AnswersPublished18 sources
כך עוגיית __obi של OpenAI עשויה לעקוב אחרי משתמשי ChatGPT באתרי סוחרים
לפי מחקר עצמאי, עוגיית obi של OpenAI יכולה להישלח כאשר אתר סוחר טוען פיקסל פרסום של OpenAI, וכך להעביר פעילות מחוץ ל ChatGPT לצד מזהה מתמשך. המחקר בחן 936 פיקסלים של מפרסמים ב 1,029 שמות מארח; מתוך 932 אסימוני סנכרון שפוענחו, 736 תוארו כנושאי account user ו 196 כאנונימיים.
פורסם על ידינערך באמצעות GPT-5.6 Terraהתמונות נוצרו באמצעות GPT Image 2
Research answer
Key takeaways
- לפי מחקר עצמאי, עוגיית obi של OpenAI יכולה להישלח כאשר אתר סוחר טוען פיקסל פרסום של OpenAI, וכך להעביר פעילות מחוץ ל ChatGPT לצד מזהה מתמשך.
- המחקר בחן 936 פיקסלים של מפרסמים ב 1,029 שמות מארח; מתוך 932 אסימוני סנכרון שפוענחו, 736 תוארו כנושאי account user ו 196 כאנונימיים.
- הממצאים מתארים יכולת טכנית ומעלים שאלות של הסכמה ופרטיות, אך אינם מהווים קביעה רגולטורית או הוכחה שכל אירוע קושר לחשבון ChatGPT.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: How does OpenAI’s year-long __obi cookie, classified as an analytics cookie, reportedly enable cross-site tracking of ChatGPT users and anon. Article summary: OpenAI’s `__obi` appears, based on Buchodi’s independent technical analysis, to be a one-year, cross-site identifier that can accompany requests from merchant pages running OpenAI’s advertising/measurement pixel. That co. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
מחקר עצמאי של חוקר האבטחה Buchodi תיאר מנגנון מדידה פרסומי חוצה־אתרים, שבמרכזו עוגייה של OpenAI בשם __obi. לפי התיאור, OpenAI עשויה לקבל מידע על פעילות באתרים שמפעילים את פיקסל הפרסום שלה, לצד מזהה מתמשך שנוצר דרך ChatGPT. חשוב להבחין: זה אינו מוכיח ש-OpenAI שומרת כל אירוע או משתמשת בו מול חשבון ChatGPT מזוהה — וזו נקודת המחלוקת המרכזית שנותרה פתוחה. 15
21
איך פועל מנגנון המעקב המתואר
לפי הדיווחים והניתוח של Buchodi, ביקור ב-ChatGPT יכול להוביל להחלפת מזהה עם שרת איסוף הפרסום של OpenAI, bzr.openai.com, שמגדיר את __obi עבור הדומיין .openai.com. לפי הדיווח, תוקף העוגייה הוא שנה והיא מוגדרת עם SameSite=None; Secure. 15
21
להגדרה הזאת יש משמעות: היא עשויה לאפשר שליחת העוגייה גם כאשר אתר סוחר נפרד טוען משאב מדומיין של OpenAI. אם אותו סוחר התקין פיקסל פרסום או מדידה של OpenAI, הדפדפן יכול לשלוח את ערך __obi ל-OpenAI כחלק מבקשה חוצת־אתרים. אתר הסוחר עצמו אינו יכול פשוט לקרוא עוגייה שמוגבלת ל-.openai.com, אך שרת האיסוף של OpenAI יכול לקבל גם את המזהה וגם את האירוע שהתרחש באתר הסוחר. 15
21
בפשטות, שרשרת הפעולות הנטענת היא:
- אדם משתמש ב-ChatGPT, ובתהליך הסנכרון המדווח עשוי להיות מיוצג כנושא המקושר לחשבון או כנושא אנונימי.
- OpenAI מנפיקה את עוגיית
__obiארוכת־הטווח. - האדם גולש לאתר סוחר משתתף.
- האתר טוען קוד מדידה של OpenAI, והדפדפן שולח עם הבקשה הרלוונטית את העוגייה של דומיין OpenAI.
- OpenAI עשויה לקבל את פעילות המשתמש באתר הסוחר יחד עם אותו מזהה מתמשך.
