内容摘要：一部刚拆封的安卓手机，系统版本号后面跟着一行小字：“安全更新：2021年10月。”现在是2025年。这台机器还在卖，包装盒上印着“全新”，店家说“日常用没问题”。问题从来不在“日常”，而在那些你根本想

一部刚拆封的漏洞安卓安卓手机，系统版本号后面跟着一行小字：“安全更新：2021年10月。漏洞安卓”现在是漏洞安卓2025年。这台机器还在卖，漏洞安卓包装盒上印着“全新”，漏洞安卓店家说“日常用没问题”。漏洞安卓问题从来不在“日常”，漏洞安卓而在那些你根本想不到的漏洞安卓地方。

去年有个朋友贪便宜买了台国产小品牌的漏洞安卓平板，安卓11，漏洞安卓芯片是漏洞安卓紫光展锐的。他拿它看剧、漏洞安卓刷短视频，漏洞安卓确实“没问题”。漏洞安卓直到有天他发现相册里多了几十张自己没拍过的漏洞安卓截图——全是银行验证码的界面。后来查出来，预装的某个“系统优化”应用里嵌了远控模块，权限开得比系统桌面还大。这玩意儿不是病毒，是出厂就焊在固件里的。你恢复出厂设置？它还在。

安卓的漏洞分两种。一种是Google每月发安全公告修的那种，比如Stagefright、BlueBorne，听着像特工代号，实际就是一堆内存溢出和权限绕过。这种漏洞可怕在“静默”——一条彩信就能触发，你连点都不用点。另一种更操蛋：厂商自己留的。有些白牌机为了“远程协助”功能，在系统里开了个后门端口，默认密码是123456。这不算漏洞，算后门，但效果一样。

我拆过一台2019年的某品牌电视盒子，安卓9。里面有个叫“SystemUpdate”的服务，连的是深圳一个IP。抓包一看，它每天上传一次设备信息，包括已安装应用列表和剪贴板内容。剪贴板里有什么？你刚复制的密码、地址、验证码。厂商说这是“用户体验改进计划”。你关不掉，除非root。

碎片化是安卓的老毛病，但真正要命的是“补丁断层”。Google修了A漏洞，推给芯片厂，芯片厂改一改适配自己的SoC，再推给手机厂，手机厂叠加上自己的UI，最后推给用户。这一圈走完，快则三个月，慢则——没有慢则，很多机器根本等不到。我手上这台2020年的中端机，最后一次安全补丁是2022年3月。之后Google修了至少47个高危漏洞，它一个没拿到。它现在还在当备用机用，连WiFi我就心慌。

有人会说：那我买旗舰机不就行了？三星、谷歌亲儿子，更新五年。对，但旗舰机也有旗舰机的坑。2023年有个事，某大厂旗舰的指纹识别模块被曝出用了一个闭源库，里面有个硬编码的密钥，能解锁任何一台同型号手机。厂商反应很快，推了补丁。但那些已经卖出去的、在二手市场流通的、没联网更新的机器呢？它们还在用那个密钥。

更隐蔽的是“供应链漏洞”。你手机里的某个传感器驱动、某个音频解码库、某个广告SDK，可能来自一家你从没听过的公司。这家公司的代码里有个缓冲区溢出，攻击者能通过一个特制的音频文件拿到系统权限。你听歌，他拿root。这事2019年真实发生过，影响了几千万台设备。修复方式？等厂商推送。很多厂商的选择是：不推，因为“影响面小”。

所以“漏洞安卓”不是安卓本身漏洞多，是整个生态把漏洞当成了可接受的成本。Google修得快，但链条太长。厂商算的是经济账：给三年前的机器推补丁，服务器要钱，测试要钱，用户还不一定领情。不如让你换新机。你手里的设备，从出厂那天起，安全寿命就在倒计时。倒计时结束，它还能开机，还能装App，但它在网络上就是个筛子。

我现在的习惯是：买安卓设备先查最后一次安全补丁日期，超过一年的直接不考虑。装App只从Play商店，虽然Play商店也有过恶意软件，但至少比第三方市场强。至于那些“系统优化”“电池管家”“清理大师”，一律不装。它们要的权限比银行App还多，干的事比病毒还脏。

最后说个真事。上个月帮人处理一台“变慢”的手机，安卓10，某互联网品牌。查了一遍，发现一个预装的“用户反馈”应用，每天凌晨三点上传一次完整的内存转储。内存里有什么？你刚输的密码、刚聊的微信、刚拍的身份证照片。厂商的隐私政策里写了这条，在第8页第3段，字号6磅。你点“同意”的时候，没人会看。它不算漏洞，算合法后门。但效果，和漏洞一模一样。