RespuestasPublicado18 fuentes
Cómo la cookie `__obi` de OpenAI podría seguir la actividad de usuarios de ChatGPT entre sitios web
El investigador independiente Buchodi informó de que la cookie obi, con una duración de un año, puede enviarse a OpenAI cuando un comercio carga su píxel de medición publicitaria. El sistema reportado puede transmitir páginas y productos vistos, búsquedas, carritos, compras y determinados datos de identificación o u...
Publicado porEditado con GPT-5.6 TerraImágenes generadas con GPT Image 2
Respuesta de investigación
Conclusiones clave
- El investigador independiente Buchodi informó de que la cookie obi, con una duración de un año, puede enviarse a OpenAI cuando un comercio carga su píxel de medición publicitaria.
- El sistema reportado puede transmitir páginas y productos vistos, búsquedas, carritos, compras y determinados datos de identificación o ubicación proporcionados por el anunciante.
- La investigación abarcó 936 píxeles de anunciantes en 1.029 hostnames, pero no verificó el procesamiento interno de OpenAI ni probó que todos los eventos se unan a cuentas de ChatGPT.
Prompt de IA
openai.comCreate a landscape editorial hero image for this Studio Global article: How does OpenAI’s year-long __obi cookie, classified as an analytics cookie, reportedly enable cross-site tracking of ChatGPT users and anon. Article summary: OpenAI’s `__obi` appears, based on Buchodi’s independent technical analysis, to be a one-year, cross-site identifier that can accompany requests from merchant pages running OpenAI’s advertising/measurement pixel. That co. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
Una investigación independiente del especialista en seguridad Buchodi describe un mecanismo de medición publicitaria entre sitios centrado en una cookie de OpenAI llamada __obi. Según el informe, OpenAI podría recibir actividad procedente de páginas web que cargan su píxel publicitario junto con un identificador persistente generado a través de ChatGPT.
Eso no equivale a demostrar que OpenAI almacene o use cada uno de esos eventos contra una cuenta identificada de ChatGPT. Esa es, precisamente, la principal cuestión que la investigación no pudo resolver. 15
21
Así funcionaría el flujo de seguimiento
De acuerdo con las publicaciones y el análisis de Buchodi, una visita a ChatGPT puede terminar con el intercambio de un identificador con bzr.openai.com, el colector publicitario de OpenAI. Ese dominio establece la cookie __obi para .openai.com; se habría configurado para durar un año y con los atributos SameSite=None; Secure. 15
21
Esta configuración es relevante porque permite que la cookie se incluya cuando otro sitio —por ejemplo, una tienda— carga un recurso desde un dominio de OpenAI. Si el comercio ha instalado el píxel de publicidad o medición de OpenAI, el navegador puede enviar el valor de __obi a OpenAI en esa solicitud entre sitios.
El comercio no puede leer directamente una cookie limitada al dominio .openai.com. Pero el colector de OpenAI sí puede recibir tanto el identificador como el evento registrado en la web del comercio. 15
21
La cadena descrita sería la siguiente:
- Una persona usa ChatGPT, donde el flujo de sincronización informado puede representar a un sujeto asociado a una cuenta o a un visitante anónimo.
- OpenAI emite la cookie persistente
__obi. - La persona visita un comercio participante.
- El sitio carga el código de medición de OpenAI y el navegador envía la cookie del dominio de OpenAI con la solicitud correspondiente.
- OpenAI puede recibir la actividad del comercio junto con ese identificador persistente.
15
21
Qué datos podría enviar el píxel
El píxel reportado está orientado a medir conversiones: acciones que permiten saber si una campaña deriva en una interacción o venta. Los datos transmitidos pueden incluir páginas o productos visualizados, búsquedas, artículos añadidos al carrito, inicios de pago, compras, pedidos, información del producto, cantidades, precios, moneda y eventos de conversión personalizados. 7
15
Las informaciones publicadas también describen campos de coincidencia aportados por anunciantes: direcciones de correo electrónico cifradas mediante hash, teléfonos, identificadores externos y nombres, además de campos de ubicación como país, ciudad, región y código postal. 7
Buchodi alegó además que el kit de desarrollo de software podía recoger información vinculada a la identidad desde campos de formularios, contenido de las páginas y capas de datos de gestores de etiquetas. En las observaciones citadas, correo electrónico, teléfono y nombre se convertían en hashes SHA-256, mientras que país, región, ciudad y código postal podían transmitirse en texto claro. 1
15
Aunque se elimine la cadena de consulta completa de una URL, la ruta de la página puede seguir revelando información sensible: puede indicar el tipo de producto consultado, un formulario concreto o la naturaleza de un servicio solicitado. Por ello, el alcance potencial va más allá de un simple contador de impresiones publicitarias. 1
La evidencia observada en sitios comerciales
Buchodi afirmó haber analizado durante meses tráfico relacionado con 936 píxeles de anunciantes distribuidos en 1.029 hostnames. 15
16
Entre los ejemplos citados, un mismo valor de __obi apareció en solicitudes procedentes de 12 webs comerciales que utilizaban 13 identificadores de píxel, entre ellas Chewy, Wayfair, ThriftBooks, Eventbrite, HelloFresh, Coursera y SeatGeek. El colector habría respondido con códigos HTTP 202 a esos envíos de eventos. 1
