RespostasPublicado18 fontes
Como a cookie `__obi` pode rastrear atividade de usuários do ChatGPT em sites de terceiros
Segundo o pesquisador independente Buchodi, a cookie obi pode ser enviada à OpenAI quando um site de comerciante carrega seu pixel de medição publicitária. A análise relatou 936 pixels em 1.029 hostnames e identificadores observados em mais de um anunciante; 736 de 932 tokens decodificados foram classificados como a...
Publicado porEditado com GPT-5.6 TerraImagens geradas com GPT Image 2
Resposta de pesquisa
Principais conclusões
- Segundo o pesquisador independente Buchodi, a cookie obi pode ser enviada à OpenAI quando um site de comerciante carrega seu pixel de medição publicitária.
- A análise relatou 936 pixels em 1.029 hostnames e identificadores observados em mais de um anunciante; 736 de 932 tokens decodificados foram classificados como account user.
- A pesquisa aponta uma capacidade técnica de associar eventos fora do ChatGPT a um identificador persistente, mas não comprova que a OpenAI vincule ou use cada evento em uma conta.
Prompt de IA
openai.comCreate a landscape editorial hero image for this Studio Global article: How does OpenAI’s year-long __obi cookie, classified as an analytics cookie, reportedly enable cross-site tracking of ChatGPT users and anon. Article summary: OpenAI’s `__obi` appears, based on Buchodi’s independent technical analysis, to be a one-year, cross-site identifier that can accompany requests from merchant pages running OpenAI’s advertising/measurement pixel. That co. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
Uma análise independente do pesquisador de segurança Buchodi descreve um mecanismo de medição publicitária da OpenAI baseado em uma cookie chamada __obi. Segundo o relato, ela poderia fazer com que a OpenAI recebesse dados de atividade em sites de comerciantes que utilizam seu pixel de publicidade, junto de um identificador persistente criado no fluxo do ChatGPT. Isso é diferente de provar que a empresa armazena ou usa todos esses eventos em uma conta identificada do ChatGPT — o principal ponto que a pesquisa não conseguiu verificar. 15
21
Como funcionaria o rastreamento relatado
De acordo com as reportagens e a análise de Buchodi, uma visita ao ChatGPT pode levar à troca de um identificador com o coletor publicitário da OpenAI, bzr.openai.com. Esse servidor define a cookie __obi no domínio .openai.com, com duração informada de um ano e configuração SameSite=None; Secure. 15
21
Na prática, essa configuração importa porque a cookie pode acompanhar uma requisição feita a um domínio da OpenAI quando outro site carrega um recurso desse domínio. Se uma loja ou outro site participante instalou o pixel de publicidade ou medição da OpenAI, o navegador pode enviar o valor de __obi à OpenAI nessa requisição entre sites.
O comerciante não pode simplesmente ler uma cookie limitada ao domínio .openai.com. Já o coletor da OpenAI, segundo o mecanismo descrito, pode receber tanto o identificador quanto o evento registrado no site do comerciante. 15
21
A cadeia relatada é a seguinte:
- A pessoa usa o ChatGPT, onde o fluxo de sincronização pode representar um usuário de conta ou um visitante anônimo.
- A OpenAI emite a cookie persistente
__obi. - A pessoa acessa um site participante, como uma loja virtual.
- O site carrega o código de medição da OpenAI, e o navegador envia a cookie do domínio da OpenAI com a requisição relevante.
- A OpenAI pode receber a atividade naquele site junto do identificador persistente.
15
21
Quais dados o pixel poderia transmitir
O pixel relatado é voltado à medição de conversões. As informações que podem ser transmitidas incluem páginas ou produtos visualizados, buscas, itens adicionados ao carrinho, início de checkout, compras, pedidos, dados de produto, quantidades, preços, moeda e eventos personalizados de conversão. 7
15
As reportagens também descrevem campos de correspondência fornecidos pelo anunciante, como e-mails, telefones, IDs externos e nomes submetidos em forma de hash, além de localização: país, cidade, região e CEP. 7
Buchodi alegou ainda que o kit de desenvolvimento poderia coletar dados ligados à identidade a partir de campos de formulário, conteúdo da página e camadas de dados de gerenciadores de tags. Nas observações reportadas, e-mail, telefone e nome eram submetidos a hash SHA-256, enquanto país, região, cidade e CEP poderiam ser enviados em texto aberto. 1
15
Mesmo sem a string de consulta completa de uma URL, o caminho da página pode revelar bastante. Ele pode indicar o tipo de produto visto ou a natureza de um formulário ou serviço acessado. Por isso, o alcance potencial não se limita a uma simples contagem de impressões de anúncio. 1
O que a pesquisa encontrou em sites comerciais
Buchodi afirmou ter examinado meses de tráfego envolvendo 936 pixels de anunciantes em 1.029 hostnames. 15
16
Em um dos exemplos relatados, um mesmo valor de __obi apareceu em requisições de 12 sites comerciais que usavam 13 IDs de pixel, entre eles Chewy, Wayfair, ThriftBooks, Eventbrite, HelloFresh, Coursera e SeatGeek. O coletor teria respondido às submissões desses eventos com HTTP 202. 1
