ChatGPT'nin __obi çerezi sizi diğer web sitelerine kadar takip eder

OpenAI, tarayıcınıza __obi adlı bir çerez kaydeder. Bu çerez bir yıl süreyle geçerlidir ve ChatGPT hesabınızla bağlantılıdır. ChatGPT'de reklam alan bir sayfayı yüklediğinizde, tarayıcı bu tanımlayıcıyı, okuduğunuz veya satın almaya çalıştığınız şeylerle ilgili ayrıntılarla birlikte doğrudan OpenAI'ye iletir. Buchodi's Threat Intel adlı bir güvenlik blogu, bu mekanizmayı 20 Eylül'de yayınladı ve bunu bir telefonda yeniden canlandırdı.

Çerez neden aktarılır?

OpenAI, 10 Eylül'de güncellenen kendi çerez politikasında __obi'yi, bir yıllık ömre sahip bir analiz çerezi olarak listeliyor. Bu, o bölümdeki tek girdidir. Aynı zamanda SameSite=None ayarıyla ayarlanmış tek OpenAI çerezi de budur. Bu ayar, bir tarayıcının farklı bir siteye yönelik bir isteğe çerez eklemeden önce ihtiyaç duyduğu şeydir. Test sırasında diğer tüm OpenAI çerezleri engellendi.

Reklamverenler, sayfalarına küçük bir komut dosyası yerleştirir; OpenAI bunu “Measurement Pixel” olarak tanımlar. Bu komut dosyası bzrcdn.openai.com adresinden yüklenir ve olayları bzr.openai.com adresine bildirir. Böyle bir sayfada geliştirici konsolunu açıp window.oaiq yazdığınızda, yanıt “function” olarak gelir. 21 Eylül'de wayfair.com'da durum böyleydi. Reklamlar 24 Ağustos'ta Almanya ve diğer 30 Avrupa pazarına ulaştı. Bu reklamlar, Free ve Go hesaplarında görünüyor. Bunları kaldırmanın tek yolu ücretli bir plana geçmektir.

Tanımlayıcıyla birlikte aktarılan bilgiler

Piksel, kendisinden istenmeden, kendisini barındıran sayfadan müşteri verilerini okur. OpenAI buna otomatik gelişmiş eşleştirme adını verir ve pikselin "web sitenizden desteklenen müşteri bilgilerini otomatik olarak algıladığını" belirtir. E-posta adresleri, telefon numaraları ve isimler önce tarayıcıda hash işlemine tabi tutulur. Ülke, bölge, şehir ve posta kodu aynı alan tablosunda yer alır ve hash işlemi uygulanmadan gönderilir. Posta kodunun, 28 sitede toplam 100 olayla en sık toplanan form alanı olduğu ortaya çıktı. Pikselin kendi başına topladığı veriler, reklamverenin kasıtlı olarak ilettiği verilerin sayısını aştı: 685 olay karşı 255.

Adresler yalnızca kaynak ve yol olarak geldi; soru işaretinden sonra hiçbir şey yoktu. Bu yollar arasında bir sağlık durumu, bir borç hafifletme süreci ve bir dava başvuru formu yer alıyordu. Bazı alanlar dışarıda kalıyor, çünkü OpenAI şifreleri, tek kullanımlık kodları, kart numaralarını, doğum tarihlerini, teşhisleri ve mahkeme kayıtlarını kapsayan bir engelleme listesi tutuyor. Bu kalıbı, adından da anlaşılacağı kadar etkili olmayan eğitim anahtarından tanıyabilirsiniz.

OpenAI'nin söyledikleri ve açık kalanlar

OpenAI, Avrupa’da reklamları duyuran blog yazısında şöyle belirtiyor: “Konuşmaları reklamcılardan gizli tutuyoruz ve müşteri verilerini asla satmıyoruz.” Trafik ters yönde aktığı için bu iki söz de burada geçerli değil. Reklamcılar __obi’yi hiç okuyamazlar, çünkü bu, komut dosyalarının erişemediği bir etki alanına aittir. Analizin yazarı, 14 Eylül'de OpenAI'ye iki soru gönderdi; bunlardan biri, bir reklam çerezinin neden analitik altında kaydedildiğiydi. Cevap destek ekibinden geldi ve her iki soruyu da yanıtlamadı.

Analiz, sınırları konusunda açık davranıyor ve bu da onu yararlı kılan şey. Gözlemler, Android'deki Chrome'dan elde edildi. iPhone ve iPad’deki tüm tarayıcılar, izleme koruması üçüncü taraf çerezlerini engelleyen WebKit üzerinde çalışır; bu nedenle mekanizma bu cihazlara ulaşamaz. Yaklaşık her beş ChatGPT oturumundan sadece birinde bir tanımlayıcı üretildi. OpenAI’nin gelen olayları sunucularında hesabınıza eşleştirmesi tasarımdan kaynaklanmaktadır ve kimse bunun gerçekleştiğini gözlemlememiştir.

Değiştirebileceğiniz şeyler

İşe yarayan ayar tarayıcıda yer alıyor. Üçüncü taraf çerezleri engellediğinizde, __obi diğer sitelere ulaşamaz. Her OpenAI sayfasının alt kısmında bir “Çerezleri Yönet” düğmesi bulunur ve __obi, buradaki analitik bölümündeki tek girdidir. Pazarlama amaçlı çerezleri reddetmek yeterli değildir, çünkü çözülmüş her token analitik iznini de beraberinde taşır. openai.com için çerezleri temizlemek tanımlayıcıyı sıfırlar ve bir sonraki ziyaretinizde yeni bir tanımlayıcı gelir. Oturumu kapatmak da bir işe yaramaz. Tanımlayıcıların yaklaşık beşte biri anonim oturumlara aitti ve en az 27 gün boyunca sabit kaldı.