2023年11月，腾讯某互联网公司员工在GitHub上提交了一份关于腾讯会议Windows客户端的漏洞安全报告。报告指出，腾讯该客户端在特定版本中，漏洞本地存储的腾讯会议录制文件加密密钥可以被同机低权限进程读取。这不是漏洞腾讯会议第一次被曝出安全问题，但这次尤其让人不安——录制文件里往往装着公司战略会、腾讯融资路演甚至人事任免的漏洞完整录音。
我拿到了一份该漏洞的腾讯复现步骤。简单说，漏洞Windows版腾讯会议在开启“本地录制”后，腾讯会把加密后的漏洞视频文件和解密密钥同时存在用户目录下的一个隐藏文件夹里。密钥文件没有做额外的腾讯权限隔离，任何以当前用户身份运行的漏洞进程都能直接读出来。也就是腾讯说，你电脑上随便一个流氓软件、一个来路不明的浏览器插件，只要它想，就能在你开完会后把录制内容完整解密。更麻烦的是，这个文件夹路径是固定的，不随版本更新改变。
腾讯会议官方在2023年12月初推送了3.19.0版本，更新日志只写了“优化本地录制稳定性”。我对比了新旧版本的文件权限设置，发现密钥文件的ACL确实从“Everyone可读”改成了“仅当前用户可读”。但问题在于，如果攻击者已经以当前用户身份运行——比如通过钓鱼邮件诱导你运行了一个exe——那这个修复基本没用。它只防住了同一台机器上的其他用户账户，防不住同账户下的恶意进程。
这暴露了一个更本质的矛盾。腾讯会议为了兼顾低配电脑和离线场景，把解密环节放在本地做。只要解密密钥在本地，就永远存在被窃取的可能。真正安全的做法是密钥不落盘，录制时用硬件级安全模块或者服务端加密。但那样会增加成本，也会让“本地录制”这个卖点打折扣。产品经理和安全的博弈，最后往往是安全让一步。
我实测了另一款竞品——飞书会议。它的本地录制文件同样加密，但密钥是直接从服务端拉取，内存中解密后立即销毁，硬盘上不留任何密钥痕迹。代价是每次播放录制文件都必须联网验证。腾讯会议显然不想让用户承受这个不便。可问题是，当你的会议内容涉及商业机密时，这种“不便”恰恰是必要的。
普通用户能做什么？最直接的办法是关掉本地录制，改用云录制。云录制虽然也要信任腾讯的服务器，但至少密钥不在你硬盘上。如果非要本地录制，录完后立刻把文件移动到加密盘，比如BitLocker或VeraCrypt容器里。别指望腾讯会议的下个版本能彻底解决——只要架构不变，这类漏洞就会换个形式再出现。
写到这里，我想起一个做投资的朋友。他每次开完投决会，都会手动把腾讯会议的录制文件夹整个删掉，再用文件粉碎机覆写三遍。我问他累不累，他说：“累。但比起泄露一个亿的案子，这点累不算什么。”安全这件事，从来都是成本换风险。腾讯会议选择了低成本，用户就得自己补上剩下的。