資安業者 Layer3 Intel 本週上線住宅代理觀測站，偶然發現美國白宮所在網段（AS2650，登記於總統行政辦公室名下）出現住宅代理出口活動：10 月 5 日至 11 月 3 日共 236 次，來自 6 個位址，30 天中有 26 天都有，經手的多達 28 家住宅代理服務。任何人註冊公開服務、付幾美元就能借道這個網段進出——問題是，流量模式指向的不是訪客 Wi-Fi，而是一台深夜仍在上線的受感染個人裝置。
本文含原文全文翻譯、Hacker News 219 則討論整理，以及視覺懶人包。
全文翻譯
原文：Layer3 Intel Team〈Residential Proxies Detected on White House Network〉，2026 年 11 月 4 日。數字沿用原文；專有名詞首次加註。
我們本週稍早上線了住宅代理觀測站（Residential Proxy Observatory，全球首個讓研究者一覽住宅代理與匿名化網路活動的介面）。團隊在瀏覽時，注意到 AS2650 出現住宅代理出口活動。AS2650 登記在總統行政辦公室（Executive Office of the President，承辦白宮網路的聯邦機構）名下。
住宅代理這門生意，賣的是日常裝置存取權：客戶付費，流量就經由這些裝置送出，看起來就像是從該裝置所在的網路發出。
〔註〕原文此處有一張圖表：2026 年 10 月 5 日至 11 月 3 日 AS2650 每日觀測，共 236 次，大多數日子有 1 到 3 個不重複代理出口。
我們觀測到的情況
10 月 5 日到 11 月 3 日之間：
- 我們的住宅代理列舉探測管線經由白宮網路出口，共 236 次
- 這些出口來自 6 個位址，30 天裡有 26 天都測得到
- 28 家不同的住宅代理服務都能經由這個網路出口
為確認不是誤判，我們把這些位址拿到其他住宅代理偵測服務（例如 Spur、Synthient，兩家皆為 IP 情資服務）的公開 IP 情資頁比對，對方也各自獨立標示這些位址為住宅代理出口。
這是公開就能取得的存取權。任何人註冊公開住宅代理服務、付幾美元、送出請求，就能拿到。我們沒有刻意針對這個網路，也沒有試圖讓探測從它出口；我們只是向這些服務要求全球輪換存取，偶然撞見的。
為什麼這令人擔憂
多數活動發生在美東時間晚上：約一半落在下午五點到午夜之間，清晨幾乎沒有。這種型態指向的是一個人，而不是公共訪客 Wi-Fi：有人深夜仍經常在白宮網路上，其裝置感染了代理軟體開發套件（proxy SDK）。我們的資料只看得到出口，看不到背後的裝置或人。
過去研究顯示，防護不良的代理軟體開發套件可能允許內網存取與橫向移動，過去的殭屍網路就是這樣擴散的。威脅情資公司 Synthient 在〈助長殭屍網路的破碎體系〉中記錄：Kimwolf 殭屍網路經由住宅代理網路感染至少 200 萬台裝置，多為 ADB（Android 除錯橋）暴露在外的 Android 裝置。
如果這個網路上的軟體開發套件有同類缺陷，任何購買代理存取的人都可能藉此觸及內部系統。
再偏遠的地方都逃不掉
白宮不是觀測站裡唯一的意外。住宅代理也深入地球上最與世隔絕的角落。
- 聖赫勒拿、阿森松與特里斯坦-達庫尼亞（南大西洋領地，含全球最偏遠的人居島）：413 個位址、超過 32,000 次觀測，分屬星鏈與當地業者 Sure Saint Helena
- 南極：3 次觀測，皆來自指向麥克默多站的 Cloudflare WARP 位址
- 其他偏遠地：皮特肯群島（1 個星鏈位址、1 次）、諾福克島（1 個當地電信位址、4 次）、斯瓦巴（朗伊爾城 1 個星鏈位址、3 次）；另有福克蘭群島（388）、查戈斯群島（43）、托克勞（21）、南喬治亞（7）
住宅代理已經感染世界的每個角落，看似無處不及。Layer3 Intel 在全球追蹤住宅代理與匿名化基礎設施——即使代理藏身天涯海角的網路，我們依然看得見，讓威脅者無處可躲。
〔註〕原文末段「致相關機關」：已備份所記錄活動的原始日誌，可經聯絡頁索取。
Hacker News 網友討論整理
