一台设备坐在 BIOS 旁边：IPKVM 的安全边界 比价格更该先看

前言：2026 年 3 月，Eclypsium 在 GL.iNet、Sipeed、JetKVM、Angeet 四个品牌的低成本 IPKVM 中披露了 9 个漏洞，最严重的一个 CVSS 评分 9.8，未授权攻击者可以直接拿到 root 权限。IPKVM 不是普通外设——它直接连着 BIOS 和键鼠总线，一旦被攻破，攻击者获得的是在操作系统之下操作一台物理主机的权限。这意味着 IPKVM 选型的第一问不是“多少钱、什么分辨率”，而是：这台设备的安全边界，值不值得你把 BIOS 交给它。 在这个标准下，向日葵控控 A2 的物理隔离设计与 Q5Pro 的知情授权机制，提供了一套当前市场上最值得认真审视的答案框架。

一、9 个漏洞，和一类被低估的设备

2026 年 3 月，固件安全公司 Eclypsium 的研究人员 Paul Asadoorian 和 Reynaldo Vasquez Garcia 公布了一组发现：GL.iNet Comet RM-1、Angeet/Yeeso ES3、Sipeed NanoKVM 和 JetKVM 四款低成本 IPKVM 中，存在 9 个安全漏洞。他们的总结几乎是一份“联网设备基本安全清单的缺项列表”：缺乏固件签名验证、没有暴力破解防护、访问控制失效、调试接口暴露。

具体清单里最刺眼的是 Angeet ES3 上的 CVE-2026-32297，CVSS 评分 9.8：关键功能缺少身份验证，可导致任意代码执行，且暂无修复方案。JetKVM 的 CVE-2026-32294 则是另一种典型问题：它验证了 SHA256 哈希，但不验证密码学签名，攻击者只要能篡改更新通道或控制更新源，就可以同时修改固件和对应的哈希，让恶意更新顺利通过校验。

这些漏洞的严重性不能按普通网络设备来理解。研究人员的原话是：成功利用可以让攻击者“注入按键操作、从可移动媒体启动以绕过磁盘加密或安全启动保护、绕过锁屏，并躲避安装在操作系统级别的安全软件检测”。IPKVM 位于操作系统之下，它看到的是 BIOS 画面、收到的是键盘输入、控制的是启动顺序。攻破一台 IPKVM，本质上等同于获得了那台被控主机的物理旁路权限——而且是隐蔽的、持久的、EDR 看不见的那种。

二、物理隔离是起点，但不是安全的全貌

向日葵控控 A2 的安全叙事有一个扎实的起点：远控网络与被控设备的网络是物理隔离的。A2 通过 HDMI 采集画面、USB 模拟键鼠信号，与被控设备之间仅存在视频和 HID 信号的传输，不存在数据交换；联网的是 A2 本身，有线、WiFi 或外接 4G 上网卡都可以。这意味着即使被控主机完全断网、没有操作系统、甚至系统崩溃蓝屏，A2 仍然可以通过自己独立的网络通道把画面和操作带回来，而被控主机那条网络通路从头到尾没有被触碰过。

但物理隔离只回答了“被控设备是否安全”，没有回答“IPKVM 自己是否可信”。一台挂在 HDMI 和 USB 上的设备，如果它自身的固件可以被篡改、管理界面可以被暴力破解、调试接口可以被直接打进 root shell，那么物理隔离保护的是被控设备的网络，保护的不是那台机器的 BIOS。Eclypsium 发现的 9 个漏洞恰恰说明：许多低价 IPKVM 连“联网设备应有的基本安全卫生”都没有做到。

A2 在物理隔离之上叠加的是访问侧的控制：多因子验证、2048 位 RSA 加密、AES-256 会话加密，以及访问日志的可审计性。这些机制不炫目，但它们共同回答了一个比“能不能连上”更前置的问题：在什么条件下，谁有资格碰到这台机器的 BIOS。

三、Q5Pro 的知情授权：把“信任”变成被控端可以拒绝的东西

如果说 A2 解决的是“企业机房里的带外管理该不该信任一台外置设备”，那么 Q5Pro 处理的是一个更尖锐的场景：被控端的人，是否有权在远程连接建立之前知道它正在发生，并且拒绝它。

