AnswersPublished18 sources
Cookie `__obi`: як OpenAI нібито може відстежувати активність користувачів ChatGPT на сайтах магазинів
За даними Buchodi, cookie obi діє один рік і може надсилатися OpenAI, коли сайт продавця завантажує її рекламний або вимірювальний піксель; це потенційно поєднує позасайтові події зі сталим ідентифікатором. У дослідженні фігурували 936 рекламних пікселів на 1 029 хостнеймах.
ОпублікувавВідредаговано за допомогою GPT-5.6 TerraЗображення створено за допомогою GPT Image 2
Research answer
Key takeaways
- За даними Buchodi, cookie obi діє один рік і може надсилатися OpenAI, коли сайт продавця завантажує її рекламний або вимірювальний піксель; це потенційно поєднує позасайтові події зі сталим ідентифікатором.
- У дослідженні фігурували 936 рекламних пікселів на 1 029 хостнеймах. Із 932 декодованих токенів синхронізації 736 були позначені як account user, а 196 — як анонімні.
- Йдеться про описаний механізм рекламних вимірювань, а не про рішення регулятора чи доказ того, що OpenAI приєднувала кожну подію до облікового запису ChatGPT.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: How does OpenAI’s year-long __obi cookie, classified as an analytics cookie, reportedly enable cross-site tracking of ChatGPT users and anon. Article summary: OpenAI’s `__obi` appears, based on Buchodi’s independent technical analysis, to be a one-year, cross-site identifier that can accompany requests from merchant pages running OpenAI’s advertising/measurement pixel. That co. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
Незалежний дослідник безпеки Buchodi повідомив про механізм міжсайтових рекламних вимірювань, у центрі якого — cookie OpenAI під назвою __obi. За описом дослідника, OpenAI може отримувати дані про дії на сайтах, де встановлено її рекламний піксель, разом зі сталим ідентифікатором, створеним під час використання ChatGPT. Але це не є доказом, що OpenAI зберігає або використовує кожну таку подію щодо конкретного акаунта ChatGPT. Саме це — головне невирішене питання у звіті. 15
21
Як, за повідомленнями, працює цей механізм
Згідно з публікаціями та аналізом Buchodi, під час відвідування ChatGPT браузер може обмінятися ідентифікатором із рекламним збирачем OpenAI bzr.openai.com. Той встановлює __obi для домену .openai.com. Повідомлялося, що cookie зберігається один рік і має параметри SameSite=None; Secure. 15
21
Це важливо, бо за таких налаштувань cookie може додаватися до запиту, коли окремий сайт продавця завантажує ресурс із домену OpenAI. Якщо на сайті встановлено рекламний або вимірювальний піксель OpenAI, браузер може передати значення __obi OpenAI разом із міжсайтовим запитом. Сам сайт продавця не може просто прочитати cookie, обмежений доменом .openai.com, однак колектор OpenAI може отримати і ідентифікатор, і подію на сайті продавця. 15
21
У практичному вигляді описаний ланцюжок такий:
- Людина користується ChatGPT; у потоці синхронізації, за даними дослідження, може фігурувати суб’єкт, пов’язаний з акаунтом, або анонімний суб’єкт.
- OpenAI встановлює довготривалий cookie
__obi. - Людина відкриває сайт продавця, який бере участь у цій рекламній системі.
- Сайт завантажує код вимірювання OpenAI, а браузер надсилає cookie OpenAI разом із відповідним запитом.
- OpenAI потенційно отримує активність на сайті продавця разом із цим сталим ідентифікатором.
15
21
Які дані, за повідомленнями, передає піксель
Описаний піксель призначений для вимірювання конверсій. За даними публікацій про аналіз, він може передавати інформацію про переглянуті сторінки або товари, пошукові запити, додавання до кошика, початок оформлення замовлення, покупки, замовлення, відомості про товар, кількість, ціну, валюту та спеціальні події конверсії. 7
15
Також описано поля для зіставлення, які можуть надходити від рекламодавця: хешовані адреси електронної пошти, номери телефонів, зовнішні ідентифікатори та імена, а також геодані — країна, місто, регіон і поштовий індекс. 7
Buchodi додатково стверджував, що SDK здатен збирати дані, пов’язані з ідентичністю, із полів форм, вмісту сторінки та шарів даних систем керування тегами. У його спостереженнях email, телефон і ім’я хешувалися алгоритмом SHA-256, натомість країна, регіон, місто й поштовий індекс могли передаватися у відкритому вигляді. 1
15
Навіть якщо повний рядок параметрів URL прибрано, шлях сторінки може бути інформативним: він здатен вказувати на тип переглянутого товару, форму чи послугу. Тому можливий масштаб збору даних виходить за межі простого підрахунку показів реклами. 1
Що дослідник побачив на комерційних сайтах
Buchodi заявив, що аналізував трафік протягом кількох місяців: 936 рекламних пікселів на 1 029 хостнеймах. 15
16
Серед наведених прикладів одне значення __obi з’являлося в запитах із 12 комерційних сайтів, що використовували 13 ідентифікаторів пікселів. Серед них названо Chewy, Wayfair, ThriftBooks, Eventbrite, HelloFresh, Coursera та SeatGeek. За повідомленнями, колектор відповідав на надсилання подій кодом HTTP 202. 1
