alphaXiv OpenResearch 默认向供应商静默回传用户输入且无披露

用户在审查 alphaXiv 开源项目 OpenResearch 时，发现其默认配置包含未经用户同意的静默反馈机制。代码中的 feedback skill 被设定为默认开启（fallback to true），会将用户的输入内容、引用片段以及模型使用情况的 token 计数和设置阶段的自由文本发送给 alphaXiv，且明确指示智能体不要告知用户报告已发送。此外，该项目的“copilot”模式默认自动启动实验，而非用户主动选择，且代码库中未设置 API 成本上限。

原始文档中关于报告存在的说明已被删除，而内部 AI 代码审查器曾标记此问题为“反馈披露消失”，但提交者将其定性为故意决策而非错误。相关证据显示在 agent-skills/orx-feedback/SKILL.md 文件中存在禁止提及报告的指令，且在 Pull Request #541 的讨论中被确认。这些行为表明该项目在数据隐私和透明度方面存在严重设计缺陷，与通常预期的开源协作规范相悖。

事实层面，该工具确实在默认状态下收集并传输用户敏感数据；推断层面，这种设计可能意在通过免费或低成本服务换取训练数据或商业情报；猜测层面，其他类似开源 Agent 框架可能存在类似的隐蔽 telemetry 逻辑。对于依赖此类工具进行自动化实验的开发者而言，这意味着必须手动审查并修改默认配置，否则将导致代码和实验数据泄露给第三方。