基于Web的聊天机器人安全与隐私风险的实证评估

基于Web的聊天机器人为网站所有者带来了增加销售额、即时响应客户以及洞察客户行为等好处。虽然基于Web的聊天机器人越来越流行，但它们并未受到安全研究人员的太多审查。所有者获得的好处是以牺牲用户的隐私和安全为代价的。诸如跟踪cookie和第三方域之类的漏洞可能隐藏在聊天机器人的iFrame脚本中。本文对Alexa排名前100万网站中的五种基于Web的聊天机器人进行了大规模分析。通过我们的爬虫工具，我们识别了这100万个网站中聊天机器人的存在情况。我们发现，在Alexa排名前100万的网站中，有13,515个（1.59%）使用了这五种被分析的聊天机器人之一。我们的分析显示，Alexa排名前30万的网站主要由Intercom聊天机器人主导，它们嵌入的第三方域数量最少。LiveChat聊天机器人在其余网站中占主导地位，并嵌入了最多的第三方域样本。我们还发现，有850个（6.29%）聊天机器人使用不安全的协议以明文形式传输用户的聊天内容。此外，一些聊天机器人严重依赖Cookie进行跟踪和广告目的。在聊天机器人iFrame中识别出的Cookie中，超过三分之二（68.92%）用于广告和跟踪用户。我们的结果表明，尽管大多数网站承诺隐私、安全和匿名性，但数百万用户可能在不知情的情况下受到聊天机器人服务提供商提供的较差安全保障。