Klien desktop AI sumber terbuka Cherry Studio mengalami celah desain privasi yang ditemukan oleh pengguna: setelah mematikan opsi “mengirim laporan kesalahan dan statistik data secara anonim”, klien terus mengirim data identifikasi yang berisi ID perangkat, informasi sistem, dan arsitektur CPU. Pengguna GitHub Yuerchu memposting tangkapan layar hasil penangkapan paket di Issue #14387 , lalu pengembang kangfenmao mengakui dalam komentar bahwa masalahnya memang benar.
Struktur masalah: kepatuhan terhadap pengaturan “nonaktif” untuk tiga jenis kejadian tidaklah sama
（Sumber: Github）
Berdasarkan audit kode, klien Cherry Studio melaporkan tiga jenis kejadian, tetapi terdapat ketidakkonsistenan mendasar dalam perilaku ketiga kejadian tersebut:
Obrolan AI：secara normal mematuhi sakelar pengguna; setelah dimatikan, tidak melaporkan.
Peluncuran aplikasi：langsung melewati pengaturan sakelar; apa pun pengaturan pengguna, tetap akan melaporkan.
Pemeriksaan pembaruan：juga langsung melewati pengaturan sakelar; apa pun pengaturan pengguna, tetap akan melaporkan.
Setiap permintaan yang dikirim membawa ID perangkat khusus, ditambah dengan versi sistem operasi, arsitektur CPU, dan nomor versi aplikasi, membentuk kombinasi identifikasi pelacakan jangka panjang untuk perangkat tersebut.
Audit kode: sakelar secara sengaja dihapus pada 22 Maret
Dari penelusuran komunitas terhadap kode, ditemukan bahwa ketika mekanisme pelaporan ini baru ditambahkan pada Februari 2026, sakelar tersebut berlaku untuk ketiga jenis kejadian. Namun pada 22 Maret, maintainer kangfenmao sendiri mengirimkan sebuah modifikasi: bukan hanya menghapus logika penilaian sakelar untuk peluncuran aplikasi dan pemeriksaan pembaruan, tetapi juga menyelipkan lebih banyak informasi identifikasi perangkat ke dalam header permintaan.
Kode masalah ini dijalankan secara beruntun selama sekitar satu bulan pada empat versi, yaitu v1.8.3, v1.8.4, v1.9.0, dan v1.9.1, sebelum akhirnya ditemukan dan diungkapkan secara terbuka oleh komunitas.
Kekurangan lama yang lebih awal: skrip tersembunyi untuk memicu ulang “mulai ulang senyap” pada saat upgrade
Saat komunitas melacak kode versi lama, mereka juga menemukan lapisan masalah lain: ketika fungsi analitik pertama kali ditambahkan pada Februari 2025, sekaligus disisipkan sebuah skrip upgrade—selama pengguna melakukan upgrade dari versi lama, sakelar “statistik anonim” akan otomatis diaktifkan sekali. Setelah itu, backend layanan analitik sempat berganti dari Google Analytics ke PostHog dan Sentry, lalu ke analytics.cherry-ai.com yang kini dikelola sendiri, tetapi skrip yang otomatis mengaktifkan sakelar ini tidak pernah dihapus.
Dampak nyatanya adalah: pengguna yang telah memasang Cherry Studio sebelum Februari 2025 dan kemudian melakukan upgrade apa pun, terlepas dari apakah sebelumnya pernah mematikan pengaturan tersebut secara manual, akan selalu diaktifkan kembali secara senyap setiap kali setelah upgrade. Mereka perlu mematikannya kembali secara manual setelah upgrade.
FAQ
Informasi perangkat spesifik apa yang dikumpulkan Cherry Studio?
Berdasarkan audit kode, setiap permintaan pelaporan berisi: ID perangkat unik (melanjutkan pelacakan lintas sesi), versi sistem operasi, arsitektur CPU, serta nomor versi aplikasi. Kombinasi informasi ini memungkinkan backend analitik melakukan identifikasi dan pelacakan jangka panjang terhadap perangkat tertentu; meskipun tanpa nama atau informasi akun, tetap dapat membentuk sidik jari perangkat yang efektif.
Apakah data sensitif seperti isi obrolan, kunci API, dll. juga ikut terkirim?
kangfenmao selaku pengembang menyatakan dengan jelas bahwa data sensitif seperti isi obrolan, input pengguna, dokumen, dan kunci API tidak melewati jalur pelaporan ini, dan berada di luar cakupan data yang terdampak. Saat ini yang terkirim hanya metadata berupa identifikasi perangkat.
Tindakan apa yang harus dilakukan pengguna yang terdampak sekarang?
