Câu trả lờiĐã xuất bản18 nguồn
Cookie `__obi` của OpenAI có thể theo dõi hoạt động ChatGPT trên các website khác như thế nào?
Theo Buchodi, cookie obi tồn tại một năm có thể được trình duyệt gửi tới OpenAI khi người dùng vào website thương mại cài pixel đo lường của OpenAI. Pixel được cho là có thể truyền dữ liệu về trang, sản phẩm, tìm kiếm, giỏ hàng, thanh toán và đơn mua; một số trường định danh như email hoặc số điện thoại có thể được...
Đăng bởiBiên tập bằng GPT-5.6 TerraHình ảnh được tạo bằng GPT Image 2
Câu trả lời nghiên cứu
Bài học chính
- Theo Buchodi, cookie obi tồn tại một năm có thể được trình duyệt gửi tới OpenAI khi người dùng vào website thương mại cài pixel đo lường của OpenAI.
- Pixel được cho là có thể truyền dữ liệu về trang, sản phẩm, tìm kiếm, giỏ hàng, thanh toán và đơn mua; một số trường định danh như email hoặc số điện thoại có thể được băm trước khi gửi.
- Nghiên cứu ghi nhận 936 pixel trên 1.029 hostname, nhưng không quan sát được cách OpenAI xử lý dữ liệu phía máy chủ; vì vậy chưa thể kết luận mọi sự kiện đều được gắn với tài khoản ChatGPT.
Prompt AI
openai.comCreate a landscape editorial hero image for this Studio Global article: How does OpenAI’s year-long __obi cookie, classified as an analytics cookie, reportedly enable cross-site tracking of ChatGPT users and anon. Article summary: OpenAI’s `__obi` appears, based on Buchodi’s independent technical analysis, to be a one-year, cross-site identifier that can accompany requests from merchant pages running OpenAI’s advertising/measurement pixel. That co. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
Một nghiên cứu kỹ thuật độc lập của Buchodi cho rằng OpenAI đang vận hành một cơ chế đo lường quảng cáo đa website xoay quanh cookie có tên __obi. Theo mô tả này, OpenAI có thể nhận dữ liệu hoạt động từ những trang web cài pixel quảng cáo của hãng, kèm một mã định danh bền vững từng được tạo trong luồng sử dụng ChatGPT. Tuy nhiên, đây không phải bằng chứng rằng OpenAI thực sự lưu hoặc sử dụng mọi sự kiện đó dưới một tài khoản ChatGPT xác định — và đó là giới hạn quan trọng nhất của báo cáo. 15
21
Cơ chế được báo cáo hoạt động ra sao?
Theo phần phân tích và các bài đưa tin về Buchodi, khi truy cập ChatGPT, trình duyệt có thể trao đổi một mã định danh với máy chủ thu thập quảng cáo bzr.openai.com. Máy chủ này đặt cookie __obi cho miền .openai.com; cookie được báo cáo có thời hạn một năm và thuộc tính SameSite=None; Secure. 15
21
Thiết lập này đáng chú ý vì cookie có thể được gửi kèm khi một website khác tải tài nguyên từ miền OpenAI. Nếu một website bán hàng hoặc dịch vụ đã cài pixel quảng cáo/đo lường của OpenAI, trình duyệt có thể gửi giá trị __obi trong yêu cầu liên miền đó. Website đối tác không thể tự đọc cookie thuộc miền .openai.com, nhưng hệ thống thu thập của OpenAI có thể nhận cả mã định danh lẫn sự kiện phát sinh trên website đối tác. 15
21
Chuỗi hoạt động được báo cáo có thể tóm tắt như sau:
- Người dùng mở ChatGPT; trong luồng đồng bộ được báo cáo, chủ thể có thể là người dùng có tài khoản hoặc một chủ thể ẩn danh.
- OpenAI cấp cookie
__obicó thời hạn dài. - Người dùng mở một website thương mại có tham gia chương trình đo lường.
- Website tải mã đo lường của OpenAI và trình duyệt gửi cookie thuộc miền OpenAI kèm yêu cầu liên quan.
- OpenAI có thể nhận hoạt động trên website đó cùng mã định danh bền vững.
15
21
Pixel được cho là gửi những dữ liệu gì?