15
21
איזה מידע הפיקסל עשוי לשלוח
הפיקסל המתואר מיועד למדידת המרות — כלומר, לבדיקה האם פרסום הוביל לפעולה כמו רכישה. לפי הדיווח, הפעילות המועברת יכולה לכלול עמודים או מוצרים שנצפו, חיפושים, הוספה לסל, תחילת תהליך תשלום, רכישות, הזמנות, פרטי מוצר, כמויות, מחירים, מטבע ואירועי המרה מותאמים אישית. 7
15
הדיווחים מתארים גם שדות התאמה שמסופקים על ידי המפרסם: כתובות דוא״ל מגובבות, מספרי טלפון, מזהים חיצוניים ושמות, וכן שדות מיקום כגון מדינה, עיר, מחוז או אזור ומיקוד. 7
Buchodi טען עוד כי ערכת הפיתוח עשויה לאסוף מידע הקשור לזהות משדות טפסים, מתוכן הדף ומשכבות נתונים של מנהלי תגיות. בתצפיות שעליהן דווח, כתובות דוא״ל, מספרי טלפון ושמות גובבו ב-SHA-256, ואילו מדינה, אזור, עיר ומיקוד עשויים להישלח כטקסט גלוי. 1
15
גם אם מחרוזת השאילתה המלאה של כתובת URL מוסרת, נתיב העמוד לבדו עלול לחשוף הרבה: הוא יכול להעיד על סוג המוצר שנצפה או על מהותם של טופס ושירות שנפתחו. לכן, היקף איסוף המידע המתואר משמעותי יותר מספירה פשוטה של חשיפות למודעה. 1
מה נמצא באתרי מסחר ובאסימונים
Buchodi מסר כי החקירה בדקה חודשים של תעבורת רשת שכללה 936 פיקסלים של מפרסמים ב-1,029 שמות מארח. 15
16
באחת הדוגמאות המדווחות, אותו ערך __obi הופיע בבקשות מ-12 אתרי מסחר שעשו שימוש ב-13 מזהי פיקסל, בהם Chewy, Wayfair, ThriftBooks, Eventbrite, HelloFresh, Coursera ו-SeatGeek. לפי הדיווח, שרת האיסוף החזיר תגובות HTTP 202 להגשות האירועים הללו. 1
הניתוח דיווח גם כי 12 מתוך 30 ערכי __obi נפרדים הופיעו אצל יותר ממפרסם אחד, ואחד מהם נצפה אצל עשרה מפרסמים. דפוס כזה מתיישב עם מזהה שניתן להציג ל-OpenAI מאתרים משתתפים רבים. 1
מתוך 932 אסימוני סנכרון שפוענחו במחקר, 736 דווחו כנושאים מסוג account_user ו-196 כנושאים אנונימיים. המזהה האנונימי תואר כיציב לכל מכשיר במשך 27 ימים לפחות. 1
9
מדוע הסיווג כ״אנליטיקה״ עומד במרכז הוויכוח
לפי הדיווחים, __obi סווגה כעוגיית אנליטיקה ולא כעוגיית שיווק. Buchodi דיווח שהאסימונים שפוענחו כללו בעקביות את הערך analytics_allowed, ושניתן היה להנפיק את המזהה כאשר אנליטיקה אושרה — גם לאחר דחיית עוגיות שיווק או פרסום. 1
13
מכאן נובע החשש לפרטיות: עוגייה שמסומנת כאנליטית עשויה, לפי המנגנון המתואר, לאפשר מדידת פרסום חוצת־אתרים כאשר היא נשלחת לשרת איסוף מודעות מאתרי סוחרים משתתפים. הראיות המובאות כאן אינן מבססות הפרת חוק ואינן מציגות החלטה של רגולטור. עם זאת, הן מעלות שאלה לגבי עיצוב ההסכמה: האם אדם שדחה עוגיות פרסום היה מצפה שמדידה חוצת־אתרים מסוג זה תימשך מכוח בחירה ב״אנליטיקה״. 1
23
דפדפנים וחוסמים: מה ידוע
המנגנון המתואר נצפה ישירות ב-Chrome באנדרואיד. 1
לפי הניתוח של Buchodi, Intelligent Tracking Prevention של Safari חוסם עוגיות צד שלישי. לכן הוא הסיק שהזרימה הספציפית הזאת, המבוססת על עוגיות צד שלישי, לא תפעל בדפדפני iOS — המשתמשים במנוע WebKit. המחקר לא בדק Chrome במחשב שולחני, ולכן אינו מאפשר להסיק מסקנה גורפת על כל דפדפן שולחני או על כל תצורת דפדפן. 1
הראיות שסופקו גם אינן קובעות אילו הרחבות פרטיות מסוימות חוסמות את הפיקסל של OpenAI. מבחינה טכנית, חוסם ברמת הרשת שמונע את הבקשה לפיקסל, לרשת הפצת התוכן או לשרת האיסוף הרלוונטי של OpenAI, ימנע את שליחת אותה בקשה; אך זו מסקנה הנגזרת מנתיב הבקשה, ולא תוצאת בדיקה שפורסמה בחקירת Buchodi.
