Ứng dụng AI máy tính để bàn mã nguồn mở Cherry Studio bị người dùng phát hiện lỗ hổng về thiết kế quyền riêng tư: sau khi tắt tùy chọn “Gửi sai báo cáo lỗi và thống kê dữ liệu ẩn danh”, ứng dụng khách vẫn tiếp tục gửi dữ liệu nhận dạng bao gồm ID thiết bị, thông tin hệ thống và kiến trúc CPU. Người dùng GitHub Yuerchu đã đăng ảnh chụp bắt gói trong Issue #14387 , sau đó nhà phát triển kangfenmao thừa nhận trong phần bình luận rằng vấn đề là có thật.
Cấu trúc vấn đề: ba loại sự kiện có mức độ tuân thủ với cài đặt “tắt” khác nhau
（Nguồn：Github）
Theo phân tích mã, ứng dụng khách Cherry Studio báo cáo ba loại sự kiện, nhưng hành vi của ba loại sự kiện lại có sự không nhất quán mang tính cốt lõi:
Cuộc đối thoại AI: bình thường tuân thủ đúng theo công tắc của người dùng; sau khi tắt thì không báo cáo.
Khởi chạy ứng dụng: trực tiếp vượt qua công tắc, bất kể người dùng đã thiết lập thế nào đều vẫn báo cáo.
Kiểm tra cập nhật: tương tự, trực tiếp vượt qua công tắc, bất kể người dùng đã thiết lập thế nào đều vẫn báo cáo.
Mỗi yêu cầu được gửi đi đều kèm theo một ID thiết bị riêng, cùng với phiên bản hệ điều hành, kiến trúc CPU và mã phiên bản ứng dụng, tạo thành một tổ hợp nhận diện để theo dõi dài hạn chiếc thiết bị này.
Phân tích mã: công tắc bị cố tình xóa vào ngày 22 tháng 3
Nhìn lại mã nguồn trong cộng đồng cho thấy, khi cơ chế báo cáo này vừa được thêm vào vào tháng 2 năm 2026, công tắc đối với cả ba loại sự kiện đều có hiệu lực. Tuy nhiên đến ngày 22 tháng 3, người phụ trách bảo trì kangfenmao tự tay gửi một thay đổi: không chỉ xóa logic phán đoán công tắc của khởi chạy ứng dụng và kiểm tra cập nhật, mà còn nhét thêm nhiều thông tin nhận dạng thiết bị hơn vào phần đầu (header) của yêu cầu.
Đoạn mã lỗi này đã chạy liên tục trong bốn phiên bản v1.8.3, v1.8.4, v1.9.0, v1.9.1 trong khoảng một tháng, trước khi bị cộng đồng phát hiện và công khai tiết lộ.
Lỗ hổng cũ sớm hơn: script ẩn tự bật lại công tắc khởi động sau nâng cấp
Khi theo dõi mã của các bản cũ, cộng đồng lại phát hiện thêm một lớp vấn đề khác: vào thời điểm tháng 2 năm 2025, khi chức năng phân tích được thêm lần đầu, một đoạn script nâng cấp cũng đã được nhúng vào—chỉ cần người dùng nâng cấp từ phiên bản cũ lên thì “công tắc thống kê ẩn danh” sẽ được tự động bật lên một lần. Sau đó, backend dịch vụ phân tích lần lượt chuyển từ Google Analytics sang PostHog và Sentry, rồi sang hiện tại là analytics.cherry-ai.com do tự xây dựng, nhưng đoạn script tự động bật công tắc này vẫn không bị xóa.
Tác động thực tế là: với những người đã cài Cherry Studio trước tháng 2 năm 2025 và sau đó có bất kỳ lần nâng cấp nào, bất kể trước đó họ đã từng tự tay tắt cài đặt này hay chưa, thì sau mỗi lần nâng cấp công tắc sẽ bị lặng lẽ bật lại; họ cần phải thủ công tắt lại công tắc sau khi nâng cấp.
Các câu hỏi thường gặp
Cherry Studio cụ thể thu thập những thông tin thiết bị nào?
