关键安全工具越来越依赖平台，为什么先失去更新自由的反而是它们？
上周，VeraCrypt 的开发者 Mounir Idrassi 在 SourceForge 上发了个帖子。
微软终止了我的开发者账号。没有预警，没有解释，没有人工客服。Windows 版 VeraCrypt 没法更新了。
然后事情迅速扩大。WireGuard 的创建者 Jason Donenfeld 在 Hacker News 上跟帖：我也一样，账号突然被暂停，正在走 60 天的申诉流程，不知道有没有用。紧接着，VPN 工具 Windscribe 也报告了同样的遭遇。
三个独立的安全/隐私项目，同一时间段，同一个结果。
不是一个项目倒霉。是一个模式。
微软说了什么？几乎什么都没说
Idrassi 收到的唯一回复是：他的组织 IDRIX"目前不满足验证要求"，“没有可用的申诉渠道”。到底哪条要求没满足？不知道。回复全是自动生成的，大概率 AI 写的。
这个账号用了很多年来签名 VeraCrypt 的 Windows bootloader 和驱动程序。没了它，Windows 版发不了任何更新——安全补丁也发不了。
但更让人紧张的是后面那个时间线。Idrassi 提到，2026 年 7 月微软将吊销用来签名 VeraCrypt bootloader 的证书颁发机构。如果你启用了 VeraCrypt 的系统加密，到时候电脑可能直接开不了机。
这已经不是"更新晚几天"的事了。
代码开源，不等于供应链稳固
Donenfeld 说了一句让人后背发凉的话：如果 WireGuard 出现了一个正在被利用的远程代码执行漏洞，需要紧急给用户推修复，微软现在等于把我的手完全绑住了。
只是假设。但你仔细想想，这个场景一点都不离谱。
我们习惯把"安全"理解为代码层面的事——可审计、可验证、社区活跃。这些都对。但这次暴露的是另一层：就算代码无懈可击，只要你发布软件的那个通道被卡住，一切都没用。
<figure><img src=“images/compare.png” alt=“compare”></figure>
最讽刺的地方在这儿。VeraCrypt 是加密工具，它存在的意义就是让你不必依赖平台来保护数据。但它自己的分发和签名，完全依赖微软——也就是那个同时控制着你 Secure Boot 链的公司。
HN 上有人一句话讲透了：管你 Secure Boot 的公司，刚把加密你硬盘的工具的签名账号干掉了。
安全工具断更，不只是不方便
普通效率工具停更了，等一等，换一个，顶多不方便。
安全工具不一样。你把硬盘加密、密钥管理、VPN 通道交给它，是在做一个持续的信任判断。你信它的维护连续，签名可靠，出事有人修。
现在 VeraCrypt 说：Windows 版短期内更新不了，bootloader 签名 7 月可能失效。
你怎么判断？继续用还是暂停？发现新漏洞谁来修？你不是在等一个功能更新，你是在评估自己的数据是不是在裸奔。
信任被打断以后，恢复比修一个 bug 慢得多。
大概率不是针对，是系统性误伤
HN 讨论里有个细节。有开发者分享了自己用 Azure Trusted Signing 给开源软件签名的经历——证书到期续签时撞上了一模一样的问题：验证失败，没有人工支持。
这位开发者还说，Azure Trusted Signing 的验证规则过去一年改了好几轮。先对个人开放，后来限制为美国企业，再后来又对部分国家个人重新开放。规则一直在变，出了问题没人接电话。
而且被从 Partner Center 踢出去的远不只是这几个项目——"一大批 Windows 驱动开发者"都碰上了同样的事。
所以这大概率不是微软故意针对加密工具。更可能是某种自动化合规检查的大面积误伤。
但这才是真正该警觉的地方。
平台不需要有恶意。一个没有人工兜底的自动化流程，一次策略调整，一轮 AI 审核参数的变更——就能同时中断多个关键安全工具的更新通道。这不是偶发事故，是系统设计的问题。
你可以做的事
如果你在用 VeraCrypt、WireGuard 或类似工具，值得花五分钟做个检查：
<figure><img src=“images/workflow.png” alt=“workflow”></figure>
更新来源——你的工具从哪更新？只有一个通道还是有备选？那个通道挂了你怎么拿安全补丁？
签名权限——掌握在谁手里？分散在多个维护者，还是绑在一个人的一个平台账号上？
离线验证——你能用 GPG 签名或 hash 校验来独立验证版本完整性吗？这些平时用不上的东西，关键时刻是唯一的锚。
应急信息源——出事以后去哪看官方说明？SourceForge 论坛、GitHub Issue、开发者社交账号——至少知道在哪看第一手消息。
这些准备不酷，也不带来 star 或融资。但在你依赖的工具突然断供那天，它们比什么安全宣传页都管用。
写在最后
不是说别用 VeraCrypt。这件事反而证明了 VeraCrypt 社区的透明——出事第一时间在论坛公开说明，比大多数商业软件的危机响应强得多。
我想说的是：别把"代码开源"等同于"供应链稳固"。
你的安全工具可不可靠，不只看代码写得好不好，还要看签名谁在管、更新从哪来、出了事能不能自己验证。这些事不如"又发现一个漏洞"刺激，但真正出事那天，它们才决定你还能不能信这个工具。
你现在最依赖的那个安全工具，如果它的发布账号明天被封了——你有 Plan B 吗？
数据来源：VeraCrypt 开发者 Mounir Idrassi 在 SourceForge 的公开说明、WireGuard 创建者 Jason Donenfeld 在 Hacker News 的回复、404 Media 报道、Neowin 报道