AnswersPublished18 sources
Cookie __obi může spojovat aktivitu z e-shopů s ChatGPT. Co zjistil nezávislý výzkum
Výzkumník Buchodi popsal roční cookie obi, které může prohlížeč odeslat OpenAI, když web obchodníka načte reklamní či měřicí pixel OpenAI. Podle popsané implementace mohou události zahrnovat prohlédnuté stránky a produkty, vyhledávání, vložení do košíku, zahájení platby, objednávky, ceny a další konverze; pixel může...
PublikovalUpraveno pomocí GPT-5.6 TerraObrázky vytvořeny pomocí GPT Image 2
Research answer
Key takeaways
- Výzkumník Buchodi popsal roční cookie obi, které může prohlížeč odeslat OpenAI, když web obchodníka načte reklamní či měřicí pixel OpenAI.
- Podle popsané implementace mohou události zahrnovat prohlédnuté stránky a produkty, vyhledávání, vložení do košíku, zahájení platby, objednávky, ceny a další konverze; pixel může pracovat i s párovacími údaji od inzer...
- Zjištění se týkají technické možnosti a pozorovaného toku dat, nikoli rozhodnutí regulátora ani důkazu, že OpenAI každou událost skutečně spojila s účtem ChatGPT nebo ji použila pro cílení reklamy.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: How does OpenAI’s year-long __obi cookie, classified as an analytics cookie, reportedly enable cross-site tracking of ChatGPT users and anon. Article summary: OpenAI’s `__obi` appears, based on Buchodi’s independent technical analysis, to be a one-year, cross-site identifier that can accompany requests from merchant pages running OpenAI’s advertising/measurement pixel. That co. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
Nezávislý bezpečnostní výzkumník Buchodi popsal mechanismus měření reklamy postavený na cookie OpenAI s názvem __obi. Podle jeho analýzy může OpenAI získávat informace o aktivitě na webech, které používají reklamní pixel OpenAI, společně s trvalým identifikátorem vzniklým při používání ChatGPT. To však není důkaz, že OpenAI každou takovou událost ukládá nebo používá ve vztahu ke konkrétnímu účtu ChatGPT. Právě to je nejdůležitější nevyřešený bod. 15
21
Jak má popsané sledování fungovat
Při návštěvě ChatGPT se podle reportingu může identifikátor předat reklamnímu sběrači OpenAI na doméně bzr.openai.com, který nastaví cookie __obi pro doménu .openai.com. Cookie má mít platnost jeden rok a atributy SameSite=None; Secure. 15
21
Toto nastavení je podstatné: pokud jiný web — například e-shop — načte zdroj z domény OpenAI, prohlížeč může cookie připojit k tomuto požadavku mezi weby. Jestliže obchodník nasadil reklamní nebo měřicí pixel OpenAI, sběrač OpenAI může dostat jak hodnotu __obi, tak informaci o události na webu obchodníka. Samotný obchodník přitom cookie pro .openai.com přímo číst nemůže. 15
21
Zjednodušeně má řetězec vypadat takto:
- Člověk použije ChatGPT; v popsaném synchronizačním toku může být zastoupen subjektem navázaným na účet nebo anonymním subjektem.
- OpenAI nastaví dlouhodobé cookie
__obi. - Člověk otevře web zapojeného obchodníka.
- Web načte měřicí kód OpenAI a prohlížeč připojí cookie OpenAI k příslušnému požadavku.
- OpenAI může obdržet aktivitu z webu obchodníka společně s tímto trvalým identifikátorem.
15
21
Jaká data může pixel podle reportů posílat
Popsaný pixel slouží k měření konverzí. Přenášené údaje mohou zahrnovat navštívené stránky či prohlížené produkty, vyhledávání, přidání do košíku, zahájení objednávky, nákupy, objednávky, informace o produktu, množství, ceny, měnu i vlastní konverzní události. 7
15
Reporting uvádí také párovací údaje poskytované inzerenty: hashované e-mailové adresy, telefonní čísla, externí identifikátory a jména, dále údaje o poloze, například zemi, městě, regionu a poštovním směrovacím čísle. 7
Buchodi navíc tvrdí, že vývojářská sada mohla získávat údaje související s identitou z formulářových polí, obsahu stránky a datových vrstev nástrojů pro správu značek. V jeho pozorováních byly e-mail, telefon a jméno hashovány pomocí SHA-256, zatímco země, region, město a PSČ mohly odcházet nešifrovaně. 1
15
Ani odstranění celé části URL za otazníkem nemusí znamenat, že přenášená informace je nevýznamná. Už samotná cesta v URL může napovědět, o jaký produkt, formulář či službu člověk projevil zájem. Rozsah sběru tak může přesahovat obyčejné počítání zobrazení reklamy. 1
Co výzkumník pozoroval na komerčních webech
Buchodi uvedl, že během několika měsíců analyzoval provoz zahrnující 936 pixelů inzerentů na 1 029 hostnames. 15
16
V jednom z uváděných případů se stejná hodnota __obi objevila v požadavcích z 12 komerčních webů s 13 identifikátory pixelů. Patřily mezi ně Chewy, Wayfair, ThriftBooks, Eventbrite, HelloFresh, Coursera a SeatGeek. Sběrač měl na odeslané události odpovídat HTTP stavem 202. 1
