Cherry Studioのプライバシースイッチが無効、デバイス情報が依然として送信される

MEニュース、4月20日（UTC+8）、動察Beatingの監視によると、オープンソースのAIクライアント「Cherry Studio」でプライバシースイッチが機能していないことがユーザーによって発見された。GitHubユーザーYuerchuはIssue #14387にパケットキャプチャのスクリーンショットを投稿し、「匿名でエラーレポートとデータ統計を送信する」オプションをオフにしても、クライアントは引き続きanalytics.cherry-ai.comにリクエストを送信していることを示した。Cherry Studioは中国の開発者kangfenmaoが主導し、複数の大規模モデルの統合とローカル知識ベースをサポートしており、中国国内で最も利用者の多いオープンソースAIデスクトップクライアントの一つである。 クライアントは合計3種類のイベントを報告する：AI会話ごと、アプリ起動ごと、更新チェックごと。会話のみユーザー設定を参照し、残りの2つはスイッチを無視して直接送信される。各リクエストには固有のデバイスIDと、OS、CPUアーキテクチャ、アプリバージョンが含まれており、このコンピュータを長期的に追跡可能となる。 コードを確認すると、2026年2月にこの報告メカニズムが導入された当初はスイッチは正常に機能していた。しかし3月22日、メンテナーであるkangfenmaoが自らコードを変更し、スイッチチェックを削除し、さらに多くのデバイス情報をリクエストヘッダーに追加した。この変更はv1.8.3、v1.8.4、v1.9.0、v1.9.1の4つのバージョンで1か月間適用された。 kangfenmaoはIssueで問題を認めており、異なるイベントで異なるスイッチ判定ロジックを使用していたため、設定をオフにしてもアプリ起動と更新チェックのリクエストがブロックされなかったと説明した。チャット内容、ユーザー入力、ファイル、APIキーなどの機密データはこのチャネルを通っていないと明言した。修正PR #14390は既にマージされ、3種類のイベントはすべて同じスイッチで制御されるようになった。 さらに過去の問題もある。コミュニティが古いコードを調査したところ、2025年2月にこのプロジェクトが初めて分析機能を導入した際、同時にアップグレードスクリプトが埋め込まれていた。そのスクリプトは、旧バージョンからアップグレードしたユーザーに対して、「匿名統計」スイッチを自動的にオンにするものだった。その後、分析サービスのバックエンドはGoogle AnalyticsからPostHog、Sentryを経て現在のanalytics.cherry-ai.comへと変更されたが、この自動オンのコードは削除されなかった。つまり、2025年2月以前にCherry Studioをインストールし、その後アップグレードしたユーザーは、当初手動でスイッチをオフにしていた場合でも、アップグレード時に再びオンにされてしまう。ユーザーが再度手動でオフにするまで、この状態が継続する。 （出典：BlockBeats）