随着 OpenAI 等主流对话式 AI 服务商转向广告商业模式，网页和移动端的跟踪手段正渗入对话式 AI 产品。但这些服务如何跟踪、共享数据和变现仍高度不透明，研究者、监管机构和公众对它们的审视相对有限。研究人员对九款知名对话式 AI 服务的网页端与移动端部署做系统性隐私分析，结合静态与动态分析，考察第三方跟踪器的存在。

像蝴蝶一样提示，像追踪器一样蜇人：网页与移动对话式AI代理的隐私分析

摘要

随着OpenAI等主流对话式AI提供商转向广告商业模式，传统网页与移动追踪做法正扩展到对话式AI服务。尽管采用率不断增长，这些服务的追踪、数据共享和变现做法仍不透明，研究、监管和公众关注有限。我们对九种主流对话式AI服务的网页和移动部署进行系统隐私分析。结合静态与动态分析，研究第三方广告与追踪服务（ATS）的存在、数据流，以及同意选择、订阅层级和访问控制如何影响对话暴露。我们发现对话式AI平台特有的隐私风险：多家提供商向第三方披露由对话衍生的敏感产物——标题、提示、截图——并常附带可识别用户的持久标识符。一些提供商还公开暴露对话永久链接且无访问控制，追踪器可读取整个对话。这些发现显示传统追踪技术与AI介导交互日益交织，形成收集、推断和传播敏感用户及对话信息的新途径。我们在GDPR和ePrivacy指令下分析其影响，并向受影响提供商和欧洲数据保护机构进行负责任披露。结果表明，对话式AI服务引入了新的隐私攻击面：提供商生成的对话产物会受追踪和公开暴露，需要更强保障。

1 引言

LLM进展催生ChatGPT、Gemini、Claude等对话式AI服务，支持持久交互、多模态处理和自主任务执行。随着个人与专业使用增长，提供商探索新商业模式。广告是其中之一，可能把网页和移动平台传统的追踪与归因基础设施扩展到对话式AI。例如路透社报道，OpenAI于2026年初与Criteo合作，在美国为ChatGPT免费层用户开展广告试点。但这些追踪技术整合带来独特隐私担忧。与传统网页和移动应用不同，对话式AI服务例行处理高度敏感的提示、上下文信息、行为模式、上传文档和持久交互历史，可能揭示用户生活和职业活动的私密方面。未经有意义的透明或同意，把这些信息披露给第三方追踪服务，可能使用户和组织面临重大隐私风险。

Jazlan等人的先前工作考察了网页对话式AI服务中的第三方追踪，主要识别追踪器并刻画其数据收集。但对话式AI的独特交互模式在网页和移动客户端引入新风险：这些服务生成对话衍生产物——对话标识符、URL、标题、预览、提示、回复和交互元数据——可能披露给第三方或通过公开资源暴露。同意选择、隐私设置、订阅层级和访问控制如何塑造这些暴露，仍大多未被探索。

我们研究三个问题： - RQ1：对话式AI服务在网页和移动客户端中在多大程度上整合第三方追踪、分析、广告和归因基础设施？ - RQ2：对话式AI服务向第三方或通过公开资源暴露哪些对话衍生产物和用户信息，其披露带来什么隐私风险？ - RQ3：cookie同意选择、订阅层级、隐私设置和访问控制如何影响对话式AI服务中信息的披露和可访问性？

为回答这些问题，我们系统分析九种主流对话式AI服务，覆盖所有九家的网页客户端和八家提供Android应用的移动客户端。结合静态与动态分析，评估同意选择、订阅层级和访问控制配置下的隐私做法。贡献如下： (1) 识别44个第三方组织，每个评估的AI服务至少整合一个第三方广告或追踪服务。发现网页与Android客户端存在显著差异，并识别出仅在用户明确接受非必要cookie后才激活的第三方服务，表明同意决定直接影响追踪面（§5）。 (2) 发现对话式AI特有的新隐私风险。传统追踪系统主要观察浏览活动，对话式AI平台生成的产物直接编码用户交互。6/9网页和3/8 Android客户端向第三方披露对话URL、标题、提示和截图，常附带持久用户标识符。隐私影响受同意选择和分享功能强烈影响，多家提供商通过无访问控制的公开永久链接暴露整个对话（§6）。 (3) 在EU数据保护法下进行法律分析，评估追踪器激活、同意机制、对话产物披露、身份关联和公开对话资源与GDPR及ePrivacy指令的兼容性（§7）。结果显示，把传统追踪基础设施整合进对话式AI服务，创造了暴露敏感用户信息的新途径。更广泛地说，结果挑战了对话式AI服务是用户与AI提供商之间机密交流的看法；它们正日益融入更广泛的在线追踪生态系统，对AI介导服务提出技术和监管挑战。

负责任的披露：我们对所有识别问题遵循负责任披露流程，通知受影响提供商及主管数据保护机构（DPA），详见伦理考量部分。

2 背景

2.1 对话式代理

对话式AI服务是基于LLM的系统，通过自然语言界面与用户交互，通常通过网页和原生移动客户端访问。OpenAI于2022年11月公开发布ChatGPT，是AI行业重要转折点，迅速达到数亿用户，并引发在消费和企业生态部署对话式AI平台的竞赛。此后其他提供商发布竞争服务，包括Perplexity AI、Anthropic的Claude、Google的Gemini、Microsoft的Copilot、xAI的Grok和DeepSeek。尽管架构和部署模式不同，这些服务有共同特征：多数维护持久用户账户和交互历史，并整合搜索引擎、分析平台、遥测框架、广告基础设施和云托管API。现代AI代理还越来越多支持多模态能力，包括图像分析、语音交互、文档分析、浏览协助和自主任务执行。快速发展与采用放大了数据驱动变现的经济激励。近期行业发展和新闻稿表明，对话式AI服务正开始融入现有广告与追踪生态，而非取代它。例如Criteo报告，40%受访美国消费者已使用AI代理进行产品发现和购物协助；行业参与者日益将代理式AI描述为定向广告和“代理式商务”的下一个机会。大型科技公司也在开发让AI代理直接与商业平台和外部数字服务交互的基础设施，如Google的Universal Commerce Protocol（UCP）。

