摘要：近日，一则有关国产芯片安全隐患的消息引发广泛关注。据 Bleeping Computer 报道，中国无线通信芯片公司乐鑫科技（Espressif Systems）的 ESP32 微芯片被发现包含可用于攻击的未记录命令，这一发现或将对众多采用该芯片的设备带来潜在

近日，一则有关国产芯片安全隐患的消息引发广泛关注。据 Bleeping Computer 报道，中国无线通信芯片公司乐鑫科技（Espressif Systems）的 ESP32 微芯片被发现包含可用于攻击的未记录命令，这一发现或将对众多采用该芯片的设备带来潜在风险。

ESP32 是一个支持 Wi-Fi 和蓝牙连接的微控制器，因其出色的性能和低功耗特性，自问世以来便在物联网等领域得到极为广泛的应用。截至 2023 年，已有超过 10 亿台设备采用了 ESP32 芯片 ，涵盖智能家电、工业控制、医疗设备、手机、计算机等多个品类，从日常智能家居中的智能灯泡、智能门锁，到工业环境监测传感器，再到医院的一些便携式医疗监测设备等，到处都有它的身影。

此次发现源于西班牙安全研究公司 Tarlogic Security 的研究人员 Miguel Tarascó Acuña 和 Antonio Vázquez Blanco。在马德里举行的 RootedCON 安全会议上，他们展示了这一惊人发现。通过深入研究，他们发现利用在 ESP32 中检测到的这些未记录命令，恶意行为者能够模拟攻击，绕过代码审计控制，进而永久感染如手机、计算机、智能锁或医疗设备等敏感设备。

Tarlogic 的研究人员在 RootedCON 演讲期间提到，近年来人们对蓝牙安全研究的兴趣有所减弱，但这并非因为蓝牙协议或其实现变得更加安全。实际上，去年提出的大多数蓝牙攻击由于缺乏可用工具、不适用于通用硬件，以及使用与现代系统不兼容的过时或未维护工具，导致难以实施。为了改变这一局面，Tarlogic 开发了一种新的基于 C 的 USB 蓝牙驱动程序。该驱动程序具有独立于硬件和跨平台的特性，允许在不依赖操作系统特定 API 的情况下直接访问硬件，为深入研究蓝牙设备的安全性提供了有力工具。

借助这一全新工具，Tarlogic 团队在 ESP32 蓝牙固件中发现了隐藏的供应商特定命令（操作码 0x3F），这些命令支持对蓝牙功能进行低级控制。经进一步探索，他们总共发现了 29 个未记录的命令，这些命令统称为 “后门”，可用于内存操作（读 / 写 RAM 和 Flash）、MAC 地址欺骗（设备冒充）和 LMP/LLCP 数据包注入 。由于乐鑫并未公开记录这些命令，因此它们要么不应被访问，要么是在开发过程中被错误地留下的。目前，这个问题已在 CVE-2025-27840 下进行跟踪。

这些未记录命令产生的风险不容小觑，包括 OEM 级别的恶意实现和供应链攻击。从技术原理上看，根据蓝牙栈处理设备上 HCI 命令的方式，如果蓝牙栈存在漏洞，那么攻击者就有可能通过恶意固件或恶意蓝牙连接远程利用这些命令。特别是当攻击者已经拥有设备的根访问权限，能够植入恶意软件或推送恶意更新，从而打开设备的低级访问权限时，设备面临的风险将大大增加。

不过，在通常情况下，物理访问设备的 USB 或 UART 接口的风险要大得多，也是更现实的攻击场景。研究人员向 BleepingComputer 解释说：“在使用 ESP32 攻击物联网设备的情况下，攻击者可以将高级持续性威胁（APT）隐藏在 ESP 内存中，并通过 Wi-Fi / 蓝牙控制设备，对其他设备进行蓝牙（或 Wi-Fi）攻击。我们的发现将允许攻击者完全控制 ESP32 芯片，并通过允许 RAM 和闪存修改的命令在芯片上获得持久性。” 此外，由于 ESP32 支持执行高级蓝牙攻击，芯片的这种被控制的持久性状态还可能会传播到其他与之连接的设备，造成更大范围的安全隐患。

面对这一指控，乐鑫科技在 3 月 10 日通过官微发布初步澄清，表示 Tarlogic 研究团队发现的是用于测试目的的调试命令，并不是所谓的后门，原表述存在误导，并被媒体误导放大。乐鑫科技指出，这些调试命令是乐鑫 ESP32 芯片在实现 HCI（主机控制器接口）协议时的一部分，该协议用于蓝牙技术的内部通信，主要用于产品内部不同蓝牙层之间的通信。同时强调，这些属于内部调试命令，仅供开发人员使用，无法远程访问，也没有远程访问风险，无法通过蓝牙、无线电信号或互联网触发，因此不会导致 ESP32 设备被远程攻击 。而且该发现仅针对第一代的 ESP32 芯片，新的 ESP32 系列芯片已经更换了架构，包括 ESP32-C 系列、S 系列、H 系列等都不再存在该事项。

Tarlogic 官网也于 3 月 9 日对原发现做了更新和澄清，将上述指令用 “hidden feature”（隐藏功能）替代 “backdoor”（后门），表示使用这些命令可能会促进供应链攻击、隐藏芯片组中的后门或执行更复杂的攻击。

随着物联网设备的普及，芯片的安全性愈发重要。ESP32 芯片被广泛应用，其安全问题影响范围极大。此次事件无论最终定论如何，都为整个芯片行业以及物联网产业敲响了警钟。一方面，芯片厂商在追求性能与功能的同时，必须更加重视芯片的安全性设计，加强对开发过程的管控，避免类似未记录命令或调试命令可能带来的安全风险；另一方面，设备制造商在选用芯片时，需要对芯片的安全性能进行全面评估，并且在产品全生命周期中持续关注芯片相关的安全问题，及时采取措施应对潜在风险。对于广大用户而言，也应增强安全意识，关注设备的安全性更新，以保障自身设备和数据的安全 。后续，随着 Tarlogic 计划在未来几周公布完整技术细节，以及乐鑫科技进一步的举措，这一事件的走向值得持续关注。

来源：人工智能学家