セキュリティ研究者のBuchodi氏は、OpenAIが広告トラッキングピクセルを含むメカニズムを通じて、外部ウェブサイトにおけるユーザーの活動をChatGPTアカウントに紐付けられる可能性があると報告しました。
Buchodi氏の調査によると、ユーザーがChatGPTにアクセスすると、一意の識別子が生成され、.openai.com ドメインの __obi という名前のクッキーとしてブラウザに保存されます。同じユーザーが、広告主がコンバージョンを追跡するために使用するツールであるOpenAIの「Measurement Pixel」を統合しているサードパーティのウェブサイトを訪れると、この __obi クッキーがOpenAIの収集サーバーに送信されます。
この研究では、このメカニズムによって、特定のページを閲覧したりサイトの要素と対話したりといった具体的なウェブ活動を、個人のChatGPTのアイデンティティに関連付けることがOpenAI側で可能になることが判明しました。AndroidのChromeブラウザを用いたBuchodi氏のテストでは、12 の異なる商業サイトからOpenAIへクッキーが送信されていることが示されました。収集機に送信されるURLからはクエリ文字列は削除されますが、パス情報はそのまま保持されます。
観測されたデータでは、メールアドレスや電話番号などの一部の個人情報が、フォームの入力フィールドやページテキストからSDKによって取得されていました。ただし、これらは送信前にSHA-256 でハッシュ化されていると報告されています。
OpenAIは以前、Measurement Pixelを広告効果を測定するためのツールとして説明しており、__obi を分析用クッキーとしてリストアップしています。このクッキーがなぜ分析用クッキーに分類されているのか、また、マーケティングはオプトアウトしているが分析は許可しているユーザーにおいても、依然としてこのトラッキングがトリガーされるのかという問い合わせに対し、OpenAIサポートは「社内で検討する」と述べたのみで、具体的な回答は示しませんでした。
出典
- ChatGPTを開いた後に別サイトで見たページの情報がOpenAIへ送られる仕組みが指摘される （GIGAZINE, 2026-09-25）
- Buchodi