Дослідник також повідомив, що 12 із 30 різних значень __obi траплялися більш ніж в одного рекламодавця, а одне — у десяти рекламодавців. Така картина узгоджується з тим, що один повторно використовуваний ідентифікатор надсилався OpenAI з кількох сайтів-учасників. 1
Із 932 декодованих токенів синхронізації, наведених у дослідженні, 736 були позначені як суб’єкти account_user, а 196 — як анонімні. Як стверджується, анонімний ідентифікатор залишався стабільним для конкретного пристрою щонайменше 27 днів. 1
9
Чому важлива категорія «аналітика»
За даними публікацій про висновки Buchodi, __obi класифікувався як аналітичний cookie, а не маркетинговий. Дослідник зазначив, що декодовані токени послідовно містили analytics_allowed, а ідентифікатор міг видаватися, коли користувач дозволив аналітику, навіть якщо відмовився від маркетингових або рекламних cookie. 1
13
Саме це і є суттю приватнісного питання: cookie, позначений як аналітичний, може водночас полегшувати міжсайтове вимірювання реклами, коли його надсилають рекламному колектору із сайтів продавців. Надані матеріали не встановлюють порушення закону та не містять рішення регулятора. Проте вони порушують питання дизайну згоди: чи очікував би користувач, який відмовився від рекламних cookie, що міжсайтові вимірювання все одно триватимуть у межах вибору «аналітика». 1
23
Для європейського контексту це потенційно важливо, адже згода на різні цілі обробки даних має бути зрозумілою та достатньо конкретною. Однак оцінка законності потребувала б повної інформації про фактичну обробку OpenAI, тексти згоди, ролі сторін і застосовне право; в описаних джерелах такого висновку немає. 1
23
Браузери та блокувальники: що відомо
Механізм безпосередньо спостерігали в Chrome для Android. 1
За висновком Buchodi, Intelligent Tracking Prevention у Safari блокує сторонні cookie, тому саме цей сценарій зі стороннім cookie не мав би працювати в браузерах iOS, які використовують WebKit. Водночас у дослідженні не тестували Chrome для настільних комп’ютерів, отже робити загальний висновок про всі десктопні браузери або їхні конфігурації не можна. 1
Надані матеріали також не встановлюють, які саме розширення для приватності блокують піксель OpenAI. Технічно мережевий блокувальник, що не дає завантажити відповідний піксель, CDN-ресурс або запит до колектора OpenAI, зупинить саме цей запит. Але це логічний висновок зі схеми запиту, а не опублікований результат тестування Buchodi.
Головне обмеження: можливість — ще не доказ використання на рівні акаунта
Найобережніше тлумачення дослідження таке: воно описує механізм, здатний передавати події із сайтів продавців разом з ідентифікатором, у потоці синхронізації якого може бути суб’єкт account_user. Тобто технічна можливість пов’язати такі події з акаунтом існує. 1
15
Проте Buchodi не спостерігав внутрішню серверну обробку OpenAI. Дослідження не доводить, що OpenAI для кожної отриманої події визначає акаунт ChatGPT, зберігає подію в ньому або використовує її для таргетування реклами, вимірювань чи інших цілей. Різниця між ідентифікатором, який надходить до колектора, і підтвердженою обробкою на рівні акаунта тут принципова. 1
21
Висновок
Описана конструкція __obi привертає увагу тому, що однорічний міжсайтовий cookie у поєднанні з вимірювальним пікселем на сайті продавця може давати OpenAI спосіб отримувати детальні дані про позасайтові дії під тим самим сталим ідентифікатором. Серед заявлених типів даних — перегляди, конверсії, покупки та потенційно дані, пов’язані з ідентичністю. 7
15
Ці висновки є підставою уважніше перевіряти налаштування згоди, поведінку браузера та дані, які надсилають рекламні пікселі. Але самі по собі вони не доводять, що OpenAI прив’язувала кожну зібрану подію до акаунта ChatGPT або застосовувала її для персоналізованої реклами. 1
15
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Cookie `__obi`: як OpenAI нібито може відстежувати активність користувачів ChatGPT на сайтах магазинів"?
За даними Buchodi, cookie obi діє один рік і може надсилатися OpenAI, коли сайт продавця завантажує її рекламний або вимірювальний піксель; це потенційно поєднує позасайтові події зі сталим ідентифікатором.
What are the key points to validate first?
За даними Buchodi, cookie obi діє один рік і може надсилатися OpenAI, коли сайт продавця завантажує її рекламний або вимірювальний піксель; це потенційно поєднує позасайтові події зі сталим ідентифікатором. У дослідженні фігурували 936 рекламних пікселів на 1 029 хостнеймах. Із 932 декодованих токенів синхронізації 736 були позначені як account user, а 196 — як анонімні.
What should I do next in practice?
Йдеться про описаний механізм рекламних вимірювань, а не про рішення регулятора чи доказ того, що OpenAI приєднувала кожну подію до облікового запису ChatGPT.
Sources
forklog.comResearcher Discovers Ad Tracker in ChatGPT for Third-Party Sites | ForkLog
pasqualepillitteri.itAnaliza ujawnia cookie __obi OpenAI, które śledzi użytkowników ChatGPT