تم الإبلاغ عن ثغرة في تصميم الخصوصية في عميل سطح مكتب مفتوح المصدر للذكاء الاصطناعي Cherry Studio بعد أن اكتشفها المستخدمون: بعد إيقاف خيار «إرسال تقارير الأخطاء والإحصاءات بشكل مجهول»، يواصل العميل إرسال بيانات تعريف تتضمن معرف الجهاز ومعطيات النظام وبنية وحدة المعالجة المركزية. بعد أن نشر مستخدم GitHub Yuerchu لقطة شاشة لعملية التقاط الحزم ضمن Issue #14387 ، اعترف المطور kangfenmao في التعليقات بأن المشكلة حقيقية.
بنية المشكلة: ثلاث حالات أحداث بدرجات متفاوتة من الالتزام بإعداد «الإيقاف»
（المصدر：Github）
وفقًا لتدقيق الشيفرة، يقوم عميل Cherry Studio بالإبلاغ عن ثلاث أنواع من الأحداث، لكن سلوك الأنواع الثلاثة غير متسق جذريًا:
محادثة الذكاء الاصطناعي: يلتزم عادةً بإعدادات المستخدم، ولا يتم الإبلاغ بعد الإيقاف.
بدء التطبيق: يتجاوز مباشرة إعدادات التبديل، بغض النظر عن كيفية إعداد المستخدم، سيتم الإبلاغ.
فحص التحديثات: كذلك يتجاوز مباشرة إعدادات التبديل، بغض النظر عن كيفية إعداد المستخدم، سيتم الإبلاغ.
تتضمن كل طلبات الإرسال معرف جهاز مخصص، بالإضافة إلى إصدار نظام التشغيل وبنية وحدة المعالجة المركزية ورقم إصدار التطبيق، ما يشكل مجموعة تعريفية للتعقب طويل الأمد لهذا الجهاز.
تدقيق الشيفرة: تم إزالة التبديل عمدًا في 22 مارس
عند مراجعة الشيفرة التي تم مشاركتها من المجتمع، تبين أنه عندما تم إدخال آلية الإبلاغ هذه لأول مرة في فبراير 2026 كانت التبديلات فعّالة لجميع أنواع الأحداث الثلاثة. ومع ذلك، في 22 مارس، قدم الصيانة kangfenmao بنفسه تعديلًا، إذ لم يقتصر الأمر على حذف منطق التحقق من تبديل بدء التطبيق وفحص التحديثات، بل قام أيضًا بإدخال المزيد من معلومات تعريف الجهاز في رؤوس الطلبات.
تم تشغيل هذا الرمز المعيب بشكل متواصل في الإصدارات الأربعة v1.8.3 وv1.8.4 وv1.9.0 وv1.9.1 لمدة تقارب شهر، قبل أن يكتشفه المجتمع ويتم الكشف عنه علنًا.
ثغرة أقدم: سكربت خفي لإعادة تشغيل التبديل عند الترقية بشكل صامت
عند تتبع كود الإصدارات الأقدم، اكتشف المجتمع طبقة أخرى من المشكلة: عندما تمت إضافة ميزة التحليل لأول مرة في فبراير 2025، تم أيضًا تضمين سكربت ترقية — بحيث عند الترقية من إصدار قديم، يتم تشغيل تبديل «الإحصاءات المجهولة» تلقائيًا مرة واحدة. بعد ذلك، ورغم أن خادم خدمة التحليل الخلفي انتقل لاحقًا من Google Analytics إلى PostHog وSentry، ثم إلى analytics.cherry-ai.com الحالي الذي تم بناؤه ذاتيًا، فإن هذا السكربت الذي يقوم بتشغيل التبديل تلقائيًا لم تتم إزالته.
الأثر الفعلي هو: المستخدمون الذين قاموا بتثبيت Cherry Studio قبل فبراير 2025 ثم أجروا أي ترقية بعد ذلك، بغض النظر عما إذا كانوا قد أغلقوا الإعداد يدويًا سابقًا، سيتم تشغيله مرة أخرى بهدوء بعد كل ترقية، ما يتطلب إيقافه يدويًا مرة ثانية بعد الترقية.
الأسئلة الشائعة
ما هي معلومات الأجهزة التي تجمعها Cherry Studio بالتحديد؟
وفقًا لتدقيق الشيفرة، تتضمن كل طلبات الإبلاغ ما يلي: معرف جهاز فريد (للتعقب المستمر عبر الجلسات)، وإصدار نظام التشغيل، وبنية وحدة المعالجة المركزية، ورقم إصدار التطبيق. يمكن أن تتيح هذه المعلومات مجتمعة إجراء تعريف وتتبع طويل الأمد لجهاز محدد على خادم التحليل، وحتى بدون الاسم أو معلومات الحساب يمكنها تكوين بصمة جهاز فعّالة.
هل يتم إرسال بيانات حساسة مثل محتوى الدردشة ومفاتيح API؟
صرّح المطور kangfenmao بشكل واضح بأن البيانات الحساسة مثل محتوى الدردشة ومدخلات المستخدم والملفات ومفاتيح API لا تمر عبر مسار الإبلاغ هذا، وبالتالي لا تقع ضمن نطاق البيانات المتأثرة. ما يتم إرساله حاليًا هو فقط بيانات تعريفية من نوع الأجهزة (metadata).
