本文针对超级应用(super-app)这一新兴移动架构展开安全与隐私分析。超级应用在单一宿主 App 内运行第三方 mini-app(小程序),使用户在一个入口内获得多种服务。过去十年的超级应用生态安全研究几乎都默认宿主是「可信中介」,本文挑战这一隐含假设,指出该信任缺乏依据:微信已被证明会大规模被动追踪用户在 mini-app 中的活动;俄罗斯 MAX 的母公司被报道与国家对网络言论的刑事追诉深度关联;伊朗 Bale 则因国家支持而在全球最长的互联网断网期间仍可用。作者以俄罗斯 MAX 为案例研究表明,恶意超级应用在设计层面天然拥有足以静默削弱 mini-app 与用户安全隐私的能力,且不易留下痕迹:捕获 mini-app 的 UI 内容、读写其本地存储、向 mini-app 运行时注入任意 JavaScript、中介其网络流量,以及控制认证上下文从而实现静默的用户身份冒充。关键论点是这些能力并非 MAX 独有缺陷,而是源自架构本身赋予宿主的特权——任何采用该模型的超级应用都具备同等能力。作者据此呼吁移动操作系统与应用商店尽快介入,在架构盲点被进一步利用之前加以约束。论文属于案例研究+架构分析性质,适合移动安全研究者、OS/应用商店平台治理方、以及开发 mini-app 的产品与安全团队阅读。

Telegram 作为一款拥有超过4.5亿日活跃用户的通讯应用，推出了在客户端内直接运行的网页应用——Mini Apps。然而，这种集成引入了显著的安全风险。本文通过系统研究发现，许多 Mini App 将认证材料（如会话令牌和钱包助记词）以明文形式存储在客户端设备上，导致用户面临未授权访问、身份冒充和财务被窃取等风险。作者指出，虽然不安全的客户端存储是Web应用的已知问题，但Telegram Mini App生态中缺乏平台级安全审查、无存储访问限制、用户群体涉及活跃的加密货币资产，以及WebView环境比独立浏览器更弱的保护，这些因素组合在一起构成了前所未有的危险。为了研究这一威胁，作者提出了TENET审计工具，其设计决策（模式选择、熵阈值和字符集验证）基于目标秘密的结构属性，并通过真实数据集进行了实证验证。作者采用基于流行度的分层抽样策略筛选了61个Mini Apps。在符合处理条件并分析的37个应用中，有30个存在安全缺陷，这些缺陷被分为三个严重等级：明文存储、可恢复加密和可重放令牌。值得注意的是，即使Telegram官方的Wallet应用也暴露出可能导致账户完全被入侵的严重漏洞。在负责任披露后，Telegram实现了两个新的安全存储API，并且作者的修复后验证确认其官方Wallet不再明文暴露恢复助记词。最后，作者为Telegram平台开发者和第三方Mini App创建者提出了缓解措施和最佳实践。

该论文针对 app-in-app 生态（即超级应用内嵌的小程序生态）中云资源管理的安全问题进行了首次系统性研究。在 app-in-app 架构下，超级应用为小程序开发者提供云服务，使其能够通过定义良好的云 API 管理敏感数据。然而，这些云服务的资源管理机制可能存在配置不当或逻辑缺陷，导致严重的安全风险。研究者将这些风险称为 ICREM（Insecure Cloud Resource Management，不安全的云资源管理）。为了自动发现此类风险，论文提出了一种名为 ICREMINER 的新方法，结合静态分析与动态探测技术。静态分析用于解析小程序的代码结构和云 API 调用关系，动态探测则用于验证潜在的资源管理漏洞是否真实可利用。研究者基于真实世界的小程序进行了大规模实证分析，最终识别出 2,815 个小程序受到该漏洞影响，表明这一安全问题在生态中具有广泛的波及面。此外，研究团队遵循负责任披露流程，向相关方报告了漏洞，并针对性地提出了缓解策略，包括改进云平台的资源管理校验机制、加强开发者的安全配置指南等。该研究填补了 app-in-app 云服务安全研究的空白，为平台运营方、小程序开发者以及安全研究者提供了重要的参考，同时揭示了云资源管理作为新兴攻击面的现实威胁。