用Nix与AI智能体批量修补CA泄露影响

eMudhra 中间 CA 密钥泄露后，Geoffrey Huntley 称他用一条提示词，借 Nix 的单一事实源查出自己整个 fleet 是否受影响，并自动完成修复；几天后系统会重新评估，待上游传递依赖解决后自动撤销临时措施。 他给出的后续检查条件是：2026-10-22 及之后，确认 nixos-26.05 频道是否包含 nixpkgs 提交 7816d39（该提交将 eMudhra 根证书的 distrust 回移到 security/ca.nix），可用 nix eval 取频道 rev 再以 git merge-base --is-ancestor 判断；若未包含，两天后再查。 他同时称，Marshall 的系统存储 TLS 默认项（runtime-postgres-system-trust、mail-smtp-system-trust）和 rustls-webpki 更新应保留，它们不属于这一临时变通方案。上述效果均为 Huntley 自述。

AI 根据报道生成 · 1 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。