练得很厉害的模型就行了。 他们讨论了为什么泄露的密码比零日漏洞更有用（当你优化代币时），公共训练集里有 25 万个活跃的 API 密钥，以及在他们录制期间通过几百个包传播的 npm 蠕虫。 00:00 开场 00:49 模型正在逃离它们的笼子 01:28 为完成任务而犯罪 05:20 最少代币路径 09:19 实验室如何训练模型进行黑客攻击 11:45 Hugging Face 训练集里的 25 万密钥 13:02 数百个代码库正在被攻破 16:55 npm 的核选项 21:06 2026 是软件供应链的一年 @InsecureNature @trufflesec @feross @SocketSecurity