AI 요약
OpenAI가 광고 플랫폼(bzr.openai.com)을 통해 __obi라는 쿠키를 설정하고, ChatGPT 광고주 사이트에 삽입된 픽셀 SDK를 통해 사용자가 다른 웹사이트에서 무엇을 하는지 추적하고 있다는 사실이 발견됐다. 이 쿠키는 ChatGPT 계정과 연결되며, 광고주 사이트 방문 시 OpenAI 서버로 전송되어 사용자의 검색 상품, 읽는 기사, 구매 행동 등이 ChatGPT 계정과 매칭된다. 저자는 자신의 휴대폰에서 두 가지 독립적 캡처 방법으로 전체 메커니즘을 재현하고, 936개 광고주 픽셀과 1,029개 호스트네임에 걸친 수개월간의 트래픽 데이터로 교차 검증했다.
핵심 포인트
- ChatGPT 클라이언트가 16바이트 랜덤 값을 생성해
POST /backend-api/bazaar/obi/sync-token을 호출하면, 백엔드가 RS256 JWT를 반환하며 여기서sub(계정)와obi(식별자)가 바인딩된다. __obi쿠키는Domain=.openai.com,SameSite=none; Secure,Max-Age=31536000(1년)으로 설정되어 크로스사이트 요청에서 전송된다.- 픽셀 SDK가 자격증명을 생략하는 코드 경로가 있어도,
<script src>태그 로딩 시 브라우저가 자동으로 쿠키를 첨부하기 때문에 식별자가 노출된다. - 936개 광고주 픽셀, 1,029개 호스트네임에서 수개월간 수집된 트래픽으로 검증됐다.
향후 전망
- 프라이버시 규제 당국(예: GDPR, CCPA)의 조사 및 제재 가능성이 높아질 것으로 보인다.
- OpenAI의 광고 사업 확장과 함께 사용자 추적 범위에 대한 업계·규제 논쟁이 확대될 전망이다.