Analýza dále uvádí, že 12 ze 30 odlišných hodnot __obi se objevilo u více než jednoho inzerenta; jedna hodnota byla zachycena u deseti inzerentů. Tento vzorec odpovídá tomu, že opakovaně použitelný identifikátor je OpenAI předkládán z více zapojených webů. 1
Z 932 dekódovaných synchronizačních tokenů citovaných ve výzkumu mělo 736 označení subjektu account_user a 196 označení anonymního subjektu. Anonymní identifikátor měl podle reportu zůstávat stabilní pro dané zařízení nejméně 27 dní. 1
9
Proč záleží na označení „analytické“ cookie
Podle reportů bylo __obi klasifikováno jako analytické, nikoli marketingové cookie. Buchodi uvedl, že dekódované tokeny konzistentně obsahovaly analytics_allowed a že identifikátor mohl být vydán při souhlasu s analytikou, i když člověk odmítl marketingové či reklamní cookies. 1
13
Právě zde vzniká problém z pohledu souhlasu: cookie označené jako analytické může přesto podporovat měření reklamy napříč weby, pokud je při načítání pixelu z webů obchodníků odesíláno reklamnímu sběrači. Poskytnuté podklady neprokazují porušení zákona ani rozhodnutí dozorového úřadu. Nastolují ale otázku, zda člověk, který odmítl reklamní cookies, může rozumně očekávat, že měření napříč weby bude pokračovat pod volbou „analytika“. 1
23
V evropském kontextu by takové nasazení mohlo vyvolat otázky ohledně informovaného a konkrétního souhlasu s nevyhnutným sledováním. Nejde však o právní závěr ani o potvrzení, že regulátor shledal postup OpenAI nezákonným.
Které prohlížeče a blokování se týkají zjištění
Popsaný mechanismus byl přímo pozorován v Chromu pro Android. 1
Buchodiho analýza uvádí, že Safari pomocí Intelligent Tracking Prevention blokuje cookies třetích stran. Z toho výzkumník vyvodil, že tento konkrétní tok založený na cookies třetích stran by neměl fungovat v prohlížečích na iOS, které používají WebKit. Výzkum ale netestoval Chrome pro desktop, takže z něj nelze vyvozovat obecný závěr pro všechny stolní prohlížeče ani jejich nastavení. 1
Dostupné podklady také neurčují, která konkrétní rozšíření pro ochranu soukromí pixel OpenAI blokují. Pokud síťový blokátor zabrání načtení příslušného pixelu, CDN nebo požadavku na sběrač OpenAI, daný konkrétní požadavek se neodešle. Jde ale o technický důsledek popsané cesty požadavku, nikoli o výsledek testu zveřejněného Buchodim.
Klíčová mezera: možnost není důkaz využití na úrovni účtu
Opatrné čtení výzkumu ukazuje především mechanismus, který může přenést událost z webu obchodníka s identifikátorem, jehož synchronizační tok může zahrnovat subjekt navázaný na uživatelský účet. Technicky tedy vzniká možnost spojení s účtem. 1
15
Buchodi ale neviděl interní zpracování na serverech OpenAI. Výzkum nedokazuje, že OpenAI každou příchozí událost vyřeší na konkrétní účet ChatGPT, přiřadí ji k němu, uchová ji nebo použije pro cílení reklamy, měření či jiný účel. Rozdíl mezi tím, že identifikátor dorazí ke sběrači, a tím, že je potvrzeno zpracování na úrovni účtu, zůstává zásadní. 1
21
Shrnutí
Popsaná podoba __obi je pozoruhodná tím, že roční cookie použitelné v požadavcích mezi weby může v kombinaci s měřicím pixelem na webu obchodníka dát OpenAI možnost přijímat pod stejným trvalým identifikátorem detailní aktivitu mimo ChatGPT. Reportovaný rozsah zahrnuje prohlížení, konverze, nákupy i potenciálně údaje spojené s identitou. 7
15
Zjištění jsou důvodem k prověření voleb souhlasu, chování prohlížečů i dat, která reklamní pixely odesílají. Sama o sobě ale neprokazují, že OpenAI všechny zachycené události přiřadila k účtům ChatGPT nebo je použila k personalizované reklamě. 1
15
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Cookie __obi může spojovat aktivitu z e-shopů s ChatGPT. Co zjistil nezávislý výzkum"?
Výzkumník Buchodi popsal roční cookie obi, které může prohlížeč odeslat OpenAI, když web obchodníka načte reklamní či měřicí pixel OpenAI.
What are the key points to validate first?
Výzkumník Buchodi popsal roční cookie obi, které může prohlížeč odeslat OpenAI, když web obchodníka načte reklamní či měřicí pixel OpenAI. Podle popsané implementace mohou události zahrnovat prohlédnuté stránky a produkty, vyhledávání, vložení do košíku, zahájení platby, objednávky, ceny a další konverze; pixel může pracovat i s párovacími údaji od inzer...
What should I do next in practice?
Zjištění se týkají technické možnosti a pozorovaného toku dat, nikoli rozhodnutí regulátora ani důkazu, že OpenAI každou událost skutečně spojila s účtem ChatGPT nebo ji použila pro cílení reklamy.
Sources
forklog.comResearcher Discovers Ad Tracker in ChatGPT for Third-Party Sites | ForkLog
pasqualepillitteri.itAnaliza ujawnia cookie __obi OpenAI, które śledzi użytkowników ChatGPT