蓝牙设备的便捷性正被一场隐秘的安全危机打破------比利时荷语鲁汶大学团队披露的WhisperPair高危漏洞（CVE-2025-36911），直指谷歌Fast Pair快速配对协议的核心设计缺陷，导致全球数亿款支持该协议的无线耳机、蓝牙音箱等设备面临被静默劫持的风险。攻击者仅需在15米蓝牙覆盖范围内，通过树莓派、普通智能手机等廉价设备，10-15秒内即可完成无交互、无验证的非法配对，实现对设备的完全控制，进而实施窃听、音频劫持、位置追踪等恶意操作。此次漏洞波及索尼、谷歌、小米、JBL等10家主流厂商的17款热销产品，甚至连谷歌自家Pixel Buds Pro 2也未能幸免，成为物联网时代蓝牙设备安全体系的一次重大失守，也为智能硬件行业的便捷性与安全性平衡敲响了警钟。
一、漏洞根源：协议规范落地失守，三重缺陷打开安全缺口
谷歌Fast Pair协议自2019年推出以来，凭借"一键配对"的便捷性成为安卓生态蓝牙设备的标配，其核心通过蓝牙低功耗（BLE）广播设备信息、云端快速校验、弹窗一键连接的流程，大幅简化了配对操作。但WhisperPair漏洞的出现，并非协议设计本身的根本性缺陷，而是厂商在落地实施过程中对安全规范的多重疏忽，直接导致协议的安全防护机制形同虚设。
- 配对状态校验缺失：Fast Pair协议明确要求，设备在已与合法终端建立连接的状态下，需直接拒绝新的配对请求，且仅在用户手动开启"配对模式"时才可接受新连接。但受测的17款设备均未执行该核心逻辑，无论是否处于使用状态，都会无差别接收并响应任何配对请求，为强制配对创造了前提。
- 身份验证机制缺位：设备的Model ID作为配对识别的关键信息，可通过谷歌公开API直接获取，而厂商未对配对请求的发送方进行身份校验，也未设置二次认证环节，攻击者只需伪造包含合法Model ID的配对请求，即可轻松绕过协议验证。
- 设备绑定权限失控：针对接入谷歌Find Hub"查找我的设备"网络的机型，厂商未设置绑定账号的安全校验，若设备仅连接过iPhone等非安卓终端、未绑定谷歌账号，攻击者可通过非法配对直接将设备绑定至自身账号，获取设备的位置上报权限，且该操作无任何用户提示。
更值得警惕的是，此次漏洞的利用门槛突破了传统网络攻击的技术壁垒------攻击者无需专业的黑客技术，无需物理接触设备，也无需用户进行任何操作，仅需借助公开的技术工具和廉价硬件，就能在公共交通、办公场所、咖啡馆等人员密集区域实施远程攻击，且全程静默无提示，用户难以通过设备状态、声音反馈等方式察觉异常。
二、危害升级：从个人隐私泄露到场景化安全风险，波及多终端多场景
WhisperPair漏洞的危害并非局限于单一的设备控制，而是随着设备使用场景的延伸，从个人隐私泄露逐步升级为多场景、多维度的安全威胁，甚至可能引发商业信息泄露、公共场景秩序混乱等次生风险，且对iPhone用户、企业办公人群等特定群体的威胁更为显著。
- 个人隐私的全方位窃取：攻击者完成非法配对后，可获得与设备所有者相同的操作权限，一方面能激活设备内置麦克风，通过HFP协议实现实时环境窃听，捕捉用户的日常对话、工作交流等敏感信息；另一方面可通过Find Hub网络实现对设备的精准定位和轨迹跟踪，结合设备的使用场景，能进一步推断用户的出行规律、工作地点、居住区域等隐私信息。
- 音频设备的恶意操控：攻击者可随意中断设备的正常音频播放，注入任意音频内容，甚至将设备音量调至最大，不仅会影响用户的正常使用，还可能造成听力损伤；在会议、演讲、直播等场景中，此类操作还可能导致业务中断、现场秩序混乱，给企业或个人带来声誉损失和经济损失。
