Layer3 Intel在2026年11月4日发布研究称，住宅代理流量似乎通过登记在美国总统行政办公室名下的网络公共地址离开互联网出口。这一发现值得网络防守团队调查哪些软件正在共享连接，但它没有识别某台具体的白宫设备，也没有证明有人访问了内部系统。
The Verge的原始报道发表于11月6日。Layer3的一手报告记录的是10月5日至11月3日的观测，并非认定攻击在文章发布日期才开始。
先看观测单位，再讨论设备数量
Layer3表示，其代理枚举系统记录到236次经由AS2650的出口活动；该网络登记在总统行政办公室名下。公司称，在30天观察期中的26天发现6个公共地址，28家住宅代理服务能够提供经由该网络的路由。这些是公司的测量结果，并非TechKili独立复现。
住宅代理通过另一台设备的连接转发客户流量，使目标网站看到那条连接的公共地址。一次出口观测记录的是路由行为，并不与一台电脑、一个人或一次入侵一一对应：同一个公共地址可能代表多台设备，重复观测也可能涉及同一条路径。
流量来源仍需另行确认
Layer3认为，晚间活动规律可能意味着某台定期接入网络的设备带有代理软件。报告也明确指出，数据展示的是出口，而不是背后的设备或人员。在取得端点及网络记录之前，这仍是解释，不能当作身份确认。
研究人员基于其他代理软件曾出现的弱点，有条件地讨论了内部网络风险。他们并未证明此处存在同一种弱点。Brian Krebs于11月4日的报道表示，白宫当时没有立即回应其置评请求；这描述的是当时的采访状态，并不代表已经核实的当前回应情况。
同时追查软件与网络路径
对其他组织而言，有用的问题是：应用程序或其嵌入组件是否在未经网络负责人预期批准的情况下转发流量。管理员可以把观测时间与地址分配、连接日志和端点软件清单进行对照，将公共网络信号与可能解释它的设备及进程联系起来。
随后需要厘清范围：该设备能访问什么，是否曾发起意料之外的内部连接？这是调查思路，并非此案发生横向移动的证据。删除可疑应用与确定事件范围也是不同任务；应在变更可能抹除痕迹之前保存记录。