ما الإجراء الذي يجب على المستخدمين المتأثرين اتخاذه الآن؟
تم دمج نسخة الإصلاح عبر PR #14390، ويُنصح بتحديثها فورًا إلى أحدث إصدار. بعد التحديث، يجب التأكد يدويًا من أن تبديل إحصاءات الخصوصية في وضع الإيقاف—نظرًا لمشكلة سكربتات الترقية القديمة، قد تؤدي عملية الترقية نفسها مرة أخرى إلى تشغيل التبديل. إذا كانت متطلبات الخصوصية لديك مرتفعة، يُنصح بعد التحديث بالتحقق عبر أدوات مراقبة الشبكة من أن إرسال الطلبات إلى analytics.cherry-ai.com قد توقف.
إخلاء المسؤولية: قد تكون المعلومات الواردة في هذه الصفحة من مصادر خارجية ولا تمثل آراء أو مواقف Gate. المحتوى المعروض في هذه الصفحة هو لأغراض مرجعية فقط ولا يشكّل أي نصيحة مالية أو استثمارية أو قانونية. لا تضمن Gate دقة أو اكتمال المعلومات، ولا تتحمّل أي مسؤولية عن أي خسائر ناتجة عن استخدام هذه المعلومات. تنطوي الاستثمارات في الأصول الافتراضية على مخاطر عالية وتخضع لتقلبات سعرية كبيرة. قد تخسر كامل رأس المال المستثمر. يرجى فهم المخاطر ذات الصلة فهمًا كاملًا واتخاذ قرارات مدروسة بناءً على وضعك المالي وقدرتك على تحمّل المخاطر. للتفاصيل، يرجى الرجوع إلى
إخلاء المسؤولية.
مقالات ذات صلة
ساندول تُطلق Sandoll Square، منصة AI-Web3 لتمكين إدارة أصول رقمية لامركزية
ساندول تكشف عن Sandoll Square، تقسيمًا جديدًا للذكاء الاصطناعي وWeb3 لبناء منظومة نظام أساسي لامركزية، عبر دمج معالجة المحتوى المدفوعة بالذكاء الاصطناعي مع البلوك تشين لإدارة البيانات بسلاسة وقابلية التشغيل البيني؛ يجري حاليًا التوظيف على منصبي الرئيس التنفيذي والمدير التقني.
GateNewsمنذ 26 د
تعاون سولونا في التوسّع للربع الرابع مع Blockware، وتبلغ سعة مزرعة تعدين البيتكوين لطاقة الرياح في غرب تكساس أكثر من 17 ميغاواط
أعلنت شركة Soluna Holdings (ناسداك: SLNH) المتخصصة في تعدين البيتكوين وقدرات الذكاء الاصطناعي في 21 أبريل أنها وقّعت مع Blockware الاتفاقية الرابعة لزيادة السعة. ستضيف مشروع مركز بيانات Dorothy 1B لطاقة الرياح في غرب تكساس 3.3 ميغاواط من سعة إضافية، ما يرفع إجمالي سعة Blockware عبر جميع مواقع Soluna إلى أكثر من 17 ميغاواط.
MarketWhisperمنذ 1 س
ProCap Financial وKalshi يطلقان منتج أبحاث لسوق التنبؤات
رسالة أخبار بوابة، 22 أبريل — دخلت ProCap Financial، المدعومة من رجل الأعمال في مجال العملات المشفرة أنتوني بومبلانو، في شراكة مع مشغّل أسواق التنبؤ Kalshi لإطلاق منتج بحثي احترافي مصمم خصيصًا لأسواق التنبؤ. ستصل ProCap إلى بيانات Kalshi عبر خط مباشر وتوظف وكلاء ذكاء اصطناعي لتحليل أسواق التنبؤ، وتوليد رؤى استثمارية، ونقاط بيانات لسوق الأسهم، ودمج بيانات الأسهم في أسواق التنبؤ.
GateNewsمنذ 1 س
Snowflake توسّع منتجات الذكاء الاصطناعي مع موصلات وأدوات جديدة للمطورين
بوابة الأخبار، 22 أبريل — أعلنت شركة Snowflake عن توسعات في منتجاتها الخاصة بالذكاء الاصطناعي، Snowflake Intelligence وCortex Code، مع تسريع المؤسسات لاعتماد الذكاء الاصطناعي من برامج التجربة إلى بيئات الإنتاج.
أضاف Snowflake Intelligence موصلات لـ Gmail وGoogle Calendar وGoogle Docs وJira,
GateNewsمنذ 2 س
ماسک يطلق X التابع لـGrok بخط زمني مخصص، لتمنح مجتمع التشفير قناة مستقلة لتدفق المعلومات
أعلنت X (المعروفة سابقًا باسم Twitter) في 22 أبريل عن إطلاق ميزة «الجدول الزمني القابل للتخصيص» (Customizable Timeline)، والتي تتيح لمشتركي iOS المتميزين تثبيت أكثر من 75 موضوعًا على تبويب الصفحة الرئيسية، بهدف إنشاء تدفق معلومات خوارزمي مخصص حول موضوع واحد. تعمل هذه الميزة بفضل نموذج الذكاء الاصطناعي Grok والنظام الشخصي في X معًا.
MarketWhisperمنذ 3 س
تقرير DDC Enterprise: إيرادات قياسية بلغت 39.2 مليون دولار، وتمتلك 2,383 BTC بقيمة 182 مليون دولار
تُصدر DDC Enterprise تقريرًا عن إيرادات عام 2025 بقيمة 39.2 مليون دولار (+4.6%)، وتمتلك حوالي 2,383 BTC (~182 مليون دولار) ضمن أفضل 30، وتكشف عن منصة DDC Treasury Intelligence المدعومة بالذكاء الاصطناعي لإدارة صناديق البيتكوين بشكل مُحسّن.
GateNewsمنذ 6 س
