SkillVet：亚马逊 Alexa 技能的自动化可追溯性分析

第三方软件（或称技能）是智能个人助理（SPA）的重要组成部分。技能数量快速增长，其主导环境不断变化且缺乏清晰的商业模式。技能可访问个人信息，这可能对用户构成风险。然而，关于该生态系统如何运作的信息甚少，更不用说能促进其研究的工具。本文中，我们呈现了迄今为止对亚马逊 Alexa 技能生态系统最大规模的系统性测量。我们研究该生态系统中开发者的实践，包括他们如何收集敏感信息并论证其必要性，为此设计了一种识别具有破损隐私策略的过度授权技能的方法论。我们收集了 199,295 个 Alexa 技能，并揭示约 43% 请求这些权限的技能（以及 50% 的开发者）遵循不良的隐私实践，包括（部分）破损的数据权限可追溯性。为大规模执行此类分析，我们提出 SkillVet，其利用机器学习和自然语言处理技术生成高准确度预测集。我们报告了若干令人担忧的实践，包括开发者如何通过账户关联和对话式技能绕过 Alexa 的权限系统，并就如何提升透明度、隐私和安全性给出建议。由于我们已执行负责任的披露，所报告问题中 13% 在提交时不再构成威胁。