谷歌弃用APT编号，启用双词暗号命名黑客组织

• 第一个词：针对该行为体的独特且易记忆的标识符。优先从已有公开报告中选取（例如 "Sandworm"），若无现成名称，则由分析师生成并经过审核的随机词 。
• 第二个词：固定的归属或动机标签，提供直接背景信息。目前已公布的五种类别 ：

主要示例与覆盖范围

最典型的例子是原 APT44 / Sandworm 被重新归类为 SANDWORM RELIC 。GTIG 首批优先对数十个最活跃的组织进行了更名，其余将在后续滚动推进 。

关键的是，向后兼容性得到了保留。在 Google 威胁情报平台中，旧的名称仍可被索引和搜索，MITRE ATT&CK 映射关系以及其他厂商的别名也一并保留 。对于尚处于早期调查阶段的威胁集群，GTIG 将继续使用 UNC（"uncategorized"，未分类）代号 。

威胁行为体命名的新标准

谷歌的这一举措顺应了整个行业从晦涩的顺序代码向更具描述性分类法转变的趋势。微软使用天气主题命名系统，CrowdStrike 使用动物主题命名，而 Palo Alto Networks 则采用星座命名法 。值得注意的是，谷歌选择独立行动，并未加入微软主导的跨厂商命名倡议 。

新系统解决了一个长期困扰安全防御人员的痛点：在快速响应安全事件时，需要在不同产品、报告和平台间关联威胁行为体的名称。