404 Privacy 最近发布技术分析，称 LinkedIn 会在 Chrome 浏览器里探测用户安装了哪些扩展。

作者统计的扩展列表截至 2026 年约 6278 项。文章还称，这套机制最早可追溯到至少 2017 年。检测结果会进入 AedEvent、SpectroscopyEvent 等遥测对象，加密后发往 LinkedIn 的 li/track 端点，并在用户会话期间伴随后续请求。

这件事卡人的地方，不是“大平台做风控”本身。

LinkedIn 的特殊之处在于，用户通常实名。页面上有雇主、职位、教育经历、职业关系。浏览器扩展清单一旦挂到这份档案上，就不只是某台设备的特征，而是一份可能带有职业、健康、政治倾向和工作方式的侧影。

被指扫描的方式：用 fetch 探测扩展文件

404 Privacy 描述的技术路径并不玄。

网页脚本向 chrome-extension://{id}/{file} 发起 fetch() 请求。如果某个扩展已安装，且对应文件被声明为可被网页访问，请求可能成功。没有安装时，Chrome 会阻止请求，并在控制台留下错误。

这类探测对普通用户不直观。页面照常打开，简历照常浏览，消息也照常发。你未必能从页面体验里意识到，浏览器里的扩展列表正在被试探。

项目404 Privacy 的说法该怎么看
扩展规模作者统计截至 2026 年约 6278 项不应当写成实时准确数字，但规模足以形成软件画像
探测方式访问 chrome-extension://{id}/{file}依赖扩展是否暴露可访问文件，不能等同于读取扩展全部内容
上报路径结果进入 AedEvent / SpectroscopyEvent，并加密上传外部观察者难以直接看到明文结果
更大系统APFC / DNA 还收集 canvas、WebGL、字体、屏幕、硬件、时区、语言等信号扩展扫描更像指纹系统的一部分，而非孤立动作

原文还提到两种执行方式：并行扫描和延迟扫描。后者可等浏览器空闲时再跑。另一个名为 Spectroscopy 的机制，则会检查 DOM 里是否出现 chrome-extension:// 引用，用来发现主动修改页面的扩展。

这里要守住边界：这是 404 Privacy 的技术分析，不是监管或司法已经认定的事实。能说的是，它把 LinkedIn 的客户端行为、遥测对象和上报路径串了起来，给出了可讨论的技术证据。

风险为什么更高：LinkedIn 知道你是谁、在哪工作

普通设备指纹通常先识别设备，再尝试关联账号。LinkedIn 的问题更锋利：账号本来就带着真实身份。

一个扩展本身可能不敏感。几十个扩展连在一起，再接上姓名、雇主、职位、人脉网络，含义就变了。

求职插件可能暗示员工正在看机会。政治、宗教、无障碍、神经多样性相关扩展，可能暴露私人倾向或健康处境。隐私工具、安全插件、研究工具，则可能让记者、律师、人权调查者的工作方式被平台记录。

对企业也一样。

如果一家公司有大量员工高频使用 LinkedIn，扩展扫描结果可能间接描出内部工具、竞争产品订阅、安全软件和工作流程。对安全负责人来说，这不是“员工装了几个插件”的小事，而是组织软件资产在第三方平台上留下影子。

最该先动的，是两类人。

一类是高风险职业用户。记者、律师、研究者、人权工作者，不该把实名 LinkedIn、日常研究、敏感资料检索放在同一个浏览器配置里。更现实的做法是：给 LinkedIn 单独开一个浏览器配置，只保留必要扩展；研究、取证、翻译、隐私工具放到另一个环境。

另一类是企业安全和合规团队。采购或法务不必马上把 LinkedIn 拉黑，但可以先做两件事：延后涉及 LinkedIn 数据集成的新采购决策，要求 Microsoft / LinkedIn 说明扩展探测的数据用途、保留期限、访问权限和退出机制。问清楚，比事后补救便宜。

普通用户的动作可以更轻一点：如果只是偶尔用 LinkedIn 找人脉，不必恐慌。把求职、隐私、安全、健康相关扩展从 LinkedIn 所在浏览器配置中移开，已经能降低暴露面。

争议边界：反欺诈能解释动机，但不能替代告知

LinkedIn 可能会把这套机制解释为反欺诈、安全或平台完整性。这个说法并非没有现实基础。

大型平台确实会采集浏览器和设备信号。广告反作弊、支付风控、账号安全、机器人识别，都需要判断“这是不是同一个人或同一类异常环境”。行业里类似做法并不少见。

但反欺诈不是一张空白授权书。

差别在三个问题：有没有清楚告知，采到什么程度，用到哪些场景。尤其当扩展清单可能推断敏感属性时，平台不能只把它塞进宽泛的“设备信息”“安全数据”里带过。

404 Privacy 指出，LinkedIn 公开隐私政策中没有明确说明扩展扫描。browsergate.eu 还称，LinkedIn 曾依据特定扩展对用户采取行动，并提到德国巴伐利亚相关网络犯罪部门已开启调查。

这些说法要分开看。前者是隐私披露缺口的指控，后者是法律进程线索。目前不能写成 LinkedIn 已被定罪，也不能断言这些数据已经被出售给第三方或用于广告定向。证据还没有到那一步。

接下来真正该看三件事。

观察点为什么重要可能影响谁
LinkedIn 是否公开解释扩展扫描目的、保留期限、退出机制会决定合规风险所有实名用户、企业客户
监管是否认可“反欺诈”覆盖这类采集这会影响平台能否继续把扩展清单纳入风控欧盟用户、跨国企业合规团队
企业客户是否要求单独说明B2B 客户的压力往往比普通投诉更快改变产品做法安全、法务、采购负责人

我更在意的是第二点。风控需要信号，但实名职业平台采集信号时，边界应当更窄，说明应当更清楚。

LinkedIn 不是匿名论坛。它拿到的不是一串孤立浏览器特征，而是和职业身份绑在一起的行为环境。慎独也好，合规也好，关键都在暗处那一步有没有被说清。