Chế độ riêng tư của Cherry Studio không hiệu quả, thông tin thiết bị vẫn được gửi

Theo tin tức từ ME News, vào ngày 20 tháng 4 (UTC+8), theo giám sát của Beating, khách hàng AI mã nguồn mở Cherry Studio đã bị người dùng phát hiện công tắc quyền riêng tư bị lỗi. Người dùng GitHub Yuerchu đã đăng ảnh chụp gói dữ liệu trong Issue #14387: ngay cả khi tắt tùy chọn "Gửi báo cáo lỗi và dữ liệu thống kê ẩn danh", ứng dụng vẫn tiếp tục gửi yêu cầu đến analytics.cherry-ai.com. Cherry Studio do nhà phát triển trong nước kangfenmao dẫn dắt, hỗ trợ tích hợp nhiều mô hình lớn và kho tri thức cục bộ, là một trong những khách hàng AI desktop mã nguồn mở có lượng người dùng lớn nhất tại Trung Quốc. Ứng dụng sẽ báo cáo ba loại sự kiện: mỗi cuộc hội thoại AI, mỗi lần khởi động ứng dụng và mỗi lần kiểm tra cập nhật. Chỉ có sự kiện hội thoại tuân theo cài đặt người dùng, hai sự kiện còn lại bỏ qua hoàn toàn công tắc và gửi trực tiếp. Mỗi yêu cầu đều chứa một ID thiết bị độc nhất cùng thông tin hệ thống, kiến trúc CPU và phiên bản ứng dụng, tương đương việc theo dõi lâu dài thiết bị này. Khi xem mã nguồn, có thể thấy rằng vào tháng 2 năm 2026, khi cơ chế báo cáo này vừa được thêm vào, công tắc vẫn hoạt động bình thường. Đến ngày 22 tháng 3, người duy trì kangfenmao đã tự sửa đổi một phiên bản, xóa bỏ kiểm tra công tắc và đồng thời thêm nhiều thông tin thiết bị hơn vào tiêu đề yêu cầu. Phiên bản sửa đổi này đã được triển khai trong bốn phiên bản v1.8.3, v1.8.4, v1.9.0 và v1.9.1 trong suốt một tháng. kangfenmao đã thừa nhận vấn đề trên trong issue, giải thích rằng các sự kiện khác nhau sử dụng các logic kiểm tra công tắc khác nhau, nên các yêu cầu khởi động ứng dụng và kiểm tra cập nhật không bị chặn sau khi tắt cài đặt; dữ liệu nhạy cảm như nội dung hội thoại, đầu vào người dùng, tệp tin và khóa API không đi qua kênh này. PR #14390 để sửa lỗi đã được hợp nhất, giờ đây cả ba sự kiện đều sử dụng cùng một công tắc duy nhất. Vấn đề còn sâu hơn nữa. Cộng đồng khi xem lại mã cũ phát hiện rằng, vào tháng 2 năm 2025, khi tính năng phân tích lần đầu tiên được thêm vào dự án, một đoạn kịch bản nâng cấp cũng được chèn cùng lúc: bất kỳ người dùng nào nâng cấp từ phiên bản cũ hơn đều sẽ có công tắc "thống kê ẩn danh" được bật tự động một lần. Sau đó, nền tảng phân tích phía sau đã thay đổi từ Google Analytics sang PostHog, Sentry, rồi hiện tại là analytics.cherry-ai.com, nhưng đoạn mã tự động bật công tắc này vẫn chưa bao giờ bị xóa đi. Điều đó có nghĩa là bất kỳ người dùng nào từng cài đặt Cherry Studio trước tháng 2 năm 2025 và sau đó nâng cấp đều sẽ có công tắc này được bật lại một lần nữa trong quá trình nâng cấp — dù họ có từng tắt nó thủ công trước đó hay không — và muốn tắt lại thì phải nâng cấp rồi mới tắt thủ công một lần nữa. (Nguồn: BlockBeats)