ChatGPTが広告コレクター経由で他のウェブサイトでのあなたの行動を知るようになる

ChatGPTが広告コレクター経由で他のウェブサイトでのあなたの行動を知るようになる

OpenAIの広告コレクターであるbzr.openai.comは、.openai.comドメインにスコープされた__obiという名前のクッキーを設定します。このクッキーの値は、あなたがChatGPTを利用中にあなたのChatGPTアカウントに紐付けられます。その後、あなたが訪れる通常のウェブサイトから、この__obiがOpenAIに送信されます。

ChatGPTで広告を購入する企業は、小売業者が既にMetaやGoogleのトラッキングコードをインストールするのと同じ方法で、自身のサイトにOpenAIの小さなコードをインストールします。そのコードを読み込むと、閲覧中のページのデータと共に__obiがOpenAIに送信されます。これには、検索している製品、読んでいる記事、購入行動などが含まれます。

要するに、OpenAIはこれらのサイトでのあなたの行動をあなたのChatGPTアカウントに紐付けることができるのです。

私は自身のスマートフォンでこの完全な仕組みを再現し、2つの独立したキャプチャ方法で検証し、936の異なる広告主ピクセルを1,029のホスト名にわたって数ヶ月にわたる観測トラフィックとクロスチェックしました。

［画像: 広告コレクターの仕組みを示す図］

仕組み

ステップ1. ChatGPTが識別子を作成し、署名する。

chatgpt.comでは、クライアントが16バイトのランダムなバイトを生成し、POST /backend-api/bazaar/obi/sync-token（サインアウト時は/backend-anon/）を呼び出します。バックエンドはRS256署名付きJWTを返します。

{
  "iss": "chatgpt-wadi",
  "aud": "bzr.openai.com",
  "purpose": "obi_sync",
  "operation": "set",
  "consent_decision": "analytics_allowed",
  "consent_policy_version": "user_granular_consent_v1",
  "sub": "«redacted: 64-hex account subject»",
  "subject_type": "account_user",
  "obi": "«redacted: 22-char identifier»",
  "exp": "«iat + 60s»"
}

subはアカウントです。obiは識別子です。トークンはそれらをバインドし、コレクターにスコープされ、60秒で期限切れになります。bzrはOpenAIの広告プラットフォームの内部名であるbazaarの略で、wadiは発行サービスです。

ステップ2. 識別子がOpenAIのドメイン上のクッキーになる。

クライアントは`{