ChatGPT、広告コレクターで他サイトの行動を追跡
Original : ChatGPT now knows what you do on other websites via ad collector
Pourquoi c'est important
OpenAIがMetaやGoogleと同様の行動追跡広告インフラを構築していることが技術的に確認された。
OpenAIは広告プラットフォーム「Bazaar」を通じ、ChatGPTユーザーの他サイトでの行動を追跡している。bzr.openai.com上の__obiクッキーが936の広告主ピクセルを経由して送信され、閲覧ページや購買行動がChatGPTアカウントに紐付けられる。
OpenAIの広告プラットフォーム「Bazaar」（内部コード名）は、MetaやGoogleのトラッキング方式と同様の仕組みを採用している。chatgpt.comは16バイトのランダム識別子を生成し、RS256 JWTとして署名したうえでbzr.openai.comに送信。応答として__obiクッキーが設定され、有効期限は1年間、SameSite=noneで構成されるため、クロスサイトリクエストにも送信される。
広告主がサイトにOpenAIのピクセルコードを設置すると、ユーザーがそのサイトを訪問した際に__obiが自動的にOpenAIへ送り返される。注目すべきは、SDKのスクリプト読み込み自体（script src）でもクッキーが送信される点だ。「認証情報なし」のコードパスを取っても回避できない。
調査では、SDKがwindow.dataLayer.pushを独自関数に置き換え、フォームフィールドやページテキスト、タグマネージャーのバスからメールアドレス・電話番号・氏名・位置情報を収集していることも判明。観測された685件のスクレイピングイベントに対し、広告主が意図的に提供したデータは255件にとどまった。メールと電話番号はSHA-256でハッシュ化されるが、郵便番号や都市名は平文で送信される。バージョン0.1.31では8月27日まで氏名と地理情報も取得していた。