开源macOS终端工具RACE遭谷歌广告误判为恶意内容，账户被自动暂停

用Rust编写的开源原生macOS终端多路复用器RACE，其创建者Przemyslaw Alexander Kaminski近日详细描述了广告分发账户在广告活动启动后被自动暂停的情况。尽管分发的二进制文件通过了原生操作系统公证以及独立反恶意软件检测，安全策略爬虫仍将该开发者账户标记为“遭入侵网站”和“恶意二进制文件”。

RACE与tmux等传统基于网格的终端多路复用器不同，采用无限画布架构，shell窗口可任意放置、调整大小和分组。该架构将命令执行与窗口布局的生命周期分离，即使桌面应用重启或UI崩溃，子交互式shell仍可持续运行。在macOS下，这需要通过内部PTY主机守护进程或外部dtach后端管理伪终端对和后台工作进程。而自动化安全扫描器通常将“可执行文件不断分出能接收任意命令行输入的孤立后台进程”视为持久型后门和远程访问木马的特征。

Kaminski部署指向产品文档域名和二进制下载地址的活动后，平台以恶意软件违规为由标记了目标基础设施。但手动验证显示，第三方恶意软件分析工具及谷歌自有诊断工具均报告正常，Google Search Console和Google Safe Browsing也确认该域名根目录和下载基础设施中未发现受感染资产。在申诉过程中，Kaminski发现平台自动执行循环存在循环依赖：通过标准申诉接口提交诊断报告会被确定性拒绝，且不披露触发标记的具体二进制哈希值、规则匹配结果或网络日志；而寻求账户支持又因必须先解决底层安全暂停问题而受阻。

为确定标记是否由运行时守护进程的持久化功能引起，开发者在1.0.39版本中修改了生命周期清理例程，引入显式用户提示和进程清理钩子，以便在父进程被删除时终止孤立的多路复用线程。该博文后续编辑内容显示，在社区将这一运营死锁问题上报给工程团队后，策略暂停最终被撤销。Kaminski表示，账户虽已恢复，但仍未得到暂停原因的解释。

该案例凸显了安全自动化与非标准系统编程之间的系统性矛盾。随着平台运营商越来越依赖黑盒行为模型检查软件生态，开发用于管理进程、操作内存映射或挂钩低级内核抽象的合法原生工具，在分发和商业基础设施中面临的阻力正日益增大。Kaminski表示，他将通过一切可能途径继续抗争，甚至不惜诉诸欧盟法院。