---
title: Trail of Bits 公布 WhatsApp Private Processing 上线前审计的 28 项发现
dek: Trail of Bits 于 2026 年 4 月 7 日发文，总结了它审查一套系统所得的经验；这套系统由 Meta 构建，用于在可信执行环境中运行 WhatsApp 的 AI 功能。文中描述的若干缺陷本会导致这样的情况：处理用户数据的软件已与客户端的预期不符，远程证明却照样通过。
---
Trail of Bits 曾在 WhatsApp Private Processing 上线前对其做过安全审计，并于 2026 年 4 月 7 日发文总结了其中的经验。Private Processing 是 Meta 构建的系统，用于在端到端加密的聊天中运行消息摘要等 AI 功能。该系统在可信执行环境（TEE）中处理消息，这些 TEE 基于 AMD Secure Encrypted Virtualization-Secure Nested Paging（SEV-SNP）和支持机密计算的 NVIDIA GPU。TEE 是由硬件隔离的执行环境，设计用于保护其中的代码和数据。Trail of Bits 称共发现 28 个问题，其中 8 个为高危。它还称，Meta 已修补危及 WhatsApp 隐私模型的漏洞。[^1]

其中两项高危发现涉及未纳入远程证明度量值的数据。度量值是 TEE 中代码的校验和，客户端在连接前会检查它。[^1, 2]含有环境变量的配置文件在度量完成之后才加载。因此，恶意内部人员本可以注入代码，而远程证明依然能通过。Meta 现在会校验这些变量。高级配置与电源接口（ACPI）表是虚拟机启动时读取的硬件描述，此前却没有纳入度量。这一遗漏本可让恶意的虚拟机监控器（管理虚拟机的软件）定义能访问受保护内存的虚假设备。Meta 现在通过定制的引导加载程序验证这些表，因此篡改会改变度量值。[^1]

另外两项高危发现与客户端检查远程证明的方式有关。[^1, 2]客户端此前直接信任固件自行报告的补丁级别，没有对照 AMD 签名的证书核对，现已改为核对。证明报告中也没有时间戳或客户端提供的随机值，因此攻击者只要攻破某个 TEE 一次，就能无限期地重放它的报告。Meta 现在会在每份报告中加入 TLS 的 `client_random` 随机数。[^1]

最终报告的日期为 2025 年 8 月 26 日。报告记载，Meta 解决了 16 个问题，部分解决了 4 个，另有 8 个未解决。部分解决的问题中有两个评为高危：一是远程证明没有绑定到 Meta 专属的机器，二是机密虚拟机镜像尚不能完全复现。[^2] Trail of Bits 称，未解决的 8 个问题评级为低危或信息级。[^1, 2]

:::analysis
在文中重点介绍的每个缺陷中，处理用户数据的代码或机器都可能与证明报告的描述不符，报告却仍能通过验证。因此，远程证明的意义取决于它度量了什么、绑定到了什么。部分解决的可复现性问题关系到外部核验，因为研究人员只有能够重新构建镜像，才能把公布的度量值与可检查的代码对应起来。
:::

:::checked
我们于 2026 年 10 月 20 日查阅了 Trail of Bits 于 2026 年 4 月 7 日发布的文章及其链接的公开审计报告。报告记录的是 2025 年 4 月至 8 月的修复审查，因此不涵盖此后对系统的改动。我们没有核实 Meta 的修复，也没有检查当前的部署；我们不自行测试任何系统。
:::