如果你用过Signal，大概知道它有一个叫“安全码（Safety Number）”的东西——一串长长的数字，用来确认你正在聊天的人确实是本人。问题是，要验证安全码，你得和对方当面比对，或者通过另一个渠道确认。对绝大多数普通用户来说，这几乎不可能做到。
2026年8月，Signal用两项更新，把端到端加密从“理论安全”变成了“可验证的安全”。
一、自动密钥验证：不用再当面比对那串数字了
8月11日，Signal推出了一项名为 “自动密钥验证（Automatic Key Verification）” 的新功能。
先说一下这个功能解决的是什么问题。 端到端加密可以保证消息在传输过程中不被窃听，但它有一个前提——你确实拿到了对方的真实公钥。Signal应用从中央目录服务器获取收件人的公钥来建立加密通讯。如果这个目录被入侵，或者有权限的人员恶意修改了数据，攻击者就可能把原本属于收件人的公钥换成自己的——消息的加密依然完美运作，只是加密给了另一个人。
Signal自己把这个威胁描述得很直白：公钥可能在不被所有者知晓的情况下被替换。两端都看不出任何异常，挂锁依然锁着，但第三方已经读到了所有内容。
自动密钥验证基于一个叫 “密钥透明度（Key Transparency）” 的密码学系统。当有人注册、更改手机号或用户名、或重建账户时，这些变更都会被纳入Signal的密钥透明度系统。两家外部机构——Cloudflare和Trail of Bits——独立审计这个系统。它们的参与旨在让任何向不同用户展示不一致密钥记录版本的企图都能被检测到。审计方只能看到加密证明，看不到电话号码、用户名、公钥或消息内容。
怎么操作？ 用户可以在联系人资料页点击“查看安全码”，然后选择“自动验证”。如果验证成功，Signal会显示一个绿色对勾和“Encryption verified”字样。不用见面、不用扫二维码、不用打电话对数字——系统自动帮你完成了验证。
不想依赖自动验证的用户也可以在Signal的“设置→隐私→高级”中关闭该功能。
不过需要注意的是：自动密钥验证目前主要适用于通过手机号建立的连接。如果双方只通过Signal用户名联系、没有对方的手机号，目前还无法使用自动验证，仍需通过传统的安全号码进行人工确认。
两个审计方，不是一个。 Cloudflare宣布了它的角色，但Signal明确列出了两家：Cloudflare和Trail of Bits。这一点比听起来更重要——整个设计的要点就是没有任何单一机构能向一个用户展示一个版本的日志、向另一个用户展示不同的版本。只有一个审计方的话，恰恰会重新引入它想要消除的信任问题。Cloudflare用Rust在自家Workers平台上构建了这个系统，它从2024年9月起就在为WhatsApp运行同样的基础设施。
二、十年铁律被打破：一个账号，多台手机
在自动密钥验证之前一周，8月4日，Signal已经发布了一项让老用户等了近十年的更新：用户现在可以将多部Android手机或iPhone链接到同一个Signal账号。
在此之前，Signal只支持将PC和iPad作为“链接设备”，手机一直是被排除在外的。正如Android Authority所指出的，Signal多年来最大的痛点“不是加密、语音通话或缺少功能，而是在设备之间切换的尴尬体验”。
现在不同了。Android用户可以链接另一部Android手机或Android平板，iOS用户除了已有的iPad支持外，现在也可以链接另一部iPhone。一个账号最多可以链接五台设备。Chromebook也首次获得了支持。
具体怎么操作？ 在新设备上下载Signal看到二维码后，在主设备进入“设置→已关联设备→关联新设备”扫码即可绑定。链接时可以选择是否同步完整消息历史——完整的聊天记录和最近45天的媒体文件会通过端到端加密的方式安全地传输到新设备上。如果不想同步历史记录，也可以选择只接收新消息。
大屏界面也改了。 Signal团队花了“好几个月”把Android应用过渡到更现代的UX和导航库。现在在折叠屏和平板上，聊天列表和对话内容可以并排显示。Signal在官方博客中写道：“你的消息将在所有屏幕上保持同步，并且在所有屏幕上看起来都很棒”。不过官方也坦言，设置界面、应用内相机和键盘快捷键的完整支持“仍在进行中”。
为什么花了这么久？ 根本原因在于Signal一直“把隐私放在便利之上”。它没有像其他应用那样依赖云端备份来同步数据，而是选择在不暴露用户数据的前提下实现同样的效果。有评论认为，这次更新标志着Signal正在“在不放弃使其流行的隐私原则的前提下，追赶我们大多数人实际使用设备的方式”。
