【重要】VoicePing 3.0 安全升级与服务条款修订

更新记录

• 2026年10月29日： 确认 Python 3.13.18 已应用于相关生产环境，补充 PDF、通信库修复、共享链接与入室权限控制，以及设备记录恢复措施。
• 2026年10月27日： 重新核查相关仓库近期变更，补充 Python、Electron、Brotli 应对情况、正式支持的四种数据处理与存储方式，以及设备记录和诊断信息保护措施。
• 2026年10月24日： 将更新记录移至文章开头，精简安全措施、后端重构原因、各领域手册及条款与隐私政策的说明。封面日期同步为文章更新日期。
• 2026年10月23日： 补充eMudhra/emSign应对情况、Node.js、Go、Nginx更新内容，以及身份验证、输入和启动检查的进一步措施。将五种语言的导航项改为“安全措施”及其对应译文，直接链接到各语言文章。
• 2026年10月22日： 补充数据保留与删除说明、PHP漏洞影响评估、MySQL和依赖库更新实例，以及英日双语检查表。
• 2026年10月20日： 发布安全措施及服务条款、隐私政策、费用说明修订公告。

本文要点

2026年10月20日，VoicePing 修订了服务条款、隐私政策及相关费用说明。 本文不是数据泄露事件通知。

针对 VoicePing 3.0，我们检查了身份验证、输入校验、启动检查、依赖软件和证书信任设置，并在相关运行环境中完成更新和部署。

措施的适用范围因服务和环境而异。这些措施不保证所有设备和外部服务的安全，也不保证能够防范未来发现的所有漏洞。具体控制范围请查看安全手册；合同和数据处理条件请查看服务条款与隐私政策。

本次新增和确认的安全措施

已采取措施应对eMudhra/emSign证书问题

印度认证机构eMudhra以emSign品牌运营的中间证书私钥出现问题。Mozilla于10月20日发布的公告 说明，攻击者可能利用这些密钥签发伪造的HTTPS证书，冒充合法网站。

VoicePing也检查了验证外部连接时使用的受信任认证机构列表。我们将相关Node.js环境更新至24.22.1，并通过更新至Certifi 2026.10.19等措施，调整Python环境的证书信任设置，将问题中间证书的上级根证书emSign ECC Root CA - G3移出信任列表。我们确认了相关服务实际使用的证书列表及部署后的运行情况。

即使自有网站的证书由其他机构签发，连接外部服务时使用的信任列表仍需检查。

Python、Electron 与压缩数据处理

检查范围内的语音识别、翻译 API 和任务处理进程已在生产环境完成 Python 3.13.18 部署，并确认了实际运行版本。更新包含拒绝受影响的中间证书，以及 XML 解析、tar 解压、临时文件清理等修复。相关服务也会在启动时检查 Python 是否为指定版本。

桌面应用构建环境仍使用 Python 3.13.17，辅助工具和旧环境单独检查。我们也检查现有虚拟环境的证书列表，并不将所有 Python 环境都视为已完成升级。

Google 的 Brotli 压缩库存在处理恶意压缩数据时可能损坏内存的漏洞（CVE-2026-111497 ）。相关 Node.js 运行环境已更新至修复版本。对于桌面应用采用的 Electron 43.8.3，我们通过源代码检查和功能测试，确认 Chromium 内置的 Brotli 已包含修复。Electron 内置 Node.js 与构建工具使用的 Node.js 分开核查，同时加强了证书验证，以及连接目标变更时阻止转发认证信息的处理。

进一步加强身份验证、输入校验和启动检查

近期跨仓库检查还确认了以下改进，除依赖软件更新外，也涵盖应用的处理方式。

• 防止认证信息重复使用： 在同一事务中完成密码重置与现有会话失效，并对并发验证请求实施限制。SAML认证会拒绝跨处理进程重复使用的认证响应。
• 保护共享链接和入室权限： 更改账号的共享 URL 或二维码，须获得工作区设置许可、关闭共享，并由账号本人确认。链接变更与审计记录在同一事务中提交。系统拒绝访客自行批准入室，也拒绝跨工作区的批准操作。
• 限制可接受的输入： 拒绝不一致的上传来源和存储位置、不安全的路径及未定义的请求字段。对可处理的音频数据和通信消息量设置上限。
• 限制启动和更新时的代码执行： 将配置值作为字符串读取，不将其作为Shell命令执行。在相关运行环境启动前，核对文件与依赖项是否符合已审查清单；更新失败时，同时恢复服务和证书配置。
• 保护诊断信息和私有图片： 从录制任务进程新生成的文本诊断信息中移除认证信息，获取私有图片时重新检查权限，并加强缓存控制，防止共享设备的持久缓存向其他用户重新显示私有图片。

