近期一篇讨论针对 Linux 发行版实施“信任的信任”（Trusting-Trust）攻击的论文在 Hacker News 上引发了广泛争论。研究人员展示了被篡改的系统工具（具体为 `strip`）如何被用于向二进制构建中注入后门代码，证明了此类攻击不仅限于编译器。 批评者认为这些发现并无新意，并指出肯·汤普森（Ken Thompson）在 1984 年发表的原始论文中就明确警告过，任何“程序处理”工具都可能助长此类攻击。许多评论者将此项工作归类为一种已知的“链接病毒”，即受感染的工具会在整个构建链中持续进行自我渗透。 此次讨论还凸显了“可引导构建”（bootstrappable builds）的局限性。尽管 Nix 和 Guix 等项目旨在实现“全源代码引导”以消除黑盒二进制种子，但怀疑论者认为，即便这些系统也依赖于底层未经审计的环境，理论上仍可能遭受持续性攻击。最终，各方共识是，该研究提醒了人们构建环境所固有的风险：如果 CI/CD 或构建工具遭到破坏，无论在纯净源代码上投入多少努力，所有生成二进制文件的完整性都将从根本上遭到破坏。