ME News Actualités, le 20 avril (UTC+8), selon la surveillance de Dongcha Beating, le client AI open source Cherry Studio a été découvert par les utilisateurs comme ayant un interrupteur de confidentialité défectueux. L'utilisateur GitHub Yuerchu a publié une capture d'écran de capture de paquets dans le problème #14387 : après avoir désactivé « Envoyer des rapports d'erreur anonymes et des statistiques de données », le client continue d'envoyer des requêtes à analytics.cherry-ai.com. Cherry Studio est principalement développé par le développeur chinois kangfenmao, supporte l'agrégation de plusieurs grands modèles et une base de connaissances locale, et est l'un des clients AI open source pour bureau les plus utilisés en Chine. Le client envoie en tout trois types d'événements : chaque conversation AI, chaque démarrage d'application, chaque vérification de mise à jour. Seul celui de la conversation vérifie les paramètres utilisateur, les deux autres passent directement outre l'interrupteur et envoient. Chaque requête comporte un identifiant d'appareil dédié, ainsi que le système, l'architecture CPU, la version de l'application, etc., ce qui équivaut à un suivi à long terme de cet ordinateur. En examinant le code, on voit qu'en février 2026, lorsque ce mécanisme de rapport a été ajouté, l'interrupteur était fonctionnel. Le 22 mars, le mainteneur kangfenmao a modifié une version pour supprimer la vérification de l'interrupteur, en ajoutant aussi plus d'informations sur l'appareil dans l'en-tête de la requête. Ces modifications ont été déployées dans les versions v1.8.3, v1.8.4, v1.9.0, v1.9.1 pendant un mois. Kangfenmao a reconnu le problème dans le problème, expliquant que différentes événements utilisaient des logiques de vérification différentes pour l'interrupteur, et que même après désactivation, les requêtes de démarrage et de vérification de mise à jour n'étaient pas bloquées ; les contenus de chat, entrées utilisateur, fichiers, clés API, ces données sensibles ne passent pas par cette voie. La PR #14390, qui corrige le problème, a été fusionnée, unifiant la gestion des trois événements sous un même interrupteur. Il y a une couche encore plus ancienne. La communauté a découvert dans le code ancien qu'en février 2025, lorsque cette fonctionnalité d'analyse a été ajoutée pour la première fois, un script de mise à jour a été inséré : tout utilisateur passant d'une version ancienne à une nouvelle verrait automatiquement ce « statistique anonyme » interrupteur activé une fois. Depuis, le backend du service d'analyse est passé de Google Analytics à PostHog, Sentry, puis à l'actuel analytics.cherry-ai.com auto-hébergé, et ce code d'activation automatique n'a jamais été supprimé. En d'autres termes, les utilisateurs ayant installé Cherry Studio avant février 2025 et l'ayant mis à jour par la suite, qu'ils aient désactivé ou non cet interrupteur initialement, le réactiveront lors de la mise à jour, et devront le désactiver manuellement après chaque mise à jour s'ils veulent le désactiver. (Source : BlockBeats)

Voir l'original

Cette page peut inclure du contenu de tiers fourni à des fins d'information uniquement. Gate ne garantit ni l'exactitude ni la validité de ces contenus, n’endosse pas les opinions exprimées, et ne fournit aucun conseil financier ou professionnel à travers ces informations. Voir la section Avertissement pour plus de détails.

1 J'aime

Récompense
1
Commentaire
Reposter
Partager

Commentaire

Ajouter un commentaire

Aucun commentaire

Sujets populaires
Afficher plus
#
GateIPOAccessSpaceX
6.6M Popularité
#
StrategyAdds1550BTCatLowerPrices
2.88M Popularité
#
IsraelStrikesIranBTCPlunges
56.77K Popularité
#
StrongNonfarmPayrollsRekindleRateHikeFear
1.82M Popularité
#
PredictNBAChampionWin20000U
854.1K Popularité

Épinglé

Cherry Studio aurait été fermé, mais après la suppression de « statistiques anonymes », il continue de voler des informations sur les appareils, l'auteur admet que le commutateur ne fonctionne pas.

Sujets populaires

GateIPOAccessSpaceX

StrategyAdds1550BTCatLowerPrices

IsraelStrikesIranBTCPlunges

StrongNonfarmPayrollsRekindleRateHikeFear

PredictNBAChampionWin20000U

Épinglé