ChatGPT de OpenAI ahora rastrea lo que usted hace en otros sitios web a través de una cookie recolectora de publicidad llamada __obi, un nuevo descubrimiento que ha llamado la atención sobre cómo la compañía recopila datos de sus usuarios. La cookie vincula el historial de navegación de un visitante a su cuenta de ChatGPT, y lleva detalles sensibles incluyendo direcciones de correo electrónico, nombres con hash y ubicaciones.
El nombre de la cookie cuenta parte de la historia: __obi.
Cuando se establece, está limitado a .openai.com y vinculado a la cuenta de ChatGPT de un usuario. Una compañía que compra publicidad en ChatGPT instala código de OpenAI en su propio sitio. Ese código envía la cookie a OpenAI junto con datos de navegación a medida que los usuarios se mueven de página en página.
Cómo viaja la cookie
El valor de la cookie está vinculado a la cuenta de ChatGPT de un usuario, y viaja a OpenAI con cada visita a un sitio que la ejecuta. Los datos enviados incluyen productos buscados, artículos leídos y comportamientos de compra. Verificado con dos métodos de captura independientes a través de 936 píxeles de anunciantes, 1,029 nombres de host, el alcance de la cookie es amplio.
JWT está firmado con RS256, el emisor es «chatgpt-wadi», la audiencia es «bzr.openai.com». JWT expira 60 segundos después de su emisión. POST /backend-api/bazaar/obi/sync-token o /backend-anon/ genera token. POST a bzr.openai.com/v1/obi/sync establece la cookie.
La cookie en sí es HttpOnly, Max-Age=31536000, SameSite=none, Secure. Esa combinación significa que puede ser leída por el servidor pero no por el código del navegador, y que sigue las solicitudes a través de sitios. Los datos dentro de ella no están encriptados de extremo a extremo.
Set-Cookie: __obi=«redacted»; Domain=.openai.com; HttpOnly; Max-Age=31536000; Path=/; SameSite=none; Secure
Datos de páginas web se recolectan a través de cargas de scripts, incluyendo Google Tag Manager y los propios servicios de Facebook. Correo electrónico, teléfono, nombres son con hash con SHA-256. País, región, ciudad se envían en texto claro. Código postal se recolecta con más frecuencia, 100 eventos a través de 28 sitios.
El material fuente muestra un sistema diseñado para seguir los movimientos de un usuario a través de la web. La cookie se coloca en el navegador de un visitante antes de que se ejecute cualquier código de OpenAI, lo que significa que el rastreo comienza antