AnswersPublished18 sources
Cookie __obi OpenAI miało przenosić śledzenie ChatGPT na strony sklepów
Według badacza Buchodi cookie obi, ważne przez rok, mogło być wysyłane do OpenAI, gdy strona sprzedawcy ładowała piksel reklamowy firmy. Raport opisuje przekazywanie danych o oglądanych produktach, wyszukiwaniach, koszykach, zakupach oraz potencjalnie danych identyfikacyjnych.
Opublikowane przezEdytowane za pomocą GPT-5.6 TerraObrazy wygenerowane za pomocą GPT Image 2
Research answer
Key takeaways
- Według badacza Buchodi cookie obi, ważne przez rok, mogło być wysyłane do OpenAI, gdy strona sprzedawcy ładowała piksel reklamowy firmy.
- Raport opisuje przekazywanie danych o oglądanych produktach, wyszukiwaniach, koszykach, zakupach oraz potencjalnie danych identyfikacyjnych.
- Badanie objęło 936 pikseli reklamodawców na 1 029 hostach, ale nie potwierdza, że OpenAI przypisywało każde zdarzenie do konta ChatGPT.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: How does OpenAI’s year-long __obi cookie, classified as an analytics cookie, reportedly enable cross-site tracking of ChatGPT users and anon. Article summary: OpenAI’s `__obi` appears, based on Buchodi’s independent technical analysis, to be a one-year, cross-site identifier that can accompany requests from merchant pages running OpenAI’s advertising/measurement pixel. That co. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
Niezależny badacz bezpieczeństwa Buchodi opisał mechanizm międzywitrynowego pomiaru reklamowego oparty na cookie OpenAI o nazwie __obi. Według raportu OpenAI mogło otrzymywać dane o aktywności z witryn, które wdrożyły jego piksel reklamowy, wraz z trwałym identyfikatorem utworzonym podczas korzystania z ChatGPT. To jednak co innego niż dowód, że firma faktycznie zapisuje lub wykorzystuje każde zdarzenie pod konkretnym, nazwanym kontem ChatGPT — i to pozostaje najważniejszym nierozstrzygniętym elementem analizy. 15
21
Jak według raportu działał ten mechanizm
Z relacji i analizy Buchodi wynika, że wizyta w ChatGPT mogła prowadzić do wymiany identyfikatora z kolektorem reklamowym OpenAI, bzr.openai.com. Serwer ten miał ustawiać cookie __obi dla domeny .openai.com. Cookie miało być ważne przez rok i mieć atrybuty SameSite=None; Secure. 15
21
To ustawienie jest istotne, ponieważ cookie może zostać dołączone, gdy oddzielna strona sprzedawcy ładuje zasób z domeny OpenAI. Jeżeli sprzedawca wdrożył piksel reklamowy lub pomiarowy OpenAI, przeglądarka może przesłać wartość __obi do OpenAI w ramach takiego żądania międzywitrynowego. Sam sprzedawca nie może po prostu odczytać cookie przypisanego do .openai.com, lecz kolektor OpenAI może otrzymać zarówno identyfikator, jak i zdarzenie ze strony sklepu. 15
21
W praktyce opisywany łańcuch wyglądał następująco:
- Osoba korzysta z ChatGPT, a w raportowanym przepływie synchronizacji może być reprezentowana jako użytkownik konta albo anonimowy podmiot.
- OpenAI ustawia długotrwałe cookie
__obi. - Osoba otwiera stronę uczestniczącego sprzedawcy.
- Witryna ładuje kod pomiarowy OpenAI, a przeglądarka przesyła cookie z domeny OpenAI wraz z właściwym żądaniem.
- OpenAI może otrzymać aktywność ze strony sprzedawcy wraz z tym trwałym identyfikatorem.
15
21
Jakie dane miał przesyłać piksel
Opisywany piksel służył do pomiaru konwersji. Z relacji o analizie wynika, że przesyłane zdarzenia mogły obejmować oglądane strony lub produkty, wyszukiwania, dodanie produktu do koszyka, rozpoczęcie finalizacji zakupu, zakupy, zamówienia, informacje o produktach, ilości, ceny, walutę i niestandardowe zdarzenia konwersji. 7
15
Wskazywano także na pola dopasowujące przekazywane przez reklamodawców: zahaszowane adresy e-mail, numery telefonu, zewnętrzne identyfikatory i imiona oraz dane lokalizacyjne, takie jak kraj, miasto, region i kod pocztowy. 7
Buchodi zarzucił ponadto, że zestaw narzędzi programistycznych mógł pobierać dane związane z tożsamością z pól formularzy, treści strony oraz warstw danych menedżerów tagów. W zaobserwowanym przepływie e-mail, telefon i imię miały być haszowane algorytmem SHA-256, natomiast kraj, region, miasto i kod pocztowy mogły być przesyłane otwartym tekstem. 1
15
Nawet jeśli pełny ciąg parametrów adresu URL jest usuwany, sama ścieżka strony może zdradzać wiele. Może wskazywać rodzaj oglądanego produktu, formularza lub usługi. Dlatego zakres takiego zbierania danych ma większe znaczenie niż zwykłe zliczanie wyświetleń reklamy. 1
Co zaobserwowano na stronach komercyjnych
Buchodi podał, że badanie objęło wielomiesięczny ruch związany z 936 pikselami reklamodawców na 1 029 hostach. 15
16
W jednym z przykładów pojedyncza wartość __obi pojawiła się w żądaniach z 12 komercyjnych witryn korzystających z 13 identyfikatorów pikseli. Wśród wymienionych serwisów znalazły się Chewy, Wayfair, ThriftBooks, Eventbrite, HelloFresh, Coursera i SeatGeek. Kolektor miał odpowiadać na przesyłane zdarzenia kodem HTTP 202. 1
