ОтветыОпубликовано18 источники
Cookie __obi: как OpenAI, по данным исследователя, может получать данные о действиях пользователей ChatGPT на сторонних сайтах
По данным Buchodi, cookie obi со сроком действия один год может отправляться OpenAI, когда сайт продавца загружает её рекламный или измерительный пиксель. В исследовании фигурируют 936 рекламных пикселей на 1 029 хостнеймах; 736 из 932 декодированных токенов синхронизации были обозначены как account user, ещё 196 —...
ОпубликовалОтредактировано с помощью GPT-5.6 TerraИзображения созданы с помощью GPT Image 2
Ответ на исследование
Ключевые выводы
- По данным Buchodi, cookie obi со сроком действия один год может отправляться OpenAI, когда сайт продавца загружает её рекламный или измерительный пиксель.
- В исследовании фигурируют 936 рекламных пикселей на 1 029 хостнеймах; 736 из 932 декодированных токенов синхронизации были обозначены как account user, ещё 196 — как анонимные.
- Описанный механизм не является решением регулятора и сам по себе не доказывает, что OpenAI привязывает каждое событие к аккаунту ChatGPT или использует его для персонализированной рекламы.
Промпт ИИ
openai.comCreate a landscape editorial hero image for this Studio Global article: How does OpenAI’s year-long __obi cookie, classified as an analytics cookie, reportedly enable cross-site tracking of ChatGPT users and anon. Article summary: OpenAI’s `__obi` appears, based on Buchodi’s independent technical analysis, to be a one-year, cross-site identifier that can accompany requests from merchant pages running OpenAI’s advertising/measurement pixel. That co. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
Независимый исследователь безопасности Buchodi сообщил о механизме кросс-сайтового измерения рекламы, построенном вокруг cookie OpenAI под названием __obi. Согласно описанию, OpenAI может получать сведения об активности на сайтах, где установлен её рекламный пиксель, вместе с постоянным идентификатором, созданным при использовании ChatGPT. Но это не доказывает, что компания действительно сохраняет или использует каждое такое событие в привязке к конкретному аккаунту ChatGPT — это главное невыясненное обстоятельство в исследовании. 15
21
Как, предположительно, работает этот механизм
По данным публикаций и анализа Buchodi, при посещении ChatGPT идентификатор может передаваться рекламному сборщику OpenAI bzr.openai.com. Тот устанавливает cookie __obi для домена .openai.com. Сообщалось, что cookie действует один год и имеет параметры SameSite=None; Secure. 15
21
Эта настройка важна: браузер может прикрепить cookie к запросу на домен OpenAI, когда отдельный сайт продавца загружает ресурс с этого домена. Если на сайте установлен рекламный или измерительный пиксель OpenAI, браузер способен передать значение __obi OpenAI в составе кросс-сайтового запроса. Сам сайт продавца не может просто прочитать cookie, ограниченную доменом .openai.com, но сборщик OpenAI может получить и идентификатор, и событие с сайта продавца. 15
21
Упрощённо предполагаемая цепочка выглядит так:
- Пользователь открывает ChatGPT; в описанном потоке синхронизации может использоваться субъект, связанный с аккаунтом, либо анонимный субъект.
- OpenAI устанавливает долгоживущую cookie
__obi. - Пользователь заходит на сайт участвующего продавца.
- Сайт загружает код измерения OpenAI, а браузер отправляет cookie домена OpenAI вместе с нужным запросом.
- OpenAI может получить данные об активности на сайте продавца вместе с постоянным идентификатором.
15
21
Какие данные, как сообщается, передаёт пиксель
Пиксель, по данным исследования, предназначен для измерения конверсий. Передаваемые события могут включать просмотренные страницы и товары, поисковые запросы, добавление в корзину, начало оформления заказа, покупки, заказы, сведения о товаре, количество, цену, валюту и пользовательские события конверсии. 7
15
Также описываются поля для сопоставления, которые передаёт рекламодатель: хешированные адреса электронной почты, номера телефонов, внешние идентификаторы, имена, а также данные о местоположении — стране, городе, регионе и почтовом индексе. 7
Buchodi отдельно утверждал, что SDK мог собирать идентифицирующую информацию из полей форм, содержимого страницы и слоёв данных систем управления тегами. В описанных наблюдениях e-mail, телефон и имя хешировались алгоритмом SHA-256, тогда как страна, регион, город и почтовый индекс могли передаваться в открытом виде. 1
15
Даже если из полного URL удалена строка параметров, путь страницы сам по себе может многое раскрыть: например, тип просматриваемого товара, форму обращения или характер услуги. Поэтому речь может идти не только о простом учёте рекламных показов. 1
Что исследователь увидел на коммерческих сайтах
Buchodi сообщил, что изучал трафик за несколько месяцев: 936 рекламных пикселей на 1 029 хостнеймах. 15
16
В одном из примеров одно значение __obi появлялось в запросах с 12 коммерческих сайтов, использовавших 13 идентификаторов пикселей. Среди них назывались Chewy, Wayfair, ThriftBooks, Eventbrite, HelloFresh, Coursera и SeatGeek. Сборщик, как сообщается, отвечал на отправку этих событий кодом HTTP 202. 1