以上是已确认实现和部署的实例，各项措施的适用范围不同，部分新增措施仍在开发或验证中。

已实施的措施与正在推进的改进

我们已实现异常访问及其迹象的告警、基于检测规则的 IP 地址自动封锁，以及辅助识别和调查疑似账号冒用的逻辑。

我们正在扩大检测与封锁范围，并完善限制入侵影响的措施。

已更新依赖软件和运行环境

近期检查梳理了直接和间接依赖库，并对照npm漏洞信息 、OSV 、Go漏洞数据库 以及各开发者的安全公告和更新记录。更新经过发布文件审查、隔离环境测试和部署后的运行确认。

以下为已确认更新和部署的实例。

• pypdf 6.21.2： 更新相关生产环境的 PDF 处理库，修复异常引用或过大条目数量导致 PDF 处理长时间运行的问题。版本说明
• urllib3 2.8.0： 在相关 R2 音频归档流程中，修复 HTTPS 代理证书设置、流式处理无限循环，以及缓冲区内存无限增长的问题。开发者更新记录
• Samlify 2.15.1：更新SAML认证库，测试签名验证和拒绝重复使用认证响应的行为。开发者安全公告
• Nodemailer 10.1.7：更新邮件处理库，测试收件人地址的解析。版本说明
• pgx 5.11.0：更新PostgreSQL连接库，测试异常输入拒绝、连接和查询处理。版本说明
• lib0 0.2.119：更新数据读取处理，测试读取范围不会超出指定的输入边界。开发者安全公告
• Node.js 24.22.1：更新受信任证书列表，并纳入TLS主机名验证、DNS处理、压缩数据解码等修复。已确认相关API运行环境的版本和响应。
• Go 1.27.3 / 1.26.10：使用各服务所属版本系列的修复版本重新构建、部署，纳入证书验证修复，同时检查并更新HTTP/2、gRPC等相关依赖库。
• Nginx 1.30.6：应用涉及内存处理、TLS会话等问题的安全修复，并确认加密连接和基本功能正常。
• MySQL 8.4.11：已完成升级，并确认运行版本与数据库连接。

以上是已确认更新和部署的部分实例。部分依赖采用兼容性补丁，部分工具限定使用方式。扫描结果不代表所有依赖软件都没有漏洞。

10月21日公布的PHP漏洞不影响VoicePing

VoicePing服务和官方网站均不使用PHP，因此不受此次两项漏洞影响。 您无需修改VoicePing设置。

PHP开发团队于2026年10月21日公布了两项漏洞，攻击者可能无需身份验证，就能在使用受影响PHP版本的服务器上执行代码。

• CVE-2026-109618 ：使用尚未完成初始化的数据。 PHP在准备请求处理所需的内部数据时，如果发生内存不足，清理过程可能使用尚未完成初始化的数据。
• CVE-2026-109619 ：引用已释放的内存。 上一个请求使用的内存释放后，内部仍可能保留对它的引用。同一工作进程开始处理后续请求时，可能使用这些失效引用。

问题出在PHP本身，使用PHP-FPM或Apache PHP模块的部署环境也在影响范围内。如果贵公司在其他系统中使用PHP，请单独核查该环境，并按照PHP官方安全公告 采取措施。

正式支持的四种数据处理与存储方式

您可以根据用途和组织要求选择处理位置与存储位置。即使关闭云端存储，在线语音识别和翻译仍会发送数据进行处理。 若希望音频和文本不发送至云端，请选择离线翻译。

关闭云端存储后，设备存储默认开启。如果不希望保留记录，请同时关闭设备存储。

在线设备记录按主持人本人的账号和工作区区分，不会同步到其他设备。网页端和桌面端保存转写、译文及音频；移动端的在线存储保存转写和译文。

离线翻译使用受支持的电脑或移动设备模型，保存的文本和音频也保留在设备内。下载模型、登录等操作仍需要联网。

近期修复改进了设置切换或账号变更时的存储判断、延迟到达的字幕处理，以及删除失败后的重试。清除浏览器数据或设备故障可能导致本地记录丢失，请导出需要保留的记录并妥善保存。