2.2 移动与网页追踪

现代网页和移动服务与第三方广告和追踪服务深度交织，支持大规模用户画像、个性化、归因和定向广告。在网页上，追踪器依赖cookie、追踪像素、浏览器指纹和cookie同步等技术，收集浏览器元数据、交互事件、设备特征、网络信息和账户关联标识符，实现持久跨站识别和行为画像。移动应用同样整合第三方SDK，收集设备和行为数据，常依赖平台支持的标识符如Android Advertising ID（AAID）和Apple的Identifier for Advertisers（IDFA），以及哈希电子邮件地址（HEM），支持跨设备追踪。

浏览器和移动操作系统都提供限制此类追踪的机制。浏览器日益限制第三方cookie、指纹和其他跨站追踪技术，内容拦截器和隐私增强扩展可阻止对已知追踪域的请求。移动平台则依赖应用沙箱、运行时权限和对广告标识符等敏感资源的访问限制。但这些保护并未消除第三方数据收集：嵌入式SDK在宿主应用安全上下文中执行，可能访问应用可用的数据和权限。这些追踪机制和平台保护的差异，促使我们分别分析对话式AI服务的网页和移动客户端（§4）。

3 对话式AI服务中的隐私风险

把传统广告和追踪技术整合进对话式AI服务引入独特隐私风险。与传统网页和移动服务不同，这些服务例行处理高度敏感和上下文信息，包括自由形式对话、行为交互、上传文档、交互历史和持久用户画像。因此，嵌入式第三方追踪技术不仅能访问行为和设备信息，还能访问编码用户与AI提供商交互内容和上下文的产物。我们考虑三个主要实体（图1）：用户、对话式AI服务（第一方）和第三方ATS，如分析提供商、广告网络、崩溃报告服务和反欺诈产品。对话式AI服务包括客户端和服务器端组件。嵌入网页或移动客户端的第三方代码和库可直接从客户端收集并传输信息到其云基础设施；服务器端组件可在用户设备边界外向第三方披露信息。

在此环境中，当对话衍生产物披露给第三方时，新隐私风险出现。这些产物可包括用户直接提供的提示、概括交互内容的对话标题、捕获对话上下文的截图或持久对话URL（永久链接）。与传统网页和移动服务上的追踪方法不同，对话产物能直接揭示用户与AI服务交互的内容、上下文和潜在敏感性质，还可能把模型回复暴露给潜在竞争者。若此类信息与持久用户或设备标识符（如电子邮件哈希）一起披露，风险放大，第三方可把敏感对话数据与个人用户关联，并可能跨会话或服务链接。此外，若底层资源缺乏充分访问控制，对话URL可提供对更多内容的访问，可能向第三方暴露整个对话。这些风险挑战了对话式AI是用户与AI提供商机密交互的看法。与常规追踪基础设施结合，对话式AI生成的丰富持久产物创造了新渠道，使敏感信息可被披露、链接到个人用户或让第三方访问。

4 方法论

图2概述研究流程，以回答三个研究问题。我们先描述代表性对话式AI服务的选择（§4.1），然后介绍网页（§4.2）和Android客户端（§4.3）的插桩与黑盒分析方法，如何评估同意选择和订阅层级的影响（§4.4），以及用于触发系统可复现行为的对话输入（§4.5）。所有实验于2026年5月在西班牙进行。

4.1 对话式AI服务选择

我们分析一组主流对话式AI服务，支持网页和Android客户端。并非追求最大广度，而是对少数代表性服务进行深入系统分析。由于缺乏各提供商可靠市场份额数据，我们选择用户基数大的服务，使用客观流行度代理，包括Tranco排名（网页）和Google Play累计安装量（移动）。表1总结九种服务及其提供商、网页和移动实现和流行度指标。所有服务在2026年5月仍位居Tranco前1.4万；其中三种在前1千：ChatGPT（第48）、Claude（第617）、Grok（第956）。移动端所有应用至少100万累计安装，Gemini和ChatGPT超过10亿。

4.2 网站分析

我们使用Google Chrome（v148.0.7778.167）开发者工具（CDP）分析网页对话式AI服务中的追踪器及其数据收集做法，保存HAR痕迹供后续分析。该设置可观察用户交互期间产生的HTTP(S)请求、JavaScript执行、浏览器存储访问、cookie、追踪像素和其他客户端追踪机制。我们检查发往端点的通信，包括请求参数、请求体、cookie、浏览器存储条目和协议元数据，以识别传输的（i）用户标识符（如账户ID和电子邮件地址）；（ii）对话特定元数据、对话内容和标识符（如聊天标识符和分享链接）。我们还搜索此类数据的转换表示，包括Base64编码和用于生成哈希电子邮件地址的常见哈希算法（SHA-256、SHA-1、MD5）。检查浏览器存储机制并跨会话监控稳定ID，以识别持久标识符和追踪产物。所有观察到的披露映射到接收域，并与触发它们的实验配置关联。所有会话由研究人员手动进行，涵盖认证、引导和预定义对话交换（§4.5）。实验在不同订阅层级、平台配置和隐私条件下重复（§4.4），以评估同意场景（接受或拒绝非必要cookie）和订阅层级（访客、免费、高级账户）的影响。试点实验显示每种配置的追踪行为高度确定，因此每种配置分析一次。

第三方域分类。追踪域标注由具有十多年研究经验的合著者手动完成，采用保守标准以避免过度报告。我们使用公开阻止列表和追踪器情报源区分第一方和第三方域，包括uBlock Origin和whotracks.me，辅以DNS查询和证书透明度日志。由于一些对话式AI提供商也运营广告、分析和云基础设施（如Google、Microsoft和Meta），仅考虑公司所有权可能掩盖追踪关系。因此，我们将提供商自有的广告、分析和遥测端点归类为第三方广告与追踪服务（ATS）。这些服务可能通过实时竞价请求促进与其他广告技术参与者的数据共享，甚至作为独立法律实体运营，如xAI和X Corp。此方法为所有服务的追踪做法提供一致比较。

