
开源 AI 桌面客户端 Cherry Studio 遭用户发现隐私设计缺陷:将“匿名发送错误报告和数据统计”选项关闭后,客户端持续发送包含设备 ID、系统信息和 CPU 架构的识别数据。GitHub 用户 Yuerchu 在 Issue #14387 帖出抓包截图后,开发者 kangfenmao 在评论中承认问题属实。
问题结构:三种事件对“关闭”设置的遵守程度不一

(来源:Github)
根据代码审计,Cherry Studio 客户端上报三种事件,但三种事件的行为存在根本性的不一致:
AI 对话:正常遵守用户开关设置,关闭后不上报。
应用启动:直接绕过开关设置,无论用户如何设置均会上报。
更新检查:同样直接绕过开关设置,无论用户如何设置均会上报。
每条传出的请求都带有一个专属设备 ID,加上操作系统版本、CPU 架构和应用版本号,形成对这台设备的长期追踪识别组合。
代码审计:开关在 3 月 22 日被刻意移除
社群翻查代码发现,2026 年 2 月这套上报机制刚加入时,开关对三种事件均有效。然而,3 月 22 日,维护者 kangfenmao 自己提交了一次修改,不仅删除了应用启动和更新检查的开关判断逻辑,还顺带将更多设备识别信息塞进了请求头。
这份问题代码在 v1.8.3、v1.8.4、v1.9.0、v1.9.1 四个版本中连续运行了约一个月,才被社群发现并公开披露。
更早的旧洞:升级静默重启开关的隐藏脚本
社群追踪旧版代码时又发现了另一层问题:2025 年 2 月分析功能第一次加入时,同时埋入了一段升级脚本——只要是从旧版本升级上来的用户,“匿名统计”开关都会被自动打开一次。此后分析服务后端虽从 Google Analytics 先后换至 PostHog 和 Sentry,再换到目前自建的 analytics.cherry-ai.com,但这段自动打开开关的脚本始终未被删除。
实际影响是:2025 年 2 月之前安装过 Cherry Studio 且之后进行了任何升级的用户,无论此前是否手动关闭过该设置,每次升级后都会被静默重新打开,需要在升级后再次手动关闭。
常见问题
Cherry Studio 具体收集了哪些设备信息?
根据代码审计,每条上报请求包含:唯一设备 ID(跨会话持续追踪)、操作系统版本、CPU 架构,以及应用版本号。这些信息组合可以在分析后端对特定设备进行长期识别和追踪,即使没有姓名或账号信息,也能形成有效的设备指纹。
聊天内容、API 金钥等敏感数据是否也被传出?
开发者 kangfenmao 明确表示,聊天内容、用户输入、文件和 API 金钥等敏感数据不走这条上报通道,不在受影响的数据范围之内。目前被传出的仅为设备识别类的元数据(metadata)。
受影响用户现在应采取什么行动?
修复版本已通过 PR #14390 合并,建议立即更新至最新版本。更新后应手动确认隐私统计开关处于关闭状态——由于旧的升级脚本问题,升级本身可能再次将开关打开。若对隐私有较高要求,建议在更新后通过网络监控工具验证是否已停止向 analytics.cherry-ai.com 的请求。
免责声明:本页面信息可能来自第三方,不代表 Gate 的观点或意见。页面显示的内容仅供参考,不构成任何财务、投资或法律建议。Gate 对信息的准确性、完整性不作保证,对因使用本信息而产生的任何损失不承担责任。虚拟资产投资属高风险行为,价格波动剧烈,您可能损失全部投资本金。请充分了解相关风险,并根据自身财务状况和风险承受能力谨慎决策。具体内容详见
声明。
相关文章
CoinGecko推出AI市场洞察、投资组合追踪以及项目合作伙伴平台
CoinGecko推出AI市场摘要、图表、钱包跟踪器以及合作伙伴平台,在流量下滑之际将业务从价格数据扩展到分析与日常使用,并可能在接近$500M时出售。
摘要:CoinGecko上线了由AI驱动的市场摘要、更高级的图表工具、一个钱包跟踪器,用于监测EVM网络上的公开地址,并显示盈亏(P&L)和平均买入价格,以及一个用于项目列表和广告的合作伙伴平台。该套件与GeckoTerminal结合,旨在从单纯的价格数据迈向日常分析与用户参与,同时应对AI竞争和用户行为变化,并在流量下滑及可能在接近-$500 百万美元的出售之际寻求保护收入来源。
GateNews14 分钟前
Core Scientific 计划筹集 33 亿美元债务以加速 AI 转型
Core Scientific 正在寻求通过债务发行筹集 33 亿美元,因为它在转向以 AI 为重点的数据中心。此举凸显出更广泛的趋势,即从比特币挖矿转移开来。
要点:
Core Scientific 计划为 2031 年到期的票据筹集 33 亿美元债务融资,并从比特币挖矿转型。
Coinpedia42 分钟前
Gensyn 推出 Delphi,由 AI 结算的信息市场平台
Gate News 消息,4月22日——Gensyn 是一个由 a16z crypto 支持的去中心化 AI 基础设施网络,推出其旗舰产品 Delphi,这是一种由 AI 结算的信息市场平台,允许任何人创建市场,并根据交易量赚取费用。
市场创建者预先选择固定权重的 “
GateNews1小时前
PicWe Launches AI Agent Wallet with On-Device Key Management
PicWe announces public beta of PicWe Wallet, an AI-agent-enabled, on-device key wallet with no recovery phrases. It supports multi-chain assets, swaps, AI-accessible automation, and aims to unify RWA infrastructure.
PicWe has launched the public beta of PicWe Wallet, an AI Agent-enabled wallet that stores keys on-device, eliminates recovery phrases, and keeps critical operations local. The beta supports multi-chain asset management, swaps, and stablecoin-based fees while enabling programmable AI interactions. Broader PicWe initiatives position the platform as unified infrastructure for real-world assets, enabling issuance, circulation, settlement, cross-border payments, tokenization, and supply-chain coordination for enterprise use cases.
GateNews2小时前
普华永道新加坡将在 AI 驱动的贸易咨询枢纽中投资 3.15M 美元
普华永道新加坡计划在 $4m 3年内投资超过 3 年 S$4 来创建一个贸易咨询枢纽,并在新加坡经济发展局(EDB)支持下提供服务;通过 AI 驱动的贸易、供应链和税务咨询;随着全球贸易复杂度上升,扩大全亚太团队至 100+ 位专家。
摘要:普华永道新加坡将在新加坡经济发展局支持下,投入 S百万资金,持续三年,建立贸易咨询枢纽,帮助本地及跨国企业应对不断变化的贸易规则、供应链管理以及国际扩张。该举措包括招聘专家并开发用于贸易、供应链和税务服务的基于 AI 的工具,利用该事务所现有的亚太海关与贸易咨询业务(拥有 100 多名顾问)。该开发回应了在法规变化、电商增长以及日益复杂的全球供应链背景下,对先进贸易规划解决方案日益增长的需求。
GateNews4小时前
特斯拉在中国提交 AI 语音助手;大众、Rivian 随后跟进;电动车 AI 竞赛升温
Gate News 消息,4月22日——特斯拉已向中国国家互联网信息办公室提交了其由生成式人工智能驱动的语音助手,加入了已完成该国官方注册流程的 158 个 AI 工具。此举体现了中国对 AI 功能实施严格监管环境下的一项例行合规步骤
GateNews5小时前