安全分析人员近期发现,在美国针对尼可拉斯·马杜罗展开特别军事行动前夕,委内瑞拉国有电信运营商CANTV意外发生了BGP路由泄漏事件。
通过对事后数据的回溯分析,部分观察者推测,这一异常或许并非单纯的网络事故,而可能是美国情报机构为获取关键军事情报而实施的流量劫持行动。这一发现迅速在安全社区引发广泛关注,并吸引了Cloudflare安全研究团队的深入调查。

然而,经过对历史路由数据的仔细比对,Cloudflare的分析师Bryton Herdes提出了不同看法。他认为,CANTV的BGP泄漏更有可能是源于技术配置失误——就在当地时间2026年1月2日,美国对委内瑞拉发起军事行动之前,该国的这家国有运营商(AS8048)出现了显著的路由异常。
部分分析人员观察到,AS8048的流量被异常地重定向到了意大利的转接服务提供商Sparkle。这家运营商以不严格执行RPKI过滤且安全声誉不佳而闻名。有观点便将此次路由异常解读为,这是情报机构为实施中间人拦截与流量收集而进行的蓄意操作。值得注意的是,异常路径表现出了极端的“自我降级”特征:AS8048执行了多达十次的AS路径预置,这在BGP协议中会直接导致路由吸引力骤降。
Cloudflare团队指出,如果攻击者意图窃取流量,理应发布更短、更具吸引力的路由,而非刻意制造多次绕行。另一个关键证据在于事件复发的模式——自2025年12月以来,AS8048已发生多达11次类似的路由泄漏。这强烈表明,这是CANTV长期存在的出入口过滤策略缺陷所致,而非针对特定军事行动的孤立行为。
运营商层级关系同样削弱了间谍论的调门。受影响的IP前缀属于委内瑞拉本地服务商Dayco Telecom(AS21980),而CANTV作为其上游运营商,本已拥有合法的流量访问权限,实施复杂的BGP劫持之举显得多此一举。该事件再次暴露了BGP安全机制的内在脆弱性——尽管Sparkle因未执行RPKI过滤被标记为不安全,但即使部署了RPKI路由源验证(ROV)也无法阻止此类异常,因为ROV仅能验证路由发布者身份,而本次事件中路由源并未改变,仅是中间路径异常。
这一局限性凸显了IETF正在推进的新标准ASPA的重要性。ASPA允许网络正式声明其合法上游提供商,若广泛采用,可自动阻断AS8048流量不当转发至无关提供商的“发夹式”泄漏。Cloudflare警告称,虽然将委内瑞拉网络异常归因于电信级特殊行动更具戏剧性,但现实往往更为平淡:互联网基础设施最严重的弱点常源于基础运维失误。该事件提醒全球运营商,在混合战争时代,全面落实RFC 9234标准和“仅限客户”属性已不仅是技术实践,更关乎国家关键基础设施的保护。
