スマホを盗聴や遠隔操作ってアプリなしではほぼ無理なんですか？

それらの機能をソフト的に導入しやすいように実装したものがアプリなんです。アプリ以外にも手段がなくはないですが、導入しづらい。

アプリ以外の外部的な要素が動かないようにセキュリティ的には設計すると思う。

でも、ハードにそういうチップを詰め込んだり、OS書き換えたりも不可能ではないよ。

ハードは個人レベルではほぼ無理、分解しないと物理的に無理だから、時間的制約で現実性がない。OS書き換えたりも専門店な知識があれば無理じゃないと思うけど、手間がかかり過ぎね。

だから、やるならアプリってことになるのが一般的。アプリを入れて、それが見つからないようにって考えるだろうね。