9月16日晚上，一家做黑灰产情报的团队「威胁猎人」，把同一条实测视频发上了小红书和B站。标题只差了一个词：小红书版叫「反常识！你的智能设备，陌生人能不能控？」，B站版直接把引号加在了那个品类上——「反常识！你的"小玩具"，陌生人能不能控？」。 两版简介里都写着同一句话：如果一个完全陌生的人，没有你的账号、也没有你的授权，却能让你的设备动起来呢？哔哩哔哩小红书
评论区当晚就裂成了两半。小红书这边，前排是「那不是更刺激[笑哭R]」「哪款可以，想要个」；B站那边，277次收藏里夹着两种完全相反的声音：一条12赞的高赞评论说「普通人又没办法规避，你如何知道你买的产品的加密方式呢」，另一条说「我操控它的目的总得先看得见你对吧，我都看不见你，按冒烟了又能怎样」。哔哩哔哩
吵归吵，有一个事实先摆清楚：这条视频截至发稿，两个平台都没有公布「9款」到底是哪9款，也没给出逐款结果清单。小红书版还带着平台的「含AI生成内容」声明，简介里明确写着「视频内容为安全科普，非商品推广或售卖」。所以第一件要做的事不是对号入座，而是把这场实测当什么——它回答的是「这类风险在市面上存在不存在」，不是「你手里那台中没中招」。后面如果流传出什么「品牌中招清单」，先核对它是否在视频公布的范围内再说，别急着删APP。小红书
先把「被陌生人开起来」拆开看：你面对的根本不是一个问题
B站评论区里一位做蓝牙控制开发的从业者（11赞）把门道说透了：大量带蓝牙功能的玩具，MCU固件是外包出去的，产品程序只做了「控制端App+设备端收指令」这一层，通讯内容就是裸发的字符串，没有加密、没有校验、没有认证。另一位网友补了一句更扎心的：「控制码都直接丢网上的」（16赞）。这条链路的含义是——攻击者不需要你的账号密码，他只需要在无线电覆盖范围内。哔哩哔哩
但社区里真正睡不着的人，怕的其实不是「动起来」。把去年11月到今年9月的事件按时间排一遍，会看到另一条更长的线：
2024年8月，品牌「享要」发「App版即将上线，无视距离的远距离控制」的宣发（255赞、109收藏）；此后一整年，「小怪兽」们把「异地恋神器」「手指突破次元壁」做成了标配卖点，2026年7月的知乎品牌榜文里，「以APP智能控制和互动玩法见长」甚至被写进了Top3的上榜理由。知乎
2025年11月18日，KISSTOY被用户曝光：购买者称被自称品牌前员工的人骚扰，对方声称能在系统后台看到她「实时定位」；品牌声明情况不属实，极目新闻随后以「成人用品APP访问用户定位是何居心」发评论，#成人用品品牌保护用户隐私是底线# 上了话题栏。极目新闻
同一天，一条538赞的微博说出了大多数女性用户的心态：「虽然现在的女性玩具都开发出了小程序或者软件，可以调节模式、可以异地使用，还是希望大家谨慎一点……任何一个环节出现数据泄漏，个人隐私真的很容易暴露」。微博
看懂了吧：实测视频测的是「设备控制通路」，而社区里真实发生的伤害案例，全部来自「数据通路」——定位、配对记录、使用时间、异地授权对象。前者让人社死，后者才让人睡不着。而你现在买的所谓「智能款」，多数同时走着这两条路。
「我根本没法核验厂商的加密水平」——这句高赞吐槽，其实说对了一半
说它对，是因为「用了什么加密算法」「固件是不是外包」这两件事，普通买家确实查不到，详情页写「银行级加密」你也只能选择信或不信。
说它只有一半，是因为买家真正能动手核验的从来不是加密等级，而是这台机器把哪几条路暴露给了网络。这部分，下单前的详情页、参数表和评论区就能看：
3分钟可核验项 | 看什么 | 为什么值得看 |
|---|---|---|
离线能不能跑 | 商品问答里搜「不连APP能用吗」「蓝牙关掉能不能开机」 | 基础档位不依赖APP的机器，等于把控制通路和数据通路解耦了；全靠APP驱动的才是重灾区 |
配对方式 | 说明书截图、问大家、买家秀 | 需要当面按配对键、近距离才连得上的（本地蓝牙），和「发个邀请链接谁都能控」的，不是一个物种 |
权限要什么 | APP详情页的权限列表 | 玩具App要你开定位、通讯录、相册的，权限和功能不匹配，这条不用犹豫 |
事故记录 | 搜「品牌名+定位/泄露/避雷」 | KISSTOY 风波之后，品牌怎么声明、怎么补偿、有没有整改动作，比任何安全话术都真实 |
连接稳定性 | 实测视频的小红书评论区就有现成答案 | 断连不是质量差，是这台机器的控制只走本地信号——它本来就不该稳，原话见下一段 |
那条42赞的评论，原话是「带远程控制的几乎都不好用，手机离玩具远点就连接失败」。 最后一条是整场讨论里最反常识的一点：「异地神器」和「离一点就断连」不是同一台机器的好坏，是两种完全不同的风险定价。 能隔着一千公里控制的机器，指令必须过厂商的服务器，你的使用记录也就顺手存在了人家云上；只能在枕头边连上的机器，难用到让你怀疑人生，恰恰是它没把路开到公网上的证据。选购的时候先问自己要哪份体验，再接受哪份暴露，别指望一台机器两头占。小红书
分人群：该走哪条路
只要模式、定时、震动档位的：按钮款或有线遥控款就够了。B站评论区最高频的技术党建议就是这句「老老实实用有线的多好」——它同时绕开了无线电攻击面和数据通路。为「智能」两个字付的溢价，这部分人一分都不用花。
确实需要异地互动的（异地情侣、远程玩法）：你买的就是「数据上路」这件事本身，那就把它当成消费条款来签：选APP权限克制的款，配对密码默认值必须改，不用的时候关掉APP授权或整机断电，定期走一遍账号注销/数据删除。别选把「邀请好友来操控」当卖点往外推的款——邀请链接意味着控制权会随链接一起流动，它转给谁、谁存了档，你和品牌都不知道。
已经买了、刷完视频开始焦虑的：先别急着退货。第一步不是删APP（删了等于白花钱），是回到离线模式——几乎所有APP款的手动档位本来就独立于手机；第二步改配对码和账号密码；第三步检查这个品牌的账号体系能不能注销、注销后数据怎么处理，处理不了，下一台再换。
接下来盯什么
三个还没出结果、但会直接改写这份清单的信号：一是威胁猎人这条视频还没公布9款机型和逐款结果，如果后续放出清单，本文第二节的「可核验项」优先级要重排；二是KISSTOY定位风波至今没有公开的事故调查结论，品牌方的那份「不属实」声明有没有第三方验证，值得盯；三是监管面刚刚冒出的新苗头：9月19日开始征求意见的国务院网络未成年人保护新规里，第一次把「虚拟伴侣等亲密关系服务」写进了面向未成年人的禁止清单。 它约束的是「向未成年提供」，成年人的互联玩具App暂时不在射程内，但这说明「亲密关系类App」已经进入了规则文本的视野，哪天它被写进数据安全条款，才是「无法核验加密」这句话真正失效的时候。哔哩哔哩
在那之前，这份实测视频能给你的，不是恐慌，也不是免死金牌。它只是把选择摆回了每个人面前：你要的是那根能跨过一千公里的手指，还是一个只属于你自己的开关。想清楚这个，再去花钱。
