一款让大兵给自己军营宿舍打分的App，翻开代码一看，里面跑着华为的东西。这是研究人员翻查两百多款专门面向美军群体的App后，挖出的最扎眼的一个例子。
来自普渡大学、西点军校和佛罗里达国际大学的研究团队，从Google Play和几个军事主题的社群里抓取了逾220款App——制服穿搭指南、晋升考试题库、银行App、约会软件，五花八门，唯一共同点是都打着"军人专用"或"军属专用"的旗号。体检结果不太好看。
体检结果：八分之一藏着外国代码
64%的App里跑着第三方SDK——一种预装的代码模块，通常用来做广告和用户行为分析，但也顺手就能记录位置、打包卖给外部公司。更麻烦的是，40%的App实际收集或共享的数据，已经超出了它们在Google或苹果商店里写的隐私披露。
研究人员一共揪出76种不同的SDK，最常见的仍是Google和Facebook——这两家本来就垄断着美国的数字广告生意。但代码来源国名单还拉出了中国、俄罗斯、以色列、印度、德国等一串国家，其中约7%的App含有五角大楼明确列为"网络对手"的国家代码。
具体到案例：12款App含有华为的HMS Core，这套工具能定位用户、投放广告、存取照片视频；另有两款由俄罗斯公司开发，接入了俄罗斯广告服务Yandex。样本里还有几款是专供各州国民警卫队使用的App。
这里要说清楚一件容易被误读的事：研究人员没有观察到数据实际流向华为服务器。含代码不等于正在窃密，SDK今天没被激活，不代表它没有能力被激活。至少有一个案例里，华为代码是通过一款商业通知工具的依赖链，被悄悄带进App的，开发者自己事先根本不知情。
- 风险.SDK可以远程静默更新，今天没作恶不代表明天干净。
这不是纸上谈兵。今年4月，美军中央司令部在给参议员罗恩·怀登（Ron Wyden）的回信中承认，已收到多份对手利用商业位置数据锁定或监视中东美军人员的威胁报告——彼时美伊正围绕霍尔木兹海峡对峙。国会方面称，这是军方首次正式确认，战区里的士兵正被数据经纪商的数据链条盯上。
盲区：商店不说来源国，军方也没怎么管
研究团队另外访谈了103名与军方相关的美国人——现役、预备役、退伍军人、国防部文职人员及其家属。超过83%的人正在使用至少一款他们自己都觉得"数据行为让人不舒服"的App，平均每人装了三款以上。76%到83%的受访者说，如果知道某App含有中国、俄罗斯、伊朗或朝鲜的代码，会感到"非常不舒服"。
问题是，没人有办法提前知道。苹果的隐私标签和谷歌的数据安全标签都不写SDK来源国，用户只能靠猜。更反直觉的是，受访者反而对打着"军版"旗号的App更放心——标签写着"为你设计"，警惕心就先松了一半。
制度供给同样跟不上：近三分之二的受访者说几乎没收到过关于个人手机使用的指导，收到过的人里，又有近四分之三认为指导内容不够用。五角大楼对此拒绝置评。
真正该盯的不是"中国代码"这个标签
把这份报告简化成"App里发现中俄代码"，其实是抓错了重点。国内广告技术这套体系本来就不区分军人和平民——除非把两者分开卖能多赚点钱。给宿舍打分的App、约会App、银行App，走的都是同一套SDK生态，同一套数据经纪商，士兵的手机在这套系统眼里，和普通人的手机没有区别。
天下熙熙，皆为利来；广告生意从不问忠奸
这句话搁在这份报告里，几乎是字面意思。真正让人不安的不是华为或Yandex这两个名字，而是那条没人管的供应链：一款做通知推送的商业工具，随手带进一段华为代码，开发者都不知道自己App里多了什么，更别提装机的士兵。供应链的失控，比某个国家的标签更值得警惕——因为它意味着，哪怕开发者本身清清白白，风险也能绕过所有人的意愿，自己长进产品里。
- 建议.判断一款App是否危险，别只看"含不含中国代码"，该看数据到底流向了谁、能不能被远程改写。
受访者自己给出的答案也挺实在：他们最认可、也最愿意支持的补救办法，是手机层面直接弹出提醒——App里出现外国或未知来源代码时报警。其次是立法限制数据经纪商买卖军人数据、第三方独立审计隐私披露、以及对军用App里的外国代码设更严的门槛。四条建议支持率几乎持平，说明大家清楚，单靠"别用这App"解决不了系统性问题。
给宿舍打分的那款App，本意大概只是想让新兵吐槽一下床垫太硬、空调太吵。没人设计它的时候，想过要让它顺带把军营坐标和作息规律，打包卖给广告市场的下家。这才是这份报告真正的分水岭：不是哪国代码更可疑，而是这门生意从一开始，就没打算把士兵当成特殊的人来对待。