研究人员在奥地利格拉茨工业大学发现，安卓、Linux、macOS和Windows等主流操作系统中，内置的文件变更通知机制存在被恶意利用的风险，从而可能被攻击者用来创建用户的行为画像。这项研究由博士生Sudheendra Raghav Neela与教授Daniel Gruss领导，相关的论文预计将在今年11月的ACM CCS 2026会议上发表。

对于普通用户来说，这种攻击手法的实际应用受到了一定限制，攻击者需要在用户设备上运行恶意软件，并获得本地访问权限。研究人员同时表示，目前尚无证据显示黑客已经利用这一漏洞进行过攻击。

在工作原理上，研究表明所有主流操作系统都有文件变更通知的子系统，它们能够在文件被创建、修改或删除时向应用程序发送相关通知。文本编辑器、杀毒软件和文件同步应用等程序都依赖于这个机制。在Linux中，这个子系统称为inotify（自2005年引入），在安卓上叫FileObserver（引入于2008年），Windows则称为ReadDirectoryChangesW（自2000年起），而在macOS上则表示为FSEvents（自2007年）。

研究人员指出，某些应用程序即便无法访问文件内容，也可以通过观察文件名和变化时间来推测用户的行为、浏览历史和通讯活动。通过行为侧写的方式，攻击者甚至可以监控到用户的键盘输入、文件的接收或删除，以及其网站访问和应用使用情况。

在Linux系统中，监听可访问的/dev/input目录可以准确记录下每一个按键的敲击时间。在七名参与测试的用户中，该攻击手段的按键检测准确率从93.1%到100%不等。为应对CVE-2025-68788这一安全漏洞，Linux内核进行了部分加固，以阻止inotify对特定文件生成特定的访问和修改事件。

在Windows平台上，只需在C盘的根目录放置一个监听器，系统便可追踪到每个文件变更的完整路径。在安卓系统的Google Pixel和三星Galaxy手机上进行的测试显示，一个不需要申请额外权限的应用可以监控到WhatsApp的媒体事件，从中获知照片、视频和文件的发送或接收时间。