Analiza wskazała również, że 12 z 30 odrębnych wartości __obi wystąpiło u więcej niż jednego reklamodawcy, a jeden identyfikator pojawił się u dziesięciu z nich. Taki wzorzec jest zgodny z używaniem tego samego identyfikatora przez wiele współpracujących witryn. 1
Spośród 932 zdekodowanych tokenów synchronizacji przywołanych w badaniu 736 miało dotyczyć podmiotów typu account_user, a 196 — podmiotów anonimowych. Anonimowy identyfikator miał pozostawać stabilny dla danego urządzenia przez co najmniej 27 dni. 1
9
Dlaczego klasyfikacja jako „analityczne” ma znaczenie
Według relacji __obi zostało sklasyfikowane jako cookie analityczne, a nie marketingowe. Buchodi podał, że zdekodowane tokeny konsekwentnie zawierały oznaczenie analytics_allowed oraz że identyfikator mógł zostać wydany po zgodzie na analitykę, nawet gdy użytkownik odrzucił cookie marketingowe lub reklamowe. 1
13
To stanowi sedno obaw o prywatność: cookie opisane jako analityczne może mimo to ułatwiać międzywitrynowy pomiar reklamowy, gdy jest przekazywane do kolektora reklamowego z uczestniczących stron handlowych. Przedstawione materiały nie przesądzają naruszenia prawa ani nie stanowią decyzji regulatora. Stawiają jednak pytanie o projekt zgody: czy osoba, która odrzuciła pliki reklamowe, racjonalnie oczekiwałaby kontynuowania takiego pomiaru między witrynami na podstawie zgody analitycznej? 1
23
Przeglądarki i blokery: co wiadomo
Mechanizm został bezpośrednio zaobserwowany w Chrome na Androidzie. 1
Według analizy Buchodi mechanizm Intelligent Tracking Prevention w Safari blokuje cookie stron trzecich. Badacz uznał więc, że ten konkretny przepływ oparty na cookie strony trzeciej nie działałby w przeglądarkach na iOS, które korzystają z silnika WebKit. Badanie nie objęło jednak desktopowego Chrome, dlatego nie pozwala na szerokie wnioski o wszystkich przeglądarkach desktopowych ani konfiguracjach. 1
Dostarczone materiały nie ustalają też, które konkretne rozszerzenia prywatności blokują piksel OpenAI. Technicznie bloker sieciowy, który uniemożliwia żądanie do odpowiedniego piksela, CDN lub kolektora OpenAI, zatrzymałby to konkretne przesłanie. Jest to jednak wniosek wynikający z architektury żądania, a nie rezultat testu opublikowanego przez Buchodi.
Najważniejsze zastrzeżenie: możliwość nie jest dowodem użycia na poziomie konta
Najostrożniejsza interpretacja badania jest taka, że opisuje ono mechanizm zdolny do przenoszenia zdarzeń ze stron sprzedawców wraz z identyfikatorem, którego przepływ synchronizacji może obejmować podmiot powiązany z kontem. Tworzy to techniczną możliwość połączenia danych na poziomie konta. 1
15
Buchodi nie obserwował jednak wewnętrznego, serwerowego przetwarzania danych przez OpenAI. Badanie nie dowodzi, że OpenAI rozpoznaje każde przychodzące zdarzenie jako należące do konta ChatGPT, zachowuje je przy tym koncie ani wykorzystuje do targetowania reklam, pomiaru lub innego celu. Rozróżnienie między identyfikatorem docierającym do kolektora a potwierdzonym przetwarzaniem na poziomie konta pozostaje kluczowe. 1
21
Wniosek
Opisywany projekt __obi zwraca uwagę dlatego, że roczne cookie międzywitrynowe w połączeniu z pikselem pomiarowym na stronie sprzedawcy może dawać OpenAI możliwość otrzymywania szczegółowych danych o aktywności poza własną usługą pod tym samym trwałym identyfikatorem. Raportowane dane obejmują przeglądanie, konwersje, zakupy oraz potencjalnie pola związane z tożsamością. 7
15
Ustalenia uzasadniają analizę sposobu uzyskiwania zgód, zachowania przeglądarek i danych wysyłanych przez piksele reklamowe. Same w sobie nie dowodzą jednak, że OpenAI przypisało każde zebrane zdarzenie do konta ChatGPT lub wykorzystało je do spersonalizowanej reklamy. 1
15
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Cookie __obi OpenAI miało przenosić śledzenie ChatGPT na strony sklepów"?
Według badacza Buchodi cookie obi, ważne przez rok, mogło być wysyłane do OpenAI, gdy strona sprzedawcy ładowała piksel reklamowy firmy.
What are the key points to validate first?
Według badacza Buchodi cookie obi, ważne przez rok, mogło być wysyłane do OpenAI, gdy strona sprzedawcy ładowała piksel reklamowy firmy. Raport opisuje przekazywanie danych o oglądanych produktach, wyszukiwaniach, koszykach, zakupach oraz potencjalnie danych identyfikacyjnych.
What should I do next in practice?
Badanie objęło 936 pikseli reklamodawców na 1 029 hostach, ale nie potwierdza, że OpenAI przypisywało każde zdarzenie do konta ChatGPT.
Sources
forklog.comResearcher Discovers Ad Tracker in ChatGPT for Third-Party Sites | ForkLog
pasqualepillitteri.itAnaliza ujawnia cookie __obi OpenAI, które śledzi użytkowników ChatGPT