文章总结： 文章揭露NSA与GCHQ构建的全球监控体系，涵盖海底光缆Upstream/Tempora监听、PRISM/MUSCULAR数据获取、TAO终端入侵及XKeyscore检索，强调从管道窃听转向端点控制与密码学后门策略，揭示供应链安全与隐私风险，建议加强加密标准透明度与终端防护。 综合评分： 85 文章分类： 威胁情报,网络安全,数据安全,安全建设,漏洞分析

从海底光缆到手机间谍：NSA、GCHQ 如何构建全球大规模监控体系？

原创

威胁猎人 威胁猎人

OSINT情报分析师

2026年8月25日 11:45 北京

在小说阅读器读本章

去阅读

从海底光缆监听、PRISM、MUSCULAR和XKeyscore，再到Dual_EC_DRBG密码学争议、CNE网络利用与TAO终端入侵，西方现代情报机构所构建的并非单一的“监听设备”，而是一套覆盖通信链路、互联网基础设施，并延伸至个人电脑与智能手机，最终由后端分析人员将海量原始数据加工为情报的完整体系。

理解这套体系的核心，并非仅在于明确“情报机构是否具备监听能力”，而在于厘清数据在哪个环节被截获、在哪个节点被解密、在哪个位置被存储，以及原始数据最终如何转化为针对具体目标的情报。

大规模监控的基础设施

在数字空间中，绝大多数跨洋通信都依托实体化的“管道”——海底光缆实现。当用户按下回车键发送邮件、加载网页或发起网络连接时，数据会依次经过路由器、互联网交换节点与长距离骨干网络，最终通过铺设于海底的光缆完成数千乃至上万公里的跨洋传输。

恰恰是在这些网络基础设施周边，大规模通信截获能力具备了极高的战略价值。 根据斯诺登事件时期公开的文件与媒体调查结果，NSA与GCHQ均已建成针对骨干通信基础设施的大规模数据收集能力，其中美国相关行动一般以Upstream（上游收集）等项目体系的形式开展，英国GCHQ则以Tempora等项目为外界所知。西方情报机构这些行为表明了，西方情报机构控制或接入关键通信基础设施，即可获取范围极广的网络流量与通信元数据来源。

Upstream（上游收集）是美国国家安全局（NSA）特别源头行动处（SSO）在大型电信企业协助下实施的核心大规模监控体系，与面向谷歌、苹果等互联网企业的PRISM（下行/下游收集）形成技术与法理层面的直接互补。该体系的核心机制是直接从互联网主干网网关、核心路由器以及海底光缆等物理基础设施中截留、复制传输中的原始流量。Upstream项目由FAIRVIEW、STORMBREW、BLARNEY、OAKSTAR等子项目组成，具体方式包括在海底光缆登陆站部署秘密探测硬件（Intercept Probes）复制光纤信号，或是利用改装的特种核潜艇（如“吉米·卡特”号 USS Jimmy Carter）在深海战略节点对海底光缆实施物理弯曲分光窃听。

Tempora项目是英国政府通信总部（GCHQ）主导、美国国家安全局（NSA）协助的项针对跨国海底主干光缆实施物理截留的无差别大规模监控计划。该项目通过秘密“拦截伙伴”协议（涵盖英国电信REMEDY、沃达丰GERONTIC、威瑞森商业DACRON等电信巨头），在英国本土（如康沃尔郡布德站）及海外军事基地对超过200条、日均理论吞吐量达21PB的跨大西洋及中转光纤实施分光拦截。其核心特征是利用“网络缓冲区”机制实现“先收集、后回溯”：将截获的原始通信内容（如电子邮件、社交帖子等）缓存3天，通信元数据保留30天；在此期间通过POKERFACE系统剔除P2P下载等高容量低价值流量，再由分析人员通过XKeyscore检索界面，依托预先配置的数万个特征选择器（GCHQ约4万个、NSA约3.1万个）开展深度穿透式内容抽取。

