那只棕色的玩具毛绒熊，肚子里塞的安全不只是棉花。2015年，漏洞安全研究员Matt Jakubowski拆开女儿的玩具“你好芭比”后，发现了一个未加密的安全蓝牙模块。任何人站在房子外面，漏洞就能让这只熊开口说话。玩具他说了句什么，安全我已经忘了，漏洞但那个画面一直留在脑子里——一个父亲坐在餐桌前，玩具手里攥着螺丝刀，安全面前躺着他女儿最爱的漏洞玩具，而玩具的玩具塑料声带正被一个陌生人远程操控。

这不是安全孤例，但它的漏洞荒诞感很典型。玩具行业做智能硬件，思路和做手机的人完全两回事。手机厂商知道要打补丁、要加密、要定期更新，玩具公司想的是“怎么让这只熊在货架上唱歌”。安全预算？那是什么，能吃吗。于是你看到大量儿童智能玩具用着默认密码、明文传输、甚至把孩子的语音记录直接扔在未加密的服务器上。德国2017年禁售了一款叫“My Friend Cayla”的娃娃，因为它内置的蓝牙模块能被轻易劫持。禁令下来之前，已经有家长发现娃娃会突然说出奇怪的话。不是灵异事件，是隔壁有人连上了它。

更麻烦的是数据去向。很多玩具的语音交互功能，背后是云端语音识别服务。孩子对着玩具说“我讨厌弟弟”，这句话可能被录下来，上传，存进某个数据库，用来训练模型。厂商的隐私政策通常写得像天书，家长点“同意”的时候，根本不知道自己在同意什么。我翻过几份这类政策，有的写着“可能收集用户与设备的互动内容”，而“互动内容”的定义，宽到可以装下一整个童年。

供应链也是个大坑。玩具品牌商通常不自己写固件，找代工厂，代工厂再找方案商，方案商从开源社区扒一段代码，改吧改吧就烧进去了。每一层都觉得安全是下一层的事。结果就是，一个深圳的小方案商用了某个老旧的蓝牙协议栈，漏洞一路传到美国超市货架上的那只熊里。没人知道。直到有人拆开它。

监管在追，但追得很吃力。美国加州有个法案要求智能玩具必须达到基本安全标准，欧盟的GDPR把儿童数据列为特殊类别。问题是，法规管得住品牌商，管不住那些在电商平台上卖十几美元一个的杂牌货。你搜“智能玩具”，翻几页，能看到一堆没有品牌、没有官网、没有隐私政策的产品。它们的包装上印着“适合3岁以上”，但没人告诉你，3岁孩子的语音数据会被发到哪里。

我自己的判断是，这事短期内好不了。玩具的更新周期太短，一个型号卖一季就下架，厂商没有动力给旧玩具推安全补丁。而且儿童产品的利润薄，安全投入在财报上看不见回报。家长能做什么？买之前查一下有没有已知漏洞，关掉不必要的联网功能，如果玩具带麦克风，不用的时候把电池抠了。听起来很麻烦，但比让一只熊替你养孩子强。

那只棕色毛绒熊现在还在我书架上。我没装电池，它就是个普通的、不会说话的玩具。有时候我觉得，这可能是它最安全的状态。