4.3 Android应用分析

我们结合静态和动态技术分析对话式AI Android应用，以最大化行为覆盖：

静态分析。使用Androguard反编译每个APK。解析AndroidManifest.xml，枚举与追踪相关的声明敏感权限（如ADID、READPHONESTATE、ACCESSFINE_LOCATION）。通过提取包命名空间并将应用包名（如com.company.app）映射到对应eTLD+1（company.com）来识别嵌入式第三方SDK。所有权不匹配应用eTLD+1的包和联系域被视为第三方组件。然后使用公开SDK文档、先前工作映射和§4.2的第三方分类方法手动匹配这些包和域。

动态分析。在搭载Android 12的插桩Google Pixel 3a上执行每个应用，透明监控运行时对权限保护API的访问、文件I/O操作和所有出站网络流量；使用mitmproxy和Frida可达到同等覆盖。我们在系统层面观察TLS套接字读写，无需证书注入即可检查流量，不干扰TLS握手，包括证书固定应用。插桩追踪对敏感资源的访问，包括设备ID（AAID、Android ID、IMEI、GSF ID、Boot ID）、硬件ID（WiFi MAC地址）、网络扫描数据（WiFi SSID、BSSID）和账户关联ID（如电子邮件地址）。为补充静态SDK检测，我们插桩Android Runtime，通过跟踪类链接器的FindClass方法记录运行时加载的类，识别静态分析可能遗漏的混淆SDK组件。捕获流量自动解码常见编码（gzip、Base64）和SDK特定混淆方法，并解析提取字段名、值和目标端点，使用§4.2的第三方端点分类方法。会话屏幕录制以支持事后验证数据流。

4.4 同意表单与订阅层级

我们在不同同意选择和订阅层级进行受控实验，评估这些因素如何塑造观察到的隐私风险。初步实验显示网页和移动同意机制差异。网页服务通常展示cookie同意横幅，而多数Android应用在启动时不提供同等同意机制。因此我们评估每个客户端支持的同意条件和隐私设置。对于网页客户端，我们通过各服务提供的同意机制显式接受或拒绝非必要cookie，分别运行。这些交互手动进行而非自动化，以准确捕获服务特定同意流程和隐私控制。每次实验从全新浏览器配置文件开始，移除所有本地状态，防止先前存储的标识符、同意选择、认证令牌或遥测产物影响后续测量。我们还评估各服务支持的访客、免费和付费订阅层级。对于认证层级，维护独立账户并在配置间执行等效交互场景。Meta AI和DeepSeek不提供高级层级，也不提供访客层级。对于访客和付费配置，接受所有cookie，以捕获流向第三方组织的流，并分离与认证和订阅模式相关的差异。

4.5 对话与提示输入

为捕获对话衍生产物与用户标识符一起传播到第三方的动态证据，我们按照预定义可复现的交互协议，在每个平台的每项服务上手动交互。对于§4.4描述的每种实验模式，我们进行聊天会话，包含若干旨在触发更广泛行为的提示。服务支持时，我们额外生成并在单独浏览器会话中打开聊天分享链接，评估过度宽松的访问控制是否把共享对话暴露给第三方。虽然穷尽所有交互路径不可行，提示在初步测量活动中迭代改进，以捕获代表性行为。我们不追求绝对完整，而是使用丰富的健康相关内容，按照基于角色的审计方法模拟真实用户（§9）。具体而言，提示模拟用户向服务咨询医疗状况，引入敏感上下文，评估平台在现实且隐私敏感场景下的行为。§8.1讨论该针对性方法的局限；但它为比较对话式AI服务行为提供一致基线。

5 第三方服务分析

我们研究对话式AI服务网页和移动客户端中第三方服务的结构性整合（§5.1），以及同意选择和订阅层级如何影响其存在（§5.2）。然后在§6刻画传播给第三方组织的数据。

5.1 网页与移动追踪

每个对话式AI服务至少联系一个归类为ATS的第三方组织。在所有测量中，我们观察到124个不同第三方域，归属于44个组织，其中34个是ATS。图3展示跨服务和客户端类型观察到的ATS生态系统。但网页和移动客户端的第三方整合差异显著。11个ATS同时出现在两种客户端，15个仅在网页出现，包括Google Tag Manager、TikTok和OneTrust等同意管理平台。相比之下，8个ATS仅在移动客户端发现，包括Braze。Google产品在客户端类型中最普遍（表2），其次是Sentry、Meta、Datadog和Intercom。这些组织反映对话式AI服务广泛依赖第三方产品和服务，用于错误监控和可观测性、客户支持和互动，也包括广告和分析。Google足迹尤其广泛，产品涵盖广告和分析（如Google Ads和Google Tag Manager）、搜索、认证（accounts.google.com）、平台API（googleapis.com子域）和移动特定遥测服务如Firebase。分析还发现与DeepSeek相关的较少知名中国追踪服务，包括Fengkong Cloud（移动，fp-it.fengkongcloud.com）和ShuMei（网页，fp--it-acc.portal101.cn）。这些服务在学术文献中鲜有记录，也不在WhoTracks.Me等流行追踪器数据库中。但公开报告将其与设备指纹和风险评分技术关联。

应用内浏览。移动客户端联系的所有不同端点中71%来自WebView（应用内浏览），而非原生字节码。对WebView的依赖因应用而异，Grok达98%，Perplexity为91%，ChatGPT为71%。相比之下，Copilot、Mistral和Meta的大部分流量来自原生代码。WebView便于把网页内容整合进原生应用并简化开发，但也使移动应用内可进行基于网页的追踪。例如在Grok中，我们观察到WebView加载来自Google Ads、Google Tag Manager、TikTok Analytics、X/Twitter Analytics和Meta Pixel的内容。