三、“去手机化”已在路上：Vitalik Buterin的警告
8月7日，Signal又释放了一个重磅信号：正在探索让用户无需手机号码即可注册账户。
根据AboutSignal的报道，免手机号注册将需要一次性付费而非短信验证，以替代手机号作为防止垃圾账号的门槛。这项功能将是 “可选的” ，且初期可能仅限新注册账号使用。
以太坊联合创始人Vitalik Buterin对此表示高度赞赏。他指出，降低对电信商这种“高度寡头垄断系统”的依赖本身就是一件好事。此外，免电话号注册能有效防范SIM卡挎持（SIM swap）攻击，同时也能使各国政府更难以电话号码为由向Signal施压。
不过，Vitalik也发出了警告。他指出，在2026年的今天， “伪匿名性（Pseudonymity）”已经是一个“死概念” 。即使用户通过VPN或Tor隐藏了IP地址，日常通讯中仍会无意间泄露大量元数据——例如发送消息的时间、与特定对象通讯的频率模式。在现代AI与大型语言模型的分析下，这些零碎的线索可以轻易被拼凑出来。他提出，唯一能真正抵御AI“人肉搜索”的隐私形式，是达到 “逐条消息的不可连结性（message-by-message unlinkability）” ——让每一条消息之间无法被关联到同一个发送者。
四、更多实用更新：附件翻倍、通话记录消失
8月的密集更新中，还有几个容易被忽略但很实用的小变化。
附件大小限制翻倍。Signal将附件大小上限从100MB提升到了200MB。分享大文件——比如文档或ZIP压缩包——变得更方便了。
通话记录也会“消失”了。Signal在8月的更新中，未接、拨出和已接的通话记录，在开启了“消失消息”的聊天中都会自动消失。
“删除所有人”正在内部测试。Signal还在内部测试一个功能：如果你不小心选了“仅删除自己”，可以改为“删除所有人”。
五、2026年的安全挑战从未停止
2026年Signal在安全层面也经历了不少事。
苹果通知漏洞（CVE-2026-28950） 是今年被广泛报道的事件。即便用户在Signal里开启了“消失消息”并删除了会话，锁屏上的通知预览文本仍然残留在系统缓存中。FBI曾在得克萨斯州一宗法庭案件中利用这个机制，从嫌疑人已卸载Signal的iPhone上恢复了消息内容。需要说清楚的是：调查人员并没有破解Signal的加密协议——问题出在苹果的通知系统，不是Signal本身。苹果已在2026年4月发布iOS 26.4.2更新修复了该问题。
GitHub安全实验室报告的漏洞也在2026年得到了快速修复。Signal团队在报告后迅速提交了修复方案。
六、隐私评分依然行业第一
尽管面临各种挑战，Signal在隐私保护上的地位依然稳固。PCMag在2026年的评测中再次将Signal评为最佳私人通讯应用首选：“所有消息都是端到端加密的，而且Signal是非营利组织，所以没有理由去收集用户数据”。
SoftMaker在2026年的对比评测中也指出：Signal由非营利基金会运营、完全由捐款资助，“没有广告驱动的商业模式，没有追逐回报的投资者”。当收到法院传票时，Signal能提供的只有账号创建日期和最后一次连接服务器的时间——仅此而已。
Signal约7000万活跃用户，远低于WhatsApp的30亿和Telegram的10亿。但正如有分析指出的：“更大并不代表更安全”。Signal用用户规模换取了隐私保护——在数据被当作商品交易的2026年，这个选择依然值得尊重。
七、说到底
2026年8月的Signal，在两件事上同时推进。
多设备支持打破了近十年的“一账号一手机”规则——一个账号终于可以绑定多台手机了。自动密钥验证让安全验证从“手动”变成了“自动”——Cloudflare和Trail of Bits两家独立审计方持续验证公钥的一致性，不用再当面比对那串数字了。而 “去手机号”注册的探索，则指向了一个更远的未来——但也伴随着Vitalik Buterin关于“伪匿名性已死”的严肃警告。
正如有评论所指出的，这是Signal “多年来规模最大的一次更新集合” 。它依然不是功能最丰富的，也不是体验最丝滑的——但在隐私保护这件事上，Signal依然是做得最彻底的那一个。
正如PCMag在2026年的评测中写道的：“Signal在安全性、可访问性和趣味性之间达到了最好的平衡”。在数据被当作商品交易、AI驱动的元数据分析日益精准的2026年，这个选择依然值得尊重。