GCHQ的“Optic Nerve（视觉神经）”项目则展现了内容截获能够达到的极端规模。根据2014年英国媒体依据斯诺登披露文件发布的报道，该项目曾针对雅虎用户的网络摄像头通信开展大规模收集，在一段时期内获取了数百万用户的图像数据，其中包含相当比例的无关内容乃至高度私密信息。该案例最令人震惊之处，不止在于情报机构所具备的技术能力，更在于它表明：当通信基础设施可被大规模接入后，原本完全未意识到自身属于情报目标范围的普通用户，也可能被纳入自动化收集系统。

上述这些监控基础设施收集的数据，还不能称之为情报。真正让这些收集到的数据产生价值的，是后续的搜索、筛选与分析环节。

降维博弈：当“向管家要钥匙”遇上“地道战”

利用数据收集基础设施进行大规模数据收集只是整个情报数据收集活动的手段之一。当数据流经大型互联网公司和云服务商的基础设施时，西方情报机构还可通过法律机制或技术手段获取相关数据。

PRISM是该模式下具有代表性的项目之一，它与美国《外国情报监控修正法案》第702条框架联系紧密。公开文件显示，美国情报机构可依据相关法律机制，要求特定互联网服务提供商配合获取符合条件的外国情报目标信息。微软、谷歌、Facebook等公司均曾出现在公开披露材料中。

与之形成鲜明对比的是MUSCULAR项目。MUSCULAR是英国政府通信总部（GCHQ）与美国国家安全局（NSA）在WINDSTOP 联合共享框架下共同运营的间谍项目，代号DS-200B，是一项专门针对谷歌（Google）和雅虎（Yahoo!）全球数据中心之间的私有租用光纤链路实施物理拦截的秘密大规模监控计划。该项目部署在英国境内，高度依赖大型电信运营商Level 3在物理层面提供秘密光纤端口接入协助。其核心技术逻辑是利用当时（2009—2013年）两大科技巨头仅在前端服务器（Google Front End）部署外部SSL加密，

而其私有云内部数据中心之间的数据传输完全未加密（处于明文状态）的安全漏洞，直接在内部传输网络上进行物理接入与流量复制。这使得两国情报机构得以完全绕过FISA等法庭搜查令的司法限制，每日向NSA的核心数据库PINWALE输送多达60GB的内容数据，仅在2012年12月至2013年1月的30天周期内，就无差别收集了1.81亿条包含电子邮件、文档及多媒体内容的用户隐私记录。

该行径被曝光后直接引发了科技行业巨头的愤怒反击，迫使谷歌、雅虎和微软等企业对其全球数据中心之间的内部链路实施全量强制加密，客观上彻底终结了情报机构在主干网内获取未加密明文数据的历史。

这与PRISM的逻辑存在显著区别：该项目并非向互联网公司提出正式数据请求，而是通过对跨境内部通信链路的技术截获获取数据。其战略意义在于：当数据在公司内部的数据中心之间传输时，即使用户与服务商之间采用了加密，攻击者如果能够取得服务商内部网络链路的访问权，仍然可能从其他位置接触到数据。

因此，PRISM与MUSCULAR并非简单的“合法前门”与“非法后门”这样绝对的二元对立，而是代表了两种不同的数据获取路径：前者更多依赖法律框架与服务商协作，后者则依赖秘密的网络基础设施截获。

与其破解锁住的数据，不如进入拥有钥匙的设备

然而，现代互联网的发展又带来了一个根本问题：截获数据，不等于能够读取数据。HTTPS、VPN以及端到端加密日益普及后，大量通信即便能够在骨干网络上被复制，也仅能获得加密数据包。对于西方情报机构而言，单纯从传输链路获取数据的边际价值开始受到限制。这就引出了西方现代情报体系中非常重要的一条技术路线：CNE——Computer Network Exploitation，即计算机网络利用。

