沉浸式翻译出现重大安全问题 用户生成的包含敏感数据的快照泄露在网上

声明：该文章来自（蓝点网）版权由原作者所有，K2OS渲染引擎提供网页加速服务。

日前有网友发现沉浸式翻译扩展程序的部分用户数据暴露在互联网上，这些数据包含部分敏感内容例如加密货币钱包私钥甚至是企业 / 机构的商业合同等。

严格来说此次问题并非安全漏洞而是沉浸式翻译提供的功能存在缺陷，即没有对快照链接进行保护导致搜索引擎爬虫可以直接抓取内容并将其防止互联网上公开索引。

注：以上索引链接已经无法访问，但泄露的数据库仍然可以提取数据

事件发生原因：

对于沉浸式翻译用户，该扩展程序提供将翻译后的网页或 PDF 文件生成快照，生成快照后同时还会生成共享链接用于将链接分享给其他用户。

沉浸式翻译显然也高估了用户的专业程度，部分用户使用沉浸式翻译对敏感内容进行翻译并且还生成快照，这里面就存在两种安全方面的问题。

第一是除了本地翻译模型外，使用任何第三方模型时都需要将数据发送给第三方进行翻译，因此敏感内容使用沉浸式翻译或者其他翻译服务都可能导致数据泄露，尤其是使用 AI 翻译时数据可能会被 AI 模型提供商拿去训练数据，这将严重危害用户的数据安全。

第二是沉浸式翻译提供的快照功能会直接将翻译后的内容暴露在互联网上，以商业合同为例，合同内可能包含大量的商业机密，用户使用沉浸式翻译搭配 AI 服务时不仅会将商业机密泄露给 AI 模型提供商，还会导致完整的商业合同直接暴露到互联网上。

沉浸式翻译的问题在哪：

沉浸式翻译提供的快照功能存在缺陷，即没有做好必要的安全措施对内容进行保护，导致搜索引擎可以直接抓取内容以至于引起大量的用户数据泄露。

同时沉浸式翻译没有做好必要的提醒，提醒用户对于敏感内容不要生成快照以免出现数据泄露，这个问题其实和 OpenAI 早前在 ChatGPT 里增加对话共享的搜索引擎抓取本质是相同的问题。

未来沉浸式翻译或许可以考虑参考诸如百度网盘等强制分享时设置密码，只有同时拿到链接和密码的用户才能访问内容，这样既可以避免搜索引擎抓取，也可以避免其他专业的机器人进行抓取。

数据已经在网上流传：

另外需要强调的是目前网上已经流传名为 readit.site.tar.zst 的 559.6MB 文件，这份文件里包含的全部是沉浸式翻译 readit.plus 里生成的快照，其中包含大量的敏感内容。

对于曾经使用过沉浸式翻译快照功能的用户建议仔细想想自己是否使用过快照功能以及是否存在数据泄露的可能性，目前没有彻底的补救方法，数据一旦公布到互联网上就不可能被永久清除。

[超站]友情链接：

四季很好，只要有你，文娱排行榜：https://www.yaopaiming.com/
关注数据与安全，洞悉企业级服务市场：https://www.ijiandao.com/