"不越狱就安全"是个幻觉：开源工具 iOS-NOIR，把 148 款 App 的后台小动作全扒出来了

iOS-NOIR 是 X 用户 Arnold（@arnoldchow117）11 月 6 日开源的一套 iOS 隐私取证工具，Python 写的，MIT 协议。不用越狱，iPhone 插根 USB 线连上 Mac，作者称 10 秒就能把全机应用扫一遍，生成一份能直接看的报告。一句话定位：它帮你看清自己的 iPhone 到底在背着你干什么，适合对 App 后台行为好奇、想自己验证的人。

事情的起因是 Arnold 拿自己的主力机做了一次体检。这台没越狱的 iPhone 装了 148 款应用，扫完之后他盯着终端愣了五分钟。他的结论很直接：不越狱、不装企业证书、随手划掉 App、再挂个 VPN，这些习惯挡不住的东西比想象中多得多。下面这些数字都来自他自己设备上的一手结果，样本只有一台手机，未经第三方独立验证，看的时候记得这一点。

这工具能干什么

• 免越狱取证：插 USB 线走 pymobiledevice3，读 lockdownd、InstallationProxy、HouseArrest、崩溃日志 .ips 和开发者模式内核遥测（DVT sysmon / OsTrace）。不用越狱，不用装企业证书。
• 一键出报告：python ios_noir.py scan，作者称 10 秒扫完全机，生成中英双语 6 标签页 HTML 报告。每个特权都配了大白话危害说明和《底层黑话人话词典》，支持 --redact 脱敏截图。
• 隐私雷达：python ios_noir.py radar，实时挂 OsTrace 日志流。点开一个可疑 App，终端立刻滚动打印它暗中触发的通讯录、相册、相机、麦克风、定位请求。
• 两道护盾：shields/ 目录里有免 VPN 的系统级加密 DNS 配置（mobileconfig，AirDrop 安装，内核 24 小时加密 DNS 并拦截追踪器，开 VPN 时自动让位），还有 Shadowrocket / Surge / Clash 分流规则，精准拦截取号网关、指纹库和遥测域名。
• 纯本地离线：作者称 100% 本地运行，零联网、零遥测。实测支持 macOS。

作者在自己的主力机上测出了什么

先看锁屏那 1 小时。手机放桌上，几乎没亮屏，WhatsApp 后台烧了 105.7 秒 CPU，读了 411.5MB、写了 83.6MB。Instagram 烧 35.6 秒 CPU，读了 195MB。划掉也没用，美团和小红书就算划掉进程、关掉后台刷新，服务器一条带 mutable-content 的推送就能拉起通知扩展替身进程，各读了 16.57MB 和 22.65MB 磁盘数据。更夸张的是支付宝，一次后台运行触发 14,228 次线程唤醒，平均每秒 1.9 次，最后撞上 iOS 单进程 45,000 次唤醒红线被内核强行终止。微信、QQ、钉钉等 7 款应用持有苹果的 unrestricted VoIP 签名，服务器能无声拉活后台，屏幕不亮、不响、不留痕迹。

再看"查户口"。iOS 不让 App 直接遍历应用列表，但 canOpenURL 留了个口子：开发者在安装包里写好别人的唤醒暗号，就能挨个问系统"这台手机能不能打开 xxx"。航旅纵横硬编码了 280 个嗅探暗号，Soul 250 个，连保时捷、法拉利、兰博基尼这些车企的 App 暗号都在名单里。小红书、BOSS 直聘、百度网盘等几十款应用都写死了对 WhatsApp、Telegram、Twitter 等境外应用的嗅探。注册账号还没发一句话，对方 10 毫秒就能把你的消费阶层摸个大概。

然后是"五层身份链"，解释了为什么关 IDFA、挂 VPN、卸载重装还是会被认出来。18 款应用能把追踪码写进 iCloud 隐藏键值对，换新 iPhone 登录同一 Apple ID 就同步回来。钥匙串卸载不删，同厂 App 共享容器互通，本机检出 17 组钥匙串和 12 个共享容器。9 款应用能绑蜂窝网卡直连运营商取号网关，VPN 也拦不住。5 款应用拿着 HotspotHelper，能扫周围 Wi-Fi 的 BSSID 定位到楼层。关 GPS 没用，关后台刷新也没用。

代码里翻出来的东西更直接。我爱我家配置文件里有早被苹果封杀的 JSPatch 热更新域名。Airbnb 里翻出数字联盟指纹库和联通取号网关。腾讯会议硬编码了 12 家广告监测与竞价网络。渣打银行推送插件里有行为生物特征引擎，记打字节奏和按压角度。星展银行沙盒里有行程推断数据库，靠陀螺仪和加速度计判断你在步行、坐地铁还是开车。12 款应用开了 UIFileSharingEnabled，插过"信任"的电脑 1 秒就能拷走 Documents 里的文件。

这些发现怎么看

先泼一盆冷水：这些特权签名是苹果签发的，不是偷偷植入的木马。通知扩展、多路径 TCP、HotspotHelper、钥匙串这些机制本身都有正当用途，问题在于用起来的范围有没有超出用户的知情和同意。作者的证据来自他自己的一台手机，样本是一台设备、一个账号环境，数字不能直接推广到所有人。感兴趣的可以自己跑一遍工具验证，别只看截图下结论。VPN 拦不住取号网关那段，和之前那篇 Firefox 内置 VPN 说的不是一回事，VPN 管的是流量走向，取号走的是底层蜂窝通道。

入口与出处

GitHub：github.com/arnold117/iOS-NOIR（MIT 协议）。X 原帖：Arnold（@arnoldchow117）2026 年 11 月 6 日的文章《"买 iPhone 不越狱就安全"是个彻底的幻觉》，截至 11 月 7 日 5.3 万阅读。仓库刚建一天，截至 11 月 7 日 59 星。工具要连自己的手机、读自己的数据，跑之前看清 README，只扫自己的设备。

信息核对：2026 年 11 月 7 日。

常见问题

是否免费？项目本身 MIT 开源，免费。跑工具只需要一台 Mac 和一根 USB 线，不花钱。

信息是最新的吗？本文信息核对在 2026 年 11 月 7 日，项目刚开源、更新很快，功能与用法请以官方最新说明为准。

链接打不开怎么办？先刷新或换个网络，也可以在评论区留言，我会核对补档。

本站是官网吗？不是。本站是独立介绍，使用问题请优先找官方。

来源声明：本文根据作者 Arnold 的公开分享、项目 GitHub 页面及公开资料整理，本站与作者无官方隶属关系；功能、价格与授权可能调整，请以官方最新说明为准。文中取证数据来自作者本人的单台设备，未经独立验证。未亲自验证的内容不写"实测"。

你会拿这工具扫一遍自己的手机吗？评论区聊聊。