谷歌广告自动化系统将开源 macOS 终端工具 RACE 误判为恶意软件导致账户暂停

一句话结论

谷歌广告自动化安全系统将开源终端多路复用器 RACE 的正常进程行为误判为恶意软件，导致开发者账户被暂停且申诉陷入死锁。

关键要点

• RACE 是一款使用 Rust 编写的原生 macOS 终端多路复用器，采用无限画布架构，将命令执行与窗口布局生命周期分离。
• 尽管 RACE 二进制文件通过了苹果官方公证（Apple Notarized）且 VirusTotal 检测为零阳性，谷歌广告平台仍将其标记为“遭入侵网站”和“恶意二进制文件”。
• 谷歌安全浏览（Google Safe Browsing）和搜索控制台（Google Search Console）验证显示相关域名根目录和下载基础设施未发现受感染资产，诊断状态为“CLEAN”或“NO_ISSUES_DETECTED”。
• 开发者通过修改 1.0.39 版本的生命周期清理例程引入显式用户提示和进程清理钩子，试图缓解误报，但最终依靠社区在 Hacker News 上的关注才撤销暂停。
• 谷歌自动申诉接口存在循环依赖，拒绝披露触发标记的具体二进制哈希值、规则匹配结果或网络日志，支持请求需先解决安全暂停问题。

背景与事实

RACE 的创建者 Przemyslaw Alexander Kaminski 在启动广告分发账户后，遭遇平台自动暂停。与传统基于网格布局的终端多路复用器（如 tmux）不同，RACE 采用无限画布架构，允许 shell 窗口任意放置、调整大小和分组。在 macOS 系统下，这种架构需要通过内部 PTY 主机守护进程或外部 dtach 后端来管理伪终端对和后台工作进程，确保即使桌面应用重启或 UI 崩溃后，子交互式 shell 仍能持续运行。

谷歌广告平台的自动化安全扫描器通过分析文件签名、静态字符串和动态进程执行模式评估安全性。在典型桌面应用环境中，可执行文件不断分出能接收任意命令行输入的孤立后台进程的行为，会被启发式算法认定为与持久型后门和远程访问木马一致。当 Kaminski 部署指向产品文档域名和二进制文件下载地址的广告活动时，平台因“恶意软件违规”标记了目标基础设施。开发者提交的手动诊断载荷显示：目标二进制 RACE.dmg 拥有苹果开发者 ID 公证状态，谷歌安全浏览和搜索控制台安全状态均为正常，VirusTotal 阳性检测数为 0，进程生命周期被记录为文档化的 PTY 多路复用。

在尝试解决账户暂停时，Kaminski 发现平台自动执行循环存在循环依赖。通过标准申诉接口提交诊断报告后，系统以确定性方式拒绝请求，且不披露触发策略标记的具体二进制哈希值、规则匹配结果或网络日志。寻求账户支持时，又因必须先解决底层安全暂停问题这一先决条件而受阻。为确定标记是否由运行时守护进程的持久化功能引起，开发人员在 1.0.39 版本中修改了生命周期清理例程，引入显式用户提示和进程清理钩子，以便在父进程被删除时终止孤立的多路复用线程。最终，在社区将这一运营死锁问题上报给工程团队后，通过 Hacker News 的关注，账户暂停得以撤销，但谷歌仍未提供关于账户被暂停原因的具体解释。

影响分析

对于中文开发者与从业者而言，此案例揭示了依赖高级 POSIX 进程编排技术的开发工具在主流分发平台面临的系统性风险。当平台运营商越来越依赖黑盒行为模型检查软件生态系统时，合法原生工具的开发者在分发和商业基础设施中面临的阻力正日益增大。工程团队必须记录进程拓扑结构，并将持久化工作代理与主要 UI 二进制文件隔离，以预防误报风险。自动化验证流程中的不透明性——如不披露触发标记的具体规则日志、申诉接口的循环依赖——会导致运营瓶颈，迫使开发者通过社区曝光而非标准支持渠道解决问题，增加了合规成本和不确定性。

适用边界

该结论适用于使用高级进程编排技术（如分叉孤立后台进程、PTY 管理、持久化守护进程）的 macOS 原生开发工具在谷歌广告等依赖行为启发式算法的分发平台上的运营场景。对于不涉及非标准进程生命周期的常规桌面应用程序，或已通过传统静态分析验证的简单二进制文件，此类误判风险较低。此案例反映的是自动化安全系统对特定进程行为的误读，而非对所有开源软件的分发限制，且解决路径依赖于平台方的工程团队介入或社区压力，标准申诉渠道在此类黑盒判定中可能失效。

孤本观察

编辑判断认为，该事件暴露了自动化安全启发式算法在处理非标准系统编程时的固有局限：将合法的进程多路复用行为等同于恶意软件特征，且申诉机制缺乏透明度，导致合法开发者陷入运营死锁，必须依赖社区曝光才能恢复服务。

来源：InfoQ 中文 AI