静音播放也能追踪你？阿里速卖通（AliExpress）被曝利用音频硬件“指纹”追踪用户

在互联网隐私攻防战中，追踪技术的隐蔽性再次刷新了普通用户的认知。

近日，隐私浏览器 Brave 官方披露了一起隐蔽的网页追踪案例：阿里巴巴旗下的跨境电商平台速卖通（AliExpress）被发现利用用户的音频系统生成设备指纹（Device Fingerprinting），从而实现跨站和长期追踪。更具戏剧性的是，这一隐秘技术的曝光，竟是因为一位用户的蓝牙耳机出现了“意外故障”。

1. 破案现场：为什么蓝牙耳机总被网页“霸占”？

传统认知中，网页窃取隐私往往与麦克风偷听、Cookie 留存相关。但这次的追踪手法完全不同：它既不需要开启麦克风，也不会录制用户的任何声音。

发现这一异常的起因非常偶然：一名开发者在使用具备“多点连接”（Multipoint）功能的蓝牙耳机时，发现手机端的音乐总是无法自动播放，耳机通道一直被电脑端占满。排查后发现，罪魁祸首竟然是后台常驻的 AliExpress 网页——该网页正在神不知鬼不觉地循环播放一段“静音音频”。

2. 核心原理：什么是“音频指纹”（Audio Fingerprinting）？

随着各大浏览器对第三方 Cookie 和传统追踪手段的围追堵截，广告追踪商开始转向更为隐蔽的设备指纹技术。

网站通过收集用户的屏幕分辨率、已安装字体、系统时区等特征，组合成一张唯一的“设备身份证”。而 AliExpress 所采用的，正是其中的一种进阶形态——音频指纹追踪（Audio Fingerprinting）：

• 微小硬件差异： 每一台电脑或手机的 CPU 性能、声卡架构、音频驱动以及浏览器底层渲染逻辑都存在极其微小的运算差异。
• 输入与测量： 网页通过 Web Audio API 在后台渲染或播放一段特定的音频（通常是人耳不可闻的静音信号）。
• 生成唯一特征： 浏览器处理并输出该音频信号的底层数据差异会被网页脚本精确测量，最终计算出一串独一无二的哈希值（Hash），这就是专属于你设备的“音频指纹”。

即便你清理了浏览器缓存、开启了无痕模式，只要你的硬件和系统环境不变，网站就能依靠这个“音频指纹”认出你。

3. 矛与盾的较量：如何防御隐形指纹追踪？

指纹追踪之所以难以防范，是因为它依赖的是浏览器正常的底层 API 调用。针对这种追踪行为，行业通常有以下几种防御策略：

1. 加入噪声干扰（Farbling / Randomization）：
   以 Brave、Tor 为代表的注重隐私的浏览器，采用了“数据微扰”方案。浏览器在向网页返回音频、Canvas、GPU 等硬件数据时，会自动注入不可感知的微小随机噪声，使得每次请求返回的“指纹”都不同，让追踪脚本彻底失效。
2. 拦截追踪脚本：
   将用于音频测量与指纹生成的特定第三方追踪脚本（如相关分析 SDK）加入广告拦截规则列表，直接从源头阻断执行。
3. 限制后台音频权限：
   现代浏览器对未经用户交互的后台自动播放有严格限制，但在无声渲染或特定交互后，Web Audio API 仍可能被滥用，这要求浏览器厂商持续跟进防御策略（如针对 GPU 渲染、字体指纹等全方位防御）。

从早期的 Cookie 跟踪，到后来的 Canvas 画布指纹、GPU 渲染特征，再到如今的音频指纹，追踪与反追踪的技术博弈从未停止。

对于普通用户而言，防范此类隐蔽追踪已很难依靠手动“清理缓存”来解决。选择具备主动指纹防护机制的隐私浏览器、定期更新系统与安全扩展，或许是在日益复杂的网络环境中守护个人数字边界的必要手段。