5.2 同意与订阅层级的影响

同意决定影响网页客户端中追踪器的存在。移动应用要求用户接受平台服务条款（ToS）和隐私政策作为使用前提。因此我们仅在网页客户端评估§4.4描述的三种同意场景：（i）忽略同意横幅（ignore），（ii）拒绝非必要cookie（reject all），（iii）接受所有cookie（accept all）。结果显示同意机制因提供商而异。一些服务允许用户不做明确选择继续交互（如Perplexity、Claude和Grok），其他要求访问平台前做出同意选择（如Gemini和Meta AI）。Mistral要求用户完全接受ToS和隐私政策后才能交互（图4），因此所有连接标记为accept all。附录C提供观察到的同意表单示例。即使用户拒绝非必要cookie（reject all），我们仍观察到与第三方的连接。例如Perplexity、DeepSeek、Gemini、Copilot、ChatGPT和Claude在reject all配置下连接Google Ads（图3虚线）。接受所有非必要cookie会在Claude、Perplexity和Grok中激活额外第三方，主要是知名ATS，包括Meta、TikTok、Twitter Ads、DoubleClick和AppsFlyer。这些结果显示，一些提供商在用户同意后有条件激活额外广告和追踪基础设施（图3实线）。忽略同意横幅不会导致超出显式拒绝非必要cookie时观察到的第三方域连接。订阅层级对联系的第三方集合影响相对有限。免费和高级账户在各服务中追踪基础设施几乎相同。一个例外是Claude移动客户端：免费层级观察到Intercom和Sentry，高级层级没有。但这种差异可能来自实验运行间动态激活的代码路径。

网页上的预置追踪面。观察到的网络流量只捕获特定动态测试中激活的第三方子集。但对于网页客户端，各服务发出的内容安全策略（CSP）响应头（如script-src、connect-src、img-src、frame-src）列举页面被授权联系或加载资源的其他外部源，从而揭示测试中可能因区域差异或执行上下文而休眠或未触发的关系。CSP头中最常见的第三方服务属于Google Tag Manager（googletagmanager.com）、Google Analytics（google-analytics.com）和Google Ads（googleadservices.com和doubleclick.net）。但如表8所示，CSP策略通常还包括广告行业其他重要参与者，如TikTok和Meta。

6 隐私分析

在§5刻画第三方生态系统后，我们研究从网页和移动客户端向第三方传播敏感信息。

6.1 对话产物的传播

与传统网页追踪不同，对话式AI平台可能泄露编码用户对话主题的产物：永久链接、提示、对话标题和截图。表3总结每种产物的第三方泄露数量。总体，6个网页和3个移动对话式AI客户端在常规用户交互中向11个和2个ATS泄露产物。包括Google Ads、TikTok和Twitter Analytics等服务，详见表4。

对话URL。对话式AI服务生成持久对话URL，通常称为永久链接，唯一标识单个对话。对话永久链接是用于检索和管理对话历史的稳定URL，直接绑定特定对话。总体，我们观察到5个网页客户端向9个ATS披露对话URL或其关联全局对话标识符。其中60%（3/5）网页客户端默认披露，其余仅在用户明确接受非必要cookie后披露。ChatGPT和Claude的网页客户端还向Datadog泄露全局唯一对话ID作为独立参数。虽然不如永久链接明确，但对话ID允许重建公开URL。我们未在移动客户端观察到对话URL披露。

对话标题。许多提供商自动生成简短对话标题，概括对话内容或目的（附录表7）。这些标题是AI生成的摘要，简洁编码底层对话主题、目的或意图的语义信息，从而揭示敏感兴趣、意图、健康担忧、财务状况、职业活动或用户与AI系统讨论的其他个人主题。在评估服务中，33.3%（3/9）网页客户端向9个第三方泄露对话标题，包括Meta、TikTok和Doubleclick。其中88.9%（8/9）仅在用户接受非必要cookie时发生。移动版本未观察到此类披露。

网页与移动。许多第三方同时出现在网页和移动助手中（§5），但它们收集的信息差异很大。网页追踪器在页面JavaScript上下文中执行，可直接观察和记录浏览器及应用状态，包括聊天URL、页面标题、对话标识符和追踪cookie。相比之下，移动客户端收集对话相关产物如对话ID，但网页版本常见的面向用户对话产物如标题则缺失。

同意和订阅层级的影响。拒绝非必要cookie可减少向第三方传播信息（表4）。例如在Claude中拒绝非必要cookie阻止了Meta Pixel、Datadog遥测和向11个广告平台的服务器端转发。但在所有分析免费层服务中，即使拒绝非必要cookie，第三方追踪器仍在44.4%（4/9）服务中收集数据。我们未观察到免费和高级账户层级在第三方数据收集做法上有明显差异。

6.2 把对话链接到用户身份

当对话产物与用户或设备标识符一起传输时，隐私侵入性显著增强，例如哈希电子邮件地址或可重置广告标识符如AAID，使第三方能把交互与个人用户或长期跨平台行为画像关联。因此我们分析对话式AI平台在多大程度上把对话产物与行业常用于广告归因、受众测量、分析和跨平台追踪的标识符一起传输。

6.2.1 网页追踪标识符。除披露对话产物外，我们检查对话式AI服务暴露网页标识符的追踪机制，这些标识符可使第三方跨交互和浏览上下文识别或链接用户。总体，观察到的网页标识符向第三方传输中77.3%仅在用户接受非必要cookie后发生。第三方追踪器同时收集多个标识符，使其能把原本不同的用户身份和交互桥接到共同画像，甚至跨平台。我们观察到以下追踪技术：

