一个工程师,两周晚上业余时间,一个叫Claude Opus 5的AI智能体,外加五件他自己天天在用的外设——摄像头、显示器、麦克风、视频采集卡、补光灯。结果是全部“沦陷”:摄像头能在录制时假装没在录,显示器能屏蔽厂商的强制弹窗,麦克风里藏着一整套明文命令行,补光灯能被同一WiFi下的任何人远程写内存。
累计时间只有13小时的AI实际工作量,加上他自己敲的98条提示词。这在过去,是需要专业安全研究员花数周才能啃下来的嵌入式逆向工程活儿。
五件外设,五种破法
- Insta360 Link摄像头:内部跑着完整的ThreadX实时操作系统和多个视觉小模型,固件几乎没有防篡改机制,靠一个MD5校验撑门面。AI改了指示灯的状态表,录制时绿灯就是不亮。
- ASUS PG42UQ显示器.固件用A/B双槽加简单校验,基本没保护。作者真正的诉求只是关掉那个烦人的“像素清洁”弹窗,AI顺手把DDC/CI控制通道也扒了出来,准星、倒计时这些叠加层现在可以用脚本切换。
- Shure MV7麦克风.最离谱的一个。整套设置通过USB HID跑着一个明文命令行,48条命令,能任意读写内存。四级权限系统的鉴权方式是字符串比对——打一句
su sup就能拿到最高权限,连静音指示灯都能和实际静音状态脱钩。 - Elgato Cam Link 4K:作者干脆睡前扔任务,醒来就有了能用的自制更新工具,固件更新路径同样没有任何保护。
- Elgato Key Light Mini补光灯:五件里唯一一个认真做了签名验证的,却也是最讽刺的一个——下面细说。
外设为什么是AI逆向工程的理想靶子?因为它们本质上是“挂在电脑上的小电脑”:有数据连接,有固件更新机制,还有真实设备可以反复验证假设。这给了智能体一个能不断试错、不断打脸自己的闭环,而闭环正是智能体最擅长的东西。
一台设备平均只要两三个小时churn时间,这个数字本身就在说明一件事:门槛正在坍塌。
唯一签了名的,唯一被攻破的
Key Light Mini是五个案例里最值得多看一眼的。它用Ed25519对固件哈希做签名,拒绝校验不通过的更新——这是五件外设里唯一一次认真的防护设计,理由也说得通:这台设备直接暴露在局域网里,给同网段任何人提供未经认证的访问,威胁模型天然不一样。
但签名只在“更新发生的那一刻”生效,不是引导时的强制检查。设备运行时的其他功能照常开着,攻击面反而更大。AI找到的路径是:一条HTTP POST请求能把数据包直接怼进设备内部的UART串口,里面藏着一个内存写指令。一次POST就能把签名校验直接拆成空指令,之后想刷什么固件都行——作者拿改设备名字做了验证,确认可行。
防线设在一个时间点上,等于没有防线。
这一步,恰恰是原文标题里“hands out memory writes to anyone on the WiFi”那句话背后真正的机制:不是随便什么人都能碰,而是随便什么人只要在同一局域网,发一条请求就能拿到设备的写内存权限。
门槛塌了,责任没跟上
传统嵌入式固件逆向,拆ELF、追USB/I2C协议、验证签名机制,是安全研究员的手艺活,过去往往需要按周计。现在一个人靠通用提示词加一个AI智能体,一晚上就能拿下一台设备的完整攻击面。这不是效率提升,是经济学变了——挖掘消费级IoT漏洞的成本,正在从“专业投入”降到“业余爱好”。
好的一面是真实的:设备变得可改、可修、可拿回控制权,这对折腾党和开源社区是实打实的利好。作者自己就是从“想关掉一个烦人弹窗”开始的。
- 风险.同一套“喂固件+给目标+放手迭代”的流程,理论上没有理由只能拿来改善自用体验,也完全可以被复制成批量扫描、批量生成漏洞利用脚本的流水线,门槛坍塌是双向的。
更缺位的是另一件事:这五个漏洞有没有通报给厂商,厂商打算不打算修,原文和目前能看到的信息里都没有交代。责任披露这一环,在“AI一晚上就能挖出漏洞”的新速度面前,显得格外滞后。孙子讲“兵贵神速”,这里反过来最贴切——攻防两端的“神速”完全不对等:攻的一侧几小时出结果,守的一侧连响应流程可能都还没启动。
操作系统目前也没有能力向用户证明“这个麦克风今天还是麦克风,没有偷偷变成能敲键盘的东西”。WebUSB、WebHID这类浏览器接口,意味着用户一次不假思索的授权点击,就可能让固件被永久动过手脚。
接下来该盯的不是这五件外设本身,而是厂商会不会把“运行时持续校验、而不是只在更新那一刻校验”做成消费级IoT的标配——如果没有,这类实验只会越来越多,速度也只会越来越快。