AnswersPublished18 sources
Rapport: OpenAI-kakan __obi kan följa ChatGPT-användare mellan butikssajter
Säkerhetsforskaren Buchodi rapporterar att den ettåriga kakan obi kan skickas till OpenAI när en handlarsajt laddar företagets annons eller mätpixel. Den analyserade trafiken omfattade enligt rapporten 936 annonspixlar på 1 029 värdnamn.
Publicerad avRedigerad med GPT-5.6 TerraBilder genererade med GPT Image 2
Research answer
Key takeaways
- Säkerhetsforskaren Buchodi rapporterar att den ettåriga kakan obi kan skickas till OpenAI när en handlarsajt laddar företagets annons eller mätpixel.
- Den analyserade trafiken omfattade enligt rapporten 936 annonspixlar på 1 029 värdnamn.
- Upplägget visar en möjlig teknisk väg för spårning mellan sajter, men bevisar inte att OpenAI faktiskt kopplar varje insamlad händelse till ett ChatGPT konto eller använder den för riktad annonsering.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: How does OpenAI’s year-long __obi cookie, classified as an analytics cookie, reportedly enable cross-site tracking of ChatGPT users and anon. Article summary: OpenAI’s `__obi` appears, based on Buchodi’s independent technical analysis, to be a one-year, cross-site identifier that can accompany requests from merchant pages running OpenAI’s advertising/measurement pixel. That co. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
Enligt en oberoende analys från säkerhetsforskaren Buchodi finns en mekanism för annonsmätning som kretsar kring en OpenAI-cookie med namnet __obi. Den kan enligt uppgifterna göra det möjligt för OpenAI att ta emot aktiviteter från webbplatser som använder företagets pixel, tillsammans med ett beständigt identifieringsvärde som skapas via ChatGPT.
Detta är dock inte samma sak som ett bevis för att OpenAI lagrar eller använder varje sådan händelse mot ett namngivet ChatGPT-konto. Just den frågan är den viktigaste olösta begränsningen i rapporten. 15
21
Så ska den rapporterade spårningen fungera
Vid ett besök på ChatGPT kan ett identifieringsvärde enligt rapporteringen synkroniseras med OpenAI:s annonsinsamlingstjänst bzr.openai.com. Tjänsten sätter då __obi för domänen .openai.com. Kakan uppges ha en giltighetstid på ett år och vara konfigurerad med SameSite=None; Secure. 15
21
Inställningen är central: den kan göra att kakan skickas när en annan webbplats, exempelvis en nätbutik, laddar en resurs från en OpenAI-domän. Om webbplatsen har installerat OpenAI:s pixel för annonsering eller konverteringsmätning kan webbläsaren då skicka __obi i den externa förfrågan.
Butiken kan inte själv läsa en cookie som är begränsad till .openai.com. Däremot kan OpenAI:s insamlingstjänst ta emot både identifieraren och händelsen från butikens webbplats. 15
21
Den rapporterade kedjan ser i korthet ut så här:
- Personen använder ChatGPT, där ett kontokopplat eller anonymt subjekt kan ingå i det rapporterade synkroniseringsflödet.
- OpenAI utfärdar den långlivade
__obi-kakan. - Personen besöker en deltagande handlarsajt.
- Sajten laddar OpenAI:s mätningskod och webbläsaren skickar OpenAI-cookien med den relevanta förfrågan.
- OpenAI kan då ta emot aktivitet från handlarsajten ihop med den beständiga identifieraren.
15
21
Vilka uppgifter pixeln uppges kunna skicka
Den rapporterade pixellösningen är byggd för konverteringsmätning. Enligt rapporteringen kan den överföra bland annat visade sidor eller produkter, sökningar, varor som lagts i kundkorg, påbörjade kassasteg, köp, order, produktuppgifter, antal, priser, valuta och egna konverteringshändelser. 7
15
Den beskrivs också stödja matchningsuppgifter som annonsören tillhandahåller: hashade e-postadresser, telefonnummer, externa ID:n och namn. Även platsuppgifter som land, stad, region och postnummer nämns. 7
Buchodi hävdar vidare att utvecklingskitet kan samla in identitetsrelaterad information från formulärfält, sidinnehåll och datalager i verktyg för tagghantering. I de rapporterade observationerna SHA-256-hashades e-post, telefonnummer och namn, medan land, region, stad och postnummer kunde skickas i klartext. 1
15
Även om en fullständig URL-frågesträng tas bort kan sidans sökväg avslöja mycket. Den kan exempelvis visa vilken typ av vara, formulär eller tjänst som besöks. Därför kan insamlingen vara mer integritetskänslig än ren räkning av annonsvisningar. 1
Vad granskningen fann på kommersiella sajter
Buchodi uppgav att undersökningen omfattade flera månaders trafik från 936 annonspixlar på 1 029 värdnamn. 15
16