• 网页cookie和追踪像素。cookie和展示像素仍是主要网页追踪机制。我们在4个对话式AI服务中观察到来自9个第三方的第三方cookie，包括Meta、TikTok、Twitter Analytics和Intercom。其中8个不同cookie（如fbp、ttp、twpid）与对话产物一起传输。在Grok网页中，仅Meta Pixel就收集对话ID、聊天标题、完整对话URL、分享ID和分享URL，并通过同步的fbp cookie链接到用户Meta身份。Meta记录使用Pixel事件进行受众测量和归因，可能在用户有Meta账户时聚合到其账户。
• 电子邮件哈希。虽然常被呈现为隐私保护表示，哈希电子邮件地址（HEM）充当稳定ID，因为第三方可独立计算已知电子邮件地址的相同哈希并用于身份解析，正如美国联邦贸易委员会指出。结果显示Perplexity把用户HEM传输给营销和分析公司Singular。
• 服务用户名和账户ID。四个提供商还在对话产物之外传输用户在AI服务上的用户名或账户ID。此外三个提供商向Intercom等第三方共享稳定的基于哈希的ID。虽然无法确定生成这些值的精确输入，但同一账户跨会话保持一致，因此似乎充当持久假名ID。例如Mistral和Claude向Intercom传输此类ID，Grok向DoubleClick、Google Ads和Google Search发送类似ID。即使直接账户ID未披露，这些ID也可能促进用户识别和跨会话链接。
• Cookie同步。我们仅在用户接受非必要cookie时观察到cookie同步和服务器端追踪实例。Claude使用通过第一方域（a-cdn.anthropic.com）代理的Segment Analytics，加载Conversion API配置，把用户事件从自身基础设施服务器到服务器转发给11个追踪器（如Facebook、LinkedIn、TikTok、Reddit和Google Enhanced Conversions）。这种转发规避广告拦截器，每个事件携带两个共享ID，可能使数据跨广告平台桥接到单一会话。类似地，Grok嵌入Google Tag Manager容器，配置为通过服务器端GTM实例（sGTM）路由事件。自定义事件通过sGTM容器把对话URL和聊天主题标题服务器到服务器传输给Meta Conversions API和TikTok Events API，对浏览器不可见且广告拦截器无法阻止。同一载荷携带Meta的fbp和TikTok的ttp cookie，使Facebook和TikTok之间可在单一身份下进行ID桥接。
• JS指纹指标。虽然指纹不在主要范围，我们对实验中浏览器加载的JavaScript资源进行探索性分析。遵循先前工作，我们在多数提供商中搜索常与浏览器指纹相关的API，发现所有提供商提供的脚本中都调用此类API。虽然这些API存在本身不证明主动指纹实践，但表明提供商拥有潜在推导高熵设备特征的技术能力。这与近期对DeepSeek的分析一致，该分析报告通过§5中Fengkong Cloud域使用指纹方法进行追踪和归因。

6.2.2 移动实现。移动应用可访问和暴露比浏览器环境更广泛的标识符和敏感数据，实现更强归因和跨平台用户识别。由于第三方SDK在宿主应用进程内运行并继承其权限，用户授予应用的权限可被第三方有效搭便车。在评估的对话式AI服务中，我们观察到以下向第三方服务的传播：

• 账户关联标识符和电子邮件地址。四个移动客户端向第三方披露账户关联标识符。两个传输电子邮件地址：Perplexity给RevenueCat，Grok给TikTok和Twitter Analytics。此外Grok向TikTok和Twitter Analytics传输HEM。
• 移动广告标识符（MAID）。三个移动客户端向第三方传输AAID。我们发现3个不同第三方接收AAID：Adjust（Copilot）、AppsFlyer（Grok）和Singular（Perplexity）。虽然AAID设计用于广告归因和受众测量，但我们观察到其与其他持久标识符一起传输。特别是Grok与AppsFlyer共享AAID及用户ID，Perplexity与Singular共享AAID及用户和安装ID。此类组合使ATS能把可重置广告标识符与持久账户或安装关联标识符关联，从而破坏可重置ID的隐私属性。即使用户重置AAID，安装和账户级标识符仍持续存在，可用于在后续事件中重新绑定新分配的AAID。
• SDK特定ID。Adjust、Auth0、Braze、Datadog、RevenueCat、Sentry、Sift Science和Singular生成自己的专有ID用于用户识别、会话管理、归因和分析。多数情况下，这些SDK生成的ID独立于对话产物传输。但Claude把对话ID转发给Datadog，并附上Datadog生成和账户关联ID，在对话活动与多个专有分析ID之间建立直接链接。
• 其他。Claude向Sift Science传输地理定位坐标和Android ID（SSAID），Meta AI向自己的服务器传输Android ID。虽然这些属性常为分析、安全或反欺诈收集，但与其他ID结合时可能增加用户识别和再识别的持久性和唯一性。我们还在移动端观察到网页式追踪ID：Grok基于WebView的整合向与网页客户端相同的广告和分析端点传输Meta的fbp和TikTok的ttp cookie。但与网页客户端不同，我们未观察到对话URL或其他产物与这些cookie一起传输。

总之，这些数据传播做法削弱了可重置ID在移动平台本应提供的隐私保证。一次携带对话URL和_fbp cookie的Meta Pixel调用即可把聊天绑定到Meta画像；与TikTok或Singular共享的哈希电子邮件可与已知地址匹配；与持久安装ID一起传输的AAID可在用户重置后存活。结果，对话活动到达第三方时已与长期跨平台用户画像关联。

6.3 对话永久链接的可访问性

当被引用资源无需访问控制即可访问时，向第三方传播持久对话URL或对话ID尤其令人担忧。与传统网页追踪元数据不同，对话永久链接可直接暴露用户交互，包括提示、生成的回复、兴趣、担忧和其他上下文信息，可能持久存在（§3）。

为评估该风险，我们通过在没有认证的单独隐私浏览会话中打开每个对话URL，系统测试永久链接可访问性。表6总结各提供商和账户层级的访问控制机制。一些提供商把对话限制为所有者，除非明确分享——这将在§6.4研究——其他则默认通过公开可访问URL暴露，或依赖退出机制限制访问。Grok采取最宽松立场：免费和高级层级对话永久链接默认可访问，可选择退出。Perplexity始终使访客层级对话公开。但2026年4月3日，Perplexity停止与Meta等第三方追踪器分享URL，可能回应美国集体诉讼。在所有对话式AI提供商中，未观察到网页和移动实现在永久链接可访问性上有显著差异。我们不试图确定这些设计决策的理由。但若公开可访问性旨在简化分享或改善可用性，我们的发现表明这些选择不必要地增加用户隐私风险，扩大了能访问对话内容的实体集合。

6.4 对话分享

对话分享功能进一步放大可访问性风险——所有服务都提供生成公开可访问对话URL的机制（表4中æ）。我们观察到，当用户使用此功能时，所有对话式AI服务都无需认证即可暴露共享对话。对话分享页面中9个第三方的存在使它们能完全查看这些对话。作为Grok对话分享功能的一部分，我们观察到TikTok收集对话截图，Meta和TikTok都收集用户最新提示。这些传输向第三方暴露对话的逐字部分，如附录图11所示。

6.5 对话访问证据

为调查传播的对话资源上传后是否被访问，我们在对话中嵌入金丝雀URL（直接在提示中分享URL）和上传文件（在.docx和PDF中嵌入URL）。我们还测试一种变体，提示明确指示服务不要访问URL。我们使用默认canarytokens.org，也部署在自托管金丝雀基础设施上，使用通用域名以降低URL被识别为金丝雀的可能性。

