Cookie 死了，指纹当立：你的浏览器正在出卖你
这周 Hacker News 上一条 710 分、351 条评论的热帖，标题起得像判词：《指纹是新的 cookie》（Fingerprints are the new cookies）。作者 Roy Fish 做了个让人后背发凉的演示：打开他的网页，他给你起个外号。
这周 Hacker News 上一条 710 分、351 条评论的热帖，标题起得像判词：《指纹是新的 cookie》（Fingerprints are the new cookies）。作者 Roy Fish 做了个让人后背发凉的演示：打开他的网页，他给你起个外号。你清掉 cookie，挂上 VPN，甚至换成无痕模式再打开——外号雷打不动，还是那个。更绝的是，你换台手机打开，外号变了，但在这台手机上永远是同一个。
他想证明的只有一件事：网站认出你，根本不需要 cookie。
"So what"：你不是用户，你是货物
评论区一定有人问：那又怎样？我没什么可藏的，广告准一点我还挺开心。作者的回答是全文最锋利的一段，翻译过来大概是这个意思——
这事跟你没关系，也早就不是广告的事了。跑着他脚本的网站，靠展示广告赚钱，顺手把"你是谁"告诉他；如果你在那个网站注册过账号，他还能按照隐私政策去买你的数据：名字、动态、跟 AI 的聊天记录。他看这些数据，看不见人，只看见模式，一层套一层的模式——"二十一世纪的水晶球，是硅做的"。然后，价高者得。如果警察或者政府出价，他也卖。
"精准广告"这块遮羞布，到这里就被撕掉了：你以为你在用免费服务，其实你是被称重、打包、拍卖的货物。而指纹比 cookie 恶毒得多——cookie 你还能清，指纹是你设备的物理特征，清不掉，藏不住。
Google 的三幕剧
文章顺手把 Google 钉在了耻辱柱上，整出戏演了五年，分三幕。
第一幕：施压。 2019 年，第三方 cookie 已经臭名昭著，Safari 和 Firefox 先后封杀。Google 摆出"隐私至上"的姿态，宣布要杀死 cookie，建立隐私优先的新秩序。
第二幕：拖延。 五年过去，人们有了更大的烦恼，Google 交出的替代方案 Privacy Sandbox 又难用、又惹上反垄断调查，根本没人用。于是 Google 改口：算了，cookie 留着吧。
第三幕：加速。 转头，Google 宣布广告产品里可以使用设备指纹了。顺带一提，第二幕里 Google 还画过一张小饼：说会给无痕模式加 IP 掩码——脚注里限定"仅登录状态的无痕"，最后连这个都没交付。
杀 cookie 是真的想保护你，还是演给你看的？评论区管这叫"明修栈道，暗度陈仓"。时间线摆在这里：cookie 死不死，广告生意不能停。何况别忘了，Google 既是全球三分之二浏览器市场的守门人，又是全球最大的广告公司——这个身份重叠，就是全部答案。
指纹是怎么炼成的
指纹有两个来源。网络请求里的 IP 地址和 User-Agent、Accept-Language 这些头：IP 脆弱（手机网络、合租 WiFi、VPN 都会变），头信息又太普通——又脆弱又普通，基本指望不上。
真正的料藏在代码里。 网站发一段 JavaScript 到你的浏览器执行，直接测量硬件：GPU 的型号和驱动行为、CPU 核心数、内存大小、屏幕分辨率和刷新率、音频处理的浮点误差、设备型号；软件层面还有装了哪些字体、插件、系统信息。全程不需要你点一下授权，测出来还稳得可怕。
单个看都不稀奇：全世界有几百万台 M4 的 Mac，有几百万个法语界面的 Chrome。可当"最新版 Chrome 加法语界面加 M4 芯片"叠在一起，数字就断崖式下跌，再叠上硬件测量，基本就是你了。指纹不需要全球唯一，只要在它那批用户里能把你挑出来就行。
阿金纳的数学：熵
文章里最漂亮的一个比喻，是阿金纳猜人物——那个精灵问你二十个问题，最后猜出你心里想的是谁。浏览器指纹就是反过来的阿金纳：问题由你设备的各项参数自动回答，网站数着比特数把你筛出来。
原理可以用猜人物游戏理解：如果你说"是男的"，而棋盘上一半是男性，候选人就少了一半——这个回答值 1 比特。八分之一的人有胡子，值 3 比特；一百二十八分之一的人只有一只眼，值 7 比特。特征越稀有，越值钱。
文章里那个经典例子：邮编（从 IP 推断）加生日（你在某个平台填过）加性别（你到处都填），三样拼起来，能唯一锁定超过六成的美国人。每多一个维度，候选人就少一半——这就是为什么几十个比特，足够在几十亿人里点你的名。
有个细节值得玩味：这些特征之间并不是独立的。留胡子和是男性高度相关，所以比特数不能简单相加。但这不影响结论，贝叶斯会替追踪者把账算平。
那怎么办？
先去 EFF 的 Cover Your Tracks 测一测，看看你的浏览器有多独特。文章给的清单很实在：
- Brave：往测量数据里掺噪声（farbling），让你的指纹每次都不一样，对不上号。
- Tor / Mullvad：反其道而行，让所有用户长一个样，根本分不出来。
- Safari / Firefox：有一定防护，但面对高级追踪者依然不够看。
- Chrome：作者的原话是，你基本等于顶着个身份证在网上走。
最黑色幽默的是这句：隐私插件反而让你更独特。 装的人少，追踪器一眼就把你认出来，专挑插件没盖住的信号看。所以真正管用的只有引擎级的防护——从浏览器内核里改的那种。插件只是创可贴。
结语
Cookie 死了，但指纹当立。网站认出你的方式，从"你兜里的小纸条"，变成了"你这个人本身"。一分钟版本在我们的视频号 AIPCast 第 049 期，完整对谈在《听懂 AI》播客。明天同一时间，下一条热帖见。