AnswersPublished18 sources
Slik kan OpenAIs rapporterte __obi-informasjonskapsel følge ChatGPT-brukere på nettbutikker
Sikkerhetsforskeren Buchodi rapporterte at den ettårige obi informasjonskapselen kan sendes til OpenAI når et handelsnettsted laster inn selskapets annonse eller målepiksel. Den rapporterte pikselen kan overføre blant annet sidevisninger, søk, produkter, handlekurv og kjøpshendelser samt enkelte identitets og stedso...
Publisert avRedigert med GPT-5.6 TerraBilder generert med GPT Image 2
Research answer
Key takeaways
- Sikkerhetsforskeren Buchodi rapporterte at den ettårige obi informasjonskapselen kan sendes til OpenAI når et handelsnettsted laster inn selskapets annonse eller målepiksel.
- Den rapporterte pikselen kan overføre blant annet sidevisninger, søk, produkter, handlekurv og kjøpshendelser samt enkelte identitets og stedsopplysninger.
- Undersøkelsen omfattet 936 annonsepiksler på 1 029 vertsnavn, men beviser ikke at OpenAI faktisk kobler eller bruker hver hendelse på kontonivå.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: How does OpenAI’s year-long __obi cookie, classified as an analytics cookie, reportedly enable cross-site tracking of ChatGPT users and anon. Article summary: OpenAI’s `__obi` appears, based on Buchodi’s independent technical analysis, to be a one-year, cross-site identifier that can accompany requests from merchant pages running OpenAI’s advertising/measurement pixel. That co. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
En uavhengig analyse fra sikkerhetsforskeren Buchodi beskriver en mekanisme for annonsemåling på tvers av nettsteder, sentrert rundt en OpenAI-informasjonskapsel kalt __obi. Den rapporterte løsningen kan gjøre det mulig for OpenAI å motta aktivitet fra nettsteder som bruker selskapets annonsepiksel, sammen med en vedvarende identifikator som opprettes via ChatGPT. Det er ikke det samme som bevis for at OpenAI lagrer eller bruker hver enkelt hendelse mot en navngitt ChatGPT-konto – og nettopp dette er den viktigste uavklarte delen av analysen. 15
21
Slik skal sporingen fungere
Ifølge rapporteringen og Buchodis analyse kan et besøk på ChatGPT føre til at en identifikator utveksles med OpenAIs annonseinnsamler, bzr.openai.com. Innsamleren skal så sette __obi for domenet .openai.com. Informasjonskapselen ble rapportert å ha en levetid på ett år og innstillingene SameSite=None; Secure. 15
21
Dette er viktig fordi kapselen da kan følge med når et annet nettsted laster inn en ressurs fra et OpenAI-domene. Dersom en nettbutikk har installert OpenAIs annonse- eller målepiksel, kan nettleseren sende __obi-verdien til OpenAI som del av forespørselen på tvers av nettsteder. Nettbutikken kan ikke uten videre lese en kapsel som er avgrenset til .openai.com, men OpenAIs innsamler kan motta både identifikatoren og hendelsen fra nettbutikken. 15
21
I praksis er den påståtte kjeden slik:
- En person bruker ChatGPT, der den rapporterte synkroniseringsflyten kan representere en innlogget bruker eller en anonym bruker.
- OpenAI utsteder den langvarige
__obi-informasjonskapselen. - Personen åpner et deltakende handelsnettsted.
- Nettstedet laster inn OpenAIs målekode, og nettleseren sender OpenAI-kapselen med den relevante forespørselen.
- OpenAI kan da motta aktiviteten på handelsnettstedet sammen med den vedvarende identifikatoren.
15
21
Hvilke data pikselen angivelig kan sende
Den rapporterte pikselen er laget for konverteringsmåling. Ifølge omtalen av analysen kan den overføre blant annet viste sider eller produkter, søk, varer lagt i handlekurven, påbegynt utsjekking, kjøp, bestillinger, produktopplysninger, antall, priser, valuta og egendefinerte konverteringshendelser. 7
15
Rapporteringen beskriver også matchingsfelter som annonsører selv kan levere: hash-verdier av e-postadresser, telefonnumre, eksterne ID-er og navn, samt stedsopplysninger som land, by, region og postnummer. 7
Buchodi hevdet videre at programvareutviklingssettet kunne hente identitetsrelatert informasjon fra skjemafelt, sideinnhold og datalag i taggstyringssystemer. I de rapporterte observasjonene ble e-post, telefonnummer og navn SHA-256-hashet, mens land, region, by og postnummer kunne overføres i klartekst. 1
15
Selv dersom hele URL-spørringen fjernes, kan stien i nettadressen fortsatt være avslørende. Den kan vise hvilken type produkt som er sett på, eller hvilket skjema eller hvilken tjeneste som er brukt. Derfor kan innsamlingen være mer inngripende enn en enkel telling av annonsevisninger. 1
Hva forskeren fant på kommersielle nettsteder
Buchodi oppga at undersøkelsen gjennomgikk flere måneders trafikk fra 936 annonsørpiksler på 1 029 vertsnavn. 15
16
I ett av eksemplene dukket samme __obi-verdi opp i forespørsler fra 12 kommersielle nettsteder som brukte 13 piksel-ID-er, blant annet Chewy, Wayfair, ThriftBooks, Eventbrite, HelloFresh, Coursera og SeatGeek. Innsamleren skal ha svart med HTTP 202 på innsendingene av hendelser. 1