Кроме того, 12 из 30 разных значений __obi встречались более чем у одного рекламодателя; одно было замечено у десяти рекламодателей. Такая картина согласуется с тем, что один и тот же повторно используемый идентификатор передаётся OpenAI с нескольких участвующих сайтов. 1
Из 932 декодированных токенов синхронизации, упомянутых в исследовании, 736 были обозначены как субъекты account_user, а 196 — как анонимные. Анонимный идентификатор, согласно отчёту, оставался стабильным для устройства не менее 27 дней. 1
9
Почему классификация «аналитика» вызывает вопросы
Согласно публикациям о результатах, __obi отнесена к аналитическим, а не маркетинговым cookie. Buchodi сообщил, что декодированные токены последовательно содержали признак analytics_allowed: идентификатор мог выдаваться, если разрешена аналитика, даже когда маркетинговые или рекламные cookie были отклонены. 1
13
Именно это лежит в основе претензии к дизайну согласия. Cookie, названная аналитической, при этом может обеспечивать кросс-сайтовое измерение рекламы, если она передаётся рекламному сборщику с сайтов участвующих продавцов. Имеющиеся данные не устанавливают нарушение закона и не содержат решения регулятора. Но они поднимают вопрос о том, ожидает ли пользователь, отказавшийся от рекламных cookie, что такое измерение между сайтами всё равно продолжится при выборе «аналитика». 1
23
Браузеры и блокировщики: что известно
Этот механизм непосредственно наблюдался в Chrome для Android. 1
По оценке Buchodi, Intelligent Tracking Prevention в Safari блокирует сторонние cookie; поэтому исследователь сделал вывод, что данный конкретный сценарий со сторонними cookie не должен работать в браузерах на iOS, использующих WebKit. При этом настольный Chrome в исследовании не тестировался, так что делать общий вывод обо всех настольных браузерах и их настройках нельзя. 1
Предоставленные материалы также не показывают, какие именно расширения для приватности блокируют пиксель OpenAI. Технически сетевой блокировщик, который предотвращает запрос к соответствующему пикселю, CDN или сборщику OpenAI, остановит именно этот запрос. Однако это вывод из устройства цепочки запросов, а не опубликованный результат тестирования Buchodi.
Главная оговорка: техническая возможность — не доказательство обработки на уровне аккаунта
Наиболее аккуратная трактовка исследования такова: оно описывает механизм, способный передавать события с сайтов продавцов вместе с идентификатором, в потоке синхронизации которого может присутствовать субъект аккаунта. Следовательно, технически возможно сопоставление данных на уровне аккаунта. 1
15
Однако Buchodi не наблюдал внутреннюю серверную обработку OpenAI. Исследование не доказывает, что OpenAI сопоставляет каждое входящее событие с аккаунтом ChatGPT, хранит его в такой привязке или использует для таргетинга рекламы, измерения либо иных целей. Разница между идентификатором, поступившим на сервер-сборщик, и подтверждённой обработкой на уровне аккаунта остаётся принципиальной. 1
21
Главное
Описанная архитектура __obi примечательна тем, что годовая кросс-сайтовая cookie в сочетании с измерительным пикселем на сайте продавца может дать OpenAI способ получать подробные сведения о действиях вне ChatGPT под одним постоянным идентификатором. В сообщениях об исследовании фигурируют данные о просмотрах, конверсиях, покупках и потенциально идентифицирующие поля. 7
15
Эти выводы дают основания внимательно оценить настройки согласия, поведение браузеров и состав данных, передаваемых рекламными пикселями. Но сами по себе они не подтверждают, что OpenAI прикрепляла каждое собранное событие к аккаунту ChatGPT или применяла его для персонализированной рекламы. 1
15
Studio Global AI
Продолжайте свое исследование
На этой странице есть ответ, подтвержденный источником, который вы можете продолжить внутри Studio Global.
Люди также спрашивают
Каков краткий ответ на вопрос «Cookie __obi: как OpenAI, по данным исследователя, может получать данные о действиях пользователей ChatGPT на сторонних сайтах»?
По данным Buchodi, cookie obi со сроком действия один год может отправляться OpenAI, когда сайт продавца загружает её рекламный или измерительный пиксель.
Какие ключевые моменты необходимо проверить в первую очередь?
По данным Buchodi, cookie obi со сроком действия один год может отправляться OpenAI, когда сайт продавца загружает её рекламный или измерительный пиксель. В исследовании фигурируют 936 рекламных пикселей на 1 029 хостнеймах; 736 из 932 декодированных токенов синхронизации были обозначены как account user, ещё 196 — как анонимные.
Что мне делать дальше на практике?
Описанный механизм не является решением регулятора и сам по себе не доказывает, что OpenAI привязывает каждое событие к аккаунту ChatGPT или использует его для персонализированной рекламы.
Источники
forklog.comResearcher Discovers Ad Tracker in ChatGPT for Third-Party Sites | ForkLog
pasqualepillitteri.itAnaliza ujawnia cookie __obi OpenAI, które śledzi użytkowników ChatGPT