數十美元智慧眼鏡爆資安漏洞 藍牙連線無密碼恐遭竊錄

近日有研究發現，市面上兩款價格落在澳幣 60 元至 110 元（約新台幣 1,250 至 2,300 元）的廉價智慧眼鏡（可拍照錄影的穿戴裝置），在脫離其擁有者的智慧型手機連接後，只要在藍牙通訊範圍內，攻擊者無須密碼即可輕易駭入。這項由澳大利亞廣播公司（ABC Australia）進行的測試顯示，駭客可以遠端操作這些智慧眼鏡，擷取新的照片和影片、複製已儲存的媒體檔案，甚至攔截眼鏡與手機之間傳輸的資料。

資安專家 Daniel Crees 指出，與 AirPods 或三星耳機等一般藍牙耳機不同，這些廉價智慧眼鏡在配對機制上存在明顯差異。耳機通常需要使用者透過實體按鈕進行數秒的操作，才能與新的裝置配對，藉此驗證持有者身分。然而，受測的智慧眼鏡卻缺乏此類物理驗證步驟。

問題的核心在於智慧眼鏡對智慧型手機的依賴性。由於眼鏡框體內的電池、無線通訊模組和處理器體積有限，目前大多數智慧眼鏡仍需透過藍牙或 Wi-Fi 連接手機，以執行運算、網路連接、儲存備份及存取人工智慧功能。這種依賴關係反而形成資安漏洞，因為智慧眼鏡與手機之間的「握手」過程，是進行身分驗證的關鍵時刻，而廉價產品往往對此環節的驗證不足。

此外，搭配使用的 HeyCyan 應用程式及其網路服務也被指出存在弱點。若智慧眼鏡能接受任何符合正確通訊協定的應用程式連線，那麼該應用程式便形同附近所有智慧眼鏡的萬用遙控器。一旦眼鏡脫離手機連線，便會主動廣播自身訊號等待連線，此時將暴露出可被入侵的弱點。

防禦智慧眼鏡的資安面臨多重挑戰，包括硬體效能與電池限制、缺乏螢幕或鍵盤以供確認身分、韌體/應用程式/網路服務之間複雜的信任模型，以及針對廉價白牌產品的軟體更新問題。儘管高價的 Even Realities G2（售價 599 美元）和 Ray-Ban Meta（售價 299 至 609 美元）等產品，其製造商因聲譽風險和媒體監督而有更強烈的動機確保驗證和修補漏洞，但單純的價格高低並不能完全保證產品安全。

專家建議，消費者在選購和使用智慧眼鏡時，可採取多項措施降低風險：優先選擇提供公開支援政策的知名品牌、仔細檢查產品的配對方式、在閒置時關閉藍牙發現功能、不使用眼鏡時將其關機，以及定期審查應用程式的權限設定。未來，預計將有更嚴格的配對標準、針對網路攝影機和人工智慧資料流的監管、更清晰的資安定價分級，以及在高階機種中蜂巢式連網功能的普及。