El análisis también indicó que 12 de 30 valores distintos de __obi aparecieron con más de un anunciante, y uno de ellos se observó en diez anunciantes. Ese patrón es compatible con un identificador reutilizable presentado a OpenAI desde varias webs participantes. 1
De los 932 tokens de sincronización descodificados citados en la investigación, 736 correspondían, según el informe, a sujetos account_user y 196 a sujetos anónimos. El identificador anónimo se habría mantenido estable por dispositivo durante al menos 27 días. 1
9
Por qué importa que se clasifique como cookie de analítica
Las publicaciones sobre los hallazgos señalan que __obi se clasificaba como cookie de analítica, y no de marketing. Buchodi informó de que los tokens descodificados incluían sistemáticamente analytics_allowed y de que el identificador podía emitirse cuando se aceptaba la analítica, incluso después de rechazar las cookies de marketing o publicidad. 1
13
Ahí reside la preocupación sobre el consentimiento: una cookie etiquetada como analítica podría facilitar medición publicitaria entre sitios si se envía a un colector de anuncios desde comercios participantes. La evidencia disponible no establece una infracción legal ni recoge una resolución de un regulador. Sí plantea, no obstante, una pregunta relevante sobre el diseño del consentimiento: si alguien rechazó las cookies publicitarias, ¿esperaría razonablemente que esta medición entre sitios continuara bajo una opción de analítica? 1
23
Navegadores y bloqueadores: qué se sabe
El mecanismo fue observado directamente en Chrome para Android. 1
El análisis de Buchodi sostiene que la función Intelligent Tracking Prevention de Safari bloquea las cookies de terceros y concluye, por tanto, que este flujo concreto basado en cookies de terceros no funcionaría en los navegadores de iOS, que usan WebKit. La investigación no probó Chrome de escritorio, de modo que no permite extraer una conclusión general sobre todos los navegadores de escritorio ni sobre todas sus configuraciones. 1
Las fuentes aportadas tampoco establecen qué extensiones concretas de privacidad bloquean el píxel de OpenAI. Desde el punto de vista técnico, un bloqueador de red que impida la solicitud al píxel, a la CDN o al colector de OpenAI evitaría ese envío específico; pero se trata de una inferencia sobre la ruta de la solicitud, no de un resultado publicado de las pruebas de Buchodi.
La limitación decisiva: capacidad técnica no es prueba de uso por cuenta
La lectura más prudente de la investigación es que describe un mecanismo capaz de transportar eventos de sitios comerciales junto con un identificador cuyo flujo de sincronización puede incluir un sujeto asociado a una cuenta. Eso abre la posibilidad técnica de vincular esos eventos a nivel de cuenta. 1
15
Sin embargo, Buchodi no observó el procesamiento interno de los servidores de OpenAI. La investigación no prueba que OpenAI resuelva cada evento entrante contra una cuenta de ChatGPT, lo conserve vinculado a ella o lo use para segmentación publicitaria, medición u otra finalidad. La diferencia entre que un identificador llegue a un colector y que se confirme un tratamiento a nivel de cuenta sigue siendo fundamental. 1
21
En síntesis
El diseño reportado de __obi llama la atención porque una cookie de un año habilitada para solicitudes entre sitios, combinada con un píxel de medición instalado en comercios, puede dar a OpenAI una vía para recibir actividad detallada fuera de su propia web bajo un mismo identificador persistente. Los datos descritos incluyen navegación, conversiones, compras y campos potencialmente relacionados con la identidad. 7
15
Los hallazgos justifican revisar las opciones de consentimiento, el comportamiento de los navegadores y la información que transmiten los píxeles publicitarios. Por sí solos, no demuestran que OpenAI haya asociado cada evento recogido a una cuenta de ChatGPT ni que lo haya utilizado para publicidad personalizada. 1
15
Studio Global AI
Continúe su investigación
Esta página incluye una respuesta respaldada por fuentes que puede continuar dentro de Studio Global.
La gente también pregunta
¿Cuál es la respuesta corta a "Cómo la cookie `__obi` de OpenAI podría seguir la actividad de usuarios de ChatGPT entre sitios web"?
El investigador independiente Buchodi informó de que la cookie obi, con una duración de un año, puede enviarse a OpenAI cuando un comercio carga su píxel de medición publicitaria.
¿Cuáles son los puntos clave a validar primero?
El investigador independiente Buchodi informó de que la cookie obi, con una duración de un año, puede enviarse a OpenAI cuando un comercio carga su píxel de medición publicitaria. El sistema reportado puede transmitir páginas y productos vistos, búsquedas, carritos, compras y determinados datos de identificación o ubicación proporcionados por el anunciante.
¿Qué debo hacer a continuación en la práctica?
La investigación abarcó 936 píxeles de anunciantes en 1.029 hostnames, pero no verificó el procesamiento interno de OpenAI ni probó que todos los eventos se unan a cuentas de ChatGPT.
Fuentes
forklog.comResearcher Discovers Ad Tracker in ChatGPT for Third-Party Sites | ForkLog
pasqualepillitteri.itAnaliza ujawnia cookie __obi OpenAI, które śledzi użytkowników ChatGPT