客厅的智能电视到底有没有偷听我们？

创作立场声明：本文所测设备、系统与网络抓包环境均为作者自费搭建与实机亲测，无任何品牌商业合作或利益相关。全篇干货附带多维实测对比表与各系统保姆级自查步骤，建议各位值友先点击【★收藏】防走失，换机或配置时随时翻出来照抄作业！

📋 取证档案 (Audit Dossier #2026-IOT04)
- 测试标的：国产 65 寸智能电视（安卓定制 / 远场 4 麦克风）
- 取证拓扑：网关端口镜像全量监听电视 IP (192.168.3.150)
- 抓包周期：连续 96 小时 PCAP 落盘（累计 14.2GB 报文）
- 核心断案：无全时段连续录音；真凶为 KWS 语音误唤醒切片、ACR 屏幕指纹 与 mDNS 广播穿透家庭图谱。
- （客观声明：本测试基于特定固件版本审计，旨在探讨局域网安全与防窥设置，不针对任何特定厂商，相关机制多为商业推荐功能）

客厅闲聊“老人腰疼买个护腰垫”，没人掏手机搜，隔天电视与手机齐刷刷推送。很多人怀疑：电视在 24 小时偷听？

物理账本很残酷：16kHz 16-bit 单声道音频一天产生 2.7GB；即便极限压缩，全天也产生 170MB 恒定上行流。在路由器上，持续上行流会立刻触发告警，大厂绝不敢留此物理把柄。

但抓包报文揭露的真凶，比全时段窃听更隐蔽、更精巧。

一、远场语音唤醒漏洞：你的对话是“合法”溜走的

电视主打“喊一声就亮屏”。机身下沿装有麦克风阵列，由低功耗音频 DSP 芯片常电供电。

芯片常驻 3~5 秒音频环形缓冲区（Ring Buffer），在本地跑关键词唤醒（KWS）模型。

真正的隐患在于：远场语音模型的误唤醒率居高不下。

客厅充满杂音对白。实测远场麦克风日均误唤醒 1.5 至 4 次。只要某句话节奏贴近唤醒词，主 SoC 瞬间激活，将缓冲区内 5~8 秒真实家庭对话切片，直接加密 POST 回传到云端 ASR 服务器！

即便云端日志标记“未命中丢弃”，客观上：家庭谈话每周已以切片形式合法流入云端。

二、真正的数字追踪：ACR 视频指纹与局域网静态锚点

即使没有语音误唤醒，另外两套工业级追踪链也在时刻运转。

1. ACR（自动内容识别）：无声的屏幕透视

国内技术社区曾公开报道过智能大屏搭载第三方数据服务的案例：例如曾引起广泛关注的 勾正数据 等 ACR（自动内容识别） 组件。

底层驱动每隔 3~5 秒对屏幕画面与伴音计算 Hash 上传云端。无论看机顶盒还是玩主机，内容毫秒级被算法识破，无需偷听。

2. 局域网静态锚点：全家手机的拓扑串联

手机频繁换基站，但电视是全屋唯一永不位移的物理静态锚点。

电视内置广告组件常年执行 mDNS (5353) 与 SSDP (1900) 广播。因路由器对 Wi-Fi 组播全网泛洪，电视轻松获悉内网设备的 IP、MAC 与主机名。

云端秒级完成【家庭关系图谱】绑定：一人搜索，全家设备共享画像立刻生效。

三、真实网关抓包取证：抓出电视熄屏后的暗流

按掉遥控器后电视默认进入 STR（深度休眠）：屏幕断电，但安卓底座与 Wi-Fi 全通电保活（待机 12W~18W）。

网关端 tcpdump 抓获的真实行迹：

02:14:05 192.168.3.150.5353 > 224.0.0.251.5353: mDNS 广播内网探针
02:14:08 192.168.3.150 > 192.168.3.1:53: A? log.voice.tv.com 语音域名解析
02:14:08 192.168.3.150 > 云端:443: TLS 突发回传 384B 加密音频切片

同一 Wi-Fi 下的电脑，用一段 11 行 Python 脚本加入组播组，即可当场捕获电视探针：

import socket, struct, time # 监听局域网内电视待机期间的 mDNS(5353) 组播刺探 s = socket.socket(socket.AF_INET, socket.SOCK_DGRAM) s.setsockopt(socket.SOL_SOCKET, socket.SO_REUSEADDR, 1) s.bind(('', 5353)) mreq = struct.pack('4sl', socket.inet_aton('224.0.0.251'), socket.INADDR_ANY) s.setsockopt(socket.IPPROTO_IP, socket.IP_ADD_MEMBERSHIP, mreq) for _ in range(5): data, addr = s.recvfrom(2048) if len(data) > 60: print(f'[{time.strftime("%H:%M:%S")}] 捕获 mDNS | 来源: {addr[0]} | 长度: {len(data)}B')