A análise também informou que 12 de 30 valores distintos de __obi surgiram associados a mais de um anunciante, e que um deles foi visto em dez anunciantes. O padrão é compatível com um identificador reutilizável apresentado à OpenAI por diferentes sites participantes. 1
Dos 932 tokens de sincronização decodificados citados na pesquisa, 736 foram relatados como sujeitos account_user, e 196 como sujeitos anônimos. O identificador anônimo teria permanecido estável por dispositivo durante pelo menos 27 dias. 1
9
Por que a classificação como “analytics” é relevante
Segundo as reportagens sobre as descobertas, a __obi era classificada como cookie de análise, e não de marketing. Buchodi relatou que os tokens decodificados traziam consistentemente o campo analytics_allowed e que o identificador podia ser emitido quando a análise era aceita, mesmo após a recusa de cookies de marketing ou publicidade. 1
13
É daí que vem a preocupação com privacidade: uma cookie classificada como analítica pode, na prática, viabilizar medição publicitária entre sites quando é enviada ao coletor de anúncios a partir de lojas participantes. As evidências disponíveis não estabelecem violação legal nem representam uma decisão de regulador. Elas levantam, porém, uma questão sobre o desenho do consentimento: quem recusou cookies publicitários esperaria que esse tipo de medição entre sites continuasse sob uma opção de análise? 1
23
Navegadores e bloqueadores: o que se sabe
O mecanismo foi observado diretamente no Chrome para Android. 1
A análise de Buchodi afirma que a Prevenção Inteligente contra Rastreamento do Safari bloqueia cookies de terceiros e, por isso, concluiu que esse fluxo específico não funcionaria em navegadores no iOS, que usam WebKit. A pesquisa não testou o Chrome para desktop; portanto, ela não sustenta uma conclusão geral sobre todos os navegadores de computador ou todas as configurações possíveis. 1
As evidências fornecidas também não demonstram quais extensões de privacidade bloqueiam especificamente o pixel da OpenAI. Em tese, um bloqueador de rede que impeça a requisição ao pixel, à CDN ou ao coletor relevante da OpenAI evita o envio daquela requisição. Mas isso é uma inferência técnica sobre o caminho da rede, e não um resultado de teste publicado na investigação de Buchodi.
A limitação central: possibilidade técnica não é prova de uso por conta
A leitura mais cautelosa da pesquisa é que ela descreve um mecanismo capaz de transportar eventos de sites de comerciantes com um identificador cujo fluxo de sincronização pode incluir um sujeito de conta. Isso cria a possibilidade técnica de uma associação no nível da conta. 1
15
Mas Buchodi não observou o processamento interno da OpenAI no servidor. A pesquisa não prova que a empresa resolva cada evento recebido para uma conta do ChatGPT, mantenha esse evento vinculado a ela ou o utilize para segmentação publicitária, medição ou outro fim. A diferença entre um identificador chegar ao coletor e o processamento confirmado no nível de uma conta é essencial. 1
21
Em resumo
O desenho relatado para a __obi chama atenção porque uma cookie entre sites com validade de um ano, combinada a um pixel de medição em lojas, pode dar à OpenAI uma forma de receber atividade detalhada fora de seus próprios serviços sob o mesmo identificador persistente. Os dados reportados incluem navegação, conversões, compras e campos potencialmente ligados à identidade. 7
15
As descobertas justificam atenção às escolhas de consentimento, ao comportamento dos navegadores e aos dados enviados por pixels publicitários. Por si só, no entanto, elas não provam que a OpenAI associou cada evento coletado a uma conta do ChatGPT ou que o utilizou para publicidade personalizada. 1
15
Studio Global AI
Continue sua pesquisa
Esta página inclui uma resposta baseada na fonte que você pode continuar em Studio Global.
As pessoas também perguntam
Qual é a resposta curta para "Como a cookie `__obi` pode rastrear atividade de usuários do ChatGPT em sites de terceiros"?
Segundo o pesquisador independente Buchodi, a cookie obi pode ser enviada à OpenAI quando um site de comerciante carrega seu pixel de medição publicitária.
Quais são os pontos-chave para validar primeiro?
Segundo o pesquisador independente Buchodi, a cookie obi pode ser enviada à OpenAI quando um site de comerciante carrega seu pixel de medição publicitária. A análise relatou 936 pixels em 1.029 hostnames e identificadores observados em mais de um anunciante; 736 de 932 tokens decodificados foram classificados como account user.
O que devo fazer a seguir na prática?
A pesquisa aponta uma capacidade técnica de associar eventos fora do ChatGPT a um identificador persistente, mas não comprova que a OpenAI vincule ou use cada evento em uma conta.
Fontes
forklog.comResearcher Discovers Ad Tracker in ChatGPT for Third-Party Sites | ForkLog
pasqualepillitteri.itAnaliza ujawnia cookie __obi OpenAI, które śledzi użytkowników ChatGPT