本文介绍了一种名为ThermalTap的新型被动非接触侧信道攻击方法，专门针对独立式VR头显。VR头显处理高度敏感的个人、专业和健康数据，但其对非接触物理侧信道的脆弱性此前研究不足。现有的侧信道攻击通常需要恶意软件执行或对硬件的物理访问，容易被检测和修补。ThermalTap利用头显机箱发出的长波红外（LWIR）辐射，将头显的热特征视为内部计算工作负载的高保真代理，从而在米级距离内无需任何设备交互即可实现对VR应用的指纹识别。为了在实际环境中实现稳健性能，该系统将商用热成像相机与多模态传感器套件（捕获环境温度、湿度和气流）结合，以归一化环境噪声。研究使用三款商用独立头显和六款应用进行评估。在室内条件下，仅用10秒热成像数据，应用识别准确率超过90%；在室外条件下，通过更长的会话级观测，几款应用仍可识别，最高准确率达81%。这些发现表明，热辐射是沉浸式系统的一个基本且不可避免的隐私风险，暴露了一个绕过当前软件级保护和物理访问控制的关键安全漏洞。本文适合VR安全研究人员、硬件安全工程师以及关注隐私威胁的从业者阅读。