零點擊攻擊之後：圖片裡被造出一台「電腦」的時代

大家好，我是TIMEWELL的濱本。

我認為不久之後，會有越來越多人說「智慧型手機才是最大的攻擊目標」。這個話題我過去也談過幾次，這次想寫成連不熟悉資安的朋友也能一步步讀懂的版本。

先把重點放在前面。

• 零點擊攻擊在訊息送達的瞬間就接管手機，靠使用者小心是擋不住的
• 代表案例FORCEDENTRY，在圖片的還原處理裡組出一台「小型電腦」來推進攻擊
• AI加速的不只是找漏洞，還有找出「沒人當作電腦的地方」
• 防護的核心有三個：不要處理、關進隔離區、即使被入侵也不讓對方久留

為什麼手機會成為主戰場

手機裡幾乎裝著一個人生活與工作的全部：電子郵件、聊天、照片、位置資訊、雙重驗證、支付、公司帳號。而且它一直開機，每天收到陌生人傳來的訊息與圖片，並且自動處理。

從攻擊者的角度看，再也找不到比這更划算的目標。

其中特別棘手的是「零點擊攻擊」。不需要點連結，也不需要開附件。訊息一送達，裝置就被接管。本人什麼都沒做，所以也無從小心起。

我們過去被教導的「可疑的連結不要點」，在這裡派不上用場。

FORCEDENTRY：在圖片裡造出的計算機

象徵性的案例是FORCEDENTRY（CVE-2021-30860），這是針對iPhone的iMessage的零點擊攻擊。多倫多大學的Citizen Lab從一名沙烏地阿拉伯活動人士的裝置上捕獲，並在2021年9月公布，分析其出自以色列的NSO Group。同年12月，Google Project Zero與Apple合作公開了技術細節，並評為「我們見過技術上最精密的攻擊之一」。¹²

我盡量不用艱澀的詞彙，說明它的運作方式。

1. 攻擊者透過iMessage傳送副檔名為「.gif」的檔案，內容其實是PDF
2. iPhone為了製作通知的預覽，會自動檢查收到的圖片。這時它看的是內容而不是副檔名，所以當成PDF處理
3. PDF裡有以JBIG2壓縮的資料。這是為傳真機與掃描器設計的舊式黑白影像格式，現在幾乎沒人使用
4. 還原JBIG2的處理程序存在數字計算溢位的漏洞（整數溢位）。攻擊者利用它，製造出能改寫部分記憶體的狀態
5. 接著，攻擊者把JBIG2本來就有的正規功能「用AND、OR、XOR疊合圖片片段」重複組合了好幾萬次

第5點正是這個攻擊的核心。

根據Project Zero的解說，攻擊者排列了超過7萬道影像處理指令，造出一台具備暫存器與完整64位元加法器、比較器的小型電腦。他們不是讓CPU執行攻擊程式碼，而是在「還原圖片」的處理之上，另外組了一台電腦。¹

打個比方，就像只用「把紙張疊起來」的傳真功能，在裡面組出一台計算機。零件全是正規功能，單看每一個都沒有可疑之處。

這台「圖片裡的電腦」被用來準備下一階段，也就是逃出iPhone的保護區域（沙盒）。2022年公開的後續報告說明，逃出沙盒靠的不是記憶體破壞，而是邏輯上的漏洞，也就是正規功能的組合。³

Project Zero在第一篇解說中寫道，除了不使用裝置之外，沒有辦法防止零點擊攻擊造成的入侵。¹ 意思是靠使用者的注意力擋不住。

為什麼不尋常：「意外的電腦」這個想法

資安研究界有個詞叫「怪異機器（weird machine）」。指的是設計者完全沒有預期，卻會依輸入資料的給法而表現得像電腦的機制。FORCEDENTRY是這個概念不只存在於紙上談兵，而是真的被用於攻擊的代表。

造一台電腦不需要高階零件。只要能自由組合AND、XOR這類簡單的邏輯運算，把結果用在下一次計算，並且能反覆進行，理論上就能做任何運算。專業術語稱為「圖靈完備」。

問題是，符合這個條件的機制，在世上的軟體裡多得驚人。研究者之間已知的例子如下。

• 字型：TrueType字型有一套調整字形的小型指令集，實質上能執行程式
• 文件格式：PostScript從設計之初就是程式語言，PDF也能嵌入腳本
• 資料庫：光靠SQL的遞迴查詢就能表達任何運算
• CPU本身：已證明只用某一種指令就能組出電腦