电脑和移动客户端新增了经用户明确确认后恢复旧离线记录的处理。桌面端还改进了保存失败时的数据保留与重试，以及正常退出或安装更新前的保存流程。使用这些修复需更新至包含相应功能的应用版本。

关闭云端存储不会删除已有的云端记录。文件转写、录制等需要存储的功能也会受到限制。登录、计费和安全运营所需信息的处理方式，请参阅隐私政策 。

为什么重构 VoicePing 3.0 的后端

从 VoicePing 2.0 开始，我们持续观察到疑似自动化漏洞扫描的异常访问。这也是我们在 VoicePing 3.0 中全面重构后端系统的原因之一。

我们使用前沿 AI 模型辅助开发和安全审查，并结合开源渗透测试工具，从内部和外部两个角度检查公司确定的测试范围。我们已针对跨站脚本攻击（XSS）、SQL 注入、可能绕过权限控制的参数篡改等开展检查并采取防护措施。

我们会持续审查、测试和修复，以应对新的漏洞和攻击。本文是相关工作的概述，不是渗透测试报告。

按领域查看安全手册

各手册说明对应领域的措施和适用范围，并标明验证中或开发中的项目。为保障安全运行，我们不公开内部配置、检测规则和限制值的细节。

应用、基础设施、运维安全手册及安全概览目前提供英文和日文版，以下链接打开英文版。数据保留与删除指南提供简体中文等5种语言版本。

应用：身份、权限与输入验证

应用安全手册 说明账号恢复、组织与会议记录的权限、访客邀请、API密钥、OAuth与MCP集成，以及任务处理程序的授权。身份验证确认请求者是谁，授权则判断其是否有权执行具体操作。

命令注入防护 介绍指令与输入数据的分离、参数验证及对部分解析进程的权限限制。文件验证 说明格式、大小、存储位置和读取范围的检查。部分新增上传防护仍在验证中；这些措施不代表对所有文件进行杀毒扫描。

基础设施：通信保护、检测与恢复

基础设施安全手册 介绍通信加密、对外公开范围、管理访问、备份和恢复。分层检测与请求限流 说明入口、应用、主机及运维层的检查示例。请求次数与容量可按IP地址、用户或功能进行限制。触发限流本身不代表恶意行为，自动封锁适用于指定规则与环境。

终端与运维：监控和人工检查

终端监控与安全运维手册 介绍适用本地及远程环境中的进程与配置监控、告警、人工维护，以及人为失误或疑似恶意软件的响应。手册还说明面向DaaS（远程桌面环境）开发的屏幕记录功能，包括停止记录、访问权限及隐私考虑。这些功能不会自动安装到客户设备上。

依赖库：审查方法与更新信息来源

软件依赖审查 介绍发布者、直接与间接依赖、发布文件、安装脚本及AI模型加载代码的审查方针。我们结合哈希、签名和漏洞检查，并持续审查现有依赖。适用范围因服务而异。

信息来源和核查范围见依赖库核查来源与更新实例 。上文列出的版本 均为已确认更新和部署的实例。

中间件：从官方漏洞信息到更新后的验证

我们将Node.js 、Nginx 、Ubuntu 和Go 的官方安全信息与实际使用方式进行对照，再决定更新。更新经过分发文件审查、隔离测试与恢复准备，部署后还会检查运行状态。

中间件更新指南 说明如何核对官方安全信息、审查分发文件、进行隔离测试、准备恢复并检查部署后的运行状态。当前版本实例已列在前面的更新部分。

采购评估：认证、数据处理与检查表

安全概览 汇总ISO/IEC 27001认证、数据使用与删除、可用性、支持及验证示例。10月22日版安全检查表 为英文PDF，保留原有143个检查项，并补充MySQL和依赖库更新实例及参考来源。请结合适用政策与合同确认贵公司的实际使用条件。

英文PDF · 日文PDF

服务条款与隐私政策要点

安全措施之外，这一部分整理用户需要确认的合同条件和数据处理规则。本文仅作概述；具体适用条件以相关套餐、合同、法律和链接文件为准。

未授权访问、逆向工程与 IP 限制

服务条款第22条 禁止以下行为及其尝试：

• 未经许可，以获取或复现非公开内部结构、源代码、模型权重、系统提示词或认证信息等为目的进行逆向工程或信息提取，包括利用 AI 及自动化工具实施的行为。
• 绕过认证、访问权限、计费、使用量限制等保护措施，或访问无权使用的数据和功能。
• 损害安全性、可用性的大量或重复访问，以及利用其他账号或连接来源规避限制。

