要确定谁负责在我们访问的网站上投放广告，或者谁在收集我们每天使用的移动应用中的数据，可能令人望而生畏。这些信息虽然已经半公开，但难以解析，而且传统上大部分信息都掌握在大型广告平台手中。但现在情况不同了：一项名为DecryptAds的强大且免费的新服务可以抓取并关联这些广告技术数据，让您轻松快捷地了解哪些实体正在追踪您。

Decryptads 对 espn.com 公布的广告合作关系的总结。

什么是DecryptAds？

新推出的decryptads.com 网站声称，它会持续抓取网站和应用程序公开的文件，以披露哪些公司获准投放广告或收集用户数据。该平台由Svart Works公司创建，三位创始人中包括知名的广告技术与隐私研究员Zach Edwards。DecryptAds将分散的广告技术文件整合成一个统一的搜索引擎，让用户可以追踪网站、广告交易平台和数据处理公司之间的联系。这些文件包括：

– ads.txt：所有可能在网站上投放广告或收集数据的广告技术公司和数据经纪商；
– app-ads.txt：可以从移动和智能电视应用程序收集数据或在移动和智能电视应用程序上展示广告的实体；
– buyer.json/sellers.json：购买、出售或转售特定网站或应用程序广告库存的实体。

术语解释：什么是ads.txt和app-ads.txt？

ads.txt（Authorized Digital Sellers，授权数字卖方）是由美国互动广告协会（IAB）发起的一项行业标准倡议，旨在让程序化广告流程更加透明。网站通过在自己的根域名下存放一个公开的ads.txt文本文件，列出所有被授权销售其广告位的广告系统。app-ads.txt则是该标准在移动应用端的延伸，应用开发者将其放在开发者网站的根域名下，供广告交易平台抓取和校验。

每条授权记录包含四个字段：广告系统域名、发布商账户ID、合作关系类型（DIRECT为直接合作，RESELLER为转售）、以及可选的认证机构ID。如果某个应用没有正确配置app-ads.txt，Google等广告平台可能会停止购买该应用的广告位。

Zach Edwards是DecryptAds的首席研究官，也是安全公司Infoblox的威胁研究员。Edwards表示，他和另外两位创始人认为这项服务是必要的，因为这些文件中的广告技术数据通常只有在能够交叉引用时才有用，从而可以更全面地了解每个网站或应用程序的广告生态系统。

“它是一款广告技术工具，但我们试图从安全角度来看待广告技术，”爱德华兹说。“它实际上是为许多隐私和安全方面的应用场景而设计的，而这些场景长期以来都远未得到充分满足。”

他表示，这些应用场景包括追踪试图向目标用户植入恶意软件的恶意广告来源、识别位于敌对国家的广告网络，以及检测数量迅速增长的AI生成的垃圾网站和应用程序。正如decryptads.com网站所展示的那样，仅通过查看单个apps.txt或app-ads.txt文件几乎不可能检测到这些潜在的安全和隐私威胁。

该网站解释说： “供应链完整性问题很少只存在于单个文件中。它们表现为ads.txt、app-ads.txt 和sellers.json 文件之间错误的交叉引用；表现为跨不相关域的克隆声明集；表现为只有在跨交易平台查看时才有意义的卖家移除；甚至表现为竞价日志中从未出现在任何给定发布商授权卖家列表中的供应路径。”

背景知识：程序化广告的实时竞价

现代互联网广告远比“网站展示广告主横幅”的简单模式复杂得多。当用户打开一个网页或应用时，广告位往往通过实时竞价（Real-Time Bidding）在毫秒内完成拍卖。这条链路上可能涉及广告交易平台、卖方平台、转售商等多个中间环节。伴随竞价请求一同传输的还有设备信息、元数据，在某些广告系统中甚至包括地理位置数据。正是这类机制使得广告基础设施曾被用于追踪智能手机的移动轨迹。DecryptAds对单个网站会执行约35项自动化检查，涵盖11个不同类别，包括查找广告声明之间的差异、追踪随时间的变化、将参与者与数据经纪商注册名录进行比对，以及评估地理风险。

