据监测，开源AI客户端Cherry Studio被曝存在隐私开关失灵问题。用户发现，即使关闭“匿名发送错误报告和数据统计”选项，客户端仍会向analytics.cherry-ai.com发送请求。
上报机制详情
- 上报事件：客户端会上报三种事件——每次AI对话、每次应用启动、每次检查更新。
- 开关失效：仅有“AI对话”事件会受用户设置控制，“应用启动”与“检查更新”事件会绕过开关直接上报。
- 上报内容：每条请求均携带专属设备ID、系统信息、CPU架构及应用版本，可实现对设备的长期追踪。
代码改动追溯
通过翻查代码发现：
- 该上报机制于2026年2月添加时，开关功能原本有效。
- 在3月22日，维护者kangfenmao修改了代码，删除了部分事件的开关检查，并增加了更多设备信息上报。此改动影响了v1.8.3至v1.9.1等多个版本。
开发者回应与修复
项目维护者kangfenmao在相关Issue下承认问题属实，解释称不同事件使用了不同的开关判断逻辑导致漏洞。其强调聊天内容、用户输入等敏感数据未通过此通道上传。目前，修复程序（PR #14390）已合并，三种事件将统一受同一个开关控制。
历史遗留问题
社区进一步审查发现，该项目早在2025年2月首次添加分析功能时，就植入了一段升级脚本：所有从老版本升级的用户，其“匿名统计”开关都会被自动开启一次。此后尽管分析服务后端多次更换，这段代码却一直保留。这意味着，在2025年2月前安装并后续升级的用户，其隐私开关可能曾被自动开启，需要升级后再次手动关闭。