仅对Grok观察到外部访问证据，记录到70次不同金丝雀激活，时间从提交后数小时到数天。这些激活来自70个IP地址，跨越14个国家、4大洲的48个AS（自治系统）。虽然对话在EU进行，65.7%连接来自位于美国的机器。与Grok反复交互后激活不同，其余服务的访问通常仅限于初始交互。对于DeepSeek、Copilot、Mistral和Claude，一些金丝雀URL在提交时激活一次，请求来自Amazon Web Services（AWS）和Google Cloud Platform（GCP）等云提供商。Perplexity反复访问金丝雀URL——即使被明确指示不要这样做——来自与其Perplexity-User爬虫相关的一系列IP地址，托管在美国AWS基础设施上。然而，未观察到访问不应解释为没有访问发生，因为此类观察最终取决于我们的插桩可见性和下游系统访问此类资源的特定机制。事实上，其他服务可能启用对用户对话的服务器端访问，但我们没有可见性（§8）。但Grok反复检索表明，对话衍生资源可能在初始交互很久后仍受后续自动访问。

7 法律背景

本节讨论§5和§6报告的追踪、数据共享和对话可访问性机制如何置于ePrivacy指令和GDPR建立的监管框架内，这些框架管辖EU追踪技术使用和个人数据处理。目标不是提供确定性法律评估或确定合规，因为此类确定需要内部文档、合同安排、技术实现和组织措施，这些并不公开。相反，我们识别与观察做法似乎相关的法律条款和监管指南，并讨论可能值得提供商、监管者和研究人员进一步审查的潜在紧张领域。

7.1 ePrivacy指令

根据ePrivacy指令（ePD）第5(3)条，出于分析、广告或画像目的使用cookie——该类别明确包括Meta和TikTok追踪像素或Google Analytics cookie——需要事先知情用户同意。EDPB已详细澄清，第5(3)条ePD的禁令同样延伸到比cookie更现代和复杂的技术，如（i）URL和像素追踪，（ii）收集唯一持久ID，（iii）通过客户端代码指示浏览器把此类信息发送到服务器端API。此外，遵守适用同意要求包括：禁止预勾选框，禁止cookie墙（除非有等效替代），接受和拒绝控制之间对等，禁止导致用户不反思或受操纵接受的黑暗模式。

7.2 GDPR (EU) 2016/679

当AI服务提供商向第三方披露聊天信息时，披露和第三方后续访问都构成处理活动，需要各自特定的透明信息和法律依据，前提是它们并非严格必要于提供商与用户之间的合同履行，且超出用户合法预期。因此根据GDPR，对话式AI服务在法律上主要有义务：

（1）以清晰易懂方式告知其处理。用户的合法预期几乎不会包括其对话可能被Meta或Google等第三方访问。OpenAI、Anthropic、Perplexity和xAI在告知第三方访问时使用通用模糊表述指代“用户提示”，未具体说明：“user content”（OpenAI）、“conversations”（Anthropic）、“service interaction info”（Perplexity）和“user info”（xAI）。不仅EDPB，CJEU在Meta Platforms Ireland（C-757/22，第54段）中字面要求数据控制者告知数据主体，对每个特定处理操作关联（i）所处理个人数据的细分，（ii）目的，（iii）所主张的法律依据。即使OpenAI以这种结构化关联方式提供信息，也未提及我们观察到的做法。

（2）拥有处理法律依据。第三方为自身目的访问这些数据同样如此。该依据不能是用户与AI提供商之间的“合同履行”。用用户交互训练服务是否“客观必要”于服务提供高度可争议。必须记住OpenAI或Anthropic等主导公司不断保证其企业层不基于用户交互训练模型的政策。企业用户不做的事，很难对免费层同样处理是“客观必要”。把第三方访问聊天标题和/或URL以及持久ID和追踪像素用于与工具运行无关的目的，通过广告技术特定机制，似乎更难合法化为“服务提供所必需”。EDPB在针对Meta IE的约束性决定3/2022（第118段）中澄清此点：若此类处理必要，合同条款应（mutatis mutandis）规定（i）提供商有义务让第三方访问聊天信息，（ii）不遵守该“义务”时的合同处罚，而条款中未出现这些要素。此处理只能通过明确同意（EDPB主张）或合法利益进行。即使假设合法利益适用，在分析案例中，关于（i）处理和（ii）行使反对权可能性的强制事先信息明显缺失。此外，该数据处理应受处理特殊数据类别禁令的某些例外覆盖。用户（并受提供商鼓励）询问健康、心理状态、私密事务等是已知且普遍的做法，使这项研究结果更令人担忧。对这类对话进行显著时期的纵向处理，可推断各种特殊数据类别，即使未特别保护（经济能力、金融风险偏好、强迫购买脆弱性）。

“SRB / Scania”原则。在线服务在此类场景中通常使用以下“银弹”之一：（a）匿名化，或（b）在防止数据接收者无需不成比例的时间、物质资源或人员即可重新识别用户的条件下进行假名化（SRB/Scania原则）。首先需澄清，这些论点（假设适用）只能补救缺乏法律依据：CJEU在“EDPS vs SRB”（C-413/23 P，第110段）中规定的按条款告知用户第三方访问的义务可能已被违反。

（1）匿名化。任何匿名化过程的稳健性和有效性只能逐案评估，需要看到匿名化的实际定义以及所做是否充分。

（2）假名化 / SRB-Scania原则。像Meta或Google这样的大型平台极不可能从中受益，因为它们拥有庞大个人数据库，且其商业模式恰恰明确是结合不同数据源以更好个性化定向广告。不应忘记，“数据主体重新识别的无关紧要风险”必须根据访问假名化数据方所进行处理的“背景、目的和效果”评估——CJEU Gesamtverband Scania（C-319/22，第70段）。

8 讨论

我们的发现揭示，对话式AI服务向追踪公司暴露比传统网页和移动服务丰富且敏感得多的信息。除收集持久ID外，多家提供商向第三方追踪服务传播编码用户交互内容、主题或上下文的对话衍生产物。与稳定ID和宽松访问控制结合，这些披露为第三方把敏感对话数据与长期用户画像关联并有时直接访问所引用对话内容创造新机会。因此，研究提出关于对话数据暴露、现有隐私控制有效性和这些披露问责机制的更广泛问题。

