Vision Pro虚拟键盘输入漏洞已修复

（XR导航网 2024年09月13日）据《Wired》报道，六名计算机科学家发现了一种针对Apple Vision Pro的新型攻击方式GAZEploit。该攻击利用视频通话期间监控Persona的眼动数据，重建用户输入的内容，包括密码、个人识别码和信息等等。

当使用Persona进行键入操作时，系统會显示一个虚拟键盘，而Persona的眼睛会精确地映射实际的注视方向。研究人员正是利用这一特性，根据相关眼动数据来重建用户输入的内容。由于用户在键入密码、个人识别码等信息时，眼睛的注视方向会呈现出规律性的变化，因此攻击者可以通过分析眼动数据，还原用户输入的具体内容。

为了提高攻击成功率，研究人员甚至开发了一个神经网络，用于判断用户是否正在键入文本。该神经网络可以根据用户眼动数据的特征，例如注视方向的集中程度、眼动模式的周期性以及眨眼频率的变化，来识别用户是否正在进行文本输入。

研究团队对30名Apple Vision Pro用户的眼球运动进行了分析，最终实现了高达85.9%的精度。除了窃取密码外，GAZEploit还可以通过视频通话窥探Apple Vision Pro用户输入的消息和网站地址。

值得注意的是，研究人员在4月份就向苹果披露了这一漏洞，苹果随后在7月份发布的visionOS 1.3中解决了该问题。在该版本系统中，当Apple Vision Pro的虚拟键盘启用时，系统将会暂停Persona，防止攻击者利用眼动数据获取用户隐私。

尽管苹果并未发现这种概念验证攻击的实际应用，但建议Apple Vision Pro用户尽快更新系统版本，确保设备安全。