凌晨三点，巨型手机屏幕亮了一下。漏洞推送通知写着“系统更新可用：2.4GB”。下载我点了“稍后”。巨型第二天早上醒来，漏洞它已经自己下完了。下载我根本没同意。巨型

这不是漏洞第一次。上个月是下载1.8GB，上上个月是巨型900MB。每次都说“安全补丁”“性能优化”，漏洞但手机该卡还是下载卡，该烫还是巨型烫。我翻了一下更新日志，漏洞全是下载“修复了若干问题”“提升了稳定性”这种废话。你根本不知道它到底改了什么。

真正让我警觉的是上周的事。一个做逆向工程的朋友发来截图，他在自己的路由器固件里发现了一段没见过的代码。那段代码会定期向一个IP地址发送加密数据包，频率是每六小时一次。他查了那个IP，注册地在东欧。路由器是某大牌，去年买的，固件一直自动更新。

“巨型漏洞”这个词听起来像科幻片。但现实是，我们每天用的设备里塞满了我们根本不理解的代码。每次自动更新，都像是在家里让陌生人进来转一圈。他可能只是修了漏水的水管，也可能顺便在墙角装了个摄像头。你没法知道。

我另一个朋友在智能电视上发现了类似的东西。电视待机时会上传大约200MB的数据，内容未知。他抓包分析，发现里面包含他观看记录的时间戳、设备MAC地址、甚至房间里的环境噪音采样。电视说明书里没提这个。隐私政策里倒是有句话——“可能收集设备使用数据以改进服务”——但没人会读那玩意儿。

这些更新包动辄几个GB，里面到底装了什么？我试着解压过一个安卓系统更新包，里面有两万多个文件。大部分是标准库和驱动，但总有几百个文件没有签名，没有文档，命名像乱码。你没法判断它们是干嘛的。安全研究者管这叫“二进制黑箱”。

更麻烦的是，你没法拒绝。手机不更新，某些App就打不开。路由器不更新，厂商说“存在安全风险”。电视不更新，流媒体服务直接罢工。整个生态在逼你接受。所谓的“选择权”就是个笑话。

我认识一个系统管理员，他管着公司两百多台设备。去年他决定暂停所有自动更新，手动审核每一个补丁。结果两周后，财务系统崩了——因为某个关键插件只兼容最新版操作系统。他被迫恢复自动更新。现在他每天花半小时看日志，但他说“基本是自我安慰”。

这不是阴谋论。厂商确实在修漏洞，也确实在加功能。但在这个过程里，他们塞进去的东西越来越多。代码量每十八个月翻一倍，审核根本跟不上。一个更新包里混进几百行恶意代码，完全可能。供应链攻击早就不是新闻了。

我现在的做法很笨：把不重要的设备断网，重要的设备手动更新，每次更新前备份。麻烦，但至少我知道自己点了“同意”。至于那些半夜自己下载的巨型文件——我关掉了自动更新，然后发现电池续航好了不少。

这大概就是代价。你想要安全，就得接受不透明。你想要透明，就得自己动手。没有中间选项。