该论文研究浏览器中一类未被现有防御机制缓解的隐蔽信道攻击，作者将其命名为“pool-party”攻击。这类攻击通过操纵浏览器中有限但未分区（unpartitioned）的资源池来创建跨站点的隐蔽信道。虽然之前已有类似攻击的报道，但本文首次系统性地证明这类攻击比以往认知的更普遍、更易利用，并且利用方式更多样。在真实条件下，这些隐蔽信道具有足够的带宽来跨站点传递 Cookie 和标识符。作者在所有主流浏览器（Chrome、Edge、Firefox、Tor Browser）中均发现了 pool-party 攻击，并展示了其作为跨站点跟踪技术的实用性：在 Chrome 和 Edge 中攻击仅需 0.6 秒，在 Firefox 和 Tor Browser 中约需 7 秒。论文的主要贡献包括：(1) 描述了利用浏览器应用层资源池限制的 pool-party 隐蔽信道攻击；(2) 证明该类攻击在所有主流浏览器中均可实际用于跟踪用户，并提供了开源实现，通过代表性网络爬取评估了其效果；(3) 发现基于 Gecko 引擎的浏览器（包括 Tor Browser）中，pool-party 攻击还可用于跨配置文件跟踪（例如，将正常浏览和隐私浏览会话中的用户行为关联起来）；(4) 讨论了可能的缓解策略和防御方案。本文适合浏览器安全研究人员、隐私保护工具开发者以及关注 Web 跟踪防御的工程师阅读。

本文针对 Google 的 Privacy Sandbox 项目（旨在平衡 Web 隐私与广告实用性）中引入的 Web API 进行了长达七年的纵向测量与分析。研究者利用 HTTP Archive 爬虫数据和 Chrome 遥测数据，对 CrUX 排名前 10 万网站中各 Privacy Sandbox 功能的采用率与废弃情况进行了大规模研究。结果显示，这些 API 的采用率长期保持低位且不均衡，仅少数 Web 参与者实现了特定 API，且实现方式各异。通过分析参与者的动机（利益、资源、时间线等）和风险（隐私违规、法律风险等），论文解释了采用率低的原因。最后，作者提出了对下一代 Web 隐私提案的可操作建议，并指出“在浏览器中修复”方法存在局限性与跨浏览器差异——Chrome 中跟踪和第三方 cookie 限制仍主要靠用户主动选择，而 Brave、Firefox、Safari 等浏览器则默认启用。该研究为理解 Web 隐私技术的实际落地困难提供了重要实证。

本文针对网络追踪从第三方追踪向第一方追踪（FPT）和服务器端追踪（SST）的转变进行了大规模测量研究。随着隐私法规和浏览器限制的加强，追踪者将逻辑迁移到浏览器的第一方上下文或网站后端，使得传统客户端检测工具失效。作者开发了一种独立于供应商的方法来检测FPT和SST，对Alexa top 10万网站进行扫描，发现超过54%的网站部署了此类追踪技术。进一步，通过脚本相似度聚类和网络图分析，揭示该生态系统高度互联，主要由Google等大型供应商主导。实验证明现有广告过滤列表（如EasyList）对第一方追踪几乎无效，作者提出了新的过滤规则，能够比传统列表多阻止63%的追踪请求。该研究为理解现代追踪技术的规模、生态结构以及防御措施提供了重要基础。

本研究对谷歌提出的Topics API进行了公开、可重复的评估。该API旨在替代第三方Cookie，通过浏览器根据用户浏览历史推断出少量兴趣主题，供广告商实现定向广告，同时声称保护用户隐私。此前的研究争议集中在数据集真实性和结果可重复性上：部分研究使用小规模用户数据或合成数据，而谷歌自身的结果基于私有数据集。本文利用迄今为止最大的公开真实浏览历史数据集（1207名用户），对最新版Topics API进行了评估。首先测量了用户兴趣随时间的唯一性和稳定性，发现用户的主题分布具有较高唯一性；其次，通过适应先前隐私研究的方法，评估了Topics是否可用于跨站指纹识别。结果表明，广告商仅需观察到用户主题1次、2次、3次，就分别能以46%、55%、60%的概率在网站上唯一重新识别该用户。这说明Topics并未为所有用户提供同等的隐私保护，部分用户更容易被跟踪。论文呼吁网络参与方发布匿名化分布数据，以促进公开可重复的评估。本研究对隐私政策制定者、浏览器开发者及广告技术从业者具有参考价值。

本文对20个流行的AI聊天机器人进行了系统的网页跟踪测量研究。研究者在控制环境下使用敏感提示词，捕获正常聊天模式和（如果支持）私密聊天模式下的网络流量。他们搜索了两类信息的暴露情况：内容信息（包括提示词、由提示词生成的标题、聊天URL和聊天标识符）和身份信息（包括姓名、电子邮件、账户标识符、第一方Cookie以及有效载荷中的显式IP/用户代理字段）。研究发现，20个聊天机器人中有17个与至少一个第三方共享信息。三个聊天机器人通过微软Clarity的会话回放功能共享明文对话文本（包括提示词和回复片段）。15个聊天机器人将聊天URL或聊天标识符共享给第三方广告、分析或社交端点。多个聊天机器人通过支持小部件、分析、广告和会话回放标签暴露用户身份；在某些情况下，哈希后的电子邮件地址也被共享。该研究首次系统性地揭示了AI聊天机器人生态中普遍存在的跟踪和隐私泄露问题，对于安全从业者评估聊天机器人服务的隐私风险具有重要参考价值。