会议室没人，电脑锁着，桌上一只长条音箱还亮着蓝牙灯。它另一头接着主机的 USB 口。
平时它只是放会议声音，偶尔让人用手机连一下播段音频。没人会把它当成一台需要登记、打补丁、管权限的设备。它太像“配件”了。
Rasmus Moorats 研究的新加坡 Creative Technologies Sound Blaster Katana V2X，麻烦就在这里。问题不是“音箱会不会偷听”，而是攻击者有没有可能只要进入蓝牙范围，就借这只音箱碰到电脑。
先把边界钉住：这不是“蓝牙音箱都能感染电脑”。目前材料至少指向 Creative Sound Blaster Katana V2X，这是一款售价约 283 美元、可通过 USB 或 Bluetooth 连接 PC、Mac 和 Linux 设备的长条音箱；材料里也提到前代 Sound Blaster V2。除此之外，不能把它扩大成所有 USB 音箱、所有 Creative 产品都有问题。
但它提醒了一件很容易被忽略的事：长期插着 USB、同时开放蓝牙的外设，可能比员工电脑更少被审计，却更适合夹在电脑和外界之间。
攻击入口不一定在屏幕前
过去说电脑被打进去，画面很固定：有人点了钓鱼邮件，插了来路不明的 U 盘，或者某个远程服务没打补丁。
Moorats 这个案例换了个方向。攻击者不碰电脑，不坐到键盘前，也不需要把恶意设备插进 USB 口。只要进入一只已连接电脑的音箱的蓝牙范围内，就有可能从音箱那边下手。
原文里的设问很直白：远程代码执行会不会简单到“只要处于连接目标设备的音箱蓝牙范围内”？
这句话听起来像标题党，但它说的不是泛泛的“蓝牙危险”，而是一个更窄的条件：这只音箱一边通过蓝牙和外部设备通信，一边通过 USB 接在主机上。
麻烦在这个位置。
正常情况下，操作系统会把“远程网络来的东西”和“本地 USB 外设来的东西”分开看。企业也会重点防邮件、防浏览器、防远程登录。可会议室电脑上插着的音箱，通常没人管。它被默认是干净的。
如果一个外设把蓝牙侧收到的某些命令，变成 USB 侧能影响主机的交互，事情就不一样了。
这里很容易讲过头。普通蓝牙放歌不是远程
代码执行，USB 音频输出也不是远程代码执行。真正该盯的是那一步：从无线侧到 USB 主机侧，设备有没有做不该做的转发、代理、控制；主机又是否把这些来自外设的行为当成可信输入。
我以前做模型部署时遇到过类似错觉，只不过那是在软件系统里。大家盯着大模型接口会不会泄露数据，盯着提示词会不会被注入，却忘了旁边那个“辅助服务”有管理员权限，日志里存着 token，还能访问内网。最后出问题的，往往不是最显眼的模型，而是没人认真盘点的小组件。
外设也是这样。越像配件，越容易被放过去。
这不是两只喇叭加一根线
Sound Blaster Katana V2X 不是被动发声的盒子。
现在的会议室长条音箱、USB 摄像头、视频会议一体机、蓝牙耳机、智能扩展坞，很多都有固件，有配置工具，有厂商 App，有升级机制，也有自己的通信协议。它们能记住音量、灯效、输入源、均衡器，还会和电脑端软件交换状态。
用户看到的是“插上就能用”。工程上不是这么简单。
Moorats 最初也不是冲着“我要证明音箱能打电脑”去的。他只是想在 Linux 上研究怎么和这只音箱通信，让设备在 Linux 上更好用。于是他开始看 Creative 的通信机制，最后发现了 CTP。Moorats 猜测，CTP 可能是 Creative Transport Protocol 的缩写。
私有协议本身不等于漏洞。硬件厂商做自己的控制协议很常见，系统标准接口不够用，产品功能要统一，App、驱动、固件更新都要配合。
问题是，私有协议经常少人看。安全边界写在厂商自己的实现里。设计时如果默认“能连上设备的人就是可信的”，到了办公室这种地方就会出事。
蓝牙范围也不是保险柜。
一间会议室的蓝牙范围，可能覆盖走廊、隔壁工位，甚至玻璃墙外的公共区域。很多设备为了方便配对，会长期保持可发现或可连接状态。更常见的是，没人知道它现在到底是什么状态。灯亮着，大家只当正常待机。
我对这类东西的警惕，来自一次很土的排障。一个客户现场的 AI 推理服务器跑得不稳，大家先怀疑驱动、显卡、容器、模型版本，折腾一圈，最后发现是一台外接采集设备固件异常，隔一段时间就在 USB 总线上重连，日志被刷爆。
它不是恶意设备。只是一个不稳定外设。
但在系统眼里，它仍然有足够权限把主机拖进泥潭。
安全问题也一样。外设不需要像服务器那样复杂。只要主机信任它、没人管它、它又能和外界通信，就够麻烦。
别把一个具体案例写成全行业恐慌
现在能确定的东西并不多。
材料指向 Creative Technologies 的 Sound Blaster Katana V2X，原文也用了“至少”这个限定；同时提到前代 Sound Blaster V2。没有足够材料证明所有 Creative 产品都受影响，更不能推出“所有 USB 音箱都有问题”。
这点必须说清楚。安全报道最常见的毛病，就是把一个具体产品、具体协议、具体条件下的问题，写成一个品类全军覆没。
这件事目前还缺几块关键信息：没有看到 Creative Technologies 的回应；没有漏洞编号；没有明确的修复版本；没有完整利用细节；也没有实际受害案例。Windows、macOS、Linux 厂商也没有在材料里给出正式表态。
所以，不能简单把锅甩给操作系统，也不能把它写成已经大规模发生的攻击。
但边界清楚，不等于可以当没看见。
中国办公室里类似设备太多了。会议室一体机长期接着主机，蓝牙音箱为了方便临时播放音频常年开着，USB 摄像头和麦克风插在公共电脑上，智能扩展坞挂着网口、HDMI、USB-A、USB-C。
采购时问得最多的是：兼容不兼容，声音大不大，会不会啸叫，价格能不能再压一点。很少有人问：固件怎么更新？漏洞怎么披露？蓝牙能不能关？私有控制协议有没有认证？设备插到电脑后会暴露哪些 USB 接口？
政府、金融、科研、制造业、高管办公室、项目评审会议室，不一定要把无线外设全赶出去。但没必要常开的蓝牙，就别常开。长期接在电脑上的设备，至少应该进资产清单。采购会议设备时，也别只让行政和音视频供应商拍板，安全团队要能问几句具体问题。对未知 USB 设备的限制，也不该只盯着 U 盘。
普通用户不用因为这个案例立刻扔掉蓝牙音箱。该改的是另一个习惯：别再把音箱、摄像头、会议设备当成“无脑配件”。
会议结束后，电脑锁屏了，门关上了，桌上的长条音箱还插着 USB，蓝牙指示灯仍然亮着。
在你的公司资产清单里，它算不算一台设备？