ChatGPT आपकी अन्य साइट गतिविधि ट्रैक करता है
मूल शीर्षक: ChatGPT now knows what you do on other websites via ad collector
यह क्यों महत्वपूर्ण है
OpenAI का विज्ञापन तंत्र Meta-Google की तरह cross-site tracking करता है, जो AI कंपनियों के डेटा उपयोग पर नई नियामक चुनौती खड़ी करता है।
OpenAI का विज्ञापन संग्राहक bzr.openai.com एक कुकी '__obi' सेट करता है जो ChatGPT अकाउंट से जुड़ी होती है। विज्ञापनदाताओं की साइटों पर लगा OpenAI का कोड इसे वापस भेजता है, जिससे उपयोगकर्ता की ब्राउज़िंग, उत्पाद खोज और खरीद व्यवहार OpenAI के सर्वर तक पहुँचता है।
शोधकर्ता ने स्वयं के फोन पर इस पूरे तंत्र को पुनः उत्पन्न किया और दो स्वतंत्र कैप्चर विधियों से सत्यापित किया। साथ ही 1,029 होस्टनेम पर 936 विज्ञापनदाता Pixel का कई महीनों तक विश्लेषण किया।
यह तीन चरणों में काम करता है। पहले, chatgpt.com पर 16 रैंडम बाइट्स से एक identifier बनती है और POST अनुरोध से RS256 JWT टोकन मिलता है। इस टोकन में उपयोगकर्ता का अकाउंट 'sub' और identifier 'obi' दोनों बंधे होते हैं, और यह 60 सेकंड में समाप्त होता है। दूसरे चरण में यह JWT, bzr.openai.com को भेजा जाता है जो '__obi' कुकी सेट करती है — SameSite=none के साथ, जो cross-site अनुरोधों पर भी भेजी जा सकती है। Max-Age एक वर्ष है।
तीसरे चरण में, Meta या Google की तरह, विज्ञापनदाता अपनी साइट पर OpenAI का SDK कोड लगाते हैं। जब भी उपयोगकर्ता उस साइट पर जाता है, '__obi' कुकी OpenAI के सर्वर पर स्वतः पहुँच जाती है — SDK का 'no credentials' पथ भी इसे नहीं रोकता क्योंकि ब्राउज़र script load से पहले ही कुकी जोड़ देता है।
SDK, विज्ञापनदाता द्वारा दिए डेटा के अलावा, फॉर्म फील्ड, पेज टेक्स्ट और Tag Manager bus से भी डेटा स्वयं खींचता है। 685 इवेंट SDK-स्क्रेप्ड थे बनाम 255 विज्ञापनदाता-आपूर्ति। ईमेल, फोन, नाम SHA-256 हैश होकर भेजे जाते हैं, लेकिन देश, शहर, पोस्टल कोड सादे पाठ में। Version 0.1.31 में नाम और भूगोल डेटा भी था जिसे 27 अगस्त को हटाया गया।