以ESPN为例：143家广告合作伙伴

在 DecryptAds 网站上搜索热门体育网站espn.com，会发现其ads.txt和app-ads.txt文件中列出了143家广告合作伙伴和19个已注册的数据经纪商域名。这些数据经纪商的信息正逐渐被公开，因为加利福尼亚州、俄勒冈州、德克萨斯州和佛蒙特州这四个州最近通过了法律，要求数据经纪商如果购买或出售来自这些州的消费者数据，则必须进行注册。DecryptAds 报告称，近一半的数据经纪商正在收集未屏蔽广告的espn.com访问者的地理位置数据，另有三家披露他们会收集设备指纹和敏感的个人信息。

专家解读：数据经纪商监管的现状

加州通过《删除法案》（Delete Act）和《加州消费者隐私法案》（CCPA）对数据经纪商进行监管。2026年1月，加州推出了“删除请求与退出平台”（DROP Platform），允许加州居民通过一次提交向所有注册数据经纪商发出删除请求。不遵守规定的数据经纪商可能面临每天每名消费者最高200美元的民事处罚。

除加州外，德克萨斯州要求数据经纪商注册并实施特定的数据保护和安全标准，违规每天罚款最高100美元；俄勒冈州违规每天罚款最高500美元；佛蒙特州则在2026年大幅提高了注册费用和处罚力度，年注册费已升至900美元（为各州最高），每日违规罚款从50美元跃升至200美元。截至2026年7月，已有七个州颁布了数据经纪商相关法律。这些州的法定定义往往覆盖范围极广，不仅限于传统的数据经纪业务。

这是espn.com公布的复杂广告供应链的可视化表示。图片来源：decryptads.com。

高风险广告合作伙伴

DecryptAds 还可以轻松了解潜伏在应用程序和网站中的广告公司的受益者和国籍，并在应用程序或网站的广告技术合作伙伴位于中国和俄罗斯等“地理风险”地区，或位于与这两个国家有密切金融和政治联系的国家（例如塞浦路斯和阿拉伯联合酋长国 (UAE)）时显示明显的警告。

据 DecryptAds 报道，espn.com 与四家不同的广告公司合作，这些公司分别位于俄罗斯、中国或阿联酋，其中包括一家名为Between Digital的广告技术公司，该公司登记的地址为纽约。然而，Between Digital 的相关文件显示，该公司是一家俄罗斯公司，其向出版商提供的广告服务（PDF）是通过俄罗斯最大的私营商业银行阿尔法银行处理的。阿尔法银行是2022年俄罗斯入侵乌克兰后被美国制裁的几家金融机构之一。KrebsOnSecurity 已联系 Between Digital 及其创始人寻求置评，如有回复，我们将更新报道。

对包括armytimes.com、airforcetimes.com、defensenews.com、navytimes.com、marinecorpstimes.com和federaltimes.com在内的几家美国顶级军事新闻网站进行搜索后发现，它们都允许Between Digital投放广告并追踪用户，此外，阿联酋的两家实体和巴拿马（一个所有权保密国）的另一家实体也允许Between Digital进行此类操作。DecryptAds报告称，Between Digital正在收集约55,000个合作伙伴网站的广告数据。

decryptads.com 的“地理风险”部分。

通过分析 Between Digital 的app-ads.txt 文件，我们发现了数百个域名，这些域名都包含一些简单的网页游戏，但这些游戏经常被广告打断。Edwards 表示，Between Digital 自身的声明显示，该公司在其约三分之二的游戏产品组合中既是发行商又是经销商。

“这意味着他们基本上在竞价过程中同时扮演买卖双方的角色，这为引导客户支出到你自有或运营的资产或客户的基础设施上创造了机会，本质上造成了利益冲突，”爱德华兹告诉KrebsOnSecurity。“我们现在面临的问题是，多年来几乎没有人监管这些ads.txt和app-ads.txt文件。”

