一句话定义：零点击攻击（Zero-Click Exploit）是指攻击者利用设备"本来就会自动处理"的入口——收消息、收推送、渲染广告、解码图片——在用户完全没有任何点击或授权的情况下，把恶意代码送进设备并执行。
为什么"不用点"反而更可怕
普通入侵需要一个钩子：你点了链接、装了 App、打开了附件。零点击攻击的钩子，是设备自己每天在后台做的那些事。
打个比方：普通攻击像往你家门口放个快递，等你亲手拆开；零点击像你开着窗通风，对方顺着风把东西吹进来了——你什么都没做，甚至不知道发生过。
公开报道中围绕商业间谍软件（commercial spyware）的案例，反复出现的就是这条路径：一条看似普通的富文本消息、一次推送、一个自动加载的广告素材，解析过程中就触发了漏洞。这类漏洞之所以在黑市上最贵，就是因为它不需要骗人——而"骗人"本来是攻击链里最容易失败的环节。
常见入口
- 消息与推送通道：短信/彩信、富媒体消息、系统推送，收到即解析。
- 移动广告链路：广告 SDK 在后台预加载、预渲染素材，用户没点也可能走到解码逻辑。
- 浏览器与渲染引擎：自动加载的字体、图片、视频解码器。
- 缩略图与预览：锁屏通知、相册、文件管理器自动生成预览时就完成了解码。
- 网络侧协议栈：异常数据包直接打到基带或系统服务。
和相邻概念的区别
| 类型 | 用户动作 | 典型入口 | 利用难度 |
|---|---|---|---|
| 零点击 | 无 | 消息解析、推送、广告渲染、图片解码 | 最高 |
| 一点击 | 点一下链接或按钮 | 短信链接、网页横幅 | 中 |
| 钓鱼/社工 | 输密码、装 App、给权限 | 假登录页、假客服 | 低 |
关键差别是：零点击骗的是解析器，钓鱼骗的是人。它也和"路过式下载"（drive-by download）不同——后者通常仍需要打开网页并触发下载动作。
三类场景的防护要点
移动广告：广告 SDK 是"第三方代码 + 自动执行"的组合，风险最高。把渲染放进沙箱或独立进程，收紧 SDK 的网络与文件权限，素材上线前对解码器做模糊测试（fuzzing），别让广告位直接拿到通讯录、剪贴板、定位。
浏览器与系统：补丁窗口期往往以天计，及时更新是性价比最高的动作；优先收紧"锁屏状态也能触发"的通道；能用内存安全语言重写的解析器就别留 C/C++。
AI 供应链：加载权重、解析数据集、渲染富媒体输出，全是自动发生的。把模型文件、数据集、插件、工具调用返回都当成不可信输入：做格式校验、沙箱加载，限制插件出网，别让一个恶意模型文件或一次工具返回把执行权递出去。
普通人能做的不多但有用：系统和 App 保持更新，关闭不必要的富媒体自动下载与锁屏预览，对陌生推送和广告少点"允许"。真正堵住零点击还得靠厂商，具体补丁与支持版本以官方页面为准。