統計：695 分、219 則留言、34 個頂層串（2026 年 11 月 5 日抓取）。留言數含已刪除，數字對不上屬正常。
討論焦點
整串分裂成兩條線。第一條是舉證責任：有人全程追打「只知道 IP 屬於誰，不知道機器在哪、誰在用」；另一派回防「不需要人在那棟樓裡，外部流量繞過防火牆就是網路安全問題」；還有人補「白宮很多人上夜班」，讓「單一感染者」的推論更薄弱。第二條線是定義與道德：一堆人先問什麼是住宅代理，答者幾乎指向同一件事——你家網路被當成別人的出口。當有人主張這是反爬蟲軍備競賽下的「自然反應」，整串火藥味炸開。穿插黑色幽默：有人說白宮代理值得每 GB 付十美元，也有人希望這已是白宮裡最危險的東西。
日報之後新增的最大串（37 則）暗指晚間規律上線、「住在那裡的人」嫌疑最大；反駁方搬出白宮園區人力（2500 到 4000 人、情境室 24 小時值班、夜班清潔警衛與媒體記者都是候選）以及「內部至今沒發現才是重點」。全串最佳類比：住宅代理「根本就是別人偷裝的 Tailscale exit node」。另有一串指向來路電視盒 SuperBox，附《Darknet Diaries》第 172 集逐字稿，但被吐槽考據鬆散。
主要觀點
一、證據只到「IP 屬於白宮網段」為止。 懷疑論定調：報告只知道 IP 空間擁有者，卻直接寫成「白宮網路」；也可能是安全實驗室或記者用的訪客網路，並酸這是服務上線一週就發文打廣告。反駁方從人力與技術兩路回擊：白宮上班的人多、夜班也不少，候選名單很長；重點也不是機器在不在那棟樓，而是外部流量是否已穿過防火牆、從高信任節點收發。
二、「什麼是住宅代理」：多數人沒聽過，懂了更不安。 一句話總結：「基本上就是讓壞人用你家網路。」精確版：讓客戶從大量「看起來正常」的家用網路收發流量，幾乎總在當事人不知情、未同意下進行。商業模式：資料中心 IP 易被封，家用 IP（如 Comcast）評價好，於是有人專賣家用連線；很多來路電視盒打著免費看片名號，順便把你家頻寬租出去。
三、「良性用途」說被全串圍剿。 孤軍辯護者主張住宅代理支撐存檔式爬取、自動化與額外匿名，是網站把反爬蟲做到極致的自然反應。回擊：自家伺服器被這類殭屍爬蟲打到每秒上百次——「對全網每個站發動阻斷服務攻擊，哪裡良性？」把利用被入侵裝置當網路重要一環，扭曲到不行；99.9% 就是惡意軟體；這就像說搶劫很重要，因為你喜歡在當鋪買便宜工具。實害：住宅代理讓分散式阻斷攻擊幾乎無法用 IP 封鎖。
四、真正的風險是命令與控制通道。 全串最大串（44 則）點出該被放大的地方：現在這些裝置只被拿去做相對溫和的變現，但沒理由假設背後沒有派發惡毒任務的指揮控制能力。把「相對良性」放在白宮脈絡很荒謬：一台被入侵的裝置在白宮網路裡，能做的壞事嚴重得多。有人認為全文用詞避重就輕，該直寫「偵測到殭屍網路惡意程式」。
五、自保很難，現成檢查工具答非所問。 最土法也最實用的判準：注意智慧裝置流量——電視在你沒用的深夜傳輸好幾 GB，大概就是在當代理；盯路由器對外連線，找沒有交代來源的連線。但盲點是：那些網站只能判斷「你連出去時是否經過住宅代理」，不能判斷「有沒有人在你的網路上跑代理」；從外部看這兩件事一樣，IP 一旦被跑過代理，很快就被標成代理出口。這正是有人只有 Linux 桌機加 T-Mobile 5G、IP 卻被列為代理的原因——電信商級位址轉換（CGNAT）下，鄰居的感染會算到你頭上。該不該整段封鎖，兩派拉鋸：一方主張用速率限制與分層防護照封，另一方認為會誤傷大量無辜使用者。
| 爭點 | 一方 | 另一方 |
|---|---|---|
| 算不算白宮資安事件 | 重點是外部流量是否繞過防火牆 | 只認得 IP 歸屬就下標題 |
| 有無正當用途 | 反爬蟲軍備競賽下的自然產物 | 99.9% 是惡意軟體，用處抵銷不了濫用 |
| 共用 IP 被標記怎辦 | 該封就封，用速率限制平衡 | CGNAT 下整段封鎖誤傷正常人 |
視覺懶人包
手機版若看不到內嵌頁面，可開直連：https://static.blog.derekhsu.net/white-house-proxy-hn.html