Versi perbaikan sudah digabungkan melalui PR #14390, dan disarankan untuk segera memperbarui ke versi terbaru. Setelah pembaruan, seharusnya konfirmasi secara manual bahwa sakelar statistik privasi dalam keadaan mati—karena masalah skrip upgrade lama, proses upgrade itu sendiri dapat berpotensi mengaktifkan sakelar lagi. Jika Anda memiliki persyaratan privasi yang lebih tinggi, disarankan untuk memverifikasi setelah pembaruan apakah permintaan ke analytics.cherry-ai.com telah benar-benar berhenti melalui alat pemantauan jaringan.
Penafian: Informasi di halaman ini dapat berasal dari pihak ketiga dan tidak mewakili pandangan atau opini Gate. Konten yang ditampilkan hanya untuk tujuan referensi dan bukan merupakan nasihat keuangan, investasi, atau hukum. Gate tidak menjamin keakuratan maupun kelengkapan informasi dan tidak bertanggung jawab atas kerugian apa pun yang timbul akibat penggunaan informasi ini. Investasi aset virtual memiliki risiko tinggi dan rentan terhadap volatilitas harga yang signifikan. Anda dapat kehilangan seluruh modal yang diinvestasikan. Harap pahami sepenuhnya risiko yang terkait dan buat keputusan secara bijak berdasarkan kondisi keuangan serta toleransi risiko Anda sendiri. Untuk detail lebih lanjut, silakan merujuk ke
Penafian.
Artikel Terkait
MoonPay Meluncurkan Kartu MoonAgents, Virtual Mastercard untuk Agen AI, pada Jumat
Menurut The Block, MoonPay meluncurkan MoonAgents Card, kartu debit virtual Mastercard, pada Jumat. Kartu ini dirancang untuk AI agents dan pengguna, mengonversi stablecoin menjadi fiat pada saat pembayaran, serta memungkinkan pengeluaran di merchant online mana pun secara global yang menerima Mastercard.
Kartu ini
GateNews7jam yang lalu
Analisis Berkeley GEPA: AI bisa mempelajari tugas baru tanpa memperbarui bobot, 35 kali lebih sedikit biaya pelatihan dibanding RL
GEPA adalah metode baru pelatihan AI yang diusulkan oleh tim UC Berkeley: tidak memperbarui bobot, tidak memerlukan GPU, dan memanfaatkan agar LLM membaca catatan tugas yang lengkap untuk melakukan refleksi serta menulis ulang prompt, bukan hanya memberi umpan balik berbasis skor. Rata-rata enam tugas menang GRPO 6%, tertinggi 20%, sementara jumlah training rollouts berkurang 35 kali; terintegrasi dengan DSPy, Full Program Adapter meningkatkan secara signifikan pada tugas matematika dan alur kerja multimoda, dengan akurasi 93%. Kode sumber dibuka, dan para penulisnya termasuk Matei Zaharia.
ChainNewsAbmedia16jam yang lalu
OpenAI Meluncurkan Codex Pets, Pendamping Virtual Berbasis AI dengan Generasi Kustom
Menurut Beating, OpenAI telah menambahkan fitur baru “Codex Pets” ke aplikasi desktop Codex, yang memungkinkan pengguna membuat dan berinteraksi dengan pendamping virtual animasi. Pengguna dapat mengaktifkan hewan peliharaan dengan mengetik /pet di editor. Fitur ini berfungsi sebagai indikator status agen, menampilkan a
GateNews16jam yang lalu
MoonPay Meluncurkan Kartu MoonAgents untuk Agen AI di Jaringan Mastercard
Menurut The Block, MoonPay meluncurkan MoonAgents Card pada Jumat, kartu debit virtual Mastercard yang mengonversi stablecoin menjadi mata uang fiat secara real time pada saat pembayaran. Kartu ini diterbitkan melalui Monavate, platform pembayaran teregulasi dan anggota utama Mastercard, dalam kemitraan dengan Exodus M
GateNews20jam yang lalu
xAI Meluncurkan API Kloning Suara yang Mendukung 80+ Suara dalam 28 Bahasa
Menurut PANews, xAI meluncurkan Voice Cloning API pada 2 Mei, memungkinkan pengguna membuat suara kustom dalam waktu sekitar 2 menit atau memilih dari lebih dari 80 suara preset yang mencakup 28 bahasa untuk aplikasi termasuk asisten suara, buku audio, dan karakter game. Fitur ini saat ini
GateNews21jam yang lalu
MoonPay Meluncurkan Kartu MoonAgents, Virtual Mastercard untuk Agen AI dan Pengguna pada Jumat
Menurut The Block, MoonPay meluncurkan MoonAgents Card, kartu debit Mastercard virtual untuk agen AI dan pengguna, pada Jumat. Kartu ini mengonversi stablecoin menjadi mata uang fiat saat pembayaran dan dapat digunakan di setiap merchant online di seluruh dunia yang menerima Mastercard. Diterbitkan melalui Monavate, sebuah pembayaran yang teregulasi
GateNews05-01 15:41
