你以为App在偷听你说话?别天真了,它们的手段比你想象的脏得多刚和对象聊完吃火锅，打开淘宝就推荐火锅底料，微信里海底捞公众号也弹出来了——你是不是也有过这种感觉：手机在偷听我？你可能不知道，早在2018年就有安全团队做过大规模实验，用抓包工具监控了几十个主流App的网络流量，结论是：没有一个App通过麦克风偷听来给你推广告。原因很简单——语音识别成本太高了。要把你全天说话的音频实时上传、转文字、分析关键词，这个流量量和服务器成本，是任何广告系统都承担不起的。而且一旦被抓到实锤，公司直接原地蒸发，犯不着。因为根本不需要偷听。他们有一套更高效、更隐蔽、而且你根本拦不住的手段。2024年，有位程序员博主做了个实验：用手机自带输入法在聊天框里打出"我想买一只猫"之类的字，但没有发送。然后切换到购物App，一刷新，猫咪推荐出现了。他逆向抓包发现，输入法把你打的每一个字，明文传输到了输入法公司的服务器。你去看输入法的《使用条款》——上万字，很少有人会真看完——里面清清楚楚写着：用户输入的文本信息会被共享给30多个合作伙伴。你点了"同意"，就授权他们把你说的话卖给广告联盟了。广告联盟拿到你的关键词后，给你打上标签（"对猫感兴趣"），然后这个标签会跟着你的设备ID，分享给联盟内的所有App。所以你在A软件输入的词，B软件看到推荐，根本不是A把数据给了B，而是A和B都接入了同一个广告联盟的SDK，共享了同一个用户画像数据库。这就是为什么你把输入法甚至所有App的网络权限全关了，照样能收到精准推送。现在的App普遍接入了不止一个SDK（软件开发工具包）。推送SDK、统计SDK、广告SDK、社交分享SDK……每个SDK背后都链接着一个巨大的数据平台。一个手机里装了十几个App，它们可能各自接了不同的SDK。但这些SDK之间是有"联盟"的。只要你的手机装了A和B两个App，它们接入了同一个广告SDK（比如穿山甲、广点通、谷歌AdMob等等），那么这个SDK就会给这台手机生成一个唯一的设备指纹。设备指纹怎么生成的？不是你想象的那种简单的IMEI号或者MAC地址。它的组合方式多到你想象不到：这几十项信息组合起来，就是你这台手机独一无二的"指纹"。不需要任何权限，不需要任何授权，这些信息App通过系统公开API就能拿到。2026年6月，安全团队Mysk发布了一个叫Loupe的开源工具，专门用来揭示iPhone上App通过设备指纹追踪用户的机制。他们在App里什么权限都不给的情况下，Loupe就已经知道：• 装了Steam和Discord（判断：游戏玩家）• 装了GitHub和Slack（判断：科技行业从业者）这些零碎信息单看都没什么，但合在一起，就是一台手机的身份证。广告商通过SDK拿到你的设备指纹后，你在A软件搜了洞洞鞋，B软件打开的时候，SDK一认，还是你，接着推。2021年苹果上线了ATT（App跟踪透明度），要求App必须弹窗询问用户是否允许追踪，不同意的话IDFA（广告标识符）就清零了。苹果的隐私清单里，要求App声明"我读这个信息但绝不外传"。但Mysk团队抓包发现，Facebook、Instagram、Chrome、Spotify这些大厂的App，依然在偷偷把用户的开机时间等设备信息发回服务器。他们要这些信息干什么？没有任何功能上的必要性。唯一的目的，就是拼凑设备指纹。安卓那边更夸张。2025年谷歌自己的研究团队发了一篇论文，扒了18万个安卓App和22万个SDK，发现热门App里39.4%都装了收集设备指纹的SDK。交友类和漫画类App，这个数字飙到了82%和88%。但有一个更骚的操作：SDK联盟的设备之间，可以通过本地网络互传数据，不需要连接互联网。你手机里装了A、B、C三个App。A没联网权限，但它可以通过本地网络（不需要WiFi也不需要流量），把缓存的设备信息传给B。B传C，C可能是个系统应用无法卸载也无法限制权限的App。只要有一个App是联网状态，数据就传到服务器了。所以你把所有App的网络权限都关了，照样能收到精准推送。因为只要App之间能互相传数据，总有一个"内鬼"会把数据送出去。• 用开源的输入法（比如某狗输入法的国际版、或者Gboard的隐私模式）但你要明白：在这个SDK联盟无孔不入的时代，隐私不是技术问题，是商业模式的副作用。只要App免费提供服务，只要广告是互联网公司的主要收入来源，精准推送就不会消失。我们能做的，只是让自己稍微难被追踪一点——不要裸奔，至少要穿条内裤。我之前写公众号的时候说过一句话，放在这里也很合适：你以为是手机在"听"你说话。其实是你每一次点击、每一次输入、每一次滑动，都在"说"话。
夜雨聆风