Opera网络浏览器仍然非常受欢迎，可能很多用户都不知道，自2016年以来，它的大部分股份由中国公司昆仑万维科技控股（Opera的运营总部仍然位于挪威奥斯陆）。

根据DecryptAds网站上Opera.com的资料，该公司有27家注册数据经纪商收集信息，其中包括15家位于阿联酋的广告技术合作伙伴、6家位于中国的合作伙伴、3家位于塞浦路斯的合作伙伴、2家位于俄罗斯的合作伙伴，以及分别位于香港和乌克兰的1家合作伙伴。然而，DecryptAds明确指出，这些公司仅占Opera.com的ads.txt和app-ads.txt文件中所列广告技术合作伙伴总数的7%。

法律档案：深度调查利器

DecryptAds 的一个功能让笔者多次陷入长达数小时的研究陷阱，那就是它的“法律档案查询”功能。每次搜索需要几分钟，但最终会输出大量有用的信息，包括特定域名或应用程序的所有者、注册时间，以及它与广告技术公司和其他网站或应用程序的任何别名或关系。

例如，上个月KrebsOnSecurity报道了Bitsight的研究人员发现，一款名为H96的极其流行的电视流媒体棒会悄悄地将每个用户的互联网连接出租给陌生人。Bitsight还发现，当这些设备不被用来播放盗版视频内容时，它们会伪装成手机，点击人工智能生成的垃圾网站上的广告。

Bitsight得出结论，制造了所有这些H96流媒体棒上常见的几款恶意应用程序的同一家中国公司——丰沃集团——也运营着广告网络和人工智能垃圾网站，成千上万台伪装成手机的设备点击了这些网站。

以下是与丰沃集团相关的广告落地页示例。这些网站旨在仅向伪装成手机的H96设备展示广告。图片来源：Bitsight。

DecryptAds 针对（现已休眠的）Fengwo Group域名（即上图左侧所示的AI垃圾网站medicalbeautyhub dot com）的法律档案显示，该网站与游戏网站giacoloredstones[. ]com共享一个卖家ID ( 1674071 )，而giacoloredstones[.]com又拥有另一个卖家ID ( 103488000 )。

以该卖家 ID 为切入点，我们发现俄罗斯Yandex广告系统中存在数百个活跃网站，这些网站提供质量极低的游戏或简单的实用工具，并向访问者推送大量广告。

行业警示：AI生成的垃圾网站泛滥

2026年初，DoubleVerify的研究人员揭露了名为“AutoBait”的大规模AI驱动“SlopFraud”网络，涉及超过200个AI生成的网站，每月 quietly 收割数百万广告展示量。与此同时，HUMAN Security的Satori威胁情报团队披露了代号为“Pushpaganda”的大规模广告欺诈行动，以及名为“Low5”的广告欺诈洗钱网络，涉及超过3000个域名和63款Android应用，峰值时每日产生约20亿次竞价请求。安全研究人员还观察到生成式AI正被用于大规模生产欺诈页面的文本、标题和图片。这些趋势表明，AI生成的垃圾网站已成为广告欺诈和恶意广告的新温床。

静默移除

爱德华兹表示，当广告网络怀疑某个广告商进行虚假点击或展示恶意广告时，这些网络通常会悄悄地将该违规者从其批准的合作伙伴列表中移除，而不会让其他人知道他们的怀疑。

他表示，这种做法让一些不法广告技术公司更容易逃避责任，继续侵害他人。为了弥补这种信息不透明的现状，DecryptAds 提供了一个静默移除信息流，用于记录和关联同一卖家域名或名称在各个广告交易平台上的所有sellers.json移除记录。

decryptads.com 网站上“静默移除”信息的截图。

“广告技术行业的运作方式是，有人会撰写关于广告欺诈的报告，但只会分享给自己的客户，不会公开，”爱德华兹说。“封禁只是把他们从sellers.json文件中删除，但他们没有通知任何人。前一天还在，第二天就没了。所以，如果你想弄清楚谁是可疑的，通常很难，因为很多广告技术公司会同时删除很多东西。”

术语解释：sellers.json与供应链透明度

sellers.json是供应方平台（SSP）用来披露其合作伙伴的文件，旨在为广告展示次数的转售带来透明度。它于2019年由IAB推出，与ads.txt协同工作。buyers.json则是后续推出的买方侧透明度标准，为不透明的席位标识符与实际业务实体之间建立映射。供应链对象（SupplyChain Object，SCO）是OpenRTB倡议的一部分，用于在每次广告交易中列出所有参与实体。SCO与ads.txt/app-ads.txt和sellers.json协同运作，让广告买家和中间商可以查看所有参与销售或转售广告库存的各方。

