Новий трекер OpenAI ChatGPT відкрив сумнівні подробиці про збір даних браузерів
Останнє розслідування, проведене незалежним дослідником Buchodi, проливає світло на потенційні можливості OpenAI відстежувати користувачів ChatGPT і на інших сайтах рекламодавців. Йому вдалося відстежити унікальний файл cookie під назвою __obi, який зберігається на домені OpenAI протягом року і відправляється разом із завантаженням пікселя вимірювання реклами. Така знахідка викликає низку питань щодо конфіденційності та методів збору даних.
Як працює cookie __obi у системі OpenAI
Buchodi дійшов висновку, що ChatGPT запитує короткостроковий токен, який потім обмінюється на cookie __obi через сервер bzr.openai.com. Цей файл cookie діє на межах домену .openai.com, має атрибути SameSite=None; Secure і зберігається протягом приблизно року (31 536 000 секунд). Це дає змогу браузерам прикріплювати його до крос-сайтних запитів, відкриваючи шлях для передачі інформації між різними платформами.
В документації OpenAI щодо пікселя для вимірювання реклами сказано, що рекламодавці можуть завантажувати SDK із bzrcdn.openai.com і надсилати конверсійні події на bzr.openai.com. Хоч зазначається, що ця система підтримує «advanced matching» із хешованими ідентифікаторами, проте конкретний механізм із cookie __obi у документації не описується.
Результати спостережень вражають — один ідентифікатор було зафіксовано на 12 комерційних сайтах під 13 різними пікселями. Загалом у вибірці з 936 пікселів та 1 029 хостів 12 із 30 унікальних значень __obi зустрічалися на кількох рекламодавцях. Крім цього, було виявлено 196 анонімних токенів з 932 розшифрованих, хоча пряма серверна зв’язка облікових записів ChatGPT з сайтами не була підтверджена.
Що не доводить трекер реклами ChatGPT
Варто підкреслити, що наразі немає доказів, які б свідчили, що рекламодавці отримують доступ до історії чатів користувачів ChatGPT. OpenAI офіційно заявила, що система реклами не передає чат-контент третім особам. Звіт Buchodi не містить жодних ознак, що розмови користувачів потрапляють до рекламних кампаній.
Проте найбільш спірним є питання класифікації cookie. В політиці файлів cookie OpenAI __obi визначений як аналітичний збережений на доменах chatgpt.com та openai.com. Buchodi відзначає, що OpenAI визнала деякі запитання щодо класифікації cookie і того, чи можна його використовувати без згоди на маркетингові цілі, але відповіді на ці питання поки не було.
Трекінг з __obi блокує більшість браузерів на базі WebKit, таких як Safari. При цьому тестування на десктопі Chrome не проводилось, і лише приблизно кожна п’ята сесія ChatGPT генерувала синхронізаційний токен. Тож наведені дані — це детальний огляд від незалежного дослідника, а не офіційний аудит чи підтверджена інформація про системну поведінку OpenAI.
Розширення реклами OpenAI і що це означає для користувачів
Рекламна діяльність OpenAI вже стала окремою великою темою — як свідчить звіт про річний оборот компанії близько одного мільярда доларів. Водночас розширення ChatGPT у повсякденні продукти, на кшталт планів Apple інтегрувати його в Siri, далеко не припиняється. Знайдений cookie __obi ставить нові запитання про те, якими способами OpenAI відстежує користувачів після виходу з платформи та наскільки прозорі для них ці процеси.
Коротко про cookie __obi:
- Це ідентифікатор, який встановлюється на домені OpenAI та передається через піксель реклами.
- Він має тривалість зберігання приблизно один рік.
- Підтримує передачу даних у міжсайтових запитах.
Що дослідження не підтвердило:
- Відсутність доказів передачі чатів рекламодавцям.
- Не підтверджена серверна зв’язка облікових записів користувачів із зовнішніми сайтами.
- Обмеження на блокування трекінгу у деяких браузерах (Safari, WebKit).
Які браузери стримують цей тип трекінгу:
- Safari
- Інші браузери на основі WebKit
Таким чином, знахідка про cookie __obi відкриває нові горизонти у розумінні того, як OpenAI може взаємодіяти з даними своїх користувачів і рекламодавців. Ця інформація допоможе користувачам бути уважнішими до того, як працюють сучасні технології збору даних у цифровому просторі.