Theo báo cáo, pixel này được thiết kế cho việc đo lường chuyển đổi quảng cáo. Dữ liệu truyền đi có thể bao gồm trang hoặc sản phẩm đã xem, nội dung tìm kiếm, thao tác thêm vào giỏ, bắt đầu thanh toán, giao dịch mua, đơn hàng, thông tin sản phẩm, số lượng, giá, đơn vị tiền tệ và sự kiện chuyển đổi tùy chỉnh. 7
15
Các trường phục vụ đối sánh do nhà quảng cáo cung cấp được cho là gồm email, số điện thoại, mã định danh bên ngoài, họ tên ở dạng băm, cùng dữ liệu vị trí như quốc gia, thành phố, vùng/tỉnh và mã bưu chính. 7
Buchodi còn cáo buộc bộ SDK có thể thu thập thông tin nhận dạng từ các ô biểu mẫu, nội dung trang và lớp dữ liệu của công cụ quản lý thẻ. Trong các quan sát được báo cáo, email, điện thoại và tên được băm SHA-256; trong khi quốc gia, vùng/tỉnh, thành phố và mã bưu chính có thể được truyền ở dạng văn bản thuần. 1
15
Ngay cả khi chuỗi truy vấn đầy đủ của URL bị loại bỏ, đường dẫn trang vẫn có thể tiết lộ nhiều thông tin: loại sản phẩm, biểu mẫu đang điền hoặc dịch vụ đang tìm hiểu. Vì vậy, phạm vi dữ liệu tiềm năng không chỉ đơn thuần là đếm lượt hiển thị quảng cáo. 1
Buchodi đã quan sát thấy gì trên các website thương mại?
Buchodi cho biết cuộc điều tra đã xem xét nhiều tháng lưu lượng liên quan đến 936 pixel của nhà quảng cáo trên 1.029 hostname. 15
16
Một ví dụ được nêu là cùng một giá trị __obi xuất hiện trong yêu cầu từ 12 website thương mại dùng 13 mã pixel, trong đó có Chewy, Wayfair, ThriftBooks, Eventbrite, HelloFresh, Coursera và SeatGeek. Máy chủ thu thập được báo cáo đã trả về phản hồi HTTP 202 cho những lần gửi sự kiện này. 1
Phân tích cũng cho biết 12 trong số 30 giá trị __obi khác nhau đã xuất hiện cùng nhiều nhà quảng cáo; một giá trị được thấy tại mười nhà quảng cáo. Mẫu này phù hợp với khả năng một mã định danh tái sử dụng được gửi tới OpenAI từ nhiều website tham gia. 1
Trong 932 token đồng bộ được giải mã và trích dẫn trong nghiên cứu, 736 token được báo cáo là chủ thể account_user, còn 196 là chủ thể ẩn danh. Mã định danh ẩn danh được cho là ổn định trên mỗi thiết bị ít nhất 27 ngày. 1
9
Vì sao việc xếp vào nhóm “phân tích” gây tranh cãi?
Các bài đưa tin cho biết __obi được phân loại là cookie phân tích, thay vì cookie tiếp thị. Buchodi báo cáo rằng các token giải mã nhất quán chứa cờ analytics_allowed; mã định danh có thể được cấp khi người dùng cho phép cookie phân tích, kể cả sau khi họ từ chối cookie tiếp thị hoặc quảng cáo. 1
13
Đây là trọng tâm của quan ngại về quyền riêng tư: một cookie được gắn nhãn “phân tích” vẫn có thể hỗ trợ đo lường quảng cáo liên website nếu nó được gửi tới bộ thu quảng cáo từ các trang thương mại tham gia. Các bằng chứng được cung cấp không xác lập vi phạm pháp luật hay kết luận của cơ quan quản lý. Nhưng chúng đặt ra câu hỏi về thiết kế cơ chế đồng ý: người đã từ chối cookie quảng cáo có hợp lý để kỳ vọng việc đo lường liên website như vậy vẫn tiếp tục chỉ vì họ chọn cookie phân tích hay không? 1
23
Trong bối cảnh châu Âu, câu hỏi này đặc biệt đáng chú ý vì sự đồng ý cho các công nghệ theo dõi không thiết yếu cần phải rõ ràng, cụ thể và dựa trên thông tin đầy đủ. Tuy vậy, nghiên cứu này không phải là phán quyết pháp lý, cũng không cho thấy cơ quan quản lý nào đã ra quyết định về OpenAI.
Trình duyệt và công cụ chặn: điều gì đã biết?
