摘要

  • Warren Kumari 在 RIPE 92 闭幕全会讲述：他找出与常见域名只差一个内存比特的有效名字，注册其中一些，架设服务器观察请求。他记录主机名、SNI、网址与 Cookie，并尽量排除键盘误输和机器人扫描。
  • 他原想考虑阻止未来的新顶级域名与旧名只差一位；核对现有名单后，他报告约有 60 对顶级域名已经符合这个条件。官方讲演页将其列为十分钟研究更新，会上没有正式提交或通过规则。

一位翻转的内存比特，足以把域名拼成另一个合法名字。这个错误听起来像计算机课堂的反例，Kumari 却给它办了个真正的域名注册手续。2026 年 5 月 22 日在 RIPE 92，他展示自己的服务器收到的请求：有程序生成的长主机名、完整网址，也有浏览器带来的 Cookie。实验的核心不是“会不会拼错”，而是错位之后由谁接收。

他没有拿所有访问量直接吓人。新域名会招来扫描器，用户也会手滑。Kumari 挑选键盘上相距较远的字母，观察人不太会亲手输入的 API 路径和长地址，再剔除明显的自动流量。发言记录没有开放逐条请求数据，因此无法替每一次访问判定故障来源。但服务器确实收到了本应到别处的内容，单比特邻居并非纸上名字。

风险沿着请求继续走。Kumari 说，日志里有成千上万次 JavaScript 文件请求和大量 Cookie，其中一些看上去像登录凭据。他还描述了 TLS 连接在名称或证书不合预期时继续向其控制的域名发送 Cookie。比特在协议栈哪一层改变，结果就会不同。他展示的是接收能力和泄露路径，没有报告利用这些凭据去冒充用户。

接着，他把视线从机器移到顶级域名的分配规则。新一轮 gTLD 将至，他本想写一条简单禁令：新名字不能与已有顶级域名只差一个比特。动笔前，他先查旧名单，得到约 60 对这样的邻居。门可以给新申请人设，老租客已经住进去了。这个发现把“补一条规则就能解决”拆成两个任务：限制未来分配，处理已存在的相邻名字。

Kumari 在会上没有交出 ICANN 提案，也没有说某个现有顶级域名必须撤销。他提到纠错内存可以减少一类硬件错误；每个发请求的终端却不会因此立刻升级。注册机构能决定哪些名字进入根区，终端和软件决定实际发出哪个名字。两端都握着一部分控制权。

令人不安的不是宇宙射线这个噱头，而是一个安静的日常：错误请求落在已有合法域名上，接收者可能看见远超“访问记录”的东西。Kumari 先看了旧名单，才意识到新护栏只管未来。下一步值得检验的，是现有相邻名字实际接到什么、客户端又在哪一层挡住了它。