Prg

Как вариант поискать готовые решения или исходный код подобных ботов и уже ознакомившись с ним вырезать от туда. Можешь посмотреть на GitHub, главное правильно составляй поисковый запрос.

Ну если в официальной документации ничего нету по этому поводу попробуй реализовать взаимодействие с GetMyId - это бот который выдает id пользователя при пересылке его сообщения, но нужно как раз таки в конфиденциальности пользователю выставлять пересылку сообщений как в @leomatchbot

Ваша безопасность, говоря простым языком кто-то присылает вам файл, а в нем не известно что. Да понятное дело что это svg, но сейчас такое время, всякие манипуляции с вирусологией к чему только не приводят. Если вы доверяете тому источнику от куда был получен файл - можете открыть. Если нет - понятное дело не стоит.