OpenSSH по умолчанию переписывает known_hosts без предупреждения

С OpenSSH 7.6 опция UpdateHostKeys включена по умолчанию: после аутентификации сервер может незаметно переписать свою запись в known_hosts — добавить ключи и удалить закреплённые. Автор воспроизвёл это на локальном sshd: закреплённый ключ исчез, лишний ключ сервера появился, ssh завершился с кодом 0 без вывода.

• UpdateHostKeys включён по умолчанию с OpenSSH 7.6
• Сервер может удалить закреплённый ключ и добавить свой
• При хешировании known_hosts diff строк не покажет изменений
• Отключается опцией Host * UpdateHostKeys no или доверием к CA