Ứng dụng AI máy tính để bàn mã nguồn mở Cherry Studio bị người dùng phát hiện lỗ hổng về thiết kế quyền riêng tư: sau khi tắt tùy chọn “Gửi sai báo cáo lỗi và thống kê dữ liệu ẩn danh”, ứng dụng khách vẫn tiếp tục gửi dữ liệu nhận dạng bao gồm ID thiết bị, thông tin hệ thống và kiến trúc CPU. Người dùng GitHub Yuerchu đã đăng ảnh chụp bắt gói trong Issue #14387 , sau đó nhà phát triển kangfenmao thừa nhận trong phần bình luận rằng vấn đề là có thật.
Cấu trúc vấn đề: ba loại sự kiện có mức độ tuân thủ với cài đặt “tắt” khác nhau
（Nguồn：Github）
Theo phân tích mã, ứng dụng khách Cherry Studio báo cáo ba loại sự kiện, nhưng hành vi của ba loại sự kiện lại có sự không nhất quán mang tính cốt lõi:
Cuộc đối thoại AI: bình thường tuân thủ đúng theo công tắc của người dùng; sau khi tắt thì không báo cáo.
Khởi chạy ứng dụng: trực tiếp vượt qua công tắc, bất kể người dùng đã thiết lập thế nào đều vẫn báo cáo.
Kiểm tra cập nhật: tương tự, trực tiếp vượt qua công tắc, bất kể người dùng đã thiết lập thế nào đều vẫn báo cáo.
Mỗi yêu cầu được gửi đi đều kèm theo một ID thiết bị riêng, cùng với phiên bản hệ điều hành, kiến trúc CPU và mã phiên bản ứng dụng, tạo thành một tổ hợp nhận diện để theo dõi dài hạn chiếc thiết bị này.
Phân tích mã: công tắc bị cố tình xóa vào ngày 22 tháng 3
Nhìn lại mã nguồn trong cộng đồng cho thấy, khi cơ chế báo cáo này vừa được thêm vào vào tháng 2 năm 2026, công tắc đối với cả ba loại sự kiện đều có hiệu lực. Tuy nhiên đến ngày 22 tháng 3, người phụ trách bảo trì kangfenmao tự tay gửi một thay đổi: không chỉ xóa logic phán đoán công tắc của khởi chạy ứng dụng và kiểm tra cập nhật, mà còn nhét thêm nhiều thông tin nhận dạng thiết bị hơn vào phần đầu (header) của yêu cầu.
Đoạn mã lỗi này đã chạy liên tục trong bốn phiên bản v1.8.3, v1.8.4, v1.9.0, v1.9.1 trong khoảng một tháng, trước khi bị cộng đồng phát hiện và công khai tiết lộ.
Lỗ hổng cũ sớm hơn: script ẩn tự bật lại công tắc khởi động sau nâng cấp
Khi theo dõi mã của các bản cũ, cộng đồng lại phát hiện thêm một lớp vấn đề khác: vào thời điểm tháng 2 năm 2025, khi chức năng phân tích được thêm lần đầu, một đoạn script nâng cấp cũng đã được nhúng vào—chỉ cần người dùng nâng cấp từ phiên bản cũ lên thì “công tắc thống kê ẩn danh” sẽ được tự động bật lên một lần. Sau đó, backend dịch vụ phân tích lần lượt chuyển từ Google Analytics sang PostHog và Sentry, rồi sang hiện tại là analytics.cherry-ai.com do tự xây dựng, nhưng đoạn script tự động bật công tắc này vẫn không bị xóa.
Tác động thực tế là: với những người đã cài Cherry Studio trước tháng 2 năm 2025 và sau đó có bất kỳ lần nâng cấp nào, bất kể trước đó họ đã từng tự tay tắt cài đặt này hay chưa, thì sau mỗi lần nâng cấp công tắc sẽ bị lặng lẽ bật lại; họ cần phải thủ công tắt lại công tắc sau khi nâng cấp.
Các câu hỏi thường gặp
Cherry Studio cụ thể thu thập những thông tin thiết bị nào?
Theo phân tích mã, mỗi yêu cầu báo cáo bao gồm: ID thiết bị duy nhất (duy trì theo dõi xuyên suốt các phiên), phiên bản hệ điều hành, kiến trúc CPU, và mã phiên bản ứng dụng. Tổ hợp các thông tin này có thể dùng ở backend phân tích để nhận diện và theo dõi dài hạn một thiết bị cụ thể; ngay cả khi không có thông tin tên hoặc tài khoản, vẫn có thể tạo ra một dấu vân tay thiết bị hiệu quả.
Dữ liệu nhạy cảm như nội dung trò chuyện, khóa API… có cũng bị gửi đi không?
Nhà phát triển kangfenmao khẳng định rõ rằng nội dung trò chuyện, thao tác nhập của người dùng, tài liệu và các khóa API—những dữ liệu nhạy cảm—không đi theo kênh báo cáo này, và không nằm trong phạm vi dữ liệu bị ảnh hưởng. Hiện chỉ có những siêu dữ liệu dạng nhận diện thiết bị (metadata) được gửi đi.
Người dùng bị ảnh hưởng hiện nên làm gì?