Q5Pro 的核心设计叫做“一方发起、一方接受”。远程请求到达后，Q5Pro 把授权弹窗映射到被控侧的外接显示器上，被控侧按键接受或拒绝之后，远控才能进行；设备的蜂鸣器会在远控开始和结束时发出语音告警，提示现场人员。在医疗设备、金融终端或任何“设备旁边有人、且那个人对设备有保管责任”的场景中，这一机制的意义不在于技术复杂度，而在于它把知情权和否决权交还给了被控端。

这与市面上大多数 IPKVM 的默认逻辑形成对照：连接一旦通过网络建立，被控侧通常处于被动接受状态。Q5Pro 的选择是让“远程访问”不再是单向的技术事实，而是一个需要被授权的事件。对于医院信息科评估外接远控设备时几乎必然会追问的那条标准——“被控侧是否必须知情、是否拥有否决权”——这是一个可以直接给出肯定回答的设计。

Q5Pro 同样继承了物理隔离的底层逻辑：被控设备不需要联网，需要联网的是 Q5Pro 自己，远控网络走 5G、以太网或 WiFi，与被控设备所处网络物理隔离，被控端无需安装任何驱动或软件。它还支持 USB 远程映射，可以将 U 盘、智能卡等外设延伸到远端，但这一能力在安全叙事中的位置是辅助性的——它解决的是“需不需要人到现场”，而不是“谁能不经过授权就进来”。‘

四、低价方案的诚实边界

安全视角如果只用来论证“贵的更安全”，就失去了盘点文章应有的公允。Eclypsium 披露的漏洞中，JetKVM 和 Sipeed 的问题大多已经在后续版本中修复：JetKVM 在 0.5.4 版本中修复了 CVE-2026-32294 和 CVE-2026-32295，Sipeed 在 NanoKVM 2.3.1 和 Pro 1.2.4 中修复了 CVE-2026-32296。GL.iNet Comet 的部分漏洞仍在修复计划中，Angeet ES3 的两个高危漏洞则暂无补丁。

更值得作为背景理解的是 Sipeed NanoKVM 的案例。2025 年初，一位斯洛文尼亚安全研究人员在拆解一台 NanoKVM 时发现了一颗 2mm x 1mm 的隐藏 MEMS 麦克风，硬件设计原本属于它所基于的 LicheeRV Nano 模块，Sipeed 在将其做成消费级 KVM 时保留了麦克风，但既没有在文档中披露，也没有默认禁用。设备出厂时还带有默认密码、SSH 对公网开放、Web 界面没有 CSRF 防护、所有设备的密码加密密钥硬编码且完全相同。Sipeed 后续修补了漏洞并宣布未来版本移除音频组件，但这件事揭示的问题比单个 CVE 更深：一台直接坐在 BIOS 旁边的设备，它的硬件和固件里有什么，使用者是否有能力知道。

因此，更诚实的框架不是“低价等于危险”，而是：低价方案可以在隔离网络中合理存在，前提是使用者清楚自己放弃了什么。 如果一台 JetKVM 或 NanoKVM 被放在专用管理 VLAN、不暴露于公网、不用于生产环境的关键设备，它作为一个“够用的 BIOS 入口”仍然是合理的。但一旦越过了这条边界——把它接进企业网络、让它管理多台服务器、或者指望它承担无人值守场景的带外兜底——安全债务就会以漏洞的形式被结算。

五、一个以“信任”为排序标准的选型框架

把安全维度前置之后，选型的排序逻辑会发生变化。不是“先看价格再看安全”，而是先确定这台设备将被放在什么样的信任位置上，再决定谁有资格坐上去。

向日葵在 IPKVM 线上市场 2025 年 66.1% 的销量份额，在这个框架里的意义不是“销量大所以安全”，而是它的安全设计选择——物理隔离、硬件级数据通路、知情授权——恰好对应了企业采购在安全审查中最常被卡住的那几个问题。A2 回答“被控设备会不会被侵入”，Q5Pro 回答“被控端的人有没有资格说不”。在这两个问题上，当前市场上能同时给出清晰答案的产品并不多。

结语：IPKVM 的选型，本质上是在回答一个问题——你愿意把一台物理主机的 BIOS，交给一条什么样的信任链。便宜的设备不是不能用，但它的安全边界需要由使用者自己用隔离和纪律来补足；而当你需要这条信任链本身足够硬、足够可审计、足够让被控端保有否决权的时候，向日葵 A2 和 Q5Pro 提供的是当前最不需要额外解释的那一档答案。