2008年夏天，腾讯我蹲在网吧里，漏洞用一台屏幕泛黄的腾讯CRT显示器，亲眼看着朋友把一串代码粘进QQ对话框。漏洞回车按下，腾讯对方头像秒变离线。漏洞再上线时，腾讯聊天记录里的漏洞每条消息都多了一行小字——"该消息已被系统拦截"。那是腾讯QQ历史上最著名的"幽灵消息"漏洞，利用的漏洞是腾讯服务器对特殊Unicode字符的解析缺陷。

这个漏洞的腾讯骚操作在于，它不需要任何黑客工具。漏洞你只要把一段特定的腾讯十六进制字符复制粘贴，就能让任意QQ号进入"假死"状态。漏洞更离谱的腾讯是，被攻击的人根本不知道自己中招了，因为从表面看，一切正常。我朋友当时用这个漏洞整蛊了班花，害得人家以为电脑中毒，抱着主机去了趟电脑城。后来腾讯紧急修复，但那个夏天的网吧里，已经流传出各种魔改版本。

真正的重头戏在2015年。那会儿移动端QQ刚普及，有个安全研究员发现，通过构造特定的图片文件，可以直接远程执行代码。简单说，就是有人给你发一张看似正常的风景照，你一点开，对方就能控制你的摄像头和麦克风。我当时在科技媒体实习，亲眼看着漏洞报告提交给腾讯SRC，三天后官方静默更新。没有公告，没有致谢，连漏洞编号都没公布——这种处理方式，在圈内被戏称为"暗改"。

最讽刺的是QQ的"隐身"功能。2018年有个漏洞，能让用户看到隐身状态下的好友，原理是调用了一个未公开的加密协议接口。有程序员专门写了插件，在淘宝上卖5块钱一份。我买来试过，确实能看到某个同事的在线状态——那家伙每天假装不在线，其实在偷偷玩QQ空间农场。这个漏洞存在了四个月才被堵上，期间腾讯的客服工单系统被"如何查看隐身好友"的提问刷爆了。

还有些漏洞纯粹是设计逻辑的锅。比如2019年的"群文件穿透"漏洞，只要你在群里发一个特定命名的压缩包，就能绕过群管理员的文件审核。有人用这招在家长群里传了整部《甄嬛传》的压缩版，群主怎么删都删不干净，最后只能解散群聊重开。这种漏洞不涉及高深技术，纯粹是腾讯的后台对文件名过滤规则考虑不周。

我印象最深的是2021年的"表情包炸弹"漏洞。一个精心构造的GIF动图，能让接收方的QQ直接闪退，重开之后聊天记录全部错乱。有个同事用这招对付了甲方，把对方气得在微信上骂了半小时——注意，是微信，因为QQ已经没法用了。这个漏洞暴露了腾讯对图片解码库的维护有多懈怠，那套老旧的libwebp版本用了整整三年。

说到底，QQ的漏洞史就是一部腾讯的安全响应史。有些漏洞是技术欠账，有些是产品经理脑洞大开留下的后门。但最让我感慨的是，每次漏洞曝光后，腾讯的修复速度都不慢，可他们从不主动披露细节。这种"闷声补锅"的风格，让漏洞在民间始终保持着神秘色彩。直到现在，还有人在暗网上交易老版本QQ的漏洞利用工具，价格从几百到上万不等。

前两天我翻出那个2008年的漏洞代码，试着在最新版QQ上运行，界面直接弹出"检测到异常操作"。十六年过去，那个在网吧里对着屏幕傻笑的少年早就入了行，而腾讯的安全团队，终于学会了把所有请求都套上沙箱。但每次看到QQ更新日志里那句"修复若干已知问题"，我总会想起那些年漏洞带来的混乱与乐趣——那是一个安全产品还在野蛮生长的时代，而QQ，恰好是那面最显眼的靶子。