過去的攻擊大多是「找到漏洞，讓攻擊者的程式碼在CPU上執行」。所以防禦方把力氣放在阻止程式碼執行，例如限制可以執行的記憶體範圍、不執行沒有簽章的程式碼。

FORCEDENTRY推翻了這個前提。攻擊者沒有讓CPU執行自己的程式碼，而是在影像處理這個「只處理資料的地方」組出一台電腦，在裡面準備攻擊。對於只監看程式碼執行的防禦來說，看起來就只是正常的影像處理。

AI加入之後會發生什麼

像FORCEDENTRY這樣的攻擊，過去只有擁有國家級預算的極少數組織才做得出來。要通讀舊影像格式的規格，看出哪些功能組合起來能成為邏輯電路，再精確排列數萬道指令。需要龐大的時間與屈指可數的人才。

大型語言模型（LLM）加入後，情況可能改變。

LLM擅長的是閱讀大量規格書與原始碼，找出其中的結構。在防禦方，AI已經進入找漏洞的階段。Google的AI代理「Big Sleep」在2024年找出SQLite尚未公開的漏洞，2025年7月Google又發表，它搶先找出一個只有攻擊者知道、即將被利用的漏洞（CVE-2025-6965）。⁴⁵

我關注的是再往前一步。AI能找的不只是「漏洞」。

• 某個處理系統接受哪些運算
• 把這些運算組合起來，能不能做出記憶、條件分支與迴圈
• 如果能，要怎麼排列才能成為小型CPU或虛擬機

這是閱讀規格與程式碼、試驗組合並驗證結果的反覆作業。人類專家要花數個月，卻正是AI最擅長的一類工作。

所以我認為，AI加速的不只是撰寫攻擊程式碼。它還帶來一種能力，能從全世界的軟體中，把沒人當作電腦的東西「發現」為電腦。

過去的攻擊是「找到漏洞，執行程式碼」。接下來，我認為也會朝「在本來無法執行程式碼的地方，直接造出電腦」的方向發展。而這類發掘工作，會從少數專家的職人手藝，變成只要有運算資源就能執行的作業。

「本來不會執行程式的地方」成為目標

圖片、PDF、字型、通訊協定、資料庫。本來只處理資料的地方，都可能成為新的運算環境。在手機上，這些大多會為了通知與預覽而自動處理，使用者什麼都不用做。

地方	本來的作用	為什麼可能成為電腦
圖片（JBIG2、WebP、DNG等）	還原壓縮的圖片	還原處理中包含片段合成與查表等運算
PDF、文件	顯示文件	內部包含多種壓縮格式、腳本與字型
字型	繪製文字	具備調整字形的指令集
通訊協定	收發資料	具有狀態，收到的內容會改變下一步動作
資料庫	儲存、搜尋資料	查詢語言本身就能表達任何運算
正規表達式、範本	比對、整理字串	依實作不同，可能表達分支與迴圈

在手機端被自動處理的場合，依序是訊息縮圖與相簿App的分析、附件預覽、網頁與訊息的顯示、持續待命（Wi-Fi、藍牙、訊息）、App內部的持續使用，以及輸入檢查與連結的自動偵測。

這並非紙上談兵。2023年的BLASTPASS，Citizen Lab確認，藏在PassKit（用於Apple錢包票卡等的機制）附件中的圖片，能在受害者毫無操作的情況下接管最新版的iOS 16.6。⁶ 2025年也有報導指出，結合iOS影像處理漏洞（CVE-2025-43300）與WhatsApp漏洞的鎖定目標攻擊。⁷ 每一次的入口，都是「自動處理圖片的地方」。