- 跨终端的安全风险延伸：此次漏洞不仅影响安卓生态设备，对iPhone、Windows笔记本、Mac等非安卓终端的连接设备同样存在威胁。由于非安卓终端无法对Fast Pair协议的配对请求进行有效管控，连接的受漏洞影响设备更易被劫持，且苹果等厂商的设备防护机制无法识别此类非法配对，导致用户处于"无防护"状态。
- 企业办公的信息泄露隐患：对于企业办公人群而言，无线耳机已成为远程办公、线下会议的常用设备，若设备被劫持，攻击者可窃听会议内容、工作沟通等商业敏感信息，甚至通过设备的蓝牙连接，进一步探测企业内部网络的设备信息，为后续的网络攻击埋下伏笔。
据研究团队实测，在无遮挡的环境中，蓝牙攻击的有效距离可突破15米，甚至达到数百米，这意味着在机场、高铁站、写字楼等人员密集、蓝牙设备密集的区域，可能出现批量设备被劫持的情况，引发规模化的安全事件。目前谷歌虽表示暂无实验室外的实际攻击案例，但漏洞的技术细节已公开，黑灰产势力可能快速跟进，带来不可预估的安全风险。
三、波及范围：十厂商十七款产品中招，数亿设备亟待修复
截至2026年1月，研究团队已确认10家主流消费电子厂商的17款热销设备存在WhisperPair漏洞，涵盖头戴式耳机、真无线耳机、蓝牙音箱等多种品类，其中不乏索尼WH-1000XM6/XM5、谷歌Pixel Buds Pro 2、小米多款真无线耳机等爆款产品。这些设备的全球出货量累计达数亿台，且由于Fast Pair协议的普及性，未被纳入测试的廉价蓝牙设备可能存在相同的实施缺陷，实际受影响设备规模或远超预估。
从厂商类型来看，此次受波及的不仅有索尼、谷歌等国际一线品牌，也有一加、Nothing等新锐品牌，还有JBL、Marshall、声阔等专业音频品牌，反映出行业内对Fast Pair协议安全规范的执行存在普遍疏漏。目前部分厂商已启动修复工作，小米、JBL、罗技等品牌通过官方App推送OTA固件更新，优化配对状态校验和身份验证机制；索尼、谷歌则针对Find Hub绑定权限进行升级，增加账号二次验证环节。但修复工作仍存在明显短板：一方面，部分小众厂商的设备可能因技术能力、成本控制等原因，永远无法获得固件更新，成为永久的安全隐患；另一方面，普通用户缺乏定期更新设备固件的习惯，甚至多数用户不知道蓝牙设备需要更新固件，导致已发布的修复补丁覆盖范围有限，漏洞风险将在未来数月甚至数年内持续存在。
四、修复与防护：厂商端补漏+用户端设防，构建双重安全屏障
WhisperPair漏洞的解决，需要厂商端的技术修复与用户端的日常防护形成合力，既要从根源上弥补协议实施的安全缺口，也要通过用户的主动设防降低被攻击的概率。同时，行业层面也需建立更完善的安全规范和检测机制，避免类似的实施疏漏再次发生。
（一）厂商端：加速修复补漏，完善安全设计
- 全面推送固件更新：厂商需尽快完成全系列受影响设备的固件开发，通过官方App、设备自动推送等多种方式，提醒用户进行更新，核心优化"已连接状态拒绝新配对请求"的逻辑，严格执行协议的安全规范。
- 增加多重验证机制：对设备的Model ID使用增加加密校验，防止攻击者伪造配对请求；对接入Find Hub等定位网络的设备，增加账号绑定的二次验证，如短信验证、扫码验证等，避免设备被非法绑定。
- 优化设备状态提示：在设备接收到配对请求、进行账号绑定等关键操作时，增加灯光、声音、弹窗等多重提示，让用户能及时发现异常操作，避免被静默劫持。
- 建立安全检测体系：在设备研发、生产的全流程中，增加蓝牙协议实施的安全检测环节，将安全合规作为设备上市的必要条件，从源头杜绝安全规范执行不到位的问题。
（二）用户端：主动设防，降低被攻击风险
- 立即检查并更新固件：用户需打开设备对应的厂商官方App，查看是否有固件更新提示，优先对受影响的设备进行升级，这是防范漏洞的核心措施。