对话产物泄露到追踪生态系统。结果显示，对话式AI继承了网页和移动平台的广告和分析基础设施，把对话数据带入现有追踪管道。在9个网页服务中的6个和8个移动应用中的3个，第三方接收提示、标题和对话永久链接等对话产物（§6.1）。这些披露常与持久ID一起发生，包括同步广告cookie和HEM（§6.2），使对话可链接到长期跨平台用户画像。除隐私影响外，包括Google和Meta在内的多个第三方组织嵌入竞争性AI产品，引发直接竞争者收集对话数据（包括模型回复）的问题。

隐私控制保护有限。用户可用的隐私控制对底层数据流影响有限。即使拒绝非必要cookie，80.8%第三方追踪器仍活跃。订阅层级同样无效，免费和高级账户与基本相同的第三方交互。更根本的是，最强控制对最暴露于追踪的用户也最不可及。网页上只有ChatGPT付费层支持持久同意偏好，但约95% ChatGPT用户仍在免费层，OpenAI已宣布为免费和低成本用户引入广告。移动端不存在与网页cookie同意机制等效的机制，尽管暴露类似追踪基础设施（§5）。

范围与可推广性。评估聚焦领先消费级服务，但我们观察到的泄露向量源于把标准网页和移动追踪器直接嵌入对话界面。因此，这些问题超出消费级B2C服务，延伸到依赖相同网页和移动分析管道的LLM驱动网页应用、定制客服聊天机器人和第三方AI包装器。

暴露转化为访问和责任。除传输外，我们还发现披露内容随后被检索的证据。金丝雀令牌实验表明，至少一些共享对话产物随后被访问。我们观察到通过Grok共享的对话被来自14个国家的基础设施反复检索，65.7%访问源自美国，尽管对话在EU进行（§6.5），为底层隐私担忧增加数据主权考虑。然而，暴露的重要性不取决于是否直接观察到后续访问。对话元数据通过结构化URL参数和宽松分享默认值到达追踪器（§6.3），反映的是有意设计而非页面渲染的附带产物。正如CJEU在Fashion ID（C-40/17，第78段）中确立，使第三方访问本身就是触发提供商义务的处理决定，无论数据最终是否被读取（§7）。因此，暴露及提供商对其的问责源于设计本身。工具和方法限制以及研究挑战限制我们对这一行为和其他服务器端访问的充分可见性。解决我们面临的挑战并非易事，希望这项工作能推动研究社区应对。

8.1 局限

研究覆盖九种对话式AI服务，是快速增长的更广泛生态系统的一个子集。虽然广度有选择性，但聚焦活跃用户基数大的服务。排除企业和政府层级，提供商以不同数据处理承诺营销，其验证留待未来工作。发现覆盖受黑盒分析技术局限，包括易受动态分析规避，且无法提取Gemini移动应用的痕迹。此外，评估聚焦离散交互会话，未捕获长期对话和持久多轮记忆特有的累积隐私风险。也未覆盖未研究场景，如原生桌面客户端、语音优先界面或领域特定垂直AI工具。第三方存在本身不意味着数据在所有条件下仅为广告或追踪目的传输，因为一些SDK支持用户归因或应用内支付等运营功能。确定处理目的需要法律和合同分析，超出实证研究范围。大型提供商也可通过自有第一方域和服务器端追踪用户，与其隐私政策披露一致，我们的方法无法区分此类追踪与功能流量。因此我们报告Google Tag Manager等知名第一方追踪促成者的存在。最后，我们从固定一组观察点和用户画像测量，其他地理、账户状态或用户上下文中的做法可能不同。此外，生态系统快速演变且频繁更新，发现代表这些服务中第三方整合和PII泄露程度的时点下界。

8.2 缓解

为缓解部分风险，网页浏览器和移动操作系统提供隐私和追踪控制。Brave等隐私增强浏览器默认在网络层阻止广告、分析和追踪资源。但这些可能被高级服务器端和第一方追踪技术击败。类似地，移动操作系统实施权限模型，控制应用对位置、联系人、麦克风、摄像头和MAID等敏感资源的访问。iOS和Android等平台还提供机制，通过App Tracking Transparency（ATT）、广告ID重置能力和暴露部分应用数据访问行为的隐私仪表板限制广告个性化和追踪。在此基础上前沿研究探索自动权限管理，让用户对代理数据访问有有意义控制，消费级AI服务可采用此方法扩展现有对第三方追踪器的用户控制。互补方向可通过针对性沙箱化浏览器使用代理来执行网站提供的政策，用系统级限制补充用户面向权限控制。提供商也更有能力行动，例如默认不公开暴露对话永久链接，不向第三方提供自动生成标题和永久链接。一些提供商已开始提供专门控制。例如OpenAI最近引入营销cookie控制，尽管同一更新也允许使用cookie在其他网站推广其产品。从用户角度，可用缓解包括拒绝非必要cookie和在平台提供此类控制时禁用聊天分享。然而这些措施仍部分且依赖平台。

9 相关工作

越来越多研究聚焦审计LLM及其代理扩展的安全性，揭示模型训练、信息流、工具集成和与外部服务交互中的漏洞。我们的研究聚焦面向用户系统中生成式AI的隐私风险，追踪对话数据本身以及提示、对话标题或聊天ID与用户标识符的传播。相关先前工作分三领域：

第三方LLM应用。基于基础模型的新兴应用生态通过结构化工具接口向模型暴露外部服务。OpenAI的GPT和Anthropic基于MCP的连接器是少数现有LLM应用平台。先前工作把LLM应用描述为基于提示的包装器结合自定义数据处理API集成，考察其隐私姿态但未聚焦第三方整合。后续工作审计OpenAI的GPT应用生态，分析GPT Actions的自然语言规范以评估其声明的数据收集做法。我们的工作范围更基础，研究消费级服务的原生AI层，它位于LLM应用市场核心。