Cơ chế trên được Buchodi quan sát trực tiếp trên Chrome dành cho Android. 1
Theo phân tích của Buchodi, Intelligent Tracking Prevention của Safari chặn cookie bên thứ ba; do mọi trình duyệt trên iOS đều dùng WebKit, nhà nghiên cứu kết luận luồng phụ thuộc cookie bên thứ ba cụ thể này sẽ không hoạt động trên các trình duyệt iOS. Nghiên cứu không thử nghiệm Chrome bản máy tính, vì thế không thể dùng kết quả này để khẳng định chung về mọi trình duyệt desktop hay mọi cấu hình trình duyệt. 1
Bằng chứng hiện có cũng không xác định tiện ích bảo vệ quyền riêng tư nào chặn được pixel OpenAI. Về mặt kỹ thuật, một công cụ chặn ở cấp mạng ngăn yêu cầu tới pixel, CDN hoặc máy chủ thu thập tương ứng của OpenAI sẽ ngăn chính yêu cầu đó được gửi đi. Nhưng đây là suy luận từ đường đi của yêu cầu, không phải kết quả thử nghiệm do Buchodi công bố.
Giới hạn then chốt: có khả năng không đồng nghĩa đã chứng minh việc gắn vào tài khoản
Cách đọc thận trọng nhất là nghiên cứu đã mô tả một cơ chế có thể chuyển sự kiện trên website thương mại đi cùng mã định danh mà luồng đồng bộ có thể chứa chủ thể người dùng tài khoản. Điều đó tạo ra khả năng kỹ thuật để nối dữ liệu ở cấp tài khoản. 1
15
Song Buchodi không quan sát được quy trình xử lý nội bộ phía máy chủ của OpenAI. Nghiên cứu không chứng minh rằng OpenAI phân giải từng sự kiện nhận được thành một tài khoản ChatGPT, lưu sự kiện vào tài khoản đó, hoặc dùng nó cho nhắm mục tiêu quảng cáo, đo lường hay mục đích khác. Sự khác biệt giữa một mã định danh đến máy chủ thu thập và việc xử lý đã được xác nhận ở cấp tài khoản vẫn là điểm cốt lõi. 1
21
Kết luận
Thiết kế __obi được báo cáo đáng để xem xét kỹ vì cookie liên website tồn tại một năm, kết hợp với pixel đo lường trên website thương mại, có thể giúp OpenAI nhận hoạt động ngoài ChatGPT dưới cùng một mã định danh bền vững. Dữ liệu được báo cáo gồm hành vi duyệt web, chuyển đổi, mua hàng và có thể cả các trường liên quan đến nhận dạng. 7
15
Các phát hiện này đặt ra nhu cầu rà soát lựa chọn đồng ý cookie, cách trình duyệt xử lý cookie bên thứ ba và dữ liệu mà pixel quảng cáo gửi đi. Nhưng tự chúng chưa chứng minh OpenAI đã gắn mọi sự kiện thu thập được với một tài khoản ChatGPT hoặc dùng chúng để cá nhân hóa quảng cáo. 1
15
Studio Global AI
Tiếp tục nghiên cứu của bạn
Trang này bao gồm câu trả lời dựa trên nguồn mà bạn có thể tiếp tục bên trong Studio Global.
Người ta cũng hỏi
Câu trả lời ngắn gọn cho "Cookie `__obi` của OpenAI có thể theo dõi hoạt động ChatGPT trên các website khác như thế nào?" là gì?
Theo Buchodi, cookie obi tồn tại một năm có thể được trình duyệt gửi tới OpenAI khi người dùng vào website thương mại cài pixel đo lường của OpenAI.
Những điểm chính cần xác nhận đầu tiên là gì?
Theo Buchodi, cookie obi tồn tại một năm có thể được trình duyệt gửi tới OpenAI khi người dùng vào website thương mại cài pixel đo lường của OpenAI. Pixel được cho là có thể truyền dữ liệu về trang, sản phẩm, tìm kiếm, giỏ hàng, thanh toán và đơn mua; một số trường định danh như email hoặc số điện thoại có thể được băm trước khi gửi.
Tôi nên làm gì tiếp theo trong thực tế?
Nghiên cứu ghi nhận 936 pixel trên 1.029 hostname, nhưng không quan sát được cách OpenAI xử lý dữ liệu phía máy chủ; vì vậy chưa thể kết luận mọi sự kiện đều được gắn với tài khoản ChatGPT.
Nguồn
forklog.comResearcher Discovers Ad Tracker in ChatGPT for Third-Party Sites | ForkLog
pasqualepillitteri.itAnaliza ujawnia cookie __obi OpenAI, które śledzi użytkowników ChatGPT