对于根据访问记录等客观证据合理认定用于未授权访问或其尝试的 IP 地址，我们不允许其使用服务，并在必要、适当的范围内封锁连接。

遵循公开规范的 API、MCP 使用，对有权访问的数据进行常规分析，以及经我们批准的安全测试，不属于上述禁止范围。仅使用 AI、VPN 或共享网络本身不构成违规。对于共享或重新分配的 IP 地址等导致的误判，我们会受理复核；确认错误后，将解除或修正限制。

退款与因严重违规终止合同时的结算

由我方系统故障或程序缺陷导致的不必要收费，经调查后将取消、更正或退款。因我方支付或取消订阅功能缺陷而退款，不收取支付手续费或处理费。如果付款未成功且我们未收到款项，则确认账单情况并作必要更正。

因客户自身原因申请的退款，原则上不予办理。 在没有退款义务的情况下例外同意退款时，我们可在事先列明费用并取得同意后，在法律及支付服务规则允许的范围内，扣除实际承担且未获退还的 Stripe 支付手续费，以及含税2,000日元的处理费。扣除总额不超过退款金额，也不会另行收取不足部分。

因严重违规而依法终止企业客户合同时，终止日所在的合同计费一月区间费用，依第13条 不予退还。后续未提供服务期间的预付款，将在依法结算后退还。消费者合同适用该条另行规定的结算条件。仅凭违规嫌疑或临时限制，不会没收未提供服务部分的预付款。

数据保留与删除

常规删除请使用应用内的删除功能。 云端存储的数据按类型采用不同的保留期限，主要自动删除标准如下。这些云端自动删除标准不适用于设备内保存的记录。

月份按日历计算。以上时间表示数据进入清理范围，并不保证一直可用至该时点或届时立即删除完毕。后台处理、正在运行的任务和重试可能影响完成时间；手动删除、套餐设置和合同条款也会影响实际处理。

上传的源视频与会议录像分别管理。 请在文件转写中删除上传记录或任务。仅删除转写文本，不会删除所有源视频和生成文件。如果其他保留中的任务仍使用同一文件，该文件会继续保留。停止录像或取消处理不会删除已保存的结果。

手动删除普通转写或会议室录像后，条目会先从列表中隐藏，30天后进入永久清理范围。按保留期限自动删除时，不会额外再等30天。删除机器人会话会触发音频和视频的删除请求，转写文本按独立流程处理。录像到期后，音频、文本和摘要仍可能保留。

取消套餐不会删除数据。退出工作区或删除账号也不会清除团队的所有共享记录。已下载、导出的文件及发送到其他服务的副本，需要在各自的存储位置删除。

数据保留与删除指南 详细介绍录像文件管理、账号和工作区删除、离线历史、词典、声音注册、备份和日志。

请在应用内取消订阅、切换免费套餐及删除账号

对于在应用内申请并付款的套餐，常规取消订阅、停止自动续订及切换至免费套餐，应由签约客户或有权限的管理员在“账单（Billing）”中完成。我们不通过电子邮件受理或代办上述常规操作，包括对账单或通知邮件的回复。个别合同另有约定的，按其约定办理。

工作区和账号的常规删除，必须由您本人或具备相应权限的管理员在应用内完成。我们不接受通过邮件或支持表单代办常规删除的请求。如果没有权限，请联系所有者或管理员。仅在确认我方系统故障或缺陷导致无法执行规定的删除操作时，我方才会介入。如怀疑存在此类缺陷，请提供目标数据、尝试的步骤和时间及错误提示。我方将进行调查，确认缺陷并核实身份与权限后采取必要措施。

卸载应用或删除支付卡，并不代表已取消付费套餐。完成操作后，请确认合同状态与取消结果。个人信息删除等法定请求及有效的个人数据删除申请，与常规操作代办分别处理，并按隐私政策受理。

安全记录的处理

IP 地址、访问时间、认证结果、检测结果、访问限制及申诉处理记录，将用于检测、预防和调查未授权访问等目的。我们将处理范围和期限限定在安全所需的范围内，并遵守隐私政策 规定的保留与删除条件。

查看修订后的文件

• 服务条款说明
• 隐私政策说明
• 商业交易相关披露

目前，简体中文服务条款和隐私政策说明页提供英文正文链接。本文仅概述变更，详细条件请查看各文件。如果怀疑存在故障或希望复核访问限制，请通过支持表单 联系我们。