只需在公开的住宅代理平台上花几美元，外部买家的网络请求就能从白宫的网络出口穿出。网络安全机构 Layer3 Intel 于 2026 年 11 月 4 日披露，在 10 月 5 日至 11 月 3 日的 30 天里，其监测管线在属于美国总统执行办公室（EOP，负责托管白宫网络）的自治系统 AS2650 中，捕获了 236 次住宅代理出口活动。这些流量全部集中在 165.119.253.0/24 网段内的 6 个 IP 地址，横跨 26 天，且能通过 28 家不同的公共住宅代理服务商买到。
这并不意味着白宫核心内网已被 28 路黑客攻破，但它精准撕开了现代政企网络的一处防御盲区。当免费应用、浏览器插件或廉价智能硬件内置的商业代理 SDK（软件开发工具包）混入办公区，传统的边界防火墙往往会对其放行。对于政企安全负责人而言，这件事的真正价值在于厘清“公网 IP 被借壳”与“内网被横向穿透”之间的技术边界，并重新审视内部网络对自带设备（BYOD）及物联网终端的管控能力。
28家代理商共用出口，未必是深夜加班人员的手机
看到“28 家独立代理服务商可从白宫网络穿出”，很容易让人联想到白宫内部有数十台设备同时沦陷。但结合反欺诈情报机构 Spur 的技术文档来看，住宅代理行业普遍采用底层 SDK 采集加多层白标分销的商业模式。开发者将同一个代理 SDK 嵌入免费软件或硬件后，汇聚成的上游流量池会被批发给数十个下游代理品牌同时售卖。因此，28 家服务商背后很可能只是极少数、甚至单台受感染终端在充当流量中转站。
至于这台终端究竟是谁带进去的，安全界存在明显的归因分歧。Layer3 Intel 注意到，约一半的代理活动发生在美东时间下午 5 点至午夜之间，凌晨几乎归零，据此推测这不是公共访客 Wi-Fi，而是某位经常在白宫工作到深夜的工作人员，其随身或办公设备感染了代理 SDK。
但在大型政企网络架构下，仅凭公网 IP 的活跃时间窗口很难直接锁定“加班人员”。根据 Spur 对企业出口（Corporate egress）的归因分析，大型机构普遍采用 NAT（网络地址转换）和共享公网 IP 机制，内部成百上千台合法终端的流量会汇聚到同几个公网 IP 上穿出。在没有调取白宫内部 DHCP、无线控制器和防火墙日志的情况下，外人无法排除另外两种高发场景：一是经过逻辑隔离的承包商或访客子网；二是固定在会议室或休息区、下班前未断电的廉价物联网终端。安全机构 Synthient 在 2026 年 1 月 2 日的报告中就曾证实，市面上大量低价 Android 电视盒在供应链出厂阶段就已经被预装了商业代理 SDK。
从“借壳发请求”到“穿透白宫内网”隔着一道补丁墙
外部人员花几美元借用白宫 IP 发起网络请求，首先带来的是信誉与合规风险；但真正让安全团队紧张的，是买家能否顺着这条代理通道反向进入白宫内网。
这种担忧并非空穴来风。在 Synthient 披露的 Kimwolf 僵尸网络事件中，攻击者正是利用住宅代理 SDK 的设计缺陷，将代理买家的请求直接转发给设备自身及其所在的局域网（Local Network Access），通过暴露的 ADB（Android 调试桥）服务横向感染了超过 200 万台设备。如果白宫网段内的涉事设备运行着存在同样缺陷的代理 SDK，任何买到该节点的外部人员都能直接扫描其所在的内部子网。
借用公网 IP 只是擦破皮，局域网穿透才是要命的血栓。
不过，把 Kimwolf 案例直接等同于白宫内网已经门户大开，忽略了关键的时间线变量。根据 Synthient 的调查记录，卷入 Kimwolf 事件的核心代理服务商 IPIDEA 早在 2025 年 12 月 28 日就已发布补丁，限制了通过代理节点访问局域网的行为并封锁了敏感端口，另外 11 家受影响的代理提供商也同期收到了通报。因此，白宫网络此次面临的实际威胁水位，完全取决于下面两个条件：
- 风险.如果涉事终端运行的是未跟进修复的长尾劣质 SDK，或是出厂固件锁死的老旧智能硬件，且该终端所处的 165.119.253.0/24 子网未与核心办公网做严格的逻辑隔离，外部买家就能尝试内网横向探测。
- 建议.政企安全负责人（CISO）不能只依赖拦截已知恶意 IP 的传统威胁情报，必须通过对齐内部 NAT 转换表与防火墙长连接日志来揪出隐蔽的商业代理 SDK，并在边界网关主动阻断已知商业代理控制端域名。
连南极科考站也未能幸免，CISA与代理商面临合规考题
住宅代理的无孔不入远不止于华盛顿。Layer3 Intel 的监测数据显示，在被称为世界最偏远有人居住岛屿之一的南大西洋圣赫勒拿岛（Saint Helena），系统记录到了 413 个 IP 地址和超过 32,000 次代理穿出活动，流量分布在 Starlink（星链）与当地运营商网络之间；甚至在南极洲的麦克默多科考站（McMurdo Station），也出现了 3 次通过 Cloudflare WARP 地址穿出的代理活动。此外，福克兰群岛（388 个地址）、查戈斯群岛（43 个地址）和北极斯瓦尔巴群岛（1 个地址、3 次观察）均在名单之列。只要有人员携带装有免费应用或插件的设备连入网络，哪怕身处极地科考站，其带宽也会被自动挂载到全球代理交易市场上。
截至目前，美国总统执行办公室（EOP）、白宫以及美国网络安全和基础设施安全局（CISA）均未对此次 AS2650 网段的代理活动做出公开回应。Layer3 Intel 已备份了原始日志并表示愿向相关机构移交。
对白宫运维团队而言，眼下最紧迫的动作是调取 165.119.253.0/24 网段在 10 月至 11 月晚高峰期间的 NAT 映射日志，顺藤摸瓜拔掉那台跑流量的物理设备。而在行业层面，当总统府与偏远军事、科研区域的 IP 频繁混入几美元就能买到的公共代理池，商业数据采集与住宅代理服务商势必迎来更严厉的监管审视。接下来最值得紧盯的变量有两个：CISA 是否会针对预装及内嵌式商业代理 SDK 发布联邦级安全告警，以及主流住宅代理平台是否会迫于合规压力，在后台主动屏蔽所有政府与军事机构的 ASN（自治系统号）。