Theo phân tích mã, mỗi yêu cầu báo cáo bao gồm: ID thiết bị duy nhất (duy trì theo dõi xuyên suốt các phiên), phiên bản hệ điều hành, kiến trúc CPU, và mã phiên bản ứng dụng. Tổ hợp các thông tin này có thể dùng ở backend phân tích để nhận diện và theo dõi dài hạn một thiết bị cụ thể; ngay cả khi không có thông tin tên hoặc tài khoản, vẫn có thể tạo ra một dấu vân tay thiết bị hiệu quả.
Dữ liệu nhạy cảm như nội dung trò chuyện, khóa API… có cũng bị gửi đi không?
Nhà phát triển kangfenmao khẳng định rõ rằng nội dung trò chuyện, thao tác nhập của người dùng, tài liệu và các khóa API—những dữ liệu nhạy cảm—không đi theo kênh báo cáo này, và không nằm trong phạm vi dữ liệu bị ảnh hưởng. Hiện chỉ có những siêu dữ liệu dạng nhận diện thiết bị (metadata) được gửi đi.
Người dùng bị ảnh hưởng hiện nên làm gì?
Phiên bản đã được sửa đã được hợp nhất thông qua PR #14390; khuyến nghị cập nhật ngay lên phiên bản mới nhất. Sau khi cập nhật, cần tự tay xác nhận công tắc thống kê quyền riêng tư đang ở trạng thái tắt—do lỗi của script nâng cấp cũ, bản thân quá trình nâng cấp có thể lại bật công tắc lên. Nếu yêu cầu về quyền riêng tư cao hơn, khuyến nghị sau khi cập nhật hãy xác minh bằng công cụ giám sát mạng rằng việc gửi yêu cầu tới analytics.cherry-ai.com đã dừng hẳn.
Tuyên bố miễn trừ trách nhiệm: Thông tin trên trang này có thể đến từ bên thứ ba và không đại diện cho quan điểm hoặc ý kiến của Gate. Nội dung hiển thị trên trang này chỉ mang tính chất tham khảo và không cấu thành bất kỳ lời khuyên tài chính, đầu tư hoặc pháp lý nào. Gate không đảm bảo tính chính xác hoặc đầy đủ của thông tin và sẽ không chịu trách nhiệm cho bất kỳ tổn thất nào phát sinh từ việc sử dụng thông tin này. Đầu tư vào tài sản ảo tiềm ẩn rủi ro cao và chịu biến động giá đáng kể. Bạn có thể mất toàn bộ vốn đầu tư. Vui lòng hiểu rõ các rủi ro liên quan và đưa ra quyết định thận trọng dựa trên tình hình tài chính và khả năng chấp nhận rủi ro của riêng bạn. Để biết thêm chi tiết, vui lòng tham khảo
Tuyên bố miễn trừ trách nhiệm.
Bài viết liên quan
Karpathy tiết lộ: Phương pháp hoàn chỉnh để xây dựng một kho kiến thức cá nhân bằng LLM
Thành viên nhóm sáng lập OpenAI, cựu giám đốc AI của Tesla Andrej Karpathy đã đăng trên X về quy trình làm việc “LLM Knowledge Bases” và giải thích rằng gần đây ông đã chuyển khối lượng token lớn từ “điều khiển mã nguồn” sang “điều khiển tri thức” — dùng LLM để gom các bài báo, bài viết, thư mục, hình ảnh rải rác lại thành một wiki cá nhân được tự động duy trì. Toàn bộ quy trình đã được ông tích lũy trong các dự án nghiên cứu của chính mình với ~100 bài viết, ~400 nghìn từ, và xuyên suốt được LLM viết và cập nhật. Bài viết này tổng hợp toàn bộ phần setup của Karpathy, kèm một checklist có thể thực thi cho các nhà phát triển muốn tự sao chép.
