委内瑞拉BGP泄漏真相：间谍行动或技术故障深度剖析

安全分析人员近期发现，在美国针对尼可拉斯·马杜罗展开特别军事行动前夕，委内瑞拉国有电信运营商CANTV意外发生了BGP路由泄漏事件。

免费影视、动漫、音乐、游戏、小说资源长期稳定更新！ 👉 点此立即查看 👈

通过对事后数据的回溯分析，部分观察者推测，这一异常或许并非单纯的网络事故，而可能是美国情报机构为获取关键军事情报而实施的流量劫持行动。这一发现迅速在安全社区引发广泛关注，并吸引了Cloudflare安全研究团队的深入调查。

然而，经过对历史路由数据的仔细比对，Cloudflare的分析师Bryton Herdes提出了不同看法。他认为，CANTV的BGP泄漏更有可能是源于技术配置失误——就在当地时间2026年1月2日，美国对委内瑞拉发起军事行动之前，该国的这家国有运营商（AS8048）出现了显著的路由异常。

部分分析人员观察到，AS8048的流量被异常地重定向到了意大利的转接服务提供商Sparkle。这家运营商以不严格执行RPKI过滤且安全声誉不佳而闻名。有观点便将此次路由异常解读为，这是情报机构为实施中间人拦截与流量收集而进行的蓄意操作。值得注意的是，异常路径表现出了极端的“自我降级”特征：AS8048执行了多达十次的AS路径预置，这在BGP协议中会直接导致路由吸引力骤降。

Cloudflare团队指出，如果攻击者意图窃取流量，理应发布更短、更具吸引力的路由，而非刻意制造多次绕行。另一个关键证据在于事件复发的模式——自2025年12月以来，AS8048已发生多达11次类似的路由泄漏。这强烈表明，这是CANTV长期存在的出入口过滤策略缺陷所致，而非针对特定军事行动的孤立行为。

运营商层级关系同样削弱了间谍论的调门。受影响的IP前缀属于委内瑞拉本地服务商Dayco Telecom（AS21980），而CANTV作为其上游运营商，本已拥有合法的流量访问权限，实施复杂的BGP劫持之举显得多此一举。该事件再次暴露了BGP安全机制的内在脆弱性——尽管Sparkle因未执行RPKI过滤被标记为不安全，但即使部署了RPKI路由源验证（ROV）也无法阻止此类异常，因为ROV仅能验证路由发布者身份，而本次事件中路由源并未改变，仅是中间路径异常。

这一局限性凸显了IETF正在推进的新标准ASPA的重要性。ASPA允许网络正式声明其合法上游提供商，若广泛采用，可自动阻断AS8048流量不当转发至无关提供商的“发夹式”泄漏。Cloudflare警告称，虽然将委内瑞拉网络异常归因于电信级特殊行动更具戏剧性，但现实往往更为平淡：互联网基础设施最严重的弱点常源于基础运维失误。该事件提醒全球运营商，在混合战争时代，全面落实RFC 9234标准和“仅限客户”属性已不仅是技术实践，更关乎国家关键基础设施的保护。