广告投放不当和人工智能垃圾网站

恶意广告是指在广告中植入恶意软件或将访客重定向到钓鱼页面的行为，这种现象在现代广告技术行业仍然屡见不鲜。但爱德华兹表示，这些恶意广告现在更多地出现在新生成的AI垃圾网站上，而不是那些通常采用各种技术和第三方工具来快速标记不良广告的高流量网站上。

他说：“这些粗制滥造的AI内容农场根本不会为这种防护付费。他们只会签一些质量最低的合作伙伴，这实际上就成了恶意广告攻击这些网站用户的捷径。大多数恶意广告攻击并非发生在espn.com或huffpost.com这样的网站上，而是发生在一些低质量的内容农场上，有人只是因为搜索结果里出现了这些网站就去了那里。”

爱德华兹表示，这些人工智能垃圾网站充斥着机器生成的博客文章和图片，涵盖了从家居装修、装饰到美食食谱、狩猎、汽车和消费科技等各种主题。他说，遭受恶意广告攻击的机构往往不知所措，他们并不知道，在大多数情况下，答案就藏在网站ads.txt或app-ads.txt文件中列出的某个实体里。

他说：“很多严肃的机构开始意识到，如果我们不分析这些广告数据，我们就无法知道是谁几乎每天都在用零点击量广告来针对政府人员。”

专家建议：企业如何应对广告供应链风险

对于企业而言，定期审计自身网站和应用的ads.txt及app-ads.txt文件应成为安全运营的常规工作。DecryptAds提供的自动化交叉引用功能可以帮助安全团队快速发现异常的广告合作伙伴、地理风险实体以及潜在的供应链篡改迹象。特别是对于政府机构、军事相关网站和金融机构，审查广告技术合作伙伴的国籍和背景应被视为供应链安全的一部分。

爱德华兹认为，要真正解决恶意广告和人工智能投放不当的问题，需要各大广告网络加强数据共享。他特别指出，这些平台并未广泛共享所谓的“供应链对象”（SCO），即附加在每个广告竞价请求上的结构化数据。这些数据可以让买家看到参与将广告展示从发布商传递到最终买家的每一个卖家、经销商和中间商。

“供应链对象 (SCO) 会告诉你谁卖出了或转售了恶意软件，以及最终购买了投放该恶意软件的广告展示的实体是谁，”爱德华兹解释说。“你可能会看到恶意的零点击重定向，但如果没有供应链对象（该对象仅在服务器端提供），你就无法知道是谁用恶意软件攻击了你的用户，也无法有效地阻止它。但如果我们能够鼓励广告技术行业公开供应链对象，那么找到任何恶意广告背后的罪魁祸首就会变得容易得多。”

未来趋势：广告供应链透明度的演进

2026年6月，IAB技术实验室宣布了SupplyChain v1.1透明度升级，旨在帮助广告主更好地理解竞价请求是如何在程序化供应链中被创建、处理和路由的。buyers.json和需求链对象（DemandChain Object）的采用也在逐步推进。这些标准与DecryptAds这类分析工具的结合，有望在未来几年大幅提升广告供应链的可视性，让恶意广告和欺诈行为更难以藏身。

DecryptAds 还提供应用程序编程接口 (API)，允许研究人员自动执行查询并将网站功能集成到流行的 AI 平台中。

你能做什么？

针对上述案例，唯一明智的做法就是彻底屏蔽所有在线广告。安全专家普遍支持这种做法，因为它也能让广告技术公司和数据经纪商更难建立你的详细用户画像，并追踪你在网络和现实世界中的活动。

然而，这很大程度上取决于您通常的上网习惯，以及您对第三方浏览器插件和扩展程序的信任程度。对于主要使用台式机或笔记本电脑浏览器上网的用户来说，uBlock Origin Lite 是一款优秀的免费且维护良好的开源选择。uBlock Origin 也应该适用于 Firefox 等移动浏览器，但似乎仅限于安卓设备。