CNE与传统网络监听的区别，可以理解为“在管道旁监听”与“直接进入管道两端设备”的区别。被动监听关注的是通信流量本身，而CNE关注的对象则是电脑、服务器、路由器、手机乃至整个内部网络。当端到端加密使中间链路越来越难以直接获取明文时，最有效的方法之一，并非一定要破解加密算法，而是直接进入通信发生的终端。例如，一条聊天消息在发送之前仍为明文，收到消息后在手机上也必须恢复为可读内容；因此，如果攻击者已经控制了目标手机，理论上就可以在加密完成前或解密完成后获取信息。

这就是西方现代网络间谍活动中一个非常重要的逻辑转变：与其破解锁住的数据，不如进入拥有钥匙的设备。

在这一体系中，NSA的Tailored Access Operations，也该部门即TAO，公开资料普遍将其描述为美国情报体系开展定制化技术访问、构建计算机网络利用能力的核心部门体系。与“大规模数据抓取”不同，TAO所代表的技术思路更偏向针对特定目标开展定制化访问，目标可涵盖单台计算机、单部手机、单台网络设备、单台服务器，甚至整个企业内部网络。

此处的“精准”并非指每一次行动都具备极高复杂度，也不意味着需要为每一个目标单独开发完全不同的工具，而是指情报机构无需仅依赖从海量网络流量中筛选目标，可主动将渗透能力延伸至目标系统内部。这也就解释了为何互联网加密程度提升后，终端访问能力的重要性反而出现上升。

对于已被攻陷的计算机，邮件在发送前即可被读取，浏览器内的内容可被获取，本地文件可被复制，存储的账户凭证也可成为后续进一步访问的入口。对于已被植入恶意程序的手机，攻击者无需破解聊天软件本身，即可直接在操作系统或应用层获取用户输入信息、联系人数据、文件信息、位置信息，甚至麦克风与摄像头采集的数据。

因此，西方现代情报体系并非“海底光缆监听失效后完全转向TAO模式”，而是更接近形成了“大规模收集 + 精准网络利用”的双层结构。大规模收集环节负责获取广泛信号，支撑情报分析人员梳理目标之间的通信关系、基础设施布局与行为模式；CNE与TAO则支持针对高价值目标开展更深层次的访问。

在未来，超级大国的成败将取决于其密码分析项目的强弱

NSA已具备无孔不入的主动入侵（CNE）能力与工业级木马武器库，为何仍每年投入数亿美元，持续深耕数学与密码学研究领域？在主动入侵（CNE）能力高度发达的当下，NSA仍坚持深耕密码学研究，是因为“战术级端点渗透”根本无法满足“战略级无源批量监听”的规模化需求：主动入侵高度依赖成本高昂且极易暴露失效的零日漏洞，仅适用于手术刀式的定向打击；唯有依托深厚的密码学底蕴操纵国际标准、预埋数学暗桩（例如BULLRUN计划下的Dual_EC_DRBG后门），才能让西方情报机构以极低成本，在主干网物理截获的数据中实现大范围、无感知的批量实时解密。

此外，前沿密码学研究更是支撑情报机构实施“先收集、后解密”长期追溯破译战术，以及履行保障美国自身军政系统通信安全这一信息保障防守使命的终极底层物理安全防线。这也是Dual_EC_DRBG争议长期受到学界与公众关注的原因。

Dual_EC_DRBG是一种基于椭圆曲线的伪随机数生成器标准。密码系统依赖随机数生成密钥与内部状态，因此随机数生成器一旦存在可被利用的结构性缺陷，就会对上层密码系统的安全性造成影响。

该争议的核心在于椭圆曲线上固定点P与Q之间的特殊关系。若存在秘密标量e使得Q=eP，持有该秘密值的主体在特定条件下即可利用输出信息预测密码系统的内部状态。通俗来讲，这就好比密码锁表面采用随机生成机制，但设计者在结构中预留了一条只有自身知晓的数学捷径。

2013年，斯诺登文件进一步引发了公众关于NSA是否推动相关标准制定、是否掌握秘密参数的讨论。2014年，NIST正式建议用户停止使用Dual_EC_DRBG。这使它成为现代密码学史上最典型的“标准制定与情报机构之间可能存在利益冲突”的案例之一。