I ett av exemplen förekom samma __obi-värde i förfrågningar från tolv kommersiella webbplatser med 13 pixel-ID:n, däribland Chewy, Wayfair, ThriftBooks, Eventbrite, HelloFresh, Coursera och SeatGeek. Insamlingstjänsten uppges ha svarat med HTTP-status 202 på händelseöverföringarna. 1
Analysen rapporterade också att 12 av 30 olika __obi-värden syntes hos fler än en annonsör, varav ett värde hos tio annonsörer. Mönstret är förenligt med att samma återanvändbara identifierare skickas till OpenAI från flera deltagande sajter. 1
Av 932 avkodade synkroniseringstoken uppgavs 736 ha subjektet account_user och 196 vara anonyma. Den anonyma identifieraren rapporterades vara stabil per enhet i minst 27 dagar. 1
9
Varför klassningen som analyscookie väcker frågor
Enligt rapporteringen klassas __obi som en analyscookie, inte som en marknadsföringscookie. Buchodi uppgav att de avkodade token konsekvent innehöll analytics_allowed och att identifieraren kunde utfärdas när analyscookies tilläts, även om marknadsförings- eller annonscookies hade avvisats. 1
13
Det är grunden för integritetsinvändningen: en cookie som beskrivs som analytisk kan ändå möjliggöra mätning mellan webbplatser när den skickas till en annonsinsamlingstjänst från deltagande handlarsajter. Underlaget här fastslår varken något lagbrott eller ett myndighetsbeslut. Men det väcker en fråga om samtyckets utformning: kan en person som nekat annonscookies rimligen förvänta sig att denna typ av mätning mellan sajter ändå fortsätter under valet för analys? 1
23
Webbläsare och annonsblockering: vad som är belagt
Mekanismen observerades direkt i Chrome för Android. 1
Buchodi bedömde att Safaris Intelligent Tracking Prevention blockerar tredjepartscookies och drog därför slutsatsen att just detta flöde med tredjepartscookies inte skulle fungera i iOS-webbläsare, som använder WebKit. Studien testade inte Chrome på dator, och den ger därför inte stöd för generella slutsatser om alla datorwebbläsare eller inställningar. 1
Det tillhandahållna underlaget visar inte heller vilka specifika integritetstillägg som stoppar OpenAI-pixeln. Tekniskt sett skulle en nätverksbaserad blockerare som hindrar den berörda pixel-, CDN- eller insamlingsförfrågan stoppa just den överföringen. Men det är en slutsats utifrån förfrågningsflödet, inte ett publicerat testresultat från Buchodis granskning.
Den avgörande begränsningen
Den mest försiktiga tolkningen är att granskningen beskriver en mekanism som kan skicka händelser från handlarsajter tillsammans med en identifierare vars synkronisering kan innehålla ett kontoanvändarsubjekt. Det skapar en teknisk möjlighet att koppla uppgifterna på kontonivå. 1
15
Men Buchodi observerade inte OpenAI:s interna behandling på serversidan. Rapporten bevisar inte att OpenAI kopplar varje inkommande händelse till ett ChatGPT-konto, sparar den där eller använder den för annonsering, mätning eller andra ändamål. Skillnaden mellan att en identifierare når en insamlingstjänst och att behandling på kontonivå är bekräftad är avgörande. 1
21
Slutsats
Det rapporterade __obi-upplägget sticker ut eftersom en ettårig cookie för förfrågningar mellan sajter, tillsammans med en mätpixel på handlarsajter, kan ge OpenAI möjlighet att ta emot detaljerad aktivitet utanför den egna tjänsten under samma beständiga identifierare. De rapporterade uppgifterna omfattar surfning, konverteringar, köp och potentiellt identitetsrelaterade fält. 7
15
Fynden motiverar en närmare granskning av samtyckesval, webbläsarbeteende och vilken data annonspixlar skickar. De bevisar däremot inte i sig att OpenAI har knutit varje insamlad händelse till ett ChatGPT-konto eller använt den för personanpassad annonsering. 1
15
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Rapport: OpenAI-kakan __obi kan följa ChatGPT-användare mellan butikssajter"?
Säkerhetsforskaren Buchodi rapporterar att den ettåriga kakan obi kan skickas till OpenAI när en handlarsajt laddar företagets annons eller mätpixel.
What are the key points to validate first?
Säkerhetsforskaren Buchodi rapporterar att den ettåriga kakan obi kan skickas till OpenAI när en handlarsajt laddar företagets annons eller mätpixel. Den analyserade trafiken omfattade enligt rapporten 936 annonspixlar på 1 029 värdnamn.
What should I do next in practice?
Upplägget visar en möjlig teknisk väg för spårning mellan sajter, men bevisar inte att OpenAI faktiskt kopplar varje insamlad händelse till ett ChatGPT konto eller använder den för riktad annonsering.
Sources
forklog.comResearcher Discovers Ad Tracker in ChatGPT for Third-Party Sites | ForkLog
pasqualepillitteri.itAnaliza ujawnia cookie __obi OpenAI, które śledzi użytkowników ChatGPT