而且這不限於手機。事務機、監視攝影機、工廠的控制設備、車用設備，凡是接收資料並自動處理的機器，結構都相同。更何況這類機器的更新頻率，往往遠低於手機。

危機之後，不可逆的變化

現在談論的AI資安危機，主要是「攻擊的量增加」「網路釣魚更巧妙」「漏洞的發現變快」。每一項都很嚴重，但就結構而言，仍是過去的延長線。

我認為下一個階段會出現更根本的變化。還請您也自己想一想會發生什麼。我舉出的是下面四點。

1. 「因為只是資料，所以安全」的前提崩壞

過去，圖片與文件被視為「打開也不會執行的安全東西」。但只要在處理系統裡找到電腦，資料就會直接變成程式。收到檔案與收到程式之間的界線消失了。

2. 一旦被發現，電腦就無法消除

漏洞可以用修補程式堵住。但是，當某個格式的正規功能被發現能當電腦使用時，要從所有使用該格式的裝置與所有過去的資料中移除，並不實際。不會更新的設備，在工廠與家裡都會留存好幾年。發現無法撤回，只會不斷累積。

3. 「靠檢查識破」的防禦變得難以奏效

要事先靠檢查完全判定資料裡是否組了電腦，在理論上就很困難。只用正規功能組成的電腦，外觀也是正規的資料。我們必須從檢查內容、排除有問題者的防禦，轉換成根本不處理、或關進隔離區的思維。

4. 攻擊的「經濟」改變

FORCEDENTRY這類攻擊，過去沒有國家級的資金與人才就做不出來。Apple在2025年10月，把「無需使用者操作即可取得裝置核心控制權」的攻擊獎金上限定為200萬美元。⁸ 這代表它的價值高、製作也困難。如果AI讓發掘的成本下降，原本只有國家握有的能力，可能擴散到更多組織。

這些不是一時的危機，而是一旦發生就無法復原的變化。正因如此，及早轉換想法才有意義。

那麼，該怎麼防護

沒有完美的對策。但可以大幅拉高攻擊所需的成本，並把損害壓低。思考的主軸有三個：不要處理、關進隔離區、即使被入侵也不讓對方久留。

個人可以做的事

• 立刻更新作業系統與App。零點擊攻擊所用的漏洞，多半在曝光後以緊急更新堵上。拖延更新的期間，就是毫無防備的期間
• 定期重新啟動。有些間諜軟體重新啟動後就會消失。養成每週一次的習慣是值得的
• 如果身處容易成為目標的立場，就使用封鎖模式。iPhone的封鎖模式會停掉許多附件格式與連結預覽，從根本減少攻擊的入口。針對BLASTPASS，Citizen Lab在取得Apple確認後表示，封鎖模式能阻擋這個攻擊。⁶ Android也有類似的「進階保護」功能
• 關掉沒在用的功能。不用的通訊App、藍牙、自動預覽，光是開著就是攻擊的入口
• 了解新款裝置的防護功能。iPhone 17與iPhone Air內建「Memory Integrity Enforcement」，能偵測並阻擋利用記憶體破壞的攻擊⁹

企業可以做的事

• 把經營者與高階主管的手機視為重要的資訊資產。許多公司在內部伺服器上投入大筆預算，社長的手機卻交給個人處理。對於董事、出差海外者、研發與出口管制的負責人，值得考慮使用封鎖模式，並把工作用裝置分開
• 用裝置管理（MDM）統一更新與設定，不必仰賴本人的注意力
• 準備「手機已被接管」為前提的應對程序。也有像Amnesty International公開的Mobile Verification Toolkit（MVT）這樣的調查工具。事先決定一旦出現疑慮，由誰做什麼
• 用同樣的眼光檢視自家的設備與產品。事務機、監視攝影機、工廠設備等，從外部接收資料並自動處理的機器，與手機有相同結構的弱點

開發者可以做的事

• 減少處理的格式。檢查是否連JBIG2這種幾乎沒人用的格式都預設在處理。沒在用的功能，也會作為沒人監看的入口一直留著
• 隔離解析處理。外部來的資料，在權限很小的獨立行程中解析。Apple為訊息處理導入的「BlastDoor」就是這個想法。FORCEDENTRY正是利用了圖片在這個隔離之外被處理的缺口
• 先轉換成安全而單純的格式再處理。把收到的圖片先轉成原始像素資料這類單純的格式再顯示，就能減少接觸原格式複雜功能的地方
• 使用記憶體安全的語言與硬體功能。Rust等記憶體安全語言與記憶體標記（MTE），能讓入侵第一步常見的記憶體破壞變得更困難。間諜軟體精密的攻擊鏈，向來靠緩衝區溢位與釋放後使用等記憶體破壞來支撐⁹
• 嚴格定義輸入的語法。「意外的電腦」來自對輸入過度寬鬆的處理。嚴格定義接受的輸入，其餘的在早期階段就拒絕
• 先把AI用在自家的防守上。如果攻擊者用AI找電腦，防禦方也應該用AI檢查自家的軟體。如同Big Sleep所示，AI也能在發布前找出漏洞，在攻擊者使用之前先堵上