浏览器代理与扩展。ChatGPT Atlas、Perplexity Comet等商业代理系统和Sider、Monica等AI浏览器扩展充当代表用户驱动浏览器的外部代理。先前研究列举浏览器代理驱动网页会话的隐私风险，并审计流行GenAI浏览器扩展，测量数据收集、处理、分享做法以及按人口和兴趣属性的用户画像。互补工作刻画浏览代理的浏览器和行为指纹，并评估代理浏览器中的同源策略执行。相比之下，我们研究直接嵌入第一方服务的助手，而非作为扩展安装，默认覆盖更广用户群。例如ChatGPT仅在Play Store就超过10亿安装（表1），而Monica（研究中最流行扩展）为500万。

第一方网站和移动服务。我们工作的核心贡献是系统研究和刻画嵌入第一方网站和移动应用的LLM服务的数据泄露，包括对话产物。先前研究考察网页AI服务中的第三方追踪，主要识别追踪器并刻画其常规数据收集做法。但该工作未充分刻画网页和移动AI服务中对话衍生信息的生成、披露和可访问性所带来的隐私风险，也未覆盖其同意机制和订阅层级对追踪器行为的影响。通过联合分析网页和移动客户端、对话衍生产物、身份链接机制、同意配置、订阅层级和访问控制政策，我们的工作首次全面评估主流对话式AI服务的隐私风险。为探查这些风险，我们采用带敏感属性的基于角色审计，这是揭示深层广告定向行为的成熟范式。

10 结论

我们首次系统测量消费级对话式AI中的第三方追踪，分析九种主流助手在网页和移动客户端、不同同意状态和订阅层级下的表现。我们表明，网页和移动生态的追踪基础设施——追踪像素、SDK、持久标识符和服务器端转发——已被带入对话式AI，向采用广告商业模式的第三方暴露提示、生成标题和永久链接等对话产物。这些披露常与持久标识符一起发生，包括广告ID、哈希电子邮件地址和追踪cookie，使对话可链接到长期用户画像。我们还发现cookie同意和订阅层级提供有限保护，而宽松分享默认值使对话永久链接公开可访问。使用金丝雀令牌，我们确认共享对话随后被分布式第三方基础设施访问。这些发现凸显当前做法与GDPR和ePrivacy指令义务之间的紧张关系，暴露同意、访问控制和透明度机制的更广泛缺陷，并强调需要对对话数据流实施更强保障和问责。

伦理考量

这项研究观察广泛使用的对话式AI服务中的隐私风险，因此全程谨慎负责。我们未利用任何漏洞、访问其他用户对话或收集真实用户个人数据。所有测试仅在我们为研究目的拥有的账户上进行，使用我们自行编写的固定提示，流量通过浏览器开发者工具本地捕获。

在风险分析中，我们确定这项研究报告的大多数问题反映产品级有意做法，而非可利用的安全漏洞。Grok是唯一我们发现可能被外部方利用的安全问题，原因是对话资源访问控制薄弱。这一区别指导披露策略。更广泛目标是告知用户、支持监管监督并鼓励提供商解决已识别隐私风险。因此，我们对可利用安全问题遵循负责任披露流程，给xAI在发布前调查和修复的机会。我们还把更广泛隐私发现通知相关监管机构。披露时间线如下： - 2026年3月23日——分析Perplexity和Grok网络流量时首次注意到追踪器活动。 - 2026年4月6日——扩展测试，系统覆盖主要平台，跨不同登录状态、cookie同意选择、账户层级和隐私模式。 - 2026年4月13日——向EU和UK相关数据保护机构（DPA）通知发现。 - 2026年4月17日——通过漏洞披露电子邮件通知xAI，Grok因缺乏访问控制机制导致对话泄露。 - 2026年5月4日——在项目网站LeakyLM公开部分发现。 - 2026年5月27日——西班牙DPA（AEPD）引用我们的工作，要求把调查提升至2026年6月6日举行的EDPB全体会议。 - 2026年8月15日——OpenAI更新ChatGPT隐私政策，明确提及第三方追踪器；但无法确认是否直接受我们发现影响。 - 2026年9月10日——Grok仍使用公开可访问永久链接。自我方负责任披露以来未收到官方回应。

开放科学

为促进可复现性，我们在https://github.com/guinucool/pbst2027提供所有研究产物。

AI使用

作者使用生成式AI工具修订文本、改善流畅性和清晰度、纠正排版和语法错误，并创建LaTeX表格结构。我们手动验证输出完整性。研究方法和数据分析管道以及图表生成不使用AI工具。文献综述由我们自己完成。

多数评论指责厂商将聊天内容连同用户标识刻意出售给广告商等第三方，而非安全失误导致的泄露；部分人则从开发仓促或商业动机矛盾角度表达惊讶与怀疑。社区弥漫着“意料之中”的讽刺与对隐私沦丧的无奈。

认为这是刻意出售数据而非意外泄露

• 厂商把对话标题、截图、提示词等随持久标识发给第三方是主动商业行为，用“泄露”一词弱化了责任（较多人） > 词应该是“卖”不是“泄露”，这标题剥夺了那些向广告商出售私数据者的能动性（@DrMandalay）

推测是开发疏忽或仓促集成所致

• 工具可能是随性编码上线，广告模块接入时未严格限制权限与时机，并非精心策划的出卖（少数人） > 鉴于这些工具如今几乎是随性编写，或许可用汉隆剃刀解释（@robertclaus）

质疑与竞争对手共享数据不合商业逻辑

• 多家AI公司本应效仿Meta将用户数据留作内部广告定向优势，直接暴露给外部广告商尤其是竞对显得反直觉，因此对其故意性存疑（较多人） > 我惊讶OpenAI真会故意这么做，其高管来自Meta深知应把数据留在内部换竞争优势（@Traster）

观察到中国模型对数据出售更坦诚

• 有读者对比指出中国开发的模型往往在隐私政策或交互中明示数据用途，而西方产品常隐蔽（少数人） > 都是卖，但我看到中国模型多数时候是坦白的（@gagan2020）

有价值的补充

• 论文未说明应用具体在何时发送对话衍生产物，暗示数据流出时机可能影响责任判定（@charcircuit）
• 辛普森动画类比：用户如天真的Milhouse向AI倾吐秘密，折射出当下众人主动暴露隐私的荒诞现实（@delis-thumbs-7e）
• 有猜测输入法如Gboard可能是数据源头之一（@reedf1）