慢雾创始人余弦警告称，Telegram一项使用QuickJS运行JavaScript的新功能可能增加用户遭遇恶意代码攻击的风险。该功能允许用户直接在聊天消息中嵌入交互式应用。Telegram于11月9日通过Bot API 10.4推出该功能。该功能的实现包含沙箱隔离和网络访问限制，但近期安全研究发现，执行引擎此前存在远程代码执行漏洞，可能绕过沙箱隔离。