OpenAI 광고 추적: __obi 쿠키가 ChatGPT 계정을 외부 웹 활동과 연결하는 방법

OpenAI, ChatGPT 계정을 외부 웹 활동과 연결하기 위해 타사 추적 구현

OpenAI는 사용자의 타사 웹사이트 활동을 특정 ChatGPT 계정에 연결할 수 있는 광고 추적 메커니즘을 배포했습니다. OpenAI 측정 픽셀이 설치된 모든 사이트에서 __obi라는 특수 쿠키를 사용하여 OpenAI는 사용자가 검색하는 제품, 읽는 기사, 구매 행동을 추적할 수 있습니다.

기술적 메커니즘: __obi 쿠키 수명 주기

OpenAI의 추적 시스템은 사용자의 신원을 교차 사이트 식별자에 결합하는 3단계 프로세스를 통해 작동합니다.

1. 신원 결합 및 토큰 생성

사용자가 chatgpt.com을 방문하면 클라이언트는 16바이트의 난수를 생성하고 /backend-api/bazaar/obi/sync-token을 통해 백엔드에 동기화 토큰을 요청합니다. 서버는 사용자의 계정 주체(sub)를 고유 식별자(obi)에 결합하는 RS256 JWT(JSON Web Token)를 반환합니다. 이 토큰은 60초 후에 만료되는 단기 토큰입니다.

2. 교차 사이트 쿠키 배포

클라이언트는 이 JWT를 bzr.openai.com/v1/obi/sync로 보냅니다. 서버는 .openai.com 도메인으로 범위가 지정된 __obi라는 쿠키를 설정하여 응답합니다. 중요한 점은 이 쿠키가 SameSite=none 및 Secure로 구성되어 있다는 것인데, 이는 브라우저가 교차 사이트 요청(타사 요청) 중에 쿠키를 전송하는 데 필요한 특정 설정입니다.

3. 타사 데이터 전송

사용자가 OpenAI SDK(측정 픽셀)가 설치된 광고주의 웹사이트를 방문하면 브라우저는 OpenAI 호스트(bzrcdn.openai.com 또는 bzr.openai.com)로 전송되는 요청에 __obi 쿠키를 자동으로 첨부합니다. 이는 SDK의 초기 스크립트 로드 중에도 발생하므로, SDK의 내부 코드가 실행되기도 전에 사용자의 신원이 OpenAI에 공개됩니다.

데이터 수집 및 신원 스크래핑

__obi 식별자 외에도 OpenAI SDK는 여러 방법을 사용하여 광고주 페이지에서 직접 신원 데이터를 수집합니다.

• 스크래핑된 신원: SDK는 양식 필드, 렌더링된 페이지 텍스트 및 태그 관리자 버스(예: window.dataLayer.push 또는 adobeDataLayer)에서 데이터를 스크래핑합니다. 관찰된 트래픽에서 스크래핑된 신원 이벤트는 광고주가 제공한 신원 이벤트보다 685 대 255로 더 많았습니다.
• 해시된 PII: 이메일 주소, 전화번호, 이름은 전송 전에 SHA-256으로 해시됩니다.
• 일반 텍스트 데이터: 국가, 지역, 도시, 우편번호를 포함한 지리적 데이터는 일반 텍스트로 전송됩니다. 우편번호는 가장 자주 수집되는 양식 필드 중 하나였습니다.
• 행동 데이터: URL은 오리진과 경로로 전송됩니다. 관찰된 경로에는 의료 상태, 부채 해결 퍼널, 소송 접수 양식과 같은 민감한 정보가 포함되어 있었습니다.

범위 및 제한 사항

브라우저 호환성

이 추적 메커니즘은 타사 쿠키에 의존합니다. 결과적으로 Safari(Intelligent Tracking Prevention을 통해)나 iOS의 모든 브라우저와 같이 기본적으로 이를 차단하는 브라우저에서는 작동하지 않습니다. 주로 Android용 Chrome에서 관찰됩니다.

동의 및 정책

OpenAI의 쿠키 정책은 __obi를 "분석" 쿠키로 분류합니다. 그러나 __obi 쿠키가 동기화 토큰의 analytics_allowed 결정과 연결되어 있기 때문에 분석 동의는 하지만 마케팅 동의는 거부한 사용자에게도 추적은 발생합니다.

사용자 가시성

광고주는 __obi 쿠키가 광고주 사이트의 타사인 .openai.com 도메인에 속하기 때문에 이를 볼 수 없습니다. 광고주는 전환 이벤트만 볼 수 있으며, 어떤 특정 ChatGPT 사용자가 자신의 사이트를 방문하는지는 알 수 없습니다.

커뮤니티 관점 및 개인정보 보호 우려

Hacker News의 기술 토론은 표준 광고 기술 관행과 AI 제품의 특성 사이의 상당한 긴장을 강조합니다.

"이 메커니즘은 표준 광고 기술입니다. 전례가 없는 것은 이를 AI 채팅 제품에서 실행한다는 점입니다. 사람들은 소셜 네트워크에는 올리지 않을 내용을 이 제품들에 말하며, 이 제품들은 점점 더 사용자를 대신하여 행동합니다." — @handle

비평가들은 대화형 AI에 대한 개인정보 보호 기대치가 Facebook과 같은 소셜 네트워크의 기대치와 근본적으로 다르다고 주장합니다. 일부 사용자는 이러한 데이터 수집이 중립적인 정보를 제공하기보다는 제품을 판매하기 위해 설계된 "지나치게 편향된" AI 응답으로 이어질 수 있다고 우려를 표명했습니다.

다른 사용자들은 엄격한 쿠키 파티셔닝을 사용하는 브라우저(예: Firefox 또는 Brave)를 사용하는 사람들의 경우, 쿠키 저장소가 분리되어 계정이 타사 광고 조회와 연결되는 것을 방지하므로 개인정보 보호 우려가 크게 완화된다고 언급했습니다.