它所揭示的真正问题不是“所有加密算法都存在后门”，而是：密码系统的安全不能仅仅依赖用用户不能仅以“相信”标准是安全的，而必须依赖公开的算法、透明的参数选择和可重复验证的数学安全性。

ANT目录：现实版“特工007”的武器库

NSA的CNE（计算机网络利用）是其通过主动入侵和控制外部计算机与电信网络，搜集外国情报的技术行动总称；而ANT目录（也称TAO目录）则是NSA下属特定入侵行动办公室（TAO）执行具体CNE任务时，所依托的记录各类特种黑客装备、硬件插桩和固件级后门的秘密武器“订购指南”。

二者的关系体现为“武器库研发”与“实战行动”的紧密配合：当骨干网无源监听因加密失效后，TAO特工将会同CIA和FBI在物流运输环节秘密拦截并扣留运往敏感目标的服务器、路由器等供应链设备，从ANT目录中“订购”并部署特种设备——其中包括可对物理隔离主机执行键盘记录的标准USB线接头插桩TURNIPSCHOOL、可执行高权限直接内存访问（DMA）并强行加载内核后门的PCIe卡SLOTSCREAMER，以及可感染硬盘固件、导致重装系统也无法清除的持久化后门IRATEMONK。

通过该方式，ANT目录中的尖端硬件与固件武器，为NSA的CNE行动直接提供了可完全绕过传统上层安全防护、具备终极隐蔽性与驻留能力的底层渗透支撑。

其中较为知名的是RAGEMASTER。公开资料显示，该工具可隐藏在特定显示设备的连接结构中，通过特制技术实现目标视频信号的远程感知。COTTONMOUTH系列则与伪装为普通USB接口的硬件植入技术相关，可协助建立无线通信链路。 这些设备最值得关注的特点并非影视化描述中的“万能黑客工具”，而是其揭示了一个现实问题：网络攻击未必起始于互联网，也可能起始于供应链环节。

若攻击者能够在设备交付目标之前介入硬件供应链，那么所谓“安全的网络边界”从一开始就可能不复存在。即便计算机安装了完整的杀毒软件与防火墙，也难以防范预先植入硬件供应链的恶意组件。

针对苹果手机的DROPOUTJEEP是另一知名案例。公开的NSA资料将其定义为针对iPhone的植入工具，可完成文件、短信、联系人等数据的采集，同时具备操控麦克风及其他设备功能的能力。

三个蓝精灵：你口袋里的“终极叛徒”

智能手机成为现代生活的核心计算设备后，其自身自然也成为情报活动的重点目标。 根据斯诺登事件时期公开的英国GCHQ资料，英国政府通信总部（GCHQ）开发的“蓝精灵”（The Three Smurfs）系列手机监控能力，是其“战士骄傲”（WARRIOR PRIDE）特种端点渗透框架的核心组件。该监控套件由多个功能独立的协同组件构成：其中，“梦幻精灵”（Dreamy Smurf）专门负责静默电源管理，即便目标手机表面已完全关机，也可强制进入虚假关机状态并秘密保持低功耗运行；“大鼻子精灵”（Nosey Smurf）属于“热麦克风”（Hot Mic）窃听程序，可远程静默激活手机话筒，实时秘密监听并回传周边环境的谈话内容；“追踪精灵”（Tracker Smurf）是高精度地理定位追踪工具，即便目标用户彻底关闭了操作系统的GPS服务，仍可强行计算并向外传输精度极高的地理坐标；而“防线/隐形精灵”（Paranoid Smurf）负责在系统底层进行高强深度隐藏，确保上述恶意木马行为不会被手机内置的任何安全检测机制察觉。

