这篇 arXiv 论文把 Ken Thompson 经典的「信任一切」（trusting-trust）攻击推广到全新领域，证明它根本不只针对编译器。作者用 GNU strip——一个既不检查也不生成源码的普通构建工具——仅靠改写成品 ELF 文件，就在 NixOS 发行版的引导流程里种下 payload，让后门随 strip 的自我重建一代代传播，并在种子退出依赖闭包后仍存活进最终的标准环境。
核心要点
编译器不是唯一载体：普通构建工具 strip 也能完成完整的信任链攻击
只操纵成品 ELF、不碰源码，突破了此前「攻击专属编译器」的认知
在 NixOS 引导时替换单个 strip 二进制种子，后门沿重建链逐代自我复制
在真实 nixpkgs 版本上成功构建出完整图形安装程序，并给几乎每个二进制开后门
金句
We construct a complete trusting-trust attack around GNU strip, an ordinary build utility that neither inspects nor generates source code, using only manipulations of finished ELF files.