一、案例背景
1.1 企业简介：谷歌广告平台的双重角色
谷歌（Google）是全球最大的数字广告平台运营商。截至2026年，谷歌广告（Google Ads）承载着全球数百万广告主的投放需求，其自动化审核系统每天处理数以亿计的广告创意、着陆页和目标链接。与此同时，谷歌搜索控制台（Google Search Console）和安全浏览（Google Safe Browsing）构成了谷歌面向网站运营者的安全基础设施，负责检测恶意软件、钓鱼攻击和受感染网站。
谷歌广告平台的核心价值主张在于：为广告主提供高效、安全的投放环境。为实现这一承诺，平台构建了多层次的自动化安全审核体系——包括文件签名分析、静态字符串扫描、动态进程行为检测以及着陆页安全评估。这一体系在大规模运营中不可或缺，但其黑盒特性也埋下了误判的隐患。
1.2 事件主角：RACE——一款非典型的macOS终端工具
RACE（Rust-based Advanced Canvas Environment）是由开发者Przemyslaw Alexander Kaminski创建的一款开源原生macOS终端多路复用器，使用Rust语言编写。与tmux等传统基于网格的终端多路复用器不同，RACE采用“无限画布”架构：shell窗口可以任意放置、调整大小和分组，用户可以在一个无边界的二维空间中组织终端会话。
从技术架构看，RACE的核心创新在于将命令执行与窗口布局的生命周期分离。即使在桌面应用程序重启或UI崩溃后，子交互式shell仍可持续运行。在macOS系统下，这一功能通过内部PTY（伪终端）主机守护进程或外部dtach后端来管理伪终端对和后台工作进程。这种设计在系统编程领域属于合法且成熟的技术实践，但在自动化安全扫描器看来，其行为特征——可执行文件不断分出能够接收任意命令行输入的孤立后台进程——与持久型后门和远程访问木马（RAT）的行为模式高度一致。
……