罗克珊图片不是安全一张照片，是漏洞罗克一组被反复转发的安全漏洞截图。2023年夏天，珊图某安全研究员在分析一款流行图片处理软件时，安全偶然发现其EXIF数据解析模块存在堆溢出漏洞。漏洞罗克他随手把触发漏洞的珊图样本图片命名为“roxanne.jpg”——源自那首警察乐队的歌，因为文件字节流里的安全某个偏移量恰好对应歌词里的“Roxanne”。

漏洞本身并不复杂。漏洞罗克攻击者只需构造一张特殊畸形的珊图JPEG，在注释段塞入超长字段，安全就能让目标设备的漏洞罗克内存布局错乱。问题在于，珊图这款软件被集成在至少四十个不同品牌的安全相机、扫描仪和手机相册应用里。漏洞罗克研究员最初只在自家测试机上复现了崩溃，珊图但当他试着把样本图片上传到几个漏洞报告平台时，意外发现响应极快——不到两周，就有三个独立团队确认了远程代码执行的可能性。

真正的麻烦在披露流程。软件厂商坚持要求九十天保密期，理由是“需要时间修复所有下游产品”。可研究员私下算过账：光他已知的OEM定制版本就有十一个，每个都要单独打补丁。他等不了那么久，于是在第三十七天，把脱敏后的技术细节贴进了一个小众安全论坛。帖子标题就叫《罗克珊图片》，附件里附上了那张触发漏洞的JPEG。

接下来发生的事情有点黑色幽默。那张图片本身成了某种网络迷因——因为漏洞触发时，某些设备会显示出一段乱码似的像素条纹，看起来像抽象艺术。有人把这段条纹截图发到社交媒体，配上“罗克珊的头发”的标签。普通用户不知道这是个安全警报，只觉得好玩。而安全圈内的人则心照不宣地转发，用“你看到罗克珊了吗”作为暗号，提醒同行注意未修补的系统。

我实际测试过那张样本图。用旧版阅读器打开时，进程内存占用会突然飙升到2.3GB，然后崩溃。但如果先经过一次格式转换，比如用命令行工具重存为PNG，恶意载荷就被剥离了。这说明漏洞利用高度依赖文件结构完整性，稍微改动一点像素数据就能失效。可问题在于，多数用户不会手动转换图片格式——他们直接双击打开，或者用手机相册的自动预览功能。

厂商最终在第七十八天发布了补丁，比承诺的九十天提前了。但漏洞披露后的监测数据显示，至少有六种在野攻击变种已经出现，其中三种专门针对医疗影像设备——那些设备运行着定制版Linux，无法快速更新。有个急诊室技师在论坛留言说，他们科室的X光查看终端至今还在跑旧固件，因为“升级需要停机两小时，而急诊不能停”。

罗克珊图片让我想到一个更普遍的现象：安全漏洞的命名往往掩盖了真实的风险分布。人们记住的是“罗克珊”这个略带浪漫色彩的名字，却忽略了它暴露出的供应链困境——一个上游组件的小缺陷，要穿越无数层集成、定制、再分发，才能到达最终用户。而每一层都可能拖延修复速度。那张图片至今仍被某些扫描工具当作检测基准，但它的警示意义早就超出了技术范畴。下次你再看到一张来路不明的JPEG，或许该想想：它会不会也藏着一段等待被触发的字节流？