TREE NEWS 报道， 慢雾创始人余弦发文指出，新版Telegram支持在消息中直接嵌入“应用”，但缺乏沙盒保护，其使用的QuickJS可能成为恶意代码触发执行的途径。他表示，这一设计容易引入不必要的风险，并指出当前AI漏洞挖掘和利用能力已远胜从前，建议用户暂缓更新Telegram。
慢雾余弦：Telegram消息嵌入应用无沙盒保护，存恶意代码执行风险
AI 解读
这条消息的分量在于攻击面从链接与文件转移到了消息本身：嵌入应用若没有沙盒隔离，收消息这个动作就可能成为代码执行的入口，而QuickJS作为执行引擎被点名，意味着风险落在解析层而非用户操作层。受影响最直接的是已更新到新版Telegram、且身处高价值群组或频繁接收陌生消息的用户，加密行业从业者尤其如此。值得观察的是Telegram是否会在后续版本中补上沙盒或权限限制，以及在AI辅助漏洞挖掘能力提升的背景下，这类客户端侧风险被发现的节奏是否加快。
由 AI 生成，仅供参考。