谷歌广告如何将一个开源的 macOS 术语误判为恶意内容并予以暂停

RACE 与 tmux 等传统的基于网格的终端多路复用器不同，它采用了一种无限画布架构。在该架构中，shell 窗口可以任意放置、调整大小和分组。从架构上讲，该多路复用器将命令执行与窗口布局的生命周期分离，即使在桌面应用程序重启或 UI 崩溃后，也仍然可以确保子交互式 shell 的持续运行。在 macOS 系统下，这需要通过内部 PTY 主机守护进程或外部 dtach 后端来管理伪终端对和后台工作进程。

自动化安全扫描器通过分析文件签名、静态字符串和动态进程执行模式，来评估二进制文件的安全性及 Web 端点的安全性。在典型的桌面应用程序环境中，如果某个可执行文件不断地分出能够接收任意命令行输入的孤立的后台进程，那么其行为特征便被认为与持久型后门和远程访问木马一致。

当 Kaminski 部署了指向产品文档域名和二进制文件下载地址的活动时，活动平台便因为恶意软件违规行为对目标基础设施进行了标记。作者通过手动验证扫描发现，第三方恶意软件分析工具以及谷歌自有的诊断工具均显示报告正常。谷歌搜索控制台（Google Search Console）和谷歌安全浏览（Google Safe Browsing）验证服务报告称，该域名的根目录和下载基础设施中未发现任何受感染的资产。

// 在自动申诉审查过程中提交的诊断有效载荷{ "target_binary": "RACE.dmg", "notarization_status": "Apple Notarized Developer ID", "google_safe_browsing": "CLEAN", "search_console_security": "NO_ISSUES_DETECTED", "virustotal_positives": 0, "process_lifecycle": "documented_pty_multiplexing"}

复制代码

在尝试解决该账户暂停问题时，Kaminski 发现，该平台的自动执行循环中存在循环依赖关系。通过标准申诉接口提交诊断报告后，系统会以确定性的方式拒绝请求，而且不会披露触发策略标记的具体的二进制哈希值、规则匹配结果或网络日志。而在寻求账户支持时，则因必须先解决底层安全暂停问题这一先决条件而受阻。

为了确定该标记是否由运行时守护进程的持久化功能引起，开发人员在 1.0.39 版本中修改了生命周期清理例程，引入了显式用户提示和进程清理钩子，以便在父进程被删除时终止孤立的多路复用线程。该博文后续的编辑内容强调，在社区将这一运营死锁问题上报给工程团队后，该策略暂停才最终得以撤销：

多亏了 Hacker News 那看似神奇的力量，我的 Google Ads 账户已经恢复了。虽然仍然未得到有关账户为什么会被暂停的解释，但感谢所有帮助让这个问题得到关注（和/或解决）的人。

该案例凸显了安全自动化与非标准系统编程之间的系统性矛盾。随着平台运营商越来越依赖黑盒行为模型来检查软件生态系统，那些开发用于管理进程、操作内存映射或挂钩低级内核抽象的合法原生工具的开发者，在分发和商业基础设施中面临的阻力正日益增大。为了预防误报风险，负责分发面向开发者的二进制文件的工程团队必须记录进程拓扑结构，并将持久化工作代理与主要 UI 二进制文件隔离。Kaminski 在文章中表示，他将通过一切可能的途径继续抗争，甚至不惜诉诸欧盟法院。

原文链接：https://www.infoq.com/news/2026/10/google-wrong-flagging/