九款 AI 助手隐私实测:聊天标题、提示词和分享链接如何流向第三方

导语

我们常把聊天机器人理解成用户与模型之间的一对一窗口，但一项覆盖九款主流对话式 AI 的测量研究提醒：窗口背后还连接着分析、广告、错误监控和客户支持系统。研究团队在 2026 年 5 月从西班牙测试网页端与 Android 端，发现某些服务会把聊天标题、提示词、会话标识甚至截图发送给第三方。更关键的是，这些内容有时会与用户标识同时出现，使一次聊天可能被接到长期画像上。

研究怎么做

研究对象包括 ChatGPT、Claude、Grok、DeepSeek、Perplexity、Gemini、Copilot、Mistral 和 Meta AI。团队没有只扫描隐私政策，而是组合静态分析和真实交互：网页端用浏览器开发接口记录网络请求、Cookie、存储项与脚本行为；Android 端反编译应用、识别第三方 SDK，并在测试手机上观察运行时资源访问和外发流量。
为了比较设置是否有效，实验分别覆盖访客、免费和付费账户，并对网页 Cookie 选择执行“忽略、拒绝非必要、全部接受”三种条件。每次测试都从干净浏览器配置开始。提示词统一采用健康咨询场景，因为这类内容足够敏感，便于检验标题、正文和身份标识是否一起外流。研究者还创建分享链接，并用可检测的标记观察链接是否被外部基础设施访问。

发现了什么

九款服务都接触了至少一家被研究者归为广告或追踪服务的第三方组织。全体样本中出现 124 个第三方域名，可归属到 44 家组织，其中 34 家属于广告或追踪类服务。网页与移动端差异明显：网页更容易暴露页面 URL、自动生成的聊天标题和 Cookie，移动端则更多通过 SDK、设备标识和应用内网页承载数据流。
最值得关注的不是“装了多少分析工具”，而是传输了什么。研究报告称，九个网页客户端中有六个、八个 Android 客户端中有三个，会向第三方发送某种会话衍生信息。五个网页客户端泄露会话 URL，三个泄露自动生成的聊天标题；个别场景还出现提示词和分享页面截图。标题虽然短，却可能直接概括疾病、财务困境或职业计划。若它同时伴随账户 ID、匿名 ID、广告 Cookie 或哈希邮箱，第三方便有条件把内容主题关联到稳定身份。
隐私设置的保护也有限。拒绝非必要 Cookie 会减少部分广告组件，但研究者仍观察到大量第三方连接保持活跃；免费与付费账户使用的第三方基础设施总体相近。部分分享链接缺乏访问控制，知道链接的人即可读取完整会话。标记实验还记录到分享后的会话被分布在多个国家的基础设施访问，说明风险并不止于“理论上可访问”。

编辑判断

这项工作是一次特定时间、地区和账户配置下的黑盒测量，不能推出所有请求都用于定向广告，也没有覆盖企业版、桌面端、语音模式或长期记忆。研究者自己也把结果称为下限：服务器侧转发和第一方追踪往往无法从客户端完整看见。它证明的是数据通路和访问条件存在，而不是替监管机构替每条链路判定违法。
对普通用户，最实际的做法是把 AI 对话视为会进入复杂 SaaS 管线的数据：拒绝非必要 Cookie，谨慎使用公开分享，避免在消费级账户中输入身份证件、健康记录和公司机密。对产品团队，更根本的改进不是增加一段提示，而是默认关闭公开访问，不把标题、会话 URL 和提示词交给第三方遥测，并让用户能在网页与移动端获得同等清晰的控制。