速卖通正在通过你的扬声器对你进行指纹追踪

监控的声响

一位开发者在佩戴多点连接蓝牙耳机时注意到一件奇怪的事：当电脑上打开着速卖通（AliExpress）的标签页时，耳机会拒绝将音频切换到手机——这是一个普通的切换问题，本不该与某个特定网站挂钩。关掉标签页，异常就消失了。

这个巧合引导出一条让人不安的结论：速卖通通过浏览器运行静默音频进程，利用你设备内的扬声器和音频硬件作为传感器，来对设备指纹采集并追踪你。不需要 Cookie。

这项发现在2026年8月浮出水面，开发者深入分析了该网站的代码，发现脚本使用 Web Audio API 构建了音频处理图，并将音量设为零。没人会听到任何声音。这些图直接连接到系统的音频输出，让音频路径在后台保持活跃，并收集每台机器处理相同信号时产生的设备特征签名。

对蓝牙耳机的干扰只是附带损害——一段从未真正空闲的音频子系统的证据，即使在浏览器标签页静音时也是如此。

指纹如何运作

音频指纹采集在概念上并不新鲜。研究人员多年来已证明，每块硬件在处理相同的数字信号时都会引入微小、可测量的差异。处理器、声卡、操作系统的音频驱动栈甚至浏览器本身的差异——所有这些都留下了独特的印记。

速卖通部署的脚本通过 Web Audio API 运行信号，测量信号返回时的特征，并用这些测量结果作为稳定标识符。因为该进程运行在浏览器的原生音频管道内，它绕过了 Cookie 拦截器、浏览器隐私模式和大多数内容过滤器。唯一阻止它的方式是禁用整个音频处理——这对任何提供媒体或依赖声音的网站来说是不可接受的代价。

这不是孤立事件。相同的脚本还从画布渲染、WebGL、显示设置、硬件配置、WebRTC 行为和用户交互中收集数据。这些信号组合起来形成一个远超单个数据点的复合画像。移除音频组件，其余部分仍能勾勒出可识别的轮廓。全部移除，多数合法电商功能就会崩溃。

谁受益，谁承担代价

速卖通在阿里巴巴更广泛的安全基础设施下运营。公司多次表示，指纹技术主要用于欺诈预防、机器人检测和风险评估。在这种框架下，它是一种防御工具——当 Cookie 被清除或账户轮换时，用来识别可疑交易和自动化活动的途径。

意图如何并不比效果更重要。无论意图为何，结果是运行静默、无需用户同意、且无法通过任何标准浏览器控制关闭的追踪机制。用户不会收到通知，也没有开关。浏览器标签页不会显示活动音频流，因为增益为零。通过同一扬声器听音乐的用户根本察觉不到后台进程的存在。

对购物者而言，代价是一种日益脆弱的在线隐私层的侵蚀。Cookie 曾提供可识别的边界——用户明白 Cookie 可以追踪自己，也能删除或拦截它们。音频指纹采集彻底移除了这条边界。它将设备本身变成了追踪信标，而没有任何消费者设置能在不破坏网站功能的情况下禁用它。

对浏览器厂商而言，这一事件再次提醒人们军备竞赛正在转移。2026年8月，Brave 公开标注了这种行为，指出其浏览器默认已拦截速卖通的脚本。Brave 已保持对抗音频指纹采集的保护超过六年，随后将类似防御扩展到 GPU 指纹采集——后者利用图形硬件和驱动行为达到相同目的。其他浏览器尚未跟上步伐。一些内容拦截器如 uBlock Origin 可以拦截这些脚本，但拦截它们也可能破坏速卖通依赖的合法安全功能——把两难处境完全抛给用户。

更大的图景

速卖通案例的意义不在于它单独存在，而在于它揭示了一种结构性转变。随着隐私法规逐步蚕食基于 Cookie 的追踪方式，浏览器收紧对第三方 Cookie 的限制，平台正在迁移到运行在浏览器合法基础设施之内、而非外围的技术。音频指纹采集只是其中一种路径。画布指纹采集、WebGL 渲染差异、字体枚举和硬件级签名是另一些。每一种都利用了浏览器必须暴露的功能。

这不是 bug。这是架构上的必然。一个能渲染网页内容、播放音频、运行 JavaScript、并通过网络通信的浏览器，总会泄漏关于其运行机器的信息。关键在于这种泄漏是偶然的还是故意的——以及用户是否有权决定。

静音正是目的所在。如果一种追踪方式自己宣布存在，用户可以抵抗。如果它隐藏在静音的音频图中，它就几乎不可见。这种不可见性让这一发展值得密切关注。

接下来会发生什么

隐私倡导者将此视为严重侵犯，监管影响确实存在。多个司法管辖区正朝着对任何无需用户明确知情即可识别设备的追踪要求同意的方向推进。音频指纹采集正处于这一灰色地带的中心——技术上可行、商业上有用，且几乎肯定无法被未深入分析站点 JavaScript 的人察觉。

Brave 的干预表明浏览器层面的防御可以生效，但它们依赖自愿且参差不齐。大多数用户运行的是默认不包含指纹采集保护的浏览器。在监管者或浏览器厂商填补空白之前，默认体验将继续偏向追踪而非隐私——像速卖通这样的平台会继续完善这些技术。

速卖通案例不应被当作异常读取。它是当一家拥有全球触达和工程资源的公司将浏览器隐私控制视为可选时的预览。音频图以零音量运行，指纹采集以满负荷运行。

教训很简单：如果你在被追踪而不自知，那么这种追踪正在按设计 exactly 工作。