המגבלה הקריטית: יכולת טכנית אינה הוכחה לשימוש מול חשבון
הקריאה הזהירה ביותר של המחקר היא שהוא מדגים מנגנון מדווח שמסוגל להעביר אירועים מאתרי סוחרים לצד מזהה, אשר זרימת הסנכרון שלו יכולה לכלול נושא משתמש־חשבון. מכאן קיימת אפשרות טכנית לקישור ברמת החשבון. 1
15
אולם Buchodi לא צפה בעיבוד הפנימי של OpenAI בצד השרת. המחקר אינו מוכיח ש-OpenAI פותרת כל אירוע נכנס לחשבון ChatGPT, שומרת אותו מול החשבון, או משתמשת בו לטירגוט פרסומי, למדידה או לכל מטרה אחרת. ההבחנה בין מזהה שמגיע לשרת איסוף לבין עיבוד מאומת ברמת חשבון נותרת חיונית. 1
21
השורה התחתונה
העיצוב המדווח של __obi בולט משום שעוגייה חוצת־אתרים שתוקפה שנה, בשילוב פיקסל מדידה באתר סוחר, עשויה לאפשר ל-OpenAI לקבל פעילות מפורטת מחוץ ל-ChatGPT תחת אותו מזהה מתמשך. המידע המדווח כולל נתוני גלישה, המרות, רכישות ושדות שעשויים להיות קשורים לזהות. 7
15
הממצאים מצדיקים בחינה של אפשרויות ההסכמה, התנהגות הדפדפנים והמידע שנשלח בפיקסלי פרסום. הם אינם מוכיחים כשלעצמם ש-OpenAI צירפה כל אירוע שנאסף לחשבון ChatGPT או השתמשה בו לפרסום מותאם אישית. 1
15
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "כך עוגיית __obi של OpenAI עשויה לעקוב אחרי משתמשי ChatGPT באתרי סוחרים"?
לפי מחקר עצמאי, עוגיית obi של OpenAI יכולה להישלח כאשר אתר סוחר טוען פיקסל פרסום של OpenAI, וכך להעביר פעילות מחוץ ל ChatGPT לצד מזהה מתמשך.
What are the key points to validate first?
לפי מחקר עצמאי, עוגיית obi של OpenAI יכולה להישלח כאשר אתר סוחר טוען פיקסל פרסום של OpenAI, וכך להעביר פעילות מחוץ ל ChatGPT לצד מזהה מתמשך. המחקר בחן 936 פיקסלים של מפרסמים ב 1,029 שמות מארח; מתוך 932 אסימוני סנכרון שפוענחו, 736 תוארו כנושאי account user ו 196 כאנונימיים.
What should I do next in practice?
הממצאים מתארים יכולת טכנית ומעלים שאלות של הסכמה ופרטיות, אך אינם מהווים קביעה רגולטורית או הוכחה שכל אירוע קושר לחשבון ChatGPT.
Sources
forklog.comResearcher Discovers Ad Tracker in ChatGPT for Third-Party Sites | ForkLog
pasqualepillitteri.itAnaliza ujawnia cookie __obi OpenAI, które śledzi użytkowników ChatGPT