這裡有一點要提醒。強化記憶體保護非常有效，但對於像FORCEDENTRY後半那種只組合正規功能的攻擊，光靠它仍無法完全應付。重點是把「不讓它被破壞」的防禦，與「根本不處理、關進隔離區」的防禦，兩者疊加起來。

結語：能看到幾年後？

FORCEDENTRY公開於2021年。當時它被視為「國家雇用的天才團隊所做的例外之舉」。

但我認為，那不是例外，而是預告。處理資料的地方，沉睡著比想像中更多的電腦。而尋找它們的工作，正隨著AI迅速變得便宜。當這兩件事重疊時，手機就不再是「小心使用就安全的工具」。

如果這篇文章沒能傳達這種感覺，我想不久的將來，我會連同真實的事件再寫一次。我真心希望能在那之前就傳達給您。請務必試著把「可能會發生什麼」，套用到您自己的工作與生活上想一想。

面對這個變化，該怎麼因應

當「手機小心用就安全」的前提崩壞，企業需要的是不倚賴個人注意力的機制：統一更新、把容易成為目標的人的裝置分開，並備妥以被接管為前提的處理程序。再者，面對使用AI的攻擊，自己這一方也要用AI先找出弱點。這些都不可能一次做完。

TIMEWELL的WARP SECURITY，協助企業設計與整備伴隨AI活用而來的資安。如何保護高階主管與出差者的裝置、如何訂定事件處理程序、如何把AI納入自家的防守。我們會從優先順序的排定開始，與您一起思考。

如果您正有「我們公司到底該從哪裡著手」「也該決定高階主管手機的處理方式了」這樣的疑問，歡迎與我們聯繫。

Footnotes

1. A deep dive into an NSO zero-click iMessage exploit: Remote Code Execution（Google Project Zero，2021年12月15日）。「.gif的內容是PDF」「超過7萬道區段指令」「暫存器與64位元加法器、比較器」「技術上最精密的攻擊之一」「除了不使用裝置之外沒有辦法防止」均出自該文。修補於2021年9月13日的iOS 14.8（CVE-2021-30860） ↩ ↩² ↩³

2. FORCEDENTRY: NSO Group iMessage Zero-Click Exploit Captured in the Wild（Citizen Lab，2021年9月）。從受害裝置捕獲，以及分析其出自NSO Group，出自該報告 ↩

3. FORCEDENTRY: Sandbox Escape（Google Project Zero，2022年3月31日）。逃出沙盒僅由邏輯漏洞構成（第一階段則使用JBIG2解碼器的堆積緩衝區溢位），出自該文 ↩

4. From Naptime to Big Sleep（Google Project Zero，2024年10月）。發現SQLite尚未公開的漏洞，出自該文 ↩

5. Google says Big Sleep AI tool found bug hackers planned to use（The Record，2025年7月15日）。CVE-2025-6965、僅有攻擊者知悉且有被利用的風險，出自該報導對Google發表內容的報導 ↩

6. BLASTPASS: NSO Group iPhone Zero-Click, Zero-Day Exploit Captured in the Wild（Citizen Lab，2023年9月7日）。無需受害者操作即可入侵最新的iOS 16.6、PassKit附件中的惡意圖片，以及Apple確認封鎖模式能阻擋該攻擊，出自該報告。媒體報導：BleepingComputer（2023年） ↩ ↩²

7. French Apple users subjected to another spyware campaign（SC Media，2025年）。涉及CVE-2025-43300的攻擊報導 ↩

8. Apple Security Bounty（Apple Security Research）。「無需使用者操作的網路攻擊並取得核心控制權」一類的獎金為200萬美元，以及2025年10月10日的改版，出自該網站。媒體報導：Axios（2025年10月10日） ↩

9. Apple's new Memory Integrity Enforcement（CyberScoop，2025年9月10日）。搭載於iPhone 17、iPhone Air與A19系列晶片，以及緩衝區溢位與釋放後使用一直支撐著間諜軟體的攻擊鏈，出自該文 ↩ ↩²