2018年5月6日 9 min read technology

Google 真的有用 Chrome 來偷聽？

原作者承認首項測試有問題，第二次測試則沒有顯示相同結果。

兩三個星期前，有段直播影片聲稱「測試」Google 有沒有用 Chrome 來竊聽用戶談話內容，再發送有關廣告。要質疑這些內容總得一個面對永恆的兩難︰太早提出質疑沒人理會，甚至變相幫助宣傳；太遲質疑就沒有作用（我還是未能掌握甚麼是最佳時機——假如存在的話）。

不過現在連《橙新聞》也偷了這段影片，應該是時候分析︰

tl;dr:

測試本身有問題——一開始根本沒有顯示 Google 廣告，而且測試者點擊狗玩具廣告，會影響之後結果。
原作者承認首項測試有問題，他第二次測試——不點按廣告、並非直播——沒有顯示相同結果。
資訊安全專家有更可靠的方法測試，而且萬一 Chrome 有竊聽，他們發現的機會大得多。
如果科技公司透過竊聽來決定派發甚麼廣告，這是侵犯用戶私隱，被揭發的後果嚴重。
科技公司毋須這樣做，亦已經可以精準分發廣告。

話說這影片剛出現時我已經看過一次，認為這個測試有問題，而且我向來也不太相信科技公司會這樣做——並非技術上不可行，而是這些公司完全沒有必要冒這個險。這一點下面再詳述，先講影片問題。

首先要強調的是，測試者 Mitchollow 修改了他的影片標題及簡介，承認測試方法有問題，呼籲觀眾看跟進影片。（2024-01-24按︰Wayback Machine備份記錄顯示他曾使用下圖的標題，但後來又刪去「(DEBUNKED see follow-up video)」一句。）不過他的影片肯定被各大內容農場和 Facebook 專頁偷走上傳，而且甚少人會回頭再看標題及簡介，未必發覺到這一點︰

Mitchollow的直播測試如下︰他先表明將要測試Chrome有否竊聽的字眼是“Dog Toys”（他沒有說出這個詞，只是寫在紙上並在鏡頭前顯示，讓觀眾看到），再打開一些新聞媒體網站，檢查廣告沒有關於狗玩具的內容，然後關掉Chrome，談論一會狗玩具。接着他再打開 Chrome，點進新聞網站看廣告內容，居然發現有狗玩具的廣告，再按其他仍然如此。

這個「測試」的一大問題，在於Mitchollow重新打開Chrome後，一見到狗玩具的廣告就點進去，派發廣告的演算法自然理解為「他對這個廣告有興趣」，然後派發更多類似內容。

當然，這無法解釋為何一開始會出現狗玩具廣告。另一個我認為更可疑之處，是在 Mitchollow 談論 “Dog Toys” 之前打開的網站，似乎都沒有顯示 Google 廣告。例如以下是測試前段打開的《Daily Mail》畫面︰

跟測試後段打開的有明顯分別︰

《Fox News》亦有相同情況︰

另一個測試前後段均有打開的網站為 WRAL.com︰

如果一開始沒有顯示 Google 廣告內容，那麼在測試前段打開網站檢查廣告，根本無法有效對照結果。

Mitchollow 後續的影片雖然未有回應這個問題，但他仍然承認兩項質疑有理︰一，他打開狗玩具廣告完全「污染」了測試數據；二，他在 YouTube 直播，自然會上傳資訊給 Google，並承諾會再作測試。

在他的第二段測試影片中，並沒有上述一開始未能顯示 Google 廣告的問題，他先行錄製影片，也沒有點擊廣告。Mitchollow 今次測試的字眼是一種名為 “Soylent” 的純素豆類飲品，但沒有上一段影片的驚人結果——打開的網站並未顯示相關廣告。

我並不相信 Mitchollow 的首個測試可靠，最主要原因是一開始未能正確顯示廣告的問題，我甚至認為這非常可疑。但他既然在原本影片的簡介承認問題並再作測試，尚算有誠信，未必是那些靠語出驚人賺流量的 YouTuber。

這類「測試」影片還有其他問題，例如像科學論文（和很多新聞）一樣會受出版偏差（publication bias）影響，結果夠吸引的測試才會受注視，平平無奇的結果就被忽略。

此外，資訊安全專家應該有方法檢視電腦傳送了甚麼資料出去，也能夠檢查收音咪有沒有運作，這些方式雖然沒那麼直觀（也更不容易傳播），但更加可靠。這是資訊安全專家的專業及工作，萬一 Chrome 真的有竊聽用戶，他們發現的機會要比 YouTuber 高得多。

這就帶到為何我不相信 Facebook、Google 等公司需要這樣竊聽來決定顯示甚麼廣告的最主要原因，就是太容易被發現，而且一旦被揭發面臨的法律後果嚴重。

在2015年，Chrome 被揭發在 Windows、Linux 及 OS X 版本上包含稱為 “OK Google” 的外掛，讓用戶可以聲控 Chrome 來搜尋資訊甚至開新分頁，引起侵犯私隱的憂慮，最終 Google 在 Chrome 46 版移除此功能。這只是協助使用 Chrome 的功能，已引起大量合理的質疑聲音，Google 不可能不明白要是他們竊聽用戶來賺錢，必然會帶來大量訴訟及鉅額賠償。

當然，我們不用相信 Google 真的會 “don’t be evil”，只要賺的錢夠多，賠償又有甚麼所謂？問題在於，這樣竊聽帶來的形象損害會比劍橋分析對 Facebook 的影響嚴重得多，而且，Google（像 Facebook 一樣）根本不需要竊聽就能準確分發廣告，因為我們實在交出太多太多資訊了。

大多數網站均設有追蹤器記錄用戶瀏覽甚麼網站，而且不少屬於 Facebook、Google 等公司作廣告業務用途，且別說你在 Google 的搜尋字詞、YouTube 觀看的影片，又或在 Facebook 互動的貼文、打開的廣告等，都被一一記錄下來，以判斷你的喜好和口味。連同地區、年齡、性別等資訊，演算法自然能夠找到大致適合你的廣告，根本無須大費周章竊聽。

我認為，Facebook、Google 竊聽來分發廣告的說法陰魂不散，其中一個原因是人們不肯面對或不理解這兩家公司到底掌握了我們多少資訊，以致受到最簡單的解釋吸引。真正關注私隱的人，除了要警惕竊聽等侵犯私隱的行徑，亦應作合理判斷，正視問題所在。這些我都寫得太多次了︰