发现：Citizen Lab 与 Confiant 揭示通过在线广告传播的 Discover-Tech 零点击间谍软件
事件经过
Citizen Lab 和 Confiant 的安全研究人员联合发布了一项调查，首次找到技术证据，证明一种零点击攻击——即无需受害者采取任何操作的黑客攻击——通过定向在线广告传播。该行动的核心是一家名为 Discover-Tech 的广告技术公司，这是一家以色列公司，对外宣称是一家传统在线广告代理机构。
据 The Verge 于 2026 年 10 月 15 日报道，以及 NBC News 早前报道，该调查将 Discover-Tech 描述为一个管道，允许黑客组织在网络上植入恶意广告。据路透社报道，Google 和康卡斯特旗下的广告公司 Beeswax 已从其平台移除 Discover-Tech，IAB Europe 也暂停了该公司在其批准供应商名单中的资格。
广告管道如何运作
Discover-Tech 运营着一个名为 Controlium 的平台，研究人员称该平台使其间谍软件合作伙伴能够“精确分析并去匿名化数百万个人，对其设备进行指纹识别，并通过一种零点击黑客攻击形式对其进行定向攻击。”
Controlium 还允许合作伙伴使用 IP 地址、移动广告 ID 或浏览器标识符“选择用户进行感染或分析”。实际上，这意味着普通广告技术为广告目的收集的定向数据——设备指纹、持久标识符、IP 地址——可以被重新利用为恶意软件传播的受害者选择机制。
关键的新颖之处在于传播渠道，而非间谍软件本身。广告网络长期以来一直被滥用于提供恶意广告，但研究人员描述的系统是广告展示本身即感染载体，无需目标用户点击、触摸或下载。
谁成为目标
与 Discover-Tech 合作的团体之一是 Candiru，一家已被美国政府列入黑名单的以色列间谍软件供应商。在 2024 年和 2025 年，Discover-Tech 广告向总部位于卡塔尔的新闻网络 Al Jazeera 投放了与 Candiru 相关的间谍软件。
研究人员表示，该行动在 2024 年和 2025 年期间针对该新闻机构的“至少”45 台设备。记者和新闻机构是商业间谍软件的常见目标群体，这使得 Al Jazeera 感染事件与针对新闻界的雇佣监控的普遍模式一致。
研究人员的诉求
Citizen Lab 和 Confiant 呼吁广告行业加强其平台的安全性。具体诉求在新闻报道中未详细说明，但其框架是广告交易平台和需求方平台需要将创意交付和定向基础设施视为安全边界，而非纯粹的商业功能。
随后采取的执法行动值得注意，因为它们来自广告行业本身而非监管机构：Google 和 Beeswax 从其平台移除了 Discover-Tech，而维护批准供应商名单的行业机构 IAB Europe 暂停了该公司。
为何此事超越单一供应商的重要性
这一发现的意义在于其结构性。广告技术存在的目的是识别、分析并触达数百万网站和应用中的特定人群，并使用跨上下文持续的标识符。这在功能上与间谍软件运营商选择和触达目标所需的能力集相同。
通过广告的零点击传播路径也打破了常见的防御假设。长期以来，对用户的建议集中在不点击可疑链接或不打开未知附件。如果广告展示本身即载荷，那么用户行为根本不参与杀伤链，缓解措施必须转移到平台和浏览器层面。
Hacker News 讨论中的从业者要点
Hacker News 上关于此故事的讨论（199 分，87 条评论）集中在少数几个实用要点上。
广告拦截被视为基线卫生，而非可选附加项。 一位评论者认为研究人员的建议过于温和：
“研究人员还建议高风险目标用户使用广告拦截器、禁用广告跟踪，并定期重置移动广告 ID。”不是“建议”。每个人都必须在每台设备上使用 uBlock Origin 或至少某种广告拦截器。然后每个家庭还必须强制使用 pi-hole。即使你使用 Windows 操作系统，也必须使用广告拦截器。即使你使用 Chrome。在每个浏览器上。
同一位评论者的框架——广告拦截应普及而非仅限高风险个体——是文章基于风险建议的实际反论点。
讨论还提出了为何以色列产生如此多的进攻性网络能力。 一位评论者推测，持续的生存威胁促使该国早期发展这种能力，而一旦此类组织存在，就很难控制：
我的问题是，为什么以色列在这方面如此擅长？它似乎是世界第四大网络强国，仅次于美国、俄罗斯和中国，如果不是实际上与之相当或更好。我想这是因为它从诞生起就面临更大敌人的威胁，所以必须利用一切资源生存。而一旦你发展了一个组织并放任它，你就无法再控制它，它就像花朵一样在野外生长。
至少一位评论者对主要来源的可信度提出质疑。 一位评论者链接到 LSE 研究库的一篇论文，并写道“Citizen Lab 并不总是最可靠的来源。”该链接未附带对本次调查方法的具体批评，因此该异议是对可信度的一般性质疑，而非对具体发现的驳斥。
一个重复提交被标记。 一位评论者指出，该故事已以不同的项目 ID 发布到 Hacker News。
注意事项与未解问题
公开报道总结了 Citizen Lab 和 Confiant 的发现；底层技术报告是传播机制的主要来源。The Verge 的文章部分付费，因此上述摘要之外的某些细节可能位于其订阅墙之后。
公开记录中仍有几个问题悬而未决：除 Al Jazeera 外，有多少人通过 Controlium 被分析或感染；定向是否仅限于特定高价值个体，还是更广泛地运行；以及广告交易平台需要做出哪些技术变革，以防止广告展示成为漏洞利用传播路径。Google、Beeswax 和 IAB Europe 采取的执法行动针对的是单一供应商，而非广告定向基础设施作为零点击攻击面的潜在能力。