Nhà sáng lập SlowMist, Yu Xian, cảnh báo rằng tính năng mới của Telegram cho phép nhúng các ứng dụng tương tác vào tin nhắn trò chuyện có thể tiềm ẩn rủi ro bảo mật và khuyên người dùng thận trọng khi nâng cấp.

Theo Odaily, Telegram đã giới thiệu tính năng này trong Bot API 10.4, phát hành ngày 9 tháng 11, sử dụng QuickJS để thực thi JavaScript. Mặc dù Telegram cung cấp môi trường sandbox QuickJS và hạn chế quyền truy cập mạng, nghiên cứu bảo mật gần đây phát hiện rằng trước đây công cụ này từng có lỗ hổng thực thi mã từ xa, có khả năng vượt qua cơ chế cô lập sandbox.