RéponsesPublié18 sources
Le cookie « __obi » d’OpenAI pourrait suivre l’activité des utilisateurs de ChatGPT sur des sites marchands
Selon le chercheur indépendant Buchodi, le cookie obi, valable un an, peut être envoyé à OpenAI lorsqu’un site marchand charge son pixel de mesure, avec des données de navigation ou de conversion. L’enquête évoque 936 pixels publicitaires sur 1 029 noms d’hôte ; parmi 932 jetons de synchronisation décodés, 736 corre...
Publié parModifié avec GPT-5.6 TerraImages générées avec GPT Image 2
Réponse de recherche
Points clés à retenir
- Selon le chercheur indépendant Buchodi, le cookie obi, valable un an, peut être envoyé à OpenAI lorsqu’un site marchand charge son pixel de mesure, avec des données de navigation ou de conversion.
- L’enquête évoque 936 pixels publicitaires sur 1 029 noms d’hôte ; parmi 932 jetons de synchronisation décodés, 736 correspondaient à des sujets de type account user et 196 à des sujets anonymes.
- Ces constats décrivent un mécanisme potentiel de mesure publicitaire ; ils ne constituent ni une décision de régulateur ni la preuve qu’OpenAI associe effectivement chaque événement à un compte ChatGPT.
Prompt IA
openai.comCreate a landscape editorial hero image for this Studio Global article: How does OpenAI’s year-long __obi cookie, classified as an analytics cookie, reportedly enable cross-site tracking of ChatGPT users and anon. Article summary: OpenAI’s `__obi` appears, based on Buchodi’s independent technical analysis, to be a one-year, cross-site identifier that can accompany requests from merchant pages running OpenAI’s advertising/measurement pixel. That co. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
L’analyse indépendante publiée par le chercheur Buchodi décrit un mécanisme de mesure publicitaire centré sur un cookie d’OpenAI appelé __obi. D’après cette enquête, OpenAI pourrait recevoir l’activité d’internautes sur des sites qui intègrent son pixel publicitaire, en même temps qu’un identifiant persistant créé lors de l’utilisation de ChatGPT. Cela ne démontre pas pour autant qu’OpenAI enregistre ou exploite chaque événement au nom d’un compte ChatGPT : c’est la principale limite, et le point essentiel qui reste non vérifié. 15
21
Le fonctionnement décrit par l’enquête
Lors d’une visite sur ChatGPT, un identifiant pourrait être échangé avec le collecteur publicitaire d’OpenAI, bzr.openai.com, qui dépose alors le cookie __obi pour le domaine .openai.com. Ce cookie aurait une durée de vie d’un an et les attributs SameSite=None; Secure. 15
21
Ce paramétrage est déterminant : lorsque, sur un autre site, le navigateur charge une ressource provenant d’un domaine OpenAI, il peut joindre ce cookie à la requête intersite. Si un site marchand a installé le pixel publicitaire ou de mesure d’OpenAI, le navigateur peut donc transmettre la valeur de __obi à OpenAI avec l’événement généré sur ce site. Le marchand ne peut pas lire directement un cookie limité au domaine .openai.com, mais le collecteur d’OpenAI peut recevoir à la fois l’identifiant et l’événement provenant du site marchand. 15
21
Concrètement, la chaîne décrite est la suivante :
- Une personne utilise ChatGPT ; le flux de synchronisation observé peut représenter un sujet lié à un compte ou un sujet anonyme.
- OpenAI dépose le cookie
__obi, conçu pour durer un an. - Cette personne visite un site marchand participant.
- Le site charge le code de mesure d’OpenAI et le navigateur joint le cookie OpenAI à la requête concernée.
- OpenAI peut recevoir l’activité du site marchand associée à cet identifiant persistant.
15
21
Quelles données le pixel pourrait transmettre
Le pixel décrit vise la mesure des conversions. Selon les éléments rapportés, il peut transmettre des pages ou produits consultés, des recherches, des ajouts au panier, des débuts de commande, des achats, des commandes, des informations sur les produits, les quantités, les prix, les devises et des événements de conversion personnalisés. 7
15
Les données de rapprochement fournies par les annonceurs peuvent aussi inclure des adresses e-mail, des numéros de téléphone, des identifiants externes et des noms hachés, ainsi que des champs de localisation tels que le pays, la ville, la région et le code postal. 7
Buchodi affirme en outre que le kit de développement logiciel pouvait recueillir des informations liées à l’identité dans des champs de formulaire, le contenu de pages et les couches de données utilisées par les gestionnaires de balises. Dans ses observations, les adresses e-mail, numéros de téléphone et noms étaient hachés avec SHA-256 ; le pays, la région, la ville et le code postal pouvaient en revanche être transmis en clair. 1
15
Même sans la chaîne de requête complète d’une URL, le chemin de la page peut révéler beaucoup : le type d’article consulté, la nature d’un formulaire ou le service recherché. L’enjeu dépasse donc un simple comptage d’impressions publicitaires. 1
Ce que le chercheur dit avoir observé
Buchodi indique avoir étudié plusieurs mois de trafic couvrant 936 pixels d’annonceurs répartis sur 1 029 noms d’hôte. 15
16
Dans les exemples cités, une même valeur __obi est apparue dans des requêtes provenant de 12 sites commerciaux utilisant 13 identifiants de pixel, notamment Chewy, Wayfair, ThriftBooks, Eventbrite, HelloFresh, Coursera et SeatGeek. Le collecteur aurait renvoyé des réponses HTTP 202 à ces envois d’événements. 1
