AnswersPublished18 sources
Onderzoek: __obi-cookie van OpenAI kan ChatGPT-gebruikers op winkelsites volgen
Onderzoeker Buchodi meldt dat de één jaar geldige obi cookie bij een OpenAI advertentiepixel op een externe winkelsite kan worden meegestuurd, samen met gegevens over bezoek en conversiegedrag. In de onderzochte verkeersdata ging het om 936 advertentiepixels op 1.029 hostnamen.
Gepubliceerd doorBewerkt met GPT-5.6 TerraAfbeeldingen gegenereerd met GPT Image 2
Research answer
Key takeaways
- Onderzoeker Buchodi meldt dat de één jaar geldige obi cookie bij een OpenAI advertentiepixel op een externe winkelsite kan worden meegestuurd, samen met gegevens over bezoek en conversiegedrag.
- In de onderzochte verkeersdata ging het om 936 advertentiepixels op 1.029 hostnamen.
- De bevindingen beschrijven een technisch mechanisme voor advertentiemeting; ze vormen geen oordeel van een toezichthouder en bewijzen niet dat OpenAI elk evenement aan een ChatGPT account koppelt.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: How does OpenAI’s year-long __obi cookie, classified as an analytics cookie, reportedly enable cross-site tracking of ChatGPT users and anon. Article summary: OpenAI’s `__obi` appears, based on Buchodi’s independent technical analysis, to be a one-year, cross-site identifier that can accompany requests from merchant pages running OpenAI’s advertising/measurement pixel. That co. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
Een onafhankelijke analyse van beveiligingsonderzoeker Buchodi beschrijft een advertentiemechanisme rond een OpenAI-cookie met de naam __obi. Volgens het onderzoek kan OpenAI daarmee activiteit ontvangen van websites die de advertentie- of meetpixel van OpenAI laden, naast een langdurige identificatiecode die via ChatGPT is aangemaakt. Dat is iets anders dan bewijs dat OpenAI al die gebeurtenissen daadwerkelijk opslaat bij, of gebruikt voor, een concreet ChatGPT-account. Juist dat cruciale deel is niet zichtbaar in het onderzoek. 15
21
Zo zou de tracking werken
Volgens de berichtgeving en de analyse kan een bezoek aan ChatGPT ertoe leiden dat een identificatiecode wordt uitgewisseld met OpenAI’s advertentiecollector bzr.openai.com. Die stelt vervolgens de cookie __obi in voor het domein .openai.com. De cookie zou één jaar geldig zijn en de instellingen SameSite=None; Secure hebben. 15
21
Dat laatste is belangrijk: als een andere website vervolgens een bestand van een OpenAI-domein laadt, kan de browser de cookie bij dat cross-site verzoek meesturen. Heeft een webwinkel of andere deelnemende site de advertentie- of meetpixel van OpenAI geïnstalleerd, dan kan OpenAI dus zowel de __obi-waarde als het evenement op die website ontvangen. De winkel kan de cookie voor .openai.com niet zelf uitlezen, maar OpenAI’s collector kan de combinatie wel binnenkrijgen. 15
21
De gerapporteerde keten ziet er in hoofdlijnen zo uit:
- Iemand gebruikt ChatGPT; in de beschreven synchronisatiestroom kan die persoon als accountgebruiker of als anonieme bezoeker zijn vertegenwoordigd.
- OpenAI plaatst de langdurige
__obi-cookie. - De bezoeker opent een deelnemende commerciële website.
- Die website laadt OpenAI-meetcode, waarna de browser de OpenAI-cookie met het relevante verzoek meestuurt.
- OpenAI kan de activiteit op die website samen met de permanente identificatiecode ontvangen.
15
21
Welke gegevens de pixel volgens de rapportage kan versturen
De pixel zou zijn bedoeld voor conversiemeting: het vaststellen of een advertentie uiteindelijk tot een gewenste actie leidt. De doorgestuurde gegevens kunnen volgens de berichtgeving onder meer bekeken pagina’s of producten, zoekopdrachten, artikelen in een winkelmandje, gestarte check-outs, aankopen, bestellingen, productinformatie, aantallen, prijzen, valuta en aangepaste conversiegebeurtenissen omvatten. 7
15
Ook worden velden genoemd die een adverteerder zelf kan aanleveren voor matching, zoals gehashte e-mailadressen, telefoonnummers, externe ID’s en namen. Daarnaast gaat het om locatiegegevens, waaronder land, stad, regio en postcode. 7
Buchodi stelde verder dat de softwareontwikkelingskit identiteitsgerelateerde gegevens uit formulierinvulvelden, pagina-inhoud en datalagen van tagmanagers kan verzamelen. In de waargenomen voorbeelden waren e-mailadressen, telefoonnummers en namen met SHA-256 gehasht; land, regio, stad en postcode konden volgens de analyse onversleuteld worden verzonden. 1
15
Een volledige URL-zoekreeks kan worden verwijderd, maar ook een paginapad kan veel prijsgeven. Het kan bijvoorbeeld wijzen op het soort product, formulier of dienst dat iemand bekijkt. Daarmee gaat de mogelijke gegevensverzameling verder dan alleen het tellen van advertentievertoningen. 1
Wat Buchodi op commerciële sites aantrof
Buchodi zegt gedurende maanden verkeer te hebben onderzocht rond 936 advertentiepixels op 1.029 hostnamen. 15
16
