GPT-5.4挖出Telegram安卓版通话漏洞，接个电话就可能被控

安全初创公司NebuSec披露了一个Telegram安卓版漏洞，影响12.10.4之前的版本。

问题出在通话过程中对服务消息的处理上。这类消息负责同步通话状态，比如麦克风是否静音、摄像头开没开、视频怎么旋转。

如果收到的消息不完整，代码可能处理出错，让攻击者访问本不该碰到的内存位置，进而控制设备。受害者需要做的只有一件事：接起电话。

有意思的是发现者。挖出这个漏洞的是GPT-5.4，一个已经算不上新的模型。开发者自嘲说他们”把一个恐龙模型变成了网络安全利器”。

这说明一件事：能挖出真实高危漏洞的门槛，已经不需要最前沿的模型了。配好工具链和提示流程，老模型也够用。这对防守方是好事，对攻击方同样是。

通话类漏洞一向是高价值目标，因为它不需要受害者点链接、装文件，属于”零点击”或”一次点击”级别。以前这种漏洞多半要靠资深研究员手工审代码才能找到，现在模型能批量扫，各家IM应用接下来恐怕要迎来一波补丁潮。

如果你用的是Telegram安卓版8.6.2到12.10.3之间的版本，尽快更新。在此之前，陌生来电别接。