2026-08-09 05:18:01 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

文章总结： 谷歌启用双词代号系统替代传统APT编号，以解决内部合并导致的命名混乱。新命名由专属绰号与标示国家或动机的后缀组成，如RELIC代表俄罗斯。该系统兼容历史检索，顺应直观化趋势，能显著提升情报沟通效率。建议安全团队熟悉此映射规则，优化日常威胁研判与应急响应中的组织识别工作。 综合评分： 59 文章分类： 威胁情报,安全意识,网络安全

cover_image

黑客组织的“编号时代”终结！谷歌开启“双词代号”，背后藏着什么秘密？

原创

网络研究观网络研究观

网络研究观

2026年7月28日 10:05 福建

在小说阅读器读本章

去阅读

在网络安全的黑客世界里，长期存在着一个让人头疼的“终极难题”——黑客的名字太难记、太混乱了！

以往，当某个黑客组织发动了震惊世界的攻击时，安全专家在报告里写的往往是类似 “APT1”、“APT44” 这样枯燥的编号，或者是“某某某网络威胁集群”。这不仅对普通大众来说如同天书，就连各路网络安全分析师也经常被绕得头晕眼花。

不过，从今年 7 月 24 日开始，谷歌决定打破这种沉闷的规则！谷歌安全团队宣布：正式启用全新的“双词代号”（Two-word Cryptonym）命名系统。

以后，黑客组织不再是一串冰冷的数字，而是拥有了像电影里特工一样的专属英文代号。这项重磅改革究竟是怎么回事？为什么要改？对网络世界又有何影响？本文带你一探究竟！

一、起因：强强联合后的“名字危机”

#

要理解谷歌为什么要重新给黑客取名字，得先聊聊谷歌安全部门的一段“合并史”。

在过去，谷歌旗下有两支大名鼎鼎的“缉魔队”：

1. TAG（威胁分析小组）：专门盯防各种针对谷歌服务和用户的顶级网络攻击。

2. Mandiant（曼迪安特）： 网络安全界的“侦探老大哥”，以擅长调查各类重大入侵事件著称（后来被谷歌收购）。

这两家顶尖团队合并成了现在的谷歌威胁情报小组（Google Threat Intelligence Group，简称 GTIG）。

团队虽然合二为一，但麻烦也随之而来。以前两家各自为政，给黑客取名字的习惯完全不同：TAG 习惯用一套名字，Mandiant 习惯用 APT 加数字编号。合并后大家一合对账本，发现同一个黑客组织在内部竟然有两个甚至多个不同的名字！

这就像两个侦探抓同一个小偷，一个叫他“三脚猫”，另一个叫他“7号嫌疑人”，汇报工作时极易搞混。为了解决这种内部内耗，谷歌决定干脆“推翻重来”，建立一套全新的统一命名法则。

二、破局：“双词代号”到底怎么玩？

#

谷歌推出的全新命名法，核心逻辑非常简单且直观：每一个黑客组织，都由“两个英文单词”组成。

第一个词：独一无二的“名字”

这是该组织的“个性化绰号”。为了保持延续性，如果该组织以前在安全界已经有一个广为人知的名字（比如著名的“Sandworm”/沙虫），谷歌就会尽量保留它。如果是全新发现的未知组织，谷歌系统会随机生成一个词，再由安全专家人工复核，确保这个词听起来不带偏见或歧义。
第二个词：自带身份属性的“姓氏/后缀”

这是整个新系统最精妙的地方！ 名字的第二个词直接代表了该黑客组织的国家背景、动机或活动类型。安全分析师只要一眼看到第二个词，不用翻查几百页的对照表，就能秒懂这个组织的“底细”。

根据谷歌官方公布的映射规则，后缀对应如下：

举个例子：

过去大名鼎鼎的俄罗斯国家级黑客组织 APT44（也被外界称为 Sandworm），在谷歌的新体系下，直接被改名为了 SANDWORM RELIC。

看到这个名字，任何人都能立刻接收到两条关键信息：

它的代号是 Sandworm（沙虫）。
后缀是 RELIC，说明它是一个来自于俄罗斯的国家级黑客团队。

三、为什么要改？“给黑客取名”其实是一门大学问

#

很多人可能会好奇：“不就是个名字吗？叫 APT1 和叫某某城堡，有什么本质区别？”

在网络安全领域，“威胁追溯与情报共享” 是一项极其依赖沟通效率的工作。

1. 记忆成本：人类的大脑更喜欢“故事”，而不是“数字”

#

心理学研究表明，人类大脑对带有具象画面感的词汇（如“城堡”、“彗星”）的记忆效率，远高于毫无规律的数字序列（如 APT31、APT41、UNC2452）。在紧急应对网络入侵、争分夺秒的“战时状态”下，一个直观易记的名字能帮安全员节省大量的沟通与确认时间。

2. 行业潮流：从“动物园”到“自然现象”

#

其实，用具象词汇给黑客命名并非谷歌的首创，整个安全界早已在这条路上“花式整活”：

CrowdStrike（鹰眼派）： 喜欢用动物命名。比如把关联俄罗斯的叫“xx BEAR”（熊），朝鲜的叫“xx CHIMAERA”（奇美拉），网络犯罪分子叫“xx SPIDER”（蜘蛛）。
微软（天气派）： 喜欢用自然现象与天气命名。比如关联俄罗斯的叫“Blizzard”（暴风雪），伊朗的叫“Sandstorm”（沙尘暴）。

谷歌这次加入“形象化命名”的大军，推出了 城堡（CASTLE）、离子（ION）、海王星（NEPTUNE）、遗迹（RELIC）、彗星（COMET） 的体系，实际上是向全行业的“直观化”趋势靠拢，让自家报告读起来更轻松。

四、新旧交替：以前的名字会失效吗？

#

面对如此庞大的改名工程，不少网络安全从业者可能会担心：“我们公司内部写好的防范规则、过去的调查报告，难道全都要跟着重写吗？”

谷歌显然考虑到了这一点，采用了平滑过渡的策略：

1. 分批进行，不搞“一刀切”： 谷歌首先只对几十个最活跃、最出名的黑客组织进行第一批改名。对于大量还在调查初期、底细未明的黑客团伙，依然会保留 UNC（Uncategorized，未分类）的前缀标号。

2. 新旧兼容，历史无忧： 在 Google Threat Intelligence（谷歌威胁情报平台）中，历史上的旧编号（如 APT1）、其他安全公司给出的别名，以及国际标准的 MITRE ATT&CK 数据库映射，全都将被继续保留并支持搜索。这意味着你在系统里搜“APT44”，同样能精准找到“SANDWORM RELIC”。

五、网络战场的“名册革新”

#

黑客世界的安全攻防，本质上是一场信息与时间的赛跑。

谷歌这次重新定义黑客组织的命名规则，表面上看只是换了几个响亮英文单词，但背后反映出的是网络安全行业对“情报高效化、通俗化、标准化”的深刻追求。

将晦涩难懂的数字代码，变成一目了然的“双词代号”，不仅能让专业的安全人员在面对网络威胁时做出更快速的反应，也让普通大众在阅读网络安全新闻时，能够更加轻松地看懂这片隐秘战场上的“风云变幻”。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：网络研究观网络研究观网络研究观《黑客组织的“编号时代”终结！谷歌开启“双词代号”，背后藏着什么秘密？》