注意事项：Chrome用户的广告拦截选择

由于Google Chrome浏览器推行Manifest V3新框架，完整版的uBlock Origin在Chrome上已无法使用。Chrome用户需要安装uBlock Origin Lite——这是专为Manifest V3构建的功能精简版，在过滤规则的灵活性和控制力上有所牺牲。Firefox用户仍可使用完整版uBlock Origin，Brave浏览器的内置广告屏蔽功能则完全绕过了MV3限制。

Adblock Plus对iPhone和iPad用户来说是一个不错的选择。对于高级用户，Adblock和uBlock Origin都支持来自easylist.to的自定义屏蔽规则，easylist.to会定期更新一个列表，可以屏蔽网页上的​​大部分广告。

广受欢迎的浏览器扩展程序NoScript可以屏蔽所有未经授权的JavaScript代码，并且通常能很好地阻止大多数广告加载。然而，像NoScript这样的脚本拦截器可能并不适合普通用户，因为他们可能不喜欢频繁地检查哪些脚本应该允许加载，以确保每个网站都能正常显示。

对于技术爱好者或喜欢尝试新事物的人来说，强烈建议考虑使用硬件方案在本地网络层面拦截广告，因为这无疑是最经济、最安全且可扩展的方式。只需将一块名为树莓派（Raspberry Pi）的小型、低成本且易于获取的计算机，加上一张microSD存储卡和一款名为Pi-hole的免费软件，即可将其变成一个强大的广告拦截器，覆盖本地网络上的所有设备。正确设置并将路由器的网络设置更改为使用Pi-hole的DNS服务器和DHCP服务器后，即可阻止连接到该网络的任何设备上显示广告。

Pi-hole设置小贴士：

1. 在树莓派上安装Raspberry Pi OS系统
2. 运行Pi-hole安装脚本，按照交互式向导完成配置
3. 访问路由器的管理面板，将网络的DNS服务器设置为树莓派的IP地址
4. （可选）为智能电视、游戏机等设备设置静态IP并指定Pi-hole为DNS
5. 通过Pi-hole管理界面管理屏蔽列表和查看统计信息

请注意，广告拦截器通常对用户安装在设备上的移动应用内的广告和/或追踪行为几乎没有作用。许多网站现在都力推用户安装移动应用，声称是为了更全面地访问和享受网站的服务和内容。但就我的经验而言，他们这样做并非因为应用的用户体验真的更好（就像LinkedIn每周多次通过电子邮件试图说服我们这些非应用用户那样）。相反，我发现大多数移动应用设计糟糕、令人厌烦，而且完全没有必要。如果可以选择，我几乎总是会选择直接在网页浏览器中使用网站或服务。

不，残酷的现实是，大型网站往往会极力推销他们的应用程序，因为这些应用能让这些公司更容易地将用户留在他们的平台上更长时间，并收集（​​在很多情况下还会转售）关于用户身份、活动和位置的更精准的数据。此外，如今那些竭力推动用户安装移动应用的公司似乎总是会主动让所有用户同意将其数据用于训练大型语言模型。因此，请谨慎选择安装在移动设备（包括智能电视！）上的应用，如果您想了解更多关于这些应用的隐私政策以及它们可能与广告技术公司存在的任何关系，可以访问 DecryptAds 查看相关列表。

最终建议：隐私保护的层次化策略

保护网络隐私不应依赖单一措施，而应采取层次化策略：

• 基础层：在浏览器中安装广告拦截扩展（如uBlock Origin Lite或Adblock Plus）
• 进阶层：在网络层面部署Pi-hole等DNS级拦截方案，覆盖家中所有设备
• 高级层：定期使用DecryptAds等工具审计常用网站和应用的广告合作伙伴，了解数据流向
• 习惯层：谨慎安装移动应用，优先使用网页版服务，仔细阅读隐私政策

记住：在数字时代，知情就是力量。DecryptAds这样的工具让原本隐藏在广告技术迷雾中的信息变得触手可及——现在，轮到你来决定如何使用这些信息保护自己的隐私了。