ChatGPT, 이제 광고 수집기를 통해 다른 웹사이트에서 하는 일도 알게 됨

OpenAI의 광고 수집기가 ChatGPT 계정에 연결된 __obi 쿠키를 광고주 웹사이트에서도 수신하는 동작이 확인됨. 다만 수집된 이벤트를 서버에서 실제 계정에 연결하는 과정까지 관찰한 것은 아님 광고 측정 SDK를 불러오는 요청 자체에 쿠키가 붙어 전송됨. SDK 내부에서 인증 정보를 생략하는 경로를 사용하더라도 스크립트를 로드할 때 이미 식별자가 전달됨 SDK는 광고주가 직접 제공하는 정보 외에 폼 입력값, 페이지 텍스트, 태그 관리자 데이터에서도 개인정보를 수집함. 관찰된 트래픽에서는 자동 수집된 식별 정보가 광고주 제공 정보보다 많았음 __obi는 분석 쿠키로 분류되며, 분석에 동의하고 마케팅을 거부한 사용자에게도 설정됨. 로그아웃 상태에서도 기기별 익명 식별자가 최소 27일간 유지된 사례가 확인됨 동작은 Android용 Chrome에서 확인됐으며, 제3자 쿠키를 차단하는 iOS 브라우저에서는 작동하지 않음. 데스크톱 Chrome은 미검증 상태이고, 모든 ChatGPT 세션에서 쿠키 동기화가 발생하는 것도 아님 ChatGPT 계정과 외부 사이트 활동을 연결하는 구조 OpenAI의 광고 수집기 bzr.openai.com은 .openai.com 범위의 __obi 쿠키를 설정하며, 이 값은 ChatGPT 사용 중 계정과 연결됨 ChatGPT에 광고를 집행하는 기업은 자사 사이트에 OpenAI 광고 측정 코드를 설치함 코드가 로드되면 __obi와 함께 탐색 중인 페이지 데이터가 OpenAI로 전송됨 검색하는 상품, 읽는 글, 구매 행동 등이 대상이며, 구조상 해당 사이트 활동을 ChatGPT 계정과 연결할 수 있음 개인 휴대전화에서 전체 동작을 재현하고 독립적인 두 가지 캡처 방식으로 검증함 수개월간 관찰한 광고주 픽셀 936개, 호스트명 1,029개의 트래픽과도 교차 확인함 식별자 생성, 서명, 쿠키 설정 chatgpt.com 클라이언트는 무작위 16바이트를 생성한 뒤 POST /backend-api/bazaar/obi/sync-token을 호출함 로그아웃 상태에서는 /backend-anon/ 경로를 사용함 백엔드는 RS256 JWT를 반환함 JWT는 계정을 나타내는 sub와 식별자인 obi를 묶고, 수신 대상을 bzr.openai.com으로 제한하며 60초 뒤 만료됨 관찰된 계정 토큰의 sub는 64자리 16진수 계정 식별자이고, obi는 22자 식별자임 iss: chatgpt-wadi, purpose:...