一篇论文测了对话式 AI 的隐私底细

你跟 AI 说的秘密，可能正在被第三方拿走。西班牙 IMDEA 网络研究所等机构的团队 9 月中旬公开了一篇论文，标题大意是「提示词像蝴蝶，蜇人像追踪器」：他们系统分析了九个主流对话式 AI 的网页端和安卓端，结论是这些服务已经深度接入传统广告追踪体系，泄露的不只是浏览习惯，还有你聊天的内容本身。更麻烦的是，这类泄露大多藏在正常使用流程里，用户毫无感知。

一、发生了什么

论文测试了 ChatGPT、Claude、Grok、DeepSeek、Perplexity、Gemini、微软 Copilot、Mistral 的 Le Chat 和 Meta AI 九家服务，覆盖全部网页端和八个安卓客户端。核心发现有三层：第一，44 个第三方组织被识别出来，九家服务无一例外都至少集成了一个广告或追踪服务；第二，九家里的六家网页端和八个安卓端里的三家，会把对话链接、标题、用户提示词甚至截图传给第三方，且常常附带能长期识别用户的标识符——追踪器不用猜你是谁，ID 就写在请求里；第三，部分服务把对话分享链接做成公开可访问，没有访问控制，追踪器拿到链接就能读完整段对话。团队还按欧盟 GDPR 和 ePrivacy 指令做了合规分析，并已完成负责任披露，通知了相关厂商和欧洲数据保护机构。值得注意的是，是否触发这些外发，和用户是否点了「接受非必要 Cookie」直接相关。

二、跟你有什么关系

天天用 AI 聊工作的人：你贴进对话框的合同、代码、病历摘要，可能经由标题和截图流向第三方。企业合规人员：员工用 AI 处理业务数据带来的不只是内部泄露风险，还有数据出境和合规义务。开发者：嵌入式追踪 SDK 在宿主应用的权限下运行，隐私政策写得再干净也挡不住客户端外发。

三、怎么用

1. 拒绝非必要 Cookie。论文显示不少追踪服务只在用户点击同意后才激活，网页端弹窗别无脑点「全部接受」。
2. 敏感内容剪掉再问。发提示词前把姓名、证件号、客户名替换掉，标题和截图外发时泄露的就是脱敏后的内容。
3. 慎用公开分享链接。分享前确认链接是否需要登录才能看，讨论完及时关闭分享；对支持「不用于训练」的设置项逐家确认。
4. 高敏场景用订阅版并查隐私设置。论文显示订阅档位和访问控制会影响对话暴露面，免费网页端的暴露通常最大。

四、三个别信的说法

「AI 聊天是一对一的私密对话。」 论文的结论恰恰相反：这些服务已并入更大的在线追踪生态，第三方代码在客户端里跑，对话产物会成为追踪素材。

「匿名的对话标题没关系。」 标题加持久用户标识符一起外发，等于把「谁在聊什么」打包送出，匿名性在标识符面前不成立。

「用了欧洲厂商就没这种问题。」 论文测的九家里有欧洲公司，追踪服务的分布各不相同但没有一家是零。监管落地的速度也未必赶得上功能上线。

五、一句话结论

对 AI 说的话，请当作发在半公开场合——礼貌、克制、不带身份证。

信息来源

• 论文：对话式网页与移动 AI 智能体的隐私分析.pdf)（2026 年 9 月公开）

功能与价格以官方公告为准。本文写于 2026 年 10 月 24 日。