在网络安全的黑客世界里，长期存在着一个让人头疼的“终极难题”——黑客的名字太难记、太混乱了！
以往，当某个黑客组织发动了震惊世界的攻击时，安全专家在报告里写的往往是类似“APT1”、“APT44”这样枯燥的编号，或者是“某某某网络威胁集群”。这不仅对普通大众来说如同天书，就连各路网络安全分析师也经常被绕得头晕眼花。
不过，从今年 7 月 24 日开始，谷歌决定打破这种沉闷的规则！谷歌安全团队宣布：正式启用全新的“双词代号”（Two-word Cryptonym）命名系统。
以后，黑客组织不再是一串冰冷的数字，而是拥有了像电影里特工一样的专属英文代号。这项重磅改革究竟是怎么回事？为什么要改？对网络世界又有何影响？本文带你一探究竟！
一、起因：强强联合后的“名字危机”
要理解谷歌为什么要重新给黑客取名字，得先聊聊谷歌安全部门的一段“合并史”。
在过去，谷歌旗下有两支大名鼎鼎的“缉魔队”：
1. TAG（威胁分析小组）：专门盯防各种针对谷歌服务和用户的顶级网络攻击。
2. Mandiant（曼迪安特）：网络安全界的“侦探老大哥”，以擅长调查各类重大入侵事件著称（后来被谷歌收购）。
这两家顶尖团队合并成了现在的谷歌威胁情报小组（Google Threat Intelligence Group，简称 GTIG）。
团队虽然合二为一，但麻烦也随之而来。以前两家各自为政，给黑客取名字的习惯完全不同：TAG 习惯用一套名字，Mandiant 习惯用 APT 加数字编号。合并后大家一合对账本，发现同一个黑客组织在内部竟然有两个甚至多个不同的名字！
这就像两个侦探抓同一个小偷，一个叫他“三脚猫”，另一个叫他“7号嫌疑人”，汇报工作时极易搞混。为了解决这种内部内耗，谷歌决定干脆“推翻重来”，建立一套全新的统一命名法则。
二、破局：“双词代号”到底怎么玩？
谷歌推出的全新命名法，核心逻辑非常简单且直观：每一个黑客组织，都由“两个英文单词”组成。
第一个词：独一无二的“名字”
这是该组织的“个性化绰号”。为了保持延续性，如果该组织以前在安全界已经有一个广为人知的名字（比如著名的“Sandworm”/沙虫），谷歌就会尽量保留它。如果是全新发现的未知组织，谷歌系统会随机生成一个词，再由安全专家人工复核，确保这个词听起来不带偏见或歧义。
第二个词：自带身份属性的“姓氏/后缀”
这是整个新系统最精妙的地方！名字的第二个词直接代表了该黑客组织的国家背景、动机或活动类型。安全分析师只要一眼看到第二个词，不用翻查几百页的对照表，就能秒懂这个组织的“底细”。
根据谷歌官方公布的映射规则，后缀对应如下：
| 关联背景 / 攻击动机 | 统一后缀（第二个词） | 含义与联想 |
| 俄罗斯关联组织 | RELIC（遗迹） | 象征古老、深沉的网络威胁历史 |
| 伊朗关联组织 | ION（离子） | 象征活跃、具有放射性的威胁 |
| 朝鲜关联组织 | NEPTUNE（海王星） | 象征神秘、远在天边的深海威胁 |
| 经济犯罪/勒索软件 | COMET（彗星） | 无论来自哪国，只为图财的黑客都是“彗星” |
举个例子：
过去大名鼎鼎的俄罗斯国家级黑客组织APT44（也被外界称为 Sandworm），在谷歌的新体系下，直接被改名为了SANDWORM RELIC。
看到这个名字，任何人都能立刻接收到两条关键信息：
1. 它的代号是Sandworm（沙虫）。
2. 后缀是RELIC，说明它是一个来自于俄罗斯的国家级黑客团队。
三、为什么要改？“给黑客取名”其实是一门大学问
很多人可能会好奇：“不就是个名字吗？叫 APT1 和叫某某城堡，有什么本质区别？”
在网络安全领域，“威胁追溯与情报共享”是一项极其依赖沟通效率的工作。
1. 记忆成本：人类的大脑更喜欢“故事”，而不是“数字”
心理学研究表明，人类大脑对带有具象画面感的词汇（如“城堡”、“彗星”）的记忆效率，远高于毫无规律的数字序列（如 APT31、APT41、UNC2452）。在紧急应对网络入侵、争分夺秒的“战时状态”下，一个直观易记的名字能帮安全员节省大量的沟通与确认时间。
2. 行业潮流：从“动物园”到“自然现象”
其实，用具象词汇给黑客命名并非谷歌的首创，整个安全界早已在这条路上“花式整活”：
CrowdStrike（鹰眼派）：喜欢用动物命名。比如把关联俄罗斯的叫“xx BEAR”（熊），朝鲜的叫“xx CHIMAERA”（奇美拉），网络犯罪分子叫“xx SPIDER”（蜘蛛）。
微软（天气派）：喜欢用自然现象与天气命名。比如关联俄罗斯的叫“Blizzard”（暴风雪），伊朗的叫“Sandstorm”（沙尘暴）。
谷歌这次加入“形象化命名”的大军，推出了城堡（CASTLE）、离子（ION）、海王星（NEPTUNE）、遗迹（RELIC）、彗星（COMET）的体系，实际上是向全行业的“直观化”趋势靠拢，让自家报告读起来更轻松。
四、新旧交替：以前的名字会失效吗？
面对如此庞大的改名工程，不少网络安全从业者可能会担心：“我们公司内部写好的防范规则、过去的调查报告，难道全都要跟着重写吗？”
谷歌显然考虑到了这一点，采用了平滑过渡的策略：
1. 分批进行，不搞“一刀切”：谷歌首先只对几十个最活跃、最出名的黑客组织进行第一批改名。对于大量还在调查初期、底细未明的黑客团伙，依然会保留UNC（Uncategorized，未分类）的前缀标号。
2. 新旧兼容，历史无忧：在 Google Threat Intelligence（谷歌威胁情报平台）中，历史上的旧编号（如 APT1）、其他安全公司给出的别名，以及国际标准的 MITRE ATT&CK 数据库映射，全都将被继续保留并支持搜索。这意味着你在系统里搜“APT44”，同样能精准找到“SANDWORM RELIC”。
五、网络战场的“名册革新”
黑客世界的安全攻防，本质上是一场信息与时间的赛跑。
谷歌这次重新定义黑客组织的命名规则，表面上看只是换了几个响亮英文单词，但背后反映出的是网络安全行业对“情报高效化、通俗化、标准化”的深刻追求。
将晦涩难懂的数字代码，变成一目了然的“双词代号”，不仅能让专业的安全人员在面对网络威胁时做出更快速的反应，也让普通大众在阅读网络安全新闻时，能够更加轻松地看懂这片隐秘战场上的“风云变幻”。
