摄像头指示灯常亮时，应立即检查隐私设置中的授权应用、关闭可疑开关，验证桌面应用总闸，用任务管理器结束异常进程，查看Windows安全中心7天调用日志，检查设备管理器状态，并用PowerShell命令精准定位实时占用进程。

当你发现电脑摄像头指示灯常亮却没打开任何视频软件，极可能有流氓软件在后台偷偷调用摄像头偷拍——必须立刻查清是哪个进程在非法访问，并切断其权限链。

查系统级授权列表：一眼锁定已获权的可疑应用

Windows 11 会在隐私设置中如实列出所有被授予摄像头权限的应用，包括那些你根本没主动用过、甚至没安装过的程序。这个列表不是“曾经装过”，而是“当前已被系统允许调用摄像头”。【只要开关开着，它就具备实时调用能力】。

1、按 Win + I 打开设置 → 点击左侧「隐私和安全性」→ 右侧点「相机」。

2、向下滚动到「允许应用访问你的相机」下方的应用列表，逐个查看名称和右侧开关状态。

3、重点排查：名称含 Remote、Agent、Update、Helper、Driver、Service 的应用；非视频类却开了摄像头权限的（比如某PDF阅读器、某天气插件、某“系统优化工具”）；最近几天新出现的陌生应用。

4、对任何存疑项，直接关闭其开关——关闭后立即观察摄像头指示灯是否熄灭。若熄灭，说明就是它在调用。

揪桌面程序真身：全局开关+任务管理器双验证

桌面应用（微信、QQ、Chrome、OBS、Zoom 官网版等）不单独列在上面那个列表里，它们共用一个总闸：「允许桌面应用访问相机」。一旦打开，所有兼容桌面程序都能随时申请调用，而系统不会记录谁调了、什么时候调的——所以必须人工盯进程。

方法一：快速终止可疑前台进程

1、看任务栏右下角：是否有微信、QQ、钉钉、Teams 图标常驻？右键退出全部。

2、打开微信PC版 → 左下角「更多」→「设置」→「通用设置」→ 关闭「开机自动启动」和「启动时打开最近聊天窗口」→ 完全退出进程（任务管理器里确认 WeChat.exe 已消失）。

方法二：深挖隐藏后台进程

1、Ctrl + Shift + Esc 打开任务管理器 → 切换到「详细信息」选项卡。

2、点击「名称」列排序，快速扫视以下关键词：camerad、video、avstream、usbvideo、EasyCamera、WeChat、QQ、OBS、Zoom、Teams。

3、对匹配项右键 → 「结束任务」。结束后立刻测试系统相机App能否打开并点亮指示灯——能亮说明之前确实被占用了。

翻摄像头活动日志：用Windows安全中心追7天调用痕迹

Windows 安全中心会自动记录摄像头调用行为，带精确时间戳和应用名，哪怕调用只持续1秒也会留下记录。这是目前最接近“录像回放”的系统原生日志，无需第三方工具。

第一步：确保日志功能已激活

1、开始菜单搜索「Windows 安全中心」→ 打开 → 点击「应用和浏览器控制」→ 开启「基于信誉的保护」。

第二步：进入日志查看页

1、返回安全中心首页 → 点击「设备性能和健康」→ 选择「摄像头和麦克风访问历史」。（若没看到，改走「隐私与服务」→「摄像头访问历史」）

2、页面顶部显示最近7天内所有调用记录，每条含应用图标、名称、调用起止时间、持续时长。

3、点击任意一条记录，可查看该应用的完整路径（如 C:\Program Files\XXX\agent.exe），这是判断是否为流氓软件的关键证据——【路径含 Temp、AppData\Roaming、ProgramData 或名字带 Update/Helper/Service 的，90%为可疑】。

查驱动层异常：设备管理器里找“正在使用中”线索

设备管理器本身不显示进程名，但部分摄像头驱动支持状态反馈。如果设备旁出现黄色感叹号、或右键属性里提示“此设备当前正在使用中”，说明已有进程成功建立了视频流连接——这比任务管理器更底层、更真实。

1、右键开始按钮 → 选「设备管理器」→ 展开「照相机」或「图像设备」。

2、找到你的物理摄像头（通常带厂商名，如 Integrated Camera、Realtek USB Camera）。

3、右键 → 「属性」→ 切换到「常规」选项卡 → 查看「设备状态」栏文字。

4、若显示“此设备运转正常”，不代表没被占用；若显示“此设备当前正在使用中”，则100%确认有进程在调用——此时立即回到任务管理器按前述方法清进程。

验硬件级调用：PowerShell一行命令揪出实时占用者

这是最硬核的方法，绕过所有UI层，直读系统内核句柄表，精准定位哪个进程PID正锁着摄像头设备。即使进程已隐藏、无窗口、无图标，也能暴露。

1、以管理员身份运行 PowerShell（开始搜 PowerShell → 右键「以管理员身份运行」）。

2、粘贴执行以下命令：

Get-CimInstance -ClassName Win32_PnPEntity | Where-Object {$_.Name -like "*camera*" -or $_.Name -like "*video*"} | ForEach-Object { $dev = $_; Get-CimInstance -ClassName Win32_DeviceChangeEvent | Where-Object {$_.EventType -eq 2 -and $_.TargetInstance -eq $dev} } | Select-Object -First 1

3、若返回空，说明当前无活跃调用；若返回结果，重点关注其中的 ProcessId 字段值。

4、再执行：Get-Process -Id [上一步得到的ProcessId] —— 就能直接看到是哪个进程在调用，连路径都给你吐出来。