ChatGPT'nin reklam çerezi gezilen siteleri hesaba bağlıyor

Bir araştırmacı, OpenAI'ın reklam toplayıcısı bzr.openai.com'un __obi adlı bir çerez kurduğunu ve bu çerezin, kullanıcının gezdiği sıradan web sitelerinden OpenAI'a geri gönderildiğini belgeledi. Çerez .openai.com alanına yazılıyor ve ChatGPT hesabına bağlanıyor.

Mekanizma şöyle işliyor: chatgpt.com istemcisi 16 rastgele bayt üretip /backend-api/bazaar/obi/sync-token adresine istek atıyor, sunucu 60 saniyede geçersiz olan bir RS256 JWT döndürüyor. Bu token bzr.openai.com/v1/obi/sync adresine gönderiliyor ve bir yıllık, SameSite=None; Secure ayarlı çerez yazılıyor. Araştırmacıya göre bu, reklam veren sayfalarındaki isteklerde taşınan tek OpenAI tanımlayıcısı; diğer tüm OpenAI çerezleri tarayıcı tarafından engellendi.

Ölçüm sonuçları

Bulgular birkaç aylık trafikte 1.029 ana makine üzerinde 936 farklı reklam veren pikselini kapsıyor. Tek bir cihazda aynı __obi değeri, aralarında Chewy, Wayfair, Eventbrite, HelloFresh ve Coursera'nın da bulunduğu 12 ticari siteden 13 ayrı piksel kimliğiyle OpenAI'a gitti; isteklerin hepsi 202 yanıtı aldı. 30 farklı __obi değerinin 12'si birden fazla reklam verende göründü.

Piksel SDK'sı reklam veren sayfasından kimlik bilgisi de topluyor. Gözlenen trafikte SDK'nın form alanlarından, sayfa metninden ve etiket yöneticisi veri katmanından kazıdığı kimlik verisi, reklam verenin bilerek ilettiği veriyi 685'e 255 geçti. E-posta, telefon ve ad SHA-256 ile özetlenerek gönderiliyor; ülke, bölge, şehir ve posta kodu açık metin halinde. URL'ler sorgu dizesi olmadan iletiliyor, ancak yol kısmı korunuyor.

OpenAI'ın çerez politikası __obi'yi analiz çerezi olarak listeliyor. Çözülen tüm senkronizasyon tokenlarında consent_decision: analytics_allowed yazıyordu; yani analize izin verip pazarlamayı reddeden kullanıcı da bu çerezi alıyor. Araştırmacı 14 Eylül'de OpenAI'a iki soru yöneltti, OpenAI Destek incelemeye alacağını bildirdi ama soruları yanıtlamadı.

Mekanizma Android'de Chrome üzerinde gözlendi; Safari'nin izleme engeli ve iOS tarayıcılarının WebKit temelli olması nedeniyle iOS'ta çalışmıyor. Ayrıntılar için kaynak incelemeye bakabilirsiniz.