2026 年 9 月 29 日，西班牙 IMDEA Networks 研究团队公开了一篇系统性隐私分析论文《Prompt like a Butterfly, Sting like a Tracker》，对 ChatGPT、Claude、Grok、DeepSeek、Gemini、Perplexity、Copilot、Mistral 和 Meta AI 九款主流对话式 AI 服务的网页端与移动端做了静态加动态检测。结论很直接：多家服务商把对话生成的标题、提示词乃至截图，连同广告 ID、哈希邮箱、追踪 Cookie 等持久标识符一起，交给了第三方广告与追踪服务。
论文点名的四类问题
第一，覆盖面比想象中广。研究共观测到 124 个第三方域名，归属 44 家机构，其中 34 家是广告追踪服务；几乎每款被测服务都会联系至少一家第三方追踪机构。第二，泄露的不只是元数据：对话标题、提示词、截图这类「对话衍生物」会被送到第三方，而且常常附带能长期关联用户身份的持久标识符。第三，Cookie 授权弹窗和付费订阅的保护作用都有限——按了同意选项、甚至掏钱买了会员，该泄露的照样泄露。第四，部分服务商的对话分享链接默认公开、无访问控制，研究者用「金丝雀令牌」证实，分享出去的对话随后真的被分布式第三方基础设施访问过。
为什么这时候出现这类研究
背景是各家大模型厂商正在把广告变成新的商业模式。论文引用路透社的报道指出，OpenAI 在 2026 年初已与广告技术公司 Criteo 合作，在美国对 ChatGPT 免费用户做广告试点。当聊天框开始接广告，传统互联网那套追踪基础设施就顺理成章地跟着进了对话。研究者还把这些做法放在 GDPR 和《电子隐私指令》的框架下做了评估，并已向受影响的厂商和欧洲各国数据保护机构做了负责任披露。
对普通用户意味着什么
默认假设要变：聊天记录不是「只有你和 AI 知道」，至少在一些服务上，标题和提示词会流向广告生态，问诊、谈薪、写商业计划这类敏感对话更要留心。其次，分享链接要当心：公开的对话永久链接可能被追踪器直接读取全文，分享前先确认链接权限。第三，付费不等于隐私豁免——论文明确指出订阅层级提供的保护有限。类似的聊天记录隐私争议此前已经出现过：当对话数据成为资产，争夺它的就不只有模型厂商。