这些“精灵”能力形成了完整的能力闭环，共同赋予情报机构在终端解密前和加密后实施“随时随地、全量收割”的终极手机控制权限。

其中，“Dreamy Smurf”被定义为与设备电源状态相关的能力；“Nosey Smurf”涉及麦克风控制；“Tracker Smurf”则对应位置追踪功能。

这些项目最值得关注的价值，在于它们揭示了一个核心事实：现代手机已经不只是通信工具，而是一套可随身携带的传感平台。手机搭载了麦克风、摄像头、GPS、Wi-Fi、蓝牙、陀螺仪、加速度计以及大量可调用传感器数据的应用程序权限。一旦操作系统级权限被突破，攻击者获取的将不局限于“通信内容”，而是一台可随身携带的完整环境感知设备。如果攻击发生在用户无法感知的操作层面，手机就可能从通信工具异化为情报收集传感器。

XKeyscore：情报界的搜索引擎

在西方情报体系的庞大架构中，PRISM（棱镜/下行收集）依托法律指令直接从美国科技巨头的服务器后端获取已解密的静态数据，与在海底光缆、骨干网交换机上实施无差别物理流量截获的Upstream（上游收集）形成流量采集互补；当管道层面的强加密导致上述被动截获手段失效时，由TAO（特定入侵行动办公室）主导的CNE（计算机网络利用）行动便承担攻坚职能，通过供应链植入、固件驻留及零点击漏洞，在端点解密前或加密后实施直接控制；而XKeyscore 项目则是五眼联盟整个情报工作流程中的“中央大脑与统一检索平台”。它的核心定位与终极价值体现为“数据整合与瞬时检索”：该系统直接接入并缓存了Upstream等渠道截获的、流经全球的海量原始网络流量，打破了被动监听（Upstream/PRISM）与主动入侵（CNE）之间的数据壁垒，允许情报分析师无需事先获取司法授权，即可通过邮箱、IP甚至弱特征（如检索使用VPN的用户）对全球网民的网页浏览记录、社交私信及通信元数据开展秒级、回溯性的穿透检索。它处于整个情报生命周期的核心中枢，是将无序的“干草堆数据”低成本转化为高价值“决策优势”的关键技术枢纽。

XKeyscore常被媒体称为“间谍界的Google”。这一比喻并非指它真的可以像普通搜索引擎一样随意检索整个互联网，而是突出其核心能力：帮助分析人员从已收集的海量数据中完成快速检索。根据美国国家安全局（NSA）公开的培训资料，XKeyscore可基于邮箱地址、IP地址、电话号码、关键词以及其他筛选条件，从不同类型的网络数据中定位相关记录。培训资料甚至使用了“用户在互联网上几乎所有活动”的表述来强调其覆盖范围。 但理解XKeyscore的关键，不应是将其想象为“按下一个按钮就能查看全世界所有人的隐私”，而应将其界定为连接前端采集系统与后端分析人员的检索基础设施。

分析人员面对的并非自动生成完成的“目标画像”，而是规模庞大的原始数据集合，需要自行选定目标、时间范围、通信关系、技术标识，再从相关数据中挖掘规律。 换句话说，真正完成“情报生产”的并不是软件本身，而是由软件、数据与分析人员共同构成的系统。

从“获取数据”到“生产情报”

这是理解整个监控体系最为核心的层面。 无论是海底光缆、Upstream、Tempora、PRISM、MUSCULAR，还是CNE、TAO和手机植入，最终获取的都只是不同形式的原始数据。 一封邮件本身并非情报，一条IP地址记录也不是情报，一次手机定位更不能称之为情报。 情报是对这些数据进行筛选、关联、验证和解释之后形成的判断。

例如，一组IP地址可能对应某个机构的基础设施；多个账号之间反复出现的通信往来可以勾勒出一个组织网络；某台设备长期出现在特定区域，可能暴露目标的活动模式；不同时间的登录记录能够辅助判断账号的实际控制人。 因此，在现代情报体系中，后端分析人员的作用并未因自动化搜索系统的普及而消失。恰恰相反，数据体量越大，真正稀缺的越是能够从海量噪声中识别可靠规律的分析人员。

