腾讯QQ聊天漏洞，腾讯这事我得说点实际的聊天漏洞。二〇二三年初，腾讯我亲眼见过一次——不是聊天漏洞别人转述，是腾讯我自己电脑上弹出来的东西。

那天晚上十一点多，聊天漏洞一个多年没联系的腾讯老同学突然发来一条消息，就仨字：“在吗？聊天漏洞”我回了个“在”，紧接着他甩过来一个压缩包，腾讯说是聊天漏洞同学聚会照片。我正要接收，腾讯QQ安全中心突然弹出警告：该文件疑似包含木马程序。聊天漏洞我愣了一下，腾讯再看他头像——明明在线，聊天漏洞却再没回过我一句话。腾讯

后来才知道，他账号早被盗了，那个“在吗”是脚本自动发的，压缩包里是个远控木马，专门抓QQ窗口里的聊天记录。这不是个例。腾讯的漏洞往往不在加密算法上，而在那些最不起眼的边角功能里——文件传输的临时链接、群公告里的外链跳转、甚至表情商店的缓存机制。

有个细节特讽刺。QQ的聊天记录本地存储是加密的，密钥却藏在同一个安装目录下，跟保险柜钥匙挂在保险柜旁边一个道理。懂点逆向工程的人，半小时就能扒出来。腾讯这些年一直在打补丁，但架构是二十年前定的，改起来牵一发动全身，很多老漏洞修了又犯，犯了再修。

再说个更邪门的。去年有个安全研究员发现，QQ的“面对面快传”功能在特定网络环境下会广播设备信息，包括你的手机型号、IP地址、甚至当前WiFi的SSID。这功能本意是方便同局域网传文件，结果成了定位追踪的帮凶。你坐在咖啡馆连上公共WiFi，旁边有人开着抓包工具，就能看到你的QQ号在广播——然后顺着这个号找到你的社交关系链。

最让人无语的是，这类漏洞的披露流程。安全圈里有人私下报给腾讯，得到的回复经常是“已知悉，后续版本修复”，然后就没了下文。有些漏洞从发现到修复拖了整整一年。期间该用的还在用，该偷的还在偷。

我自己后来做了个实验。拿一个废弃的QQ号，往群里发了张带定位信息的图片，再用另一台设备登录同一个号——你猜怎么着？图片的EXIF数据直接暴露了我拍摄时的经纬度，精确到十米内。而QQ的图片压缩算法，根本没把EXIF信息剥离干净。这不是黑客技术，是基本常识缺失。

所以别迷信什么“腾讯安全实力雄厚”。真实情况是，QQ聊天漏洞就像老房子的裂缝——表面刷了漆，里面砖缝早就松了。你每天在上面聊工作、谈感情、传文件，其实都在一个漏风的屋子里走动。哪天风大了，谁也不知道哪块砖先掉下来。

说这些不是劝你卸载QQ，毕竟社交关系绑在那。但至少记住：别在QQ里聊密码、身份证号、银行卡信息。真要传敏感文件，用端到端加密的软件，或者干脆见面说。漏洞修不修是腾讯的事，防不防是你自己的事。