In één van de voorbeelden dook dezelfde __obi-waarde op in verzoeken vanaf twaalf commerciële websites, verdeeld over dertien pixel-ID’s. Daarbij werden onder meer Chewy, Wayfair, ThriftBooks, Eventbrite, HelloFresh, Coursera en SeatGeek genoemd. De collector zou voor die evenementmeldingen HTTP 202-responses hebben teruggegeven. 1
Ook meldde de analyse dat twaalf van dertig afzonderlijke __obi-waarden bij meer dan één adverteerder voorkwamen; één ervan verscheen bij tien adverteerders. Dat patroon past bij een herbruikbare identificatiecode die op meerdere deelnemende websites aan OpenAI wordt aangeboden. 1
Van 932 ontcijferde synchronisatietokens betroffen er volgens het onderzoek 736 het type account_user en 196 een anoniem type. De anonieme identificatiecode bleef volgens de rapportage per apparaat minstens 27 dagen stabiel. 1
9
Waarom de classificatie als ‘analytics’ gevoelig ligt
Volgens de berichtgeving staat __obi geregistreerd als analytische cookie, niet als marketingcookie. Buchodi meldde dat de ontcijferde tokens consequent analytics_allowed bevatten. De code kon dus worden afgegeven wanneer analytics was toegestaan, zelfs nadat marketing- of advertentiecookies waren geweigerd. 1
13
Daar zit de privacyvraag: een cookie die als analytisch wordt aangeduid, kan volgens deze analyse toch cross-site advertentiemeting mogelijk maken zodra hij via deelnemende winkelsites naar een advertentiecollector wordt gestuurd. Het beschikbare bewijsmateriaal stelt geen wettelijke overtreding vast en bevat geen uitspraak van een toezichthouder. Wel roept het een wezenlijke vraag op over toestemming: verwacht iemand die advertentiecookies afwijst redelijkerwijs dat zulke metingen tussen verschillende websites toch doorgaan onder een keuze voor analytics? 1
23
Browsers en blockers: wat wel en niet bekend is
Het beschreven mechanisme is rechtstreeks waargenomen in Chrome op Android. 1
Volgens Buchodi blokkeert Safari’s Intelligent Tracking Prevention cookies van derden. Omdat alle browsers op iOS WebKit gebruiken, concludeerde de onderzoeker dat juist deze third-party-cookie-stroom daar niet zou werken. Desktop-Chrome is niet getest; het onderzoek ondersteunt daarom geen algemene conclusie over alle desktopbrowsers of instellingen. 1
Het aangeleverde bewijs zegt evenmin welke specifieke privacy-extensies de OpenAI-pixel blokkeren. Technisch gezien zou een netwerkblokkeerder die het verzoek naar de relevante OpenAI-pixel, CDN of collector tegenhoudt, voorkomen dat dát verzoek wordt verstuurd. Dat is echter een gevolgtrekking uit het verzoekpad, geen gepubliceerd testresultaat uit Buchodi’s onderzoek.
De belangrijke beperking: technische mogelijkheid is geen bewijs van accountkoppeling
De meest voorzichtige lezing is dat het onderzoek een gerapporteerd mechanisme laat zien dat website-evenementen kan doorgeven met een identificatiecode waarvan de synchronisatiestroom een accountgebruiker kan bevatten. Daarmee ontstaat technisch de mogelijkheid om gegevens op accountniveau te combineren. 1
15
Buchodi kon de verwerking op OpenAI’s servers echter niet waarnemen. Het onderzoek bewijst niet dat OpenAI elk binnenkomend evenement omzet naar een ChatGPT-account, daar bewaart of gebruikt voor advertentietargeting, meting of een ander doel. Het onderscheid tussen een identificatiecode die bij een collector arriveert en bevestigde verwerking op accountniveau blijft dus essentieel. 1
21
Conclusie
Het gemelde ontwerp rond __obi is opvallend omdat een cookie die één jaar meegaat en cross-site kan worden meegestuurd, gecombineerd met een meetpixel op een winkelsite, OpenAI in staat kan stellen om gedetailleerde externe activiteit onder dezelfde permanente code te ontvangen. De gerapporteerde gegevens omvatten browsegedrag, conversies, aankopen en mogelijk identiteitsgerelateerde velden. 7
15
De bevindingen verdienen daarom kritische aandacht voor toestemmingskeuzes, browserbescherming en de gegevens die advertentiepixels versturen. Maar op zichzelf bewijzen ze niet dat OpenAI alle verzamelde gebeurtenissen aan ChatGPT-accounts koppelde of ze inzette voor gepersonaliseerde advertenties. 1
15
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Onderzoek: __obi-cookie van OpenAI kan ChatGPT-gebruikers op winkelsites volgen"?
Onderzoeker Buchodi meldt dat de één jaar geldige obi cookie bij een OpenAI advertentiepixel op een externe winkelsite kan worden meegestuurd, samen met gegevens over bezoek en conversiegedrag.
What are the key points to validate first?
Onderzoeker Buchodi meldt dat de één jaar geldige obi cookie bij een OpenAI advertentiepixel op een externe winkelsite kan worden meegestuurd, samen met gegevens over bezoek en conversiegedrag. In de onderzochte verkeersdata ging het om 936 advertentiepixels op 1.029 hostnamen.
What should I do next in practice?
De bevindingen beschrijven een technisch mechanisme voor advertentiemeting; ze vormen geen oordeel van een toezichthouder en bewijzen niet dat OpenAI elk evenement aan een ChatGPT account koppelt.
Sources
forklog.comResearcher Discovers Ad Tracker in ChatGPT for Third-Party Sites | ForkLog
pasqualepillitteri.itAnaliza ujawnia cookie __obi OpenAI, które śledzi użytkowników ChatGPT