相信應該不少讀者都已經嘗試過我們之前介紹過的 Typeless 語音文字輸入軟體，其極快地辨識速度、強大 AI 自動訂正、排版等能力，可說讓很多人都喜歡。不過，如果你是一位非常在意隱私的人，那可能要考慮是否繼續使用。
近日日本一位工程師透過逆向工程分析，發現到 Typeless 有嚴重的隱私風險，包括 100% 語音處理都在雲端、會廣泛收集資料、本地端保存所有資料、過度要求權限、以及公司透明度不高。
更重要是，它還具備鍵盤側錄能力。
日本工程師：Typeless 的語音處理都在雲端，行銷說法有誤導性
近日一位 @medmuspg 的日本工程師在社群網站上示警，要大家盡量避免使用 Typeless，因為它存在嚴重隱私風險。
@medmuspg 透過逆向工程方式，對 macOS 的 Typeless v0.9.3 版本進行深入技術分析，包括：二進位檔解析、網路封包監控、本機資料庫檢查，以及原生函式庫字串分析等，試圖了解這款軟體實際的運作機制。
根據他的說明，除了檢查應用程式內是否存在本地語音辨識模型，也觀察軟體實際的網路傳輸行為。
結果發現，App 內沒有任何像 Whisper 這類本地語音辨識模型，所有語音資料都會先經過壓縮，再傳送至 AWS 的雲端伺服器處理。
雖然官方確實有提到「即時在雲端伺服器處理」，但行銷上卻強調「On-device history」與「Zero data retention」，容易讓一般使用者誤以為語音處理是在本機完成，這種說法有誤導性。
Typeless 可能蒐集哪些資料？
如果只是單純將語音上傳雲端進行語音轉文字，這其實沒什麼問題，目前有非常多類似的服務，但真正引發爭議的是，它可能蒐集的資料範圍遠超過語音本身。
根據分析結果，Typeless 具備以下資料存取能力：
- 正在瀏覽的網站完整網址（包含 Gmail、Google Docs 等頁面）
- 當前使用中的應用程式名稱與視窗標題
- 畫面上可見的文字內容（透過 macOS 輔助功能 API 讀取）
- 剪貼簿讀寫權限
- 系統層級的鍵盤輸入監控
- 瀏覽器 DOM 元素資訊
- 使用者編輯過的文字內容
此外，他也發現本機資料庫 typeless.db 會以「明文」方式保存語音辨識結果、瀏覽網址與應用程式資訊，甚至語音檔也不會完全刪除。這與「Zero data retention」的宣稱產生明顯落差。
在權限方面，Typeless 除了要求麥克風權限外，還有畫面錄製、相機、藍牙與輔助使用權限，甚至連內建截圖功能都要。對於語音輸入軟體來說，這樣的權限範圍明顯偏高。
最大爭議：鍵盤側錄能力
最值得注意的是：Typeless 在技術層面上具備與「鍵盤側錄程式（Keylogger）」相當的能力。
原因在於三項功能的組合：
- CGEventTap（系統層級鍵盤監控）
- 輔助功能 API（可讀取畫面文字）
- 剪貼簿存取權限
這三者結合後，理論上可監控使用者輸入內容、讀取畫面上的文字資訊，甚至取得複製貼上的資料。
雖然 @medmuspg 沒有指控 Typeless 一定惡意使用這些能力，但他提醒所有用戶，從技術面來看，已經可實現鍵盤側錄功能。
公司透明度問題
除了以上，目前 Typeless 的營運資訊也相當有限：
- 使用條款與隱私政策中未公開法人名稱
- 僅提及「San Francisco County, CA」作為管轄地
- 網域 WHOIS 資料隱藏
- 未見 SOC2 或 ISO 27001 等資安認證說明
- 聯絡方式僅提供單一電子郵件信箱
對於要求這麼多權限且會將資料傳輸到雲端的軟體來說，公司透明度是非常重要的信任度指標。
@medmuspg 也在最後呼籲立即刪除 Typeless，真的要使用的話，建議透過防火牆工具監控其網路連線行為，掌握資料的傳輸情況。
同時也提供幾個替代方案，如：
- Whisper.cpp 或 MLX Whisper（開源、完全本地運算）
- macOS 內建語音輸入功能（Apple Silicon 可裝置端處理）
- Superwhisper（基於 Whisper 技術，但仍需自行評估）