研究人员发现AliExpress利用无声音频生成设备指纹

这一隐蔽追踪行为的败露纯属意外。一位开发者在用支持多设备连接的蓝牙耳机时碰到故障：只要浏览器里开着速卖通的页面，耳机就没法在电脑和手机之间顺畅切换；一旦关掉那个标签页，学习效率提升问题立刻消失。为了弄清缘由，这位开发者仔细检查了网站代码，发现速卖通正借助Web Audio API构建了一个音量设为零的音频处理链路。虽然这一过程不会产生任何人类能听到的声音，但它始终在后台占用并激活电脑的音频系统，正是这种对音频通道的“独占”干扰了蓝牙耳机的切换操作。

研究显示，这并非普通的网页媒体播放行为。由于该音频处理链路的学习效率提升增益被调至零并直接连到系统音频输出，即便用户手动将浏览器标签页静音，也无法中断这一流程，浏览器依旧在后台处理这些无声信号。此类代码是浏览器指纹识别技术的典型运用。在这个案例中，脚本通过测量设备处理同一音频信号时产生的细微差别来识别用户。因为每台电脑的处理器、音频硬件、操作系统、浏览器及驱动程序各有差异，这些软硬件组合便形成了独一无二的音频处理特征。

除了音频测量，此次曝光的资料收集范围也相当广泛。相关脚本同时还在采集与Canvas渲染、WebGL、显示设置、硬件配置、WebRTC行为以及用户交互相关的信息。这些维度的信号相互交织，能够为设备勾勒出比单一信号细致得多的用户画像。尽管大型在线平台通常将指纹识别技术用于防范欺诈、识别自动化机器人以及进行风险评估，但隐私保护人士对此表达了深切忧虑，认为用户不仅对这种追踪毫不知情，也缺乏必要的控制手段。

事件曝光后，主打隐私保护的Brave浏览器率先对该行为采取了限制措施。Brave官方表示，其浏览器已屏蔽了速卖通负责音频追踪的脚本，并指出Brave在过去六年多里一直内置防音频指纹识别的保护机制。其原理是通过主动改变特定的浏览器输出，让网站接收到不一致的指纹信号，从而破坏追踪标识的稳定性。对于使用其他浏览器的用户，虽然可以通过uBlock Origin等内容拦截插件来阻止此类脚本，但这有可能导致速卖通网站上部分依赖同类代码的安全或防欺诈功能失效。这一事件再次凸显了当今网络生态中的核心矛盾：企业亟需更多手段来识别网络中的可疑活动，而用户及浏览器开发商则坚决要求对未经明确同意的底层设备追踪工具设定严格界限。