广告科技公司竟是雇佣间谍软件投递系统

一则来自 Hacker News 的讨论揭示了一个令人不安的行业现实：一家表面上从事广告科技（ad-tech）业务的公司，实际上充当了“雇佣间谍软件”（mercenary spyware）的投递系统。所谓雇佣间谍软件，通常指由私营公司开发、向政府或机构客户出售的入侵性监控工具，典型代表如 Pegasus、Predator 等。

广告科技与间谍软件的灰色交集

广告科技行业的核心能力，是在用户不知情的情况下跨应用、跨网站追踪行为、收集设备指纹并精准投放内容。这套基础设施与间谍软件的投递链路存在天然重叠：两者都依赖对移动生态的深度渗透、对用户数据的静默采集，以及对分发渠道的隐蔽控制。

这意味着，一个拥有合法广告网络身份的公司，可以借助 SDK 嵌入、流量劫持、中间人投放等方式，把恶意载荷送进目标设备，而整个过程在外界看来只是普通的广告行为。对监控工具的买方而言，这种“合法外壳”是理想的掩护；对受害者而言，威胁则几乎不可察觉。

设备指纹（device fingerprinting）是指通过收集设备硬件与软件配置的多种特征——如屏幕分辨率、操作系统版本、已安装字体、浏览器 User-Agent、时区、传感器精度等——组合成一个高熵标识符，从而在用户清除 Cookie 或更换网络后仍能持续识别同一设备的技术。它与传统 Cookie 追踪的关键区别在于：指纹信息通常由客户端被动上报，用户既难以察觉也难以删除。正因如此，设备指纹被视为广告科技实现跨应用归因的核心手段之一，同时也为间谍软件运营者提供了廉价而稳定的目标识别能力——攻击者无需植入持久化组件，即可借助广告 SDK 已采集的指纹数据完成目标筛选与确认。

SDK（Software Development Kit，软件开发工具包）在此语境下指移动应用开发者集成进 App 的第三方代码库，常见于广告变现、统计分析、推送通知等功能。一个中等规模的 App 往往集成数十个 SDK，而这些 SDK 由不同厂商维护、更新节奏各异，开发者对其内部行为通常缺乏审计能力。这种“代码嵌入代码”的结构形成了典型的供应链信任链：应用开发者信任 SDK 提供方，用户信任应用开发者，而监管者往往只能看到最外层的 App。一旦某个 SDK 被滥用或被恶意替换，其代码便可在宿主 App 的权限范围内静默运行，成为投递载荷的理想载体。

为何“投递系统”比间谍软件本身更危险

单独一款间谍软件需要针对目标设备寻找漏洞、建立持久化通道，攻击面相对明确，安全厂商也更容易针对性检测。但当投递能力被包装成广告科技基础设施时，问题性质就变了。

• 规模化：广告网络覆盖海量应用与用户，投递方可按需筛选目标，而非逐一突破。
• 隐蔽化：广告流量本身噪音极大，异常行为容易被淹没在正常商业流量中。
• 责任模糊：广告主、SDK 提供方、流量中间商层层嵌套，追责链条被刻意拉长。

这也解释了为何此类事件一旦曝光，往往牵出的是整个供应链，而非单一恶意程序。

中间人投放（man-in-the-middle delivery）在此指攻击者或投递方位于用户设备与合法广告服务器之间的链路上，拦截、篡改或替换广告响应内容，使恶意载荷以正常广告素材的形式抵达目标。常见实现方式包括劫持未加密的 HTTP 广告请求、污染广告交易平台（ad exchange）的竞价响应、或利用流量中间商在传输环节注入内容。由于广告生态本身涉及 SSP、DSP、交易所、聚合平台等多层中介，任何一层被控制都足以完成注入，而终端用户看到的仍是一次普通的广告展示。这种投放方式绕过了应用商店审核，也避开了针对已知恶意样本的特征检测。

行业信号与监管真空

据 Hacker News 上的讨论，这类事件的核心争议在于：广告科技行业的商业模式本身就建立在“未经充分同意的数据采集”之上，监管长期聚焦于隐私合规，却很少从“投递渠道”角度审视其安全风险。

当一家公司同时具备广告分发能力和监控工具交付能力时，现有的分类监管框架很难对其定性。它既不是传统意义上的恶意软件组织，也不完全符合广告平台的合规审查范畴。这种身份模糊，正是“雇佣间谍软件”产业链得以寄生的重要原因。

Pegasus 是以色列 NSO Group 开发的雇佣间谍软件，自 2016 年起被广泛报道用于针对记者、人权活动人士和政府官员的攻击，可通过零点击漏洞（如 iMessage 漏洞）远程植入 iOS 与 Android 设备，实现短信、通话、定位、麦克风与摄像头的全面监控。Predator 则由 Cytrox 开发（后经 Intellexa 联盟整合），采用类似的商业化监控即服务模式，曾在希腊、埃及等地被曝用于针对政治人物。两者共同定义了“雇佣间谍软件”行业的商业模式：漏洞研究、投递基础设施与指挥控制平台被打包为产品，向政府客户出售。理解这一背景有助于认识本文所述广告科技投递系统的定位——它未必直接等同于 Pegasus 级别的工具，但可能充当同类产业链中负责“送达”的一环。

对安全与采购的启示

对企业安全团队而言，这一事件提示移动端威胁模型需要更新：不能只盯着已知恶意样本，还要关注 SDK 供应链、广告流量异常以及与第三方数据中间商的交互。对监管者而言，广告科技公司的资质审查应当纳入安全维度，而不仅是隐私维度。

更深层的问题在于，当监控能力可以被拆解、包装、并以商业服务的形式出售时，任何看似无关的行业都可能成为其外壳。广告科技只是其中一例，却足以说明这条灰色链路已经成熟到何种程度。