ChatGPT под прицелом: обнаружены рекламные трекеры в AI-боте от OpenAI

OpenAI внедрила в ChatGPT cookie-файл, который фиксирует поведение пользователей в интернете и связывает его с их учетной записью на внешних сайтах. Исследователь под псевдонимом Buchodi представил технический отчет, демонстрирующий работу трекинговой системы чат-бота, известной под кодовым названием bazaar.

Согласно его анализу, рекламный код, используемый на сайтах, действует как пиксель отслеживания. При запуске ChatGPT создается уникальный идентификатор, который сохраняется в cookie-файле __obi для домена .openai.com. При посещении коммерческих сайтов с установленными пикселями OpenAI браузер передает идентификатор обратно на сервер.

Buchodi протестировал этот механизм в браузере Chrome на Android, подтвердив его работу двумя независимыми методами. В цепочке задействованы домены bzr.openai.com и bzrcdn.openai.com, и исследователь выявил 936 пикселей на 1029 хостах, что привело к 23 929 запросам без строки запроса в URL.

Система передает конверсионные события, зашифрованные данные, такие как email и телефоны, с использованием алгоритма SHA-256. Также фиксируется информация о местоположении вплоть до почтового индекса. Инструмент собирает данные как от рекламодателей, так и с веб-страниц, включая формы и системы управления тегами.

Исследование показало, что общие данные собирались в 685 случаях, а расширенная передача данных — в 255 случаях. При этом e-mail и телефоны отправлялись в хешированном виде, а геолокационные данные — в открытом. Из 932 декодированных sync-токенов 736 были связаны с авторизованными пользователями, а 196 — с анонимными.

Buchodi отметил, что исследование ограничено использованием Chrome на Android, так как Safari блокирует сторонние cookie, а браузеры на iOS применяют WebKit. Он сравнил эту систему с практиками Meta и Google, подчеркивая её уникальность в приложении к AI-чатам. В феврале OpenAI начала размещать рекламу в ChatGPT для пользователей без платной подписки.