Ý tưởng cốt lõi: dữ liệu thô → LLM biên dịch → wiki → Q&A
Triết lý thiết kế của Karpathy có thể cô đọng thành một
ChainNewsAbmedia53phút trước
Công ty quản lý quỹ Bitcoin K Wave Media đảm bảo nhận tới $485M để xây dựng hạ tầng AI
Theo ChainCatcher, công ty kho bạc bitcoin niêm yết trên Nasdaq là K Wave Media đã công bố vào ngày 4/5 một bước chuyển chiến lược sang hạ tầng AI, huy động được hỗ trợ vốn lên tới 485 triệu USD cho các khoản đầu tư trung tâm dữ liệu, dịch vụ cho thuê GPU, cùng các thương vụ mua lại và hợp tác về hạ tầng AI.
Công ty
GateNews1giờ trước
Antimatter khởi động kế hoạch trung tâm dữ liệu AI với khoản tài trợ 300 triệu EUR
Antimatter, một công ty hạ tầng đám mây có trụ sở tại Pháp cho các tác vụ AI, đã ra mắt vào ngày 4/5 bằng cách hợp nhất ba công ty hiện có: Datafactory, Policloud và Hivenet. Công ty đang huy động 300 triệu euro (351 triệu USD) để triển khai 100 đơn vị trung tâm dữ liệu vi mô vào năm 2026 cho AI suy luận
CryptoFrontier3giờ trước
Bộ Giáo dục “Thư viện nào cũng có AI”: Thư viện miễn phí dùng ChatGPT, Claude! Xem ngay thời gian và địa điểm áp dụng
Bộ Giáo dục thúc đẩy sáng kiến “Thư viện có AI (館館有 AI)”. Từ quý 4 năm nay, tại các thư viện quốc gia như Thư viện Quốc gia sẽ bố trí mỗi thư viện 5 máy tính AI; người dân chỉ cần sử dụng thẻ mượn sách có thể dùng miễn phí các công cụ như ChatGPT, Claude, Gemini… nhằm thu hẹp khoảng cách AI vốn phải trả phí, đồng thời mở rộng ra 47 thư viện đại học quốc gia. Kinh phí do chính các trường tự huy động hoặc xin hỗ trợ; đồng thời cần vượt qua các thách thức như thời gian sử dụng, quản lý tài khoản, quyền riêng tư và vấn đề cấp phép.
ChainNewsAbmedia4giờ trước
Kinh tế học người mẫu ảo do AI tạo ra: phân tích 4 hệ thống Markdown của Aitana, Emily
AI người mẫu ảo từ thử nghiệm chủ đề đã phát triển thành một thực thể kinh doanh tạo ra thu nhập mỗi tháng lên tới vài chục nghìn đô la Mỹ, toàn bộ kỹ thuật stack trong 18 tháng đã nhanh chóng trưởng thành. Bài viết này tổng hợp 3 trường hợp điển hình: Aitana López thuộc The Clueless (Barcelona, thu nhập tháng €10.000), Emily Pellegrini do một tác giả ẩn danh tạo dựng (thu nhập mỗi tuần khoảng 1 vạn đô la Mỹ), và “Maya” gần đây lan truyền trên nền tảng X—một nữ sinh/ sinh viên bang Texas được cho là đã xây dựng một nhân cách ảo AI bằng 4 tệp markdown, và tháng đầu tiên mang về 43.000 đô la Mỹ trên tài khoản OnlyFans.
Aitana López: Người mẫu ảo do The Clueless sở hữu, thu nhập tháng cao nhất €10.000
Aitana López là người…
ChainNewsAbmedia7giờ trước
TipTip đạt lợi nhuận EBITDA khi AI thúc đẩy mảng bán vé giải trí
Nền tảng giải trí và trải nghiệm của Indonesia TipTip đã công bố vào ngày 4/5 rằng công ty đạt trạng thái có lãi EBITDA trên toàn hệ thống vào đầu năm 2026, nhờ kiểm soát chi phí, cải thiện kinh tế đơn vị và quan hệ hợp tác với nhà đầu tư dẫn dắt East Ventures.
Tăng trưởng vé giải trí
TipTip's entertainment t
CryptoFrontier9giờ trước
