Trail of Bits 曾在 WhatsApp Private Processing 上线前对其做过安全审计，并于 2026 年 4 月 7 日发文总结了其中的经验。Private Processing 是 Meta 构建的系统，用于在端到端加密的聊天中运行消息摘要等 AI 功能。该系统在可信执行环境（TEE）中处理消息，这些 TEE 基于 AMD Secure Encrypted Virtualization-Secure Nested Paging（SEV-SNP）和支持机密计算的 NVIDIA GPU。TEE 是由硬件隔离的执行环境，设计用于保护其中的代码和数据。Trail of Bits 称共发现 28 个问题，其中 8 个为高危。它还称，Meta 已修补危及 WhatsApp 隐私模型的漏洞。[1]
其中两项高危发现涉及未纳入远程证明度量值的数据。度量值是 TEE 中代码的校验和，客户端在连接前会检查它。[1, 2]含有环境变量的配置文件在度量完成之后才加载。因此，恶意内部人员本可以注入代码，而远程证明依然能通过。Meta 现在会校验这些变量。高级配置与电源接口（ACPI）表是虚拟机启动时读取的硬件描述，此前却没有纳入度量。这一遗漏本可让恶意的虚拟机监控器（管理虚拟机的软件）定义能访问受保护内存的虚假设备。Meta 现在通过定制的引导加载程序验证这些表，因此篡改会改变度量值。[1]
另外两项高危发现与客户端检查远程证明的方式有关。[1, 2]客户端此前直接信任固件自行报告的补丁级别，没有对照 AMD 签名的证书核对，现已改为核对。证明报告中也没有时间戳或客户端提供的随机值，因此攻击者只要攻破某个 TEE 一次，就能无限期地重放它的报告。Meta 现在会在每份报告中加入 TLS 的 client_random 随机数。[1]
最终报告的日期为 2025 年 8 月 26 日。报告记载，Meta 解决了 16 个问题，部分解决了 4 个，另有 8 个未解决。部分解决的问题中有两个评为高危：一是远程证明没有绑定到 Meta 专属的机器，二是机密虚拟机镜像尚不能完全复现。[2] Trail of Bits 称，未解决的 8 个问题评级为低危或信息级。[1, 2]
来源
核查或更正本页
- 更正
- 提交更正请求 · 在 GitHub 编辑源文件 · 更正政策