Phiên bản đã được sửa đã được hợp nhất thông qua PR #14390; khuyến nghị cập nhật ngay lên phiên bản mới nhất. Sau khi cập nhật, cần tự tay xác nhận công tắc thống kê quyền riêng tư đang ở trạng thái tắt—do lỗi của script nâng cấp cũ, bản thân quá trình nâng cấp có thể lại bật công tắc lên. Nếu yêu cầu về quyền riêng tư cao hơn, khuyến nghị sau khi cập nhật hãy xác minh bằng công cụ giám sát mạng rằng việc gửi yêu cầu tới analytics.cherry-ai.com đã dừng hẳn.
Tuyên bố miễn trừ trách nhiệm: Thông tin trên trang này có thể đến từ bên thứ ba và không đại diện cho quan điểm hoặc ý kiến của Gate. Nội dung hiển thị trên trang này chỉ mang tính chất tham khảo và không cấu thành bất kỳ lời khuyên tài chính, đầu tư hoặc pháp lý nào. Gate không đảm bảo tính chính xác hoặc đầy đủ của thông tin và sẽ không chịu trách nhiệm cho bất kỳ tổn thất nào phát sinh từ việc sử dụng thông tin này. Đầu tư vào tài sản ảo tiềm ẩn rủi ro cao và chịu biến động giá đáng kể. Bạn có thể mất toàn bộ vốn đầu tư. Vui lòng hiểu rõ các rủi ro liên quan và đưa ra quyết định thận trọng dựa trên tình hình tài chính và khả năng chấp nhận rủi ro của riêng bạn. Để biết thêm chi tiết, vui lòng tham khảo
Tuyên bố miễn trừ trách nhiệm.
Bài viết liên quan
Dropbox Mở Rộng Tích Hợp ChatGPT với Ba Ứng Dụng Nơi Làm Việc Mới
Dropbox đã tăng cường quan hệ đối tác với OpenAI bằng cách giới thiệu ba ứng dụng mới trong ChatGPT, giúp truy cập tệp, tìm kiếm nội dung nơi làm việc và quản lý lịch. Động thái này nhằm chuyển Dropbox thành một nền tảng trí tuệ trong bối cảnh số lượng khách hàng suy giảm và mức độ cạnh tranh trong lĩnh vực AI ngày càng tăng.
GateNews3giờ trước
Hong Kong Gas Utility Towngas hợp tác với Tencent để mở rộng hệ thống đám mây và AI
Towngas đã hợp tác với Tencent để nâng cao hệ thống đám mây và các ứng dụng AI, mở rộng dựa trên sự hợp tác của họ từ năm 2020. Quan hệ đối tác tập trung vào một nền tảng năng lượng thông minh và phân tích dữ liệu nhằm tối ưu hóa vận hành và cải thiện dịch vụ khách hàng trong lĩnh vực năng lượng.
GateNews4giờ trước
Cobo 推出基于 AI 的 Agentic Wallet，用于安全的自主链上交易
Cobo 已推出 Cobo Agentic Wallet，使 AI 代理能够在用户定义的控制条件下执行链上交易。通过使用多方计算（Multi-Party Computation）来确保安全，并结合 Pact 和 Recipes 协议，该钱包支持多种运行模式，以应对不同的风险等级。
GateNews6giờ trước
iQIiyi Ra Mắt Công Cụ Sản Xuất AI, Cải Tổ Nền Tảng Khi Cuộc Cạnh Tranh Phát Trực Tuyến Gia Tăng
iQIiyi đang cải tổ nền tảng của mình để tập trung vào nội dung do AI tạo ra, ra mắt công cụ Nadou Pro để hỗ trợ sản xuất. Mặc dù gặp khó khăn tài chính và thách thức về quy định, công ty đặt mục tiêu phát hành một bộ phim AI thành công vào năm 2026, đồng thời quản lý một cuộc khủng hoảng thanh khoản nghiêm trọng.
GateNews6giờ trước
Alibaba Ra Mắt Mô Hình Tạo Video AI HappyHorse, Mở Thử Nghiệm Ngày 27 Tháng 4
Mô hình tạo video AI của Alibaba, HappyHorse-1.0, sẽ bắt đầu thử nghiệm API vào ngày 27 tháng 4 dành cho khách hàng doanh nghiệp và sẽ ra mắt chính thức vào tháng 5, do Bộ phận Sáng tạo ATH của hãng và các nhóm nội bộ khác phát triển.
GateNews7giờ trước
Cursor đàm phán huy động 2 tỷ USD, định giá chạm 50 tỷ: trong 3 năm từ số 0 lên 2 tỷ ARR, lập kỷ lục nhanh nhất trong lịch sử phần mềm B2B
Nhà phát triển của trình soạn thảo mã AI Cursor, Anysphere, đang đàm phán một vòng gọi vốn mới trị giá 2 tỷ USD, dự kiến định giá sẽ đạt 50 tỷ USD. Cursor trong vòng ba năm đã tăng trưởng từ số 0 lên 2 tỷ USD doanh thu hằng năm, trở thành một trong những ví dụ tăng trưởng nhanh nhất của phần mềm B2B. Nvidia tham gia đầu tư vào vòng này, thể hiện sự tích hợp của cơ sở hạ tầng AI, đồng thời cho thấy sự quan tâm của thị trường đối với lớp ứng dụng AI đang tăng lên. Các công ty khởi nghiệp tại Đài Loan có thể học hỏi theo mô hình thành công này.
ChainNewsAbmedia12giờ trước