- 公共场景减少蓝牙使用：在地铁、公交、咖啡馆、写字楼等人员密集的公共场景，尽量使用有线耳机，若需使用蓝牙设备，可在使用后及时关闭蓝牙，减少设备的暴露时间；避免将蓝牙设备设置为"始终可发现"状态。
- 加强账号安全管理：对谷歌、索尼等品牌的账号开启双重验证，及时修改账号密码，若发现设备被非法绑定，立即在账号后台解除绑定，并重置设备。
- 及时发现并处置异常：若蓝牙设备出现无故断连、音量突变、莫名播放音频等异常情况，立即关闭设备蓝牙并重启，检查设备的配对记录，删除陌生的配对设备，必要时对设备进行恢复出厂设置。
- 警惕未知设备配对提示：若设备在未手动开启配对模式的情况下，出现配对提示，一律拒绝，切勿随意点击确认，防止被攻击者趁机配对。
五、行业反思与前瞻：便捷性与安全性不可偏废，构建物联网设备安全新体系
WhisperPair漏洞的爆发，并非个例，而是物联网时代智能硬件行业"重便捷、轻安全"发展模式的必然结果。在蓝牙设备、智能穿戴、智能家居等物联网产品的研发中，厂商往往将用户体验、便捷性作为核心卖点，却忽视了安全规范的落地执行，甚至为了降低研发成本、加快上市节奏，刻意简化安全校验环节，最终导致安全漏洞频发。此次Fast Pair协议的实施疏漏，再次暴露了物联网设备供应链中安全标准执行不力的普遍问题，也为行业敲响了警钟：便捷性是产品的竞争力，但安全性是产品的生命线，二者不可偏废。
从行业发展的前瞻性角度来看，未来的智能硬件安全需要构建更完善的体系：一是协议制定方需强化对规范实施的监督，谷歌等企业在推出各类便捷协议的同时，应建立厂商实施的安全检测和认证机制，对未严格执行安全规范的厂商进行处罚，甚至取消协议授权；二是建立物联网设备的全生命周期安全管理，从研发、生产、上市到后期维护，形成全流程的安全检测和漏洞修复机制，确保设备在整个使用周期内都能获得安全支持；三是推动安全技术的普及和落地，在蓝牙、WiFi等无线连接技术中，增加内置的加密认证、异常检测等功能，降低厂商的实施成本，让安全成为设备的标配；四是提升用户的安全意识，通过厂商宣传、行业科普等方式，让用户了解物联网设备的安全风险，养成定期更新固件、加强设备防护的习惯。
同时，随着蓝牙设备的普及，个人隐私和设备安全的保护也需要技术的持续创新。未来，基于人工智能的异常行为检测、基于区块链的设备身份认证、基于端侧加密的蓝牙通信等技术，或将成为蓝牙设备安全防护的重要方向，通过技术手段降低攻击门槛，提升设备的安全防护能力。
六、总结
WhisperPair漏洞作为谷歌Fast Pair协议的重大实施缺陷，不仅让全球数亿蓝牙设备陷入静默劫持的危机，更折射出物联网时代智能硬件行业的安全短板。这场危机的核心，并非技术本身的漏洞，而是厂商对安全规范的漠视和执行的疏漏，也让我们看到，在追求产品便捷性的同时，安全防线的任何一点松懈，都可能带来不可预估的隐私泄露和安全风险。
对于厂商而言，此次漏洞是一次深刻的教训，必须重新审视产品的安全设计，将安全合规融入产品研发、生产的全流程，让便捷性建立在安全的基础之上；对于用户而言，需要提升自身的安全意识，主动了解设备的安全防护知识，通过日常的主动设防，降低被攻击的概率；对于行业而言，需要建立更完善的安全规范、检测机制和监督体系，形成全行业的安全共识，共同构建物联网设备的安全新体系。
在万物互联的时代，每一款智能设备都是信息网络的一个节点，任何一个节点的安全失守，都可能引发连锁反应。WhisperPair漏洞的出现，是一次危机，也是一次契机，推动行业重新思考便捷与安全的平衡，让智能硬件在带给用户便捷体验的同时，也能为用户的隐私和安全保驾护航。