一個「仍然預覽」按鈕：微軟這次放寬檔案預覽，算的是資安成本由誰付的帳

2026年9月24日，據 Neowin 報導，微軟在 Windows 11 最新預覽版本更新 KB5124010 中，恢復了檔案總管對已下載檔案的自動預覽功能。PDF 與圖片等從網路下載的檔案，重新可以在預覽窗格直接查看，無需開啟完整應用程式；HTML 檔案則例外，選取後預覽窗格會出現「仍然預覽」（Preview anyway）按鈕，使用者確認信任該檔案後才能查看內容。

這則調整值得注意的地方，在於它是一條政策曲線的第二次轉折。把時間軸拉回 2025 年 10 月，微軟透過 KB5070960 調整檔案總管行為，禁止預覽任何帶有「來自 Web 的標記」（Mark of the Web，以下簡稱 MOTW）的檔案。該標記是 Windows 用來識別檔案是否來自網際網路的機制，因此當時受影響的是所有帶標記的檔案類型，PDF、圖片、HTML 一律無法自動預覽。如今 KB5124010 把大部分檔案類型放回白名單，只留下 HTML 繼續受限，等於承認前一次的管制範圍過寬。

管制的源頭：NTLM 哈希洩露風險

要理解微軟為何先禁後放，得先看它當初在防什麼。HTML 檔案屬於活動內容，可以嵌入腳本。一個惡意構造的 HTML 檔案，在預覽窗格渲染的過程中，可能觸發 Windows 主動與網際網路上的伺服器建立連線。如果該伺服器由攻擊者控制，系統可能在使用者未進行任何額外操作的情況下，自動發送 NTLM 認證資料。NTLM 的認證機制會以哈希形式傳遞憑證，一旦遭到攔截，攻擊者可透過離線破解或中繼攻擊取得帳戶存取權。

換句話說，風險的觸發條件是「預覽即執行」。使用者以為自己只是在看一張縮圖或一份文件的預覽，實際上系統底層已經發起網路請求並交出認證資訊。這類攻擊不需要使用者點擊任何按鈕，安全教育與使用者警覺完全派不上用場，這正是它危險的地方。

問題在於，2025 年 10 月的那次封鎖用的是「副檔名一刀切」的粗暴手段：所有帶 MOTW 的檔案都不準自動預覽。PDF 與圖片在預覽過程中觸發 NTLM 認證外送的風險，與 HTML 完全不在同一個量級，把它們一起擋掉，等於讓十幾億 Windows 使用者共同支付一道絕大多數人根本用不到的防線成本。

回擺的邏輯：成本從使用者端移回風險端

KB5124010 的調整，本質上是一次成本歸屬的重新劃分。

封鎖全部檔案類型的模式下，成本由誰承擔？由每一次日常檔案操作的使用者承擔。預覽窗格是檔案總管的高頻功能，商務使用者批量篩選下載的 PDF、設計人員快速翻找圖片，都依賴它省去逐一開啟應用程式的時間。禁用之後，每一筆下載都多出「開啟應用程式、等待載入、確認內容、關閉」的流程，單次成本以秒計，乘上全球 Windows 裝置基數，是相當可觀的生產力損耗，而這筆帳不會出現在微軟任何一張財報上。

新的模式下，成本移回風險真正所在的位置。PDF 與圖片恢復自動預覽，絕大多數使用者拿回原有體驗；HTML 這類可能內含腳本、具備主動觸發連線能力的檔案，保留確認步驟，把「要不要承擔這個風險」的決定權以一個按鈕的形式交給使用者。Neowin 的解讀也指出，HTML 繼續採用額外確認機制，與其包含活動內容的特性直接相關。

這種「按風險分層收費」的結構，與微軟近一年在 Windows 相容性問題上的處理軌跡一致。從 RGB 燈效驅動引發的藍屏爭議，微軟把話挑明警告而非默默修補，到 Win11 八月累積更新撞上 ARM 裝置的啟動故障，每一次事件的核心都是同一個問題：系統層變更衍生的外部成本，要由平臺、周邊廠商還是使用者吸收。這次預覽政策的回擺，是同一本帳的另一頁。

微軟沒說的部分，與它透露的部分

有一個細節值得單獨拿出來看：微軟目前尚未針對這次預覽行為變化單獨發布官方說明。資訊主要來自 Neowin 對更新內容的挖掘與測試，IT之家於9月24日轉述報導。

這種沉默本身有資訊量。一家公司在收緊政策時發公告、在放寬時不發聲，通常意味著它判斷前者需要向企業客戶與資安社羣交代動機，後者則被視為回歸預設狀態，不值得佔用溝通資源。但從觀察者角度，這恰好印證了 Neowin 的推論：2025 年 10 月的全面封鎖，範圍確實超出了實際威脅所需的強度。一年的週期走完，管制邊界從「所有 MOTW 檔案」收斂到「含活動內容的 HTML」，這個收斂過程描出的，是微軟對 NTLM 外送風險的實際評估曲線。

另外要注意 KB5124010 的推送性質。該更新正在逐步推送，安裝後並非所有裝置都會立即出現新的預覽行為；已安裝但未看到功能的裝置，可用 ViVeTool 手動啟用。這是微軟近年標準的漸進式功能發布策略，先把變更藏在功能旗標後面，按裝置羣體分批打開，控制出問題時的爆炸半徑。同一份 KB5124010 也傳出安裝後《戰地6》等遊戲崩潰、需回滾解決的用戶反饋，可見這種分批機制有其現實必要。

傳導鏈上的幾方

這次調整的影響範圍不算大，但方向清楚。

受惠的是重度依賴預覽窗格的工作流。文件密集型職務、法務與採購崗位批量處理 PDF、創意工作者翻找素材圖片，這些場景在過去一年被迫退回「逐一開啟」的舊流程，如今拿回來了。以 Windows 在全球桌面作業系統逾七成的市佔基數推算，哪怕單次操作只省下幾秒，累計效果也橫跨數億裝置。

承壓的一方不明顯但存在：依賴 HTML 預覽完成工作的少數場景，例如網頁開發者快速檢視下載的頁面檔案，現在多了一道確認步驟。這是典型的長尾讓位給主流程，微軟顯然算過，這羣使用者點一下按鈕的成本，低於全系統承受 NTLM 洩露風險的期望損失。

至於攻擊者一側，HTML 的確認機制並非不可繞過的銅牆。社交工程手法本來就以誘導使用者點擊「確認」為基本功，一個偽裝成發票或報告的惡意 HTML，「仍然預覽」按鈕在釣魚話術裡不難被包裝成正常步驟。真正的結構性緩解，其實在 NTLM 協議本身的退役進度，微軟近年持續推動 Kerberos 與無密碼認譗替代，當 NTLM 從 Windows 的認證堆疊中退場，這類「預覽即外送憑證」的攻擊面才會從根源消失。在那之前，按鈕式的確認機制是折衷，也是過渡。

收束判斷

回看這兩年：2025 年 10 月全面封鎖，2026 年 9 月分層放寬，微軟用一年的時間把一件資安管制的顆粒度從檔案來源層校正到檔案類型層。這個過程沒有戲劇性，但它是平臺治理走向精細化的一個可驗證樣本：管制的成本不會消失，只會換人支付，而好的政策調整，是把帳記到真正製造風險的那一欄。

HTML 保留確認按鈕，是這次調整裡最值得持續觀察的一環。它會在後續正式版中維持、放寬還是進一步收緊，取決於未來一段時間內利用該路徑的攻擊是否實際發生。微軟沒有發說明，但下一次更新清單，會替它把話說完。