Cherry Studio被曝关闭「匿名统计」后仍在偷传设备信息，作者承认开关失效

据 动察 Beating 监测，开源 AI 客户端 Cherry Studio 被用户发现隐私开关失灵。GitHub 用户 Yuerchu 在 Issue #14387 贴出抓包截图：把「匿名发送错误报告和数据统计」关掉后，客户端仍持续向 analytics.cherry-ai.com 发请求。Cherry Studio 由国内开发者 kangfenmao 主导，支持多家大模型聚合与本地知识库，是国内用户量最大的开源 AI 桌面客户端之一。客户端一共会上报三种事件：每次 AI 对话、每次应用启动、每次检查更新。只有对话那个会看用户设置，另外两个直接绕过开关发出去。每条请求都带一个专属设备 ID，加上系统、CPU 架构、应用版本，等于长期追踪这台电脑。翻代码可以看到，2026 年 2 月刚加这套上报机制时，开关是有效的。到 3 月 22 日，维护者 kangfenmao 自己改了一版，把开关检查删掉，顺带把更多设备信息塞进请求头。这版改动在 v1.8.3、v1.8.4、v1.9.0、v1.9.1 四个版本里跑了一个月。kangfenmao 在 issue 下承认问题属实，解释是不同事件用了不同的开关判断逻辑，关掉设置后应用启动和更新检查的请求没被挡住；聊天内容、用户输入、文件、API 密钥这些敏感数据不走这条通道。修复 PR #14390 已合并，三种事件统一走同一个开关。事情还有更早的一层。社区翻旧代码发现，2025 年 2 月这个项目第一次加分析功能时，同时塞进一段升级脚本：只要是从老版本升上来的用户，这个「匿名统计」开关都会被自动打开一次。此后分析服务后端从 Google Analytics 换到 PostHog、Sentry，再换到现在自建的 analytics.cherry-ai.com，这段自动打开开关的代码一直没删。也就是说，在 2025 年 2 月之前装过 Cherry Studio、之后又升级过的用户，不管当初有没有手动关过这个开关，升级时都会被再打开一次，想关还得升级后再手动关一遍。