L’analyse indique également que 12 des 30 valeurs __obi distinctes observées étaient présentes chez plus d’un annonceur, dont une sur dix annonceurs. Ce schéma est compatible avec l’utilisation d’un identifiant réemployé sur plusieurs sites participants. 1
Sur 932 jetons de synchronisation décodés cités dans l’étude, 736 étaient présentés comme des sujets account_user et 196 comme des sujets anonymes. L’identifiant anonyme serait resté stable, par appareil, pendant au moins 27 jours. 1
9
Pourquoi l’étiquette « analytique » pose question
Selon les informations publiées sur l’enquête, __obi est classé comme cookie analytique, et non comme cookie marketing. Buchodi indique que les jetons décodés comportaient systématiquement analytics_allowed et que l’identifiant pouvait être attribué dès lors que l’analytique était acceptée, y compris après un refus des cookies marketing ou publicitaires. 1
13
C’est le cœur de l’inquiétude : un cookie présenté comme analytique pourrait néanmoins faciliter une mesure publicitaire intersites lorsqu’il est envoyé à un collecteur publicitaire depuis des sites marchands participants. Les éléments disponibles ici ne permettent pas d’établir une violation de la loi, ni de rapporter une décision d’autorité de contrôle. Ils soulèvent toutefois une question de conception du consentement : une personne qui refuse les cookies publicitaires s’attendrait-elle raisonnablement à ce que ce type de mesure intersite se poursuive via un choix « analytique » ? 1
23
Navigateurs et bloqueurs : ce qui est établi
Le mécanisme a été observé directement dans Chrome sur Android. 1
D’après l’analyse de Buchodi, la fonction Intelligent Tracking Prevention de Safari bloque les cookies tiers ; le chercheur en a conclu que ce flux précis fondé sur les cookies tiers ne fonctionnerait pas dans les navigateurs iOS, qui utilisent WebKit. L’étude n’a pas testé Chrome sur ordinateur : elle ne permet donc pas de conclure pour tous les navigateurs de bureau ni pour toutes leurs configurations. 1
Les éléments fournis ne permettent pas non plus d’identifier quelles extensions de confidentialité bloquent précisément le pixel d’OpenAI. Techniquement, un bloqueur réseau qui empêche les requêtes vers le pixel, le CDN ou le collecteur OpenAI empêcherait cette transmission particulière ; il s’agit toutefois d’une déduction fondée sur le cheminement des requêtes, pas d’un résultat de test publié par Buchodi.
La limite cruciale : une capacité technique n’est pas une preuve d’usage au niveau du compte
La lecture la plus rigoureuse de cette recherche est qu’elle décrit un mécanisme capable de transporter des événements issus de sites marchands avec un identifiant dont le flux de synchronisation peut inclure un sujet lié à un compte. Cela rend techniquement possible un rapprochement au niveau d’un compte. 1
15
Mais Buchodi n’a pas observé le traitement interne côté serveurs d’OpenAI. L’enquête ne prouve pas qu’OpenAI rattache chaque événement entrant à un compte ChatGPT, le conserve avec ce compte ou l’utilise pour le ciblage publicitaire, la mesure ou un autre objectif. La différence entre la réception d’un identifiant par un collecteur et un traitement confirmé au niveau d’un compte reste fondamentale. 1
21
À retenir
Le système __obi décrit mérite attention : associé à un pixel de mesure installé sur des sites marchands, un cookie intersite valable un an pourrait permettre à OpenAI de recevoir une activité détaillée hors de ses propres services sous un même identifiant persistant. Les données rapportées couvrent la navigation, les conversions, les achats et, potentiellement, des champs liés à l’identité. 7
15
Ces conclusions invitent à examiner les choix de consentement, le comportement des navigateurs et les données envoyées par les pixels publicitaires. Elles ne démontrent pas, à elles seules, qu’OpenAI a associé chaque événement collecté à un compte ChatGPT ou qu’il l’a utilisé pour de la publicité personnalisée. 1
15
Studio Global AI
Continuez vos recherches
Cette page comprend une réponse basée sur la source que vous pouvez continuer dans Studio Global.
Les gens demandent aussi
Quelle est la réponse courte à « Le cookie « __obi » d’OpenAI pourrait suivre l’activité des utilisateurs de ChatGPT sur des sites marchands » ?
Selon le chercheur indépendant Buchodi, le cookie obi, valable un an, peut être envoyé à OpenAI lorsqu’un site marchand charge son pixel de mesure, avec des données de navigation ou de conversion.
Quels sont les points clés à valider en premier ?
Selon le chercheur indépendant Buchodi, le cookie obi, valable un an, peut être envoyé à OpenAI lorsqu’un site marchand charge son pixel de mesure, avec des données de navigation ou de conversion. L’enquête évoque 936 pixels publicitaires sur 1 029 noms d’hôte ; parmi 932 jetons de synchronisation décodés, 736 correspondaient à des sujets de type account user et 196 à des sujets anonymes.
Que dois-je faire ensuite en pratique ?
Ces constats décrivent un mécanisme potentiel de mesure publicitaire ; ils ne constituent ni une décision de régulateur ni la preuve qu’OpenAI associe effectivement chaque événement à un compte ChatGPT.
Sources
forklog.comResearcher Discovers Ad Tracker in ChatGPT for Third-Party Sites | ForkLog
pasqualepillitteri.itAnaliza ujawnia cookie __obi OpenAI, które śledzi użytkowników ChatGPT