可以将整个监控体系梳理为如下链条： 海底光缆和骨干网络负责“捕获流量”；服务商接口负责“获取特定数据”；CNE负责“侵入目标网络”；TAO负责“获得定制化访问权限”；植入工具负责“持续获取终端数据”；XKeyscore等系统负责“检索与关联”；分析人员则负责“将碎片化信息加工为情报”。

从这个角度来看，所谓“全球大规模监控体系”并非一台藏匿于地下基地的万能机器，而是一条横跨基础设施、网络协议、云服务、操作系统、硬件供应链以及人工分析环节的完整产业链。

真正的问题不只是“能不能监听”

这也正是当下讨论数字隐私时，单纯探讨“海底光缆是否被监听”已经不足够的原因。 在互联网发展早期，讨论的核心问题是“通信是否经过第三方网络”；在加密技术日益普及的今天，更具现实意义的问题已经转变为：数据在哪里生成，在哪里解密，在哪里存储，谁拥有访问权限，以及终端设备本身是否安全。

加密技术可以显著提升中间链路窃听的难度，却无法保护已经被攻陷的手机；端到端加密可以降低服务商直接读取消息内容的可能性，却无法阻止攻击者在用户发送消息前读取屏幕内容；服务器之间采用加密通信，也不能自动解决内部系统被攻破的问题。 因此，现代情报活动越来越呈现出“纵深监控”的特征。

第一层是大规模通信收集，用于观测网络中的广泛信号；

第二层是元数据与关系分析，用于锁定目标、构建通信图谱；

第三层是CNE等网络利用技术，用于进一步侵入目标系统；

第四层是TAO式的定制化访问，通过软件、硬件以及供应链手段获得持续控制能力；

第五层则是后端分析人员，将来自不同渠道的数据整合为可用于判断与决策的情报。

这意味着，最值得警惕的未必是某一件“万能间谍工具”，而是上述能力组合后形成的完整监控闭环。 当一个人的通信记录、账户、设备、位置、联系人、浏览行为、文件和终端传感器数据可以被不同系统收集，并最终被同一分析体系关联整合时，隐私面临的就不再是单次的独立监听，而是持续性的数据建模能力。

“如果你没做坏事，就没有什么可担心的”这一说法存在根本性缺陷，原因在于隐私的价值并不依附于个人是否存在违法行为。一个人的通信关系、阅读习惯、活动轨迹、社交网络乃至偶然产生的个人想法，都可能在未来成为被重新解读的材料。

一旦这类信息进入高度集中的情报系统，普通公众既无法知晓信息的保存期限、访问权限与分析规则，更无法纠正错误信息被误判为真实事实的风险。

因此，数字时代真正需要保护的，不只是“消息内容”本身，而是个人在整个信息生命周期中的信息控制权。 从海底光缆到手机植入，从大规模收集到精准网络入侵（CNE），从美国国家安全局定制接入行动小组（TAO）到XKeyscore计划，再到后端分析人员进行情报加工，这一完整技术链条揭示了一个愈发清晰的现实：监控能力的核心并非单纯获取更多数据，而是能够在数据生成、传输、存储、解密和分析的每一个环节找到接入点，进而将原本分散的数字痕迹重新拼接，还原出目标个体的完整信息。

正因如此，真正的隐私保护不能仅依赖单一密码算法或某款安全产品，必须同时依托更强的加密技术、更安全的终端设备、更透明的软件供应链、更严格的访问控制，以及针对情报机构权力边界的法律与制度约束。

隐私并非因“未做坏事”才值得保护。恰恰相反，正是因为任何个体都不应被迫生活在无形的公开监控环境中，隐私才成为现代数字社会必须持续坚守的基本边界。

网络安全#互联网隐私#NSA#GCHQ#全球监控#海底光缆#PRISM#MUSCULAR#XKeyscore#CNE#TAO#斯诺登#数字隐私

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：OSINT情报分析师 威胁猎人 威胁猎人《从海底光缆到手机间谍：NSA、GCHQ 如何构建全球大规模监控体系？》