Як ChatGPT збирає ваші дані через підступне cookie: що потрібно знати
Якщо ви користуєтесь безкоштовним ChatGPT, є велика ймовірність, що ваш браузер тримає в собі неприємне cookie з ім’ям __obi. Його туди помістила компанія OpenAI, а термін дії цієї “плямки” – цілий рік. Один дослідник, який працює під псевдонімом Buchodi, детально розібрався, як цей механізм працює, та вже поділився звітом, у якому розкрив, що за допомогою цього cookie OpenAI може збирати інформацію про торгові сайти, які ви відвідуєте.
Що це за cookie і як воно працює?
Принцип роботи __obi схожий на рекламний піксель — ті самі невидимі “стежки”, які вже роками ставлять Meta чи Google без явної згоди користувачів. Магазини, що замовляють рекламу через ChatGPT, вставляють шматок коду OpenAI на свої сторінки. Як тільки ви робите покупку, цей код сповіщає рекламодавця про подію.
Головна “фішка” тут у властивості cookie SameSite=None. Це означає, що браузер автоматично додає його до запиту на підвантаження скрипта ще до того, як починає виконуватися будь-який код. Тож навіть до початку роботи є можливість отримати вашу ідентифікацію.
Ідентифікація користувача
Цей ідентифікатор не анонімний. На сайті chatgpt.com він згенерований випадково, та сервер підписує його токеном, який містить ваш унікальний ID акаунта. Разом вони тісно “приклеєні”, тому в teорії OpenAI може дуже точно ідентифікувати саме вас.
Buchodi зауважив, що хоча на сервері поки офіційно не реалізують пов’язування цих даних, усе необхідне для цього є. До того ж, на телефоні він побачив, що одне й те саме cookie працює одразу на 12 різних сайтах, серед яких Wayfair, HelloFresh і Coursera.
Що OpenAI “документує” про цей піксель?
Найцікавіше — OpenAI абсолютно відкрито крок за кроком описує роботу цього рекламного пікселя. Зокрема, їхня офіційна документація повідомляє, що SDK за замовчуванням вважає, що користувач дав згоду. Щоб відмовити від цього, розробник рекламодавця має явно додати спеціальний рядок коду.
Pixel зчитує з торгової сторінки такі дані:
- ваш email, номер телефону та ім’я;
- перш ніж відправити, цей пакет хешується (SHA-256) прямо у браузері;
- а також передається місто та поштовий індекс у відкритому вигляді.
Важлива деталь щодо політики cookie та GDPR
Тепер увага: в категорії cookie OpenAI відносить __obi до “аналітичних”. Саме тих, які “допомагають зрозуміти, як працюють їхні сервіси та як ними користуються”. І ось парадокс — у розділі маркетингових cookie знаходяться відомі гіганти як LinkedIn, Google, Reddit, Meta, Bing та TikTok.
Тож, навіть якщо ви дали згоду лише на аналітику, відмовляючись від маркетингу, цей cookie все одно продовжує працювати. Як сказав би Сем Альтман: “Chè!”
Відповідь OpenAI на викриття
Buchodi звернувся в підтримку OpenAI з питаннями щодо цього механізму. “Дивним чином”, вони лише підтвердили отримання запиту, але відповіді так і не надіслали.
Чи стосується ця проблема вас?
Насправді все залежить від вашого браузера:
- Safari. Цей браузер вже від 2020 року блокує всі third-party cookie за замовчуванням. До того ж усі браузери на iOS базуються саме на його движку, тож вони теж блокують
__obi. - Firefox. У 2022 році Mozilla впровадила функцію ізольованих контейнерів для cookie, що унеможливлює перетин даних між сайтами, при цьому не порушуючи їхню роботу.
- Chrome. Браузер Google, для якого конфіденційність — не в пріоритеті, офіційно припинив блокувати third-party cookie лише в квітні 2025 року. Саме на Chrome для Android було помічено згаданий OpenAI-механізм.
Як себе убезпечити?
Головна порада — користуватись розширеннями, які блокують трекери. Наприклад, EasyPrivacy, що йде в комплекті з uBlock Origin, вже має правила:
||bzr.openai.com^||bzrcdn.openai.com^
Ці настройки повністю блокують домени, звідки завантажується код і ставиться cookie на chatgpt.com. Якщо ви фільтруєте трафік через DNS (наприклад, Pi-hole чи NextDNS), варто додати ці домени до списку блокування — це захистить усі ваші пристрої, зокрема й смартфони, коли вони підключені до Wi-Fi.
Проте не розраховуйте, що Safari чи Firefox припинять усі ризики, адже хоч вони й блокують cookie, але запит до OpenAI все одно відправляється. Ваш IP-адрес і поштові дані залишаються відкритими, а також передаються хешовані ідентифікатори, якщо магазин увімкнув автоматичне виявлення.
На додачу, існує серверна частина пікселя — API, яка працює безпосередньо на серверах продавців. Тут браузерні налаштування безсилі.
Глобальний характер проблеми
І це вже не тільки США! З кінця серпня система реклами ChatGPT діє у Франції та понад 30 інших європейських країнах. Ці оголошення бачать користувачі безплатних та базових акаунтів (Free та Go). Цікаво, що в платних обліковках __obi cookie не виявляється, але воно синхронізується навіть коли ви не увійшли в акаунт.
Так що найпростіше — перевірити фільтри в браузері або відповідне блокувальне програмне забезпечення. Якщо хочете подивитися “вживу”, шукайте cookie __obi у домені .openai.com.
Джерела цієї інформації — розслідування Buchodi і офіційна документація OpenAI з пікселя.