Analysen rapporterte også at 12 av 30 ulike __obi-verdier forekom hos mer enn én annonsør, og at én verdi ble observert hos ti annonsører. Mønsteret er forenlig med at en gjenbrukbar identifikator blir sendt til OpenAI fra flere deltakende nettsteder. 1
Av 932 dekodede synkroniseringstokener i forskningen ble 736 oppgitt som account_user-subjekter og 196 som anonyme subjekter. Den anonyme identifikatoren ble rapportert å være stabil per enhet i minst 27 dager. 1
9
Hvorfor kategorien «analyse» er sentral
Ifølge omtalen av funnene var __obi kategorisert som en analyseinformasjonskapsel, ikke en markedsføringsinformasjonskapsel. Buchodi rapporterte at de dekodede tokenene konsekvent inneholdt analytics_allowed, og at identifikatoren kunne utstedes når analyse var tillatt – også etter at markedsførings- eller annonsekapsler var avslått. 1
13
Det er grunnlaget for personvernbekymringen: En kapsel merket «analyse» kan likevel legge til rette for annonsemåling på tvers av nettsteder når den sendes til en annonseinnsamler fra deltakende handelsnettsteder. Materialet her fastslår verken et lovbrudd eller en regulatorisk avgjørelse. Men det reiser et spørsmål om samtykkedesign: Ville en bruker som har avslått annonsekapsler, med rimelighet forvente at denne typen måling på tvers av nettsteder likevel fortsetter under et analysevalg? 1
23
Nettlesere og blokkering: Dette vet vi
Mekanismen ble direkte observert i Chrome for Android. 1
Buchodis analyse oppga at Safaris Intelligent Tracking Prevention blokkerer tredjepartsinformasjonskapsler. Forskeren konkluderte derfor med at akkurat denne flyten med tredjepartskapsler ikke ville fungere i iOS-nettlesere, som bruker WebKit. Forskningen testet ikke Chrome på stasjonær PC, og kan derfor ikke brukes som grunnlag for en generell konklusjon om alle skrivebordsnettlesere eller nettleseroppsett. 1
Det foreliggende materialet fastslår heller ikke hvilke konkrete personvernutvidelser som blokkerer OpenAIs piksel. Teknisk sett vil en nettverksbasert blokkerer som stanser den aktuelle forespørselen til OpenAIs piksel, CDN eller innsamler, også stanse akkurat den overføringen. Men dette er en slutning ut fra forespørselsflyten, ikke et publisert testresultat fra Buchodis undersøkelse.
Den avgjørende begrensningen: Mulighet er ikke bevis på kontobruk
Den mest nøkterne tolkningen av forskningen er at den beskriver en mekanisme som kan overføre hendelser fra handelsnettsteder sammen med en identifikator, der synkroniseringsflyten kan inneholde et konto-bruker-subjekt. Det skaper en teknisk mulighet for kobling på kontonivå. 1
15
Men Buchodi observerte ikke OpenAIs interne behandling på serversiden. Forskningen beviser ikke at OpenAI kobler hver innkommende hendelse til en ChatGPT-konto, lagrer hendelsen der eller bruker den til annonsemålretting, måling eller andre formål. Skillet mellom at en identifikator kommer inn til en innsamler og bekreftet behandling på kontonivå er avgjørende. 1
21
Kort oppsummert
Det rapporterte __obi-oppsettet er bemerkelsesverdig fordi en ettårig kapsel som kan følge forespørsler på tvers av nettsteder, kombinert med en målepiksel på handelsnettsteder, kan gi OpenAI en måte å motta detaljert aktivitet utenfor egne tjenester under samme vedvarende identifikator. De rapporterte dataene omfatter surfing, konverteringer, kjøp og potensielt identitetsrelaterte felt. 7
15
Funnene gir grunn til å se nærmere på samtykkevalg, nettleseratferd og dataene som sendes av annonsepiksler. De beviser derimot ikke alene at OpenAI knyttet hver innsamlede hendelse til en ChatGPT-konto eller brukte den til personlig tilpasset annonsering. 1
15
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Slik kan OpenAIs rapporterte __obi-informasjonskapsel følge ChatGPT-brukere på nettbutikker"?
Sikkerhetsforskeren Buchodi rapporterte at den ettårige obi informasjonskapselen kan sendes til OpenAI når et handelsnettsted laster inn selskapets annonse eller målepiksel.
What are the key points to validate first?
Sikkerhetsforskeren Buchodi rapporterte at den ettårige obi informasjonskapselen kan sendes til OpenAI når et handelsnettsted laster inn selskapets annonse eller målepiksel. Den rapporterte pikselen kan overføre blant annet sidevisninger, søk, produkter, handlekurv og kjøpshendelser samt enkelte identitets og stedsopplysninger.
What should I do next in practice?
Undersøkelsen omfattet 936 annonsepiksler på 1 029 vertsnavn, men beviser ikke at OpenAI faktisk kobler eller bruker hver hendelse på kontonivå.
Sources
forklog.comResearcher Discovers Ad Tracker in ChatGPT for Third-Party Sites | ForkLog
pasqualepillitteri.itAnaliza ujawnia cookie __obi OpenAI, które śledzi użytkowników ChatGPT