四大主流系统文件通知机制曝隐私风险：恶意应用可通过文件变化侧写用户行为
据 IT之家 9 月 26 日消息，奥地利格拉茨工业大学研究人员发现，安卓、Linux、macOS、Windows 等主流操作系统内置的文件变更通知子系统，存在被恶意滥用的隐私风险。研究显示，攻击者在不直接读取文件内容的情况下，仍可能通过文件名、路径变化和变化时间，推测用户的输入、文件收发、网站访问及应用活动。该研究由博士生 Sudheendra Raghav Neela 和教授 Daniel Gruss 领衔，相关论文计划于今年 11 月在荷兰海牙举行的 ACM CCS 2026 会议上发表。
需要强调的是，来源显示这种攻击并非远程“无接触”入侵。对普通用户而言，它在现实落地中仍有不少前提：攻击者通常需要让恶意软件在用户设备上运行，并具备本地访问能力。研究人员也指出，目前没有证据表明该问题已经被黑客用于真实攻击。
文件通知机制为何会变成侧信道
文件变更通知本身是现代系统的基础能力之一。它允许应用在文件被创建、修改或删除时收到提醒，从而减少轮询，提高效率。文本编辑器、杀毒软件、文件同步客户端等工具都依赖这类机制来及时感知文件状态变化。
不同系统中，这套能力名称不同：Linux 上为 inotify，Android 上为 FileObserver，Windows 上为 ReadDirectoryChangesW，macOS 上为 FSEvents。它们的设计目标并不是暴露隐私，而是为应用提供事件订阅能力。但研究人员指出，当事件通知包含足够的路径、文件名或时间线信息时，就可能形成一种侧信道：应用即使没有权限打开目标文件，也能从“什么时候发生了什么变化”中推断用户行为。
- 在 Linux 上，研究人员提到通过监听可读的 /dev/input 目录，可捕捉每次按键发生的时刻。
- 在 Windows 上，来源称只需在 C:\ 盘根目录放置监听器，系统便会上报机器上每个文件变更的完整路径。
- 在 Android 上，研究人员在谷歌 Pixel 和三星 Galaxy 手机上测试发现，一个无需申请任何权限的应用可监测 WhatsApp 的媒体事件。
- 在 macOS 上，FSEvents 同样属于这类文件变化通知框架，因此也被纳入研究范围。
可推断哪些用户活动
研究所揭示的重点不在于直接窃取文件内容，而在于通过行为轨迹重建用户画像。例如，某个目录中文件频繁生成或删除，可能对应应用缓存、下载记录、媒体收发或编辑操作；文件变化的时间点与节奏，则可能暴露用户是否正在输入、是否收到了文件、是否打开了某类应用。
来源摘要显示，在 Linux 测试中，针对七名测试用户的按键检测准确率介于 93.1% 至 100% 之间。Android 测试中，无权限应用可观察 WhatsApp 媒体相关事件，从而判断照片、视频和文件发送或接收的时机。这类结果说明，权限模型只限制“能否读内容”并不总是足够，元数据本身也可能携带敏感信息。
与此同时，Linux 内核已经针对 CVE-2025-68788 做出部分加固，防止 inotify 对特殊文件生成某些访问和修改事件。这意味着系统厂商开始意识到此类机制的安全边界需要重新审视。
影响与解读：AI 时代的“元数据隐私”更值得警惕
从科技产业角度看，这项研究对操作系统、应用开发者以及安全工具都有启示。如今大量 AI 助手、自动化软件、同步工具和效率插件需要持续观察本地文件变化，以便实现自动整理、索引、总结或跨设备同步。如果文件事件订阅缺乏细粒度约束，恶意软件也可能借用同样的系统能力进行隐私侧写。
对普通用户来说，现阶段不必恐慌，但应保持基础安全习惯：避免安装来源不明的软件，关注系统更新，谨慎授予后台常驻、文件访问和辅助功能权限。对平台方而言，更关键的是在不破坏正常应用体验的前提下，限制敏感路径事件暴露、降低路径信息精度，或引入更清晰的权限提示。
这起案例再次提醒我们，隐私泄露不一定来自明文数据被读取。文件何时变化、在哪里变化、以什么节奏变化，本身也可能成为可分析的数据。在 AI 与自动化工具越来越依赖本地上下文的背景下，操作系统需要把“元数据安全”提升到与内容安全同等重要的位置。