安全研究员发现联想指纹U盘未加密，用OpenAI Codex破解多家厂商保护机制

安全研究员Xusheng Li在3月的会议演讲及后续博客中披露，联想（Lenovo）旗下ThinkPlus FU100指纹识别U盘虽标榜具备AES-256硬件加密功能，但内部实际仅为一块未加密的普通SD卡。指纹模块仅用于开启USB连接权限，一旦设备落入物理接触者手中，数据可被轻易读取。Li指出，“硬件安全”有时纯属营销话术。

在近期的跟进研究中，Li使用OpenAI推出的编程辅助工具Codex，结合逆向工程手段，对其他声称具备安全保护的USB存储产品进行了自动化分析。结果显示，Netac的工具因程序内嵌固定密钥且将用户密码写入诊断日志，约7分钟即被破解；KakaSoft的USB复制保护软件允许Codex在约26分钟内重建内部密码以解密测试文件；Nexcopy的Copy Secure方案则在约10分钟内被攻破，其密钥可通过查看器应用中内置的证书解锁。此外，SecZure的YutianDun产品被发现存在两个隐藏的后门账户，配有简单密码。

针对联想的漏洞，官方已发布高严重性安全公告，要求用户联系中国服务热线进行固件升级或更换设备，并强烈建议在送修前备份并擦除数据。对于其他厂商，Li表示未向KakaSoft、Nexcopy和SecZure发出预警，理由是已流入攻击者手中的设备难以召回或更新。他建议用户自行验证安全声明，并指出“客户端验证永远是不安全的”。截至其3月演讲时，Netac尚未提供补丁。