北京时间 11 月 2 日，据 Tom's Hardware 报道（凤凰网科技转述），安全研究员 Xusheng Li 在 2025 年拆解了联想 thinkplus FU100 指纹 U 盘，并于 2026 年 3 月在一场会议上公开了研究结果。这款宣称采用 AES-256 加密的产品，内部存储数据的 SD 卡实际上并未加密，拿到设备的人只需拆开外壳，就可能绕过指纹识别读取数据[1]。联想官方页对这款产品的宣传是「AES数据加密+指纹双重准入」[2]。

指纹验证和数据加密是两回事，FU100 的指纹这道门在工作，数据本身没有上锁。宣称的 AES-256 与卡上明文数据出现在同一款产品上，这个位数说明不了数据是否真的被加密。

指纹管的是放行，卡上的数据是明文

拆解结论是，这款 U 盘的指纹识别功能仅用于控制 USB 连接，存储卡上的数据以明文保存[1]。Li 把 FU100 形容为「装在花哨外壳里的 SD 卡」，认为这个案例说明部分产品所宣称的「硬件安全」可能只是营销[1]。

thinkpad.com 的产品页写着「AES数据加密+指纹双重准入，两层防护保障升级」「0.3s 360°指纹识别」和「可自定义加密/公共分区，一盘两用更贴心」[2]。官方页没有说明加密发生在哪一层，两层防护的说法里，指纹准入是真实存在的功能，被拆解指出没有兑现的是存储层加密那一道。外壳一开，指纹识别挡不住直接读卡，官方页的宣传语与实际设计形态之间，差着的正是没有写、也没有做到的那一层。

修复方案覆盖四款产品，波及的不止联想一家

联想随后针对 FU100、FU200、TU800 三款 U 盘和 TSD303 移动固态硬盘发布了修复方案。据凤凰网科技报道，用户需要拨打中国服务热线，选择寄回设备更换或等待现场固件升级，联想建议提前备份数据，并强烈建议在寄回设备前擦除数据。联想将相关安全公告的严重程度评为「高」，三个漏洞中有一个与配置软件有关，可能允许已登录的本地用户绕过设备认证、录入未经授权的指纹[1]。联想官方商城里，FU100 的 64GB 版本商品页目前显示「商品已下架」[3]，这个状态与修复方案覆盖已售设备并不矛盾。

TSD303 单独演示了修复能走到哪一步。这款硬盘的数据经过了加密，但此前会把正确密码通过 USB 连接以明文形式发给软件比对，密码可能因此被截获。首个修复方案在漏洞报告约三个月后推出，其加密密钥可由类似时间戳的数值推导出来，仍无法在设备被盗时保护数据。2025 年晚些时候的后续修复改成硬盘自行校验密码，正确密码不再离开设备[1]。

波及面也不止联想。同一套软件开发工具包被其他厂商的九款设备使用，报道说其中多数产品也可能向具备相应技术能力的攻击者泄露密码；另有两款设备把未加密数据存在 microSD 卡上，幻灯片里相关厂商名称被遮盖[1]。

在近期一项借助人工智能的后续研究中，Li 使用 OpenAI 的编程工具 Codex，配合其雇主开发的逆向工程工具，测试其他厂商的存储产品和保护软件。报道称，Codex 约 7 分钟攻破朗科一款工具，程序内置固定密钥，用户密码还被写入诊断日志，截至其 2026 年 3 月演讲时朗科尚未发布补丁。研究还涉及两款文件复制保护产品，KakaSoft USB Copy Protection 生成的密码在约 26 分钟内被重建，测试文件在没有用户密码的情况下被解密，Nexcopy 的 Copy Secure 保护机制则在约 10 分钟内被攻破。SecZure 的 YutianDun 产品里有两个密码简单的隐藏账户，Li 称之为「后门」，报道同时注明不能据此认定厂商存在恶意意图[1]。

真硬件加密的判断线落在三处

第一条是密码和密钥在哪台设备上处理。Li 举出的正面案例是一款开源 U 盘，同样用 microSD 卡，但正确实现了加密，密钥由用户密码生成，攻击者单独读取存储卡无法获取数据[1]。修复后的 TSD303 也是同一形态，密码校验留在硬盘里完成[1]。FU100 的指纹只管放行，数据加密这一层没有实现，三种形态的差别就在这一处。

第二条是产品说明的颗粒度。官方页的「AES数据加密」没有写位数，也没有写密钥在哪生成[2]，AES-256 这个位数出自报道所引的产品宣传[1]，拆解恰好落在这个没有写的位置上。说明写到哪一层，与实现做到哪一层，是这次事件里被同时检验的两件事。

第三条是有没有可独立核查的认证。iStorage 的 datAshur PRO+C 据称是全球首款通过 FIPS 140-3 Level 3 认证的闪存盘，机身自带键盘，输入 8 到 15 位 PIN 解锁，解锁前所有数据受 AES-XTS 256bit 硬件加密保护，红绿 LED 显示锁定状态[4]。FIPS 140-3 相对既有标准增加了防篡改与防暴力拆卸机制、针对侧信道攻击的防护和改进的密钥管理要求[4]。这个单一样本还给出了认证的代价，32GB 版 96 美元（约 701 元人民币）到 512GB 版 259 美元（约 1891 元人民币），是 iStorage 的厂商定价，人民币折算按 IT之家 2024 年 12 月 28 日报道时点[4]。认证是可核查的背书，不代表绝对安全，它把「加密」从产品页上的形容词变成第三方能够检查的陈述。

正在用或在买的设备怎么办

公告覆盖的 FU100、FU200、TU800 和 TSD303，按公告路径联系中国服务热线，寄回前备份数据并擦除[1]。Li 提醒，已经落入攻击者手中的 U 盘很难被召回或更新[1]。公告之外的指纹加密产品，可以用三条判断线对照官方页原文、密码处理位置和认证情况。这次事件改变的还有备份假设，拆开外壳就可能绕过指纹读卡的产品，外壳和指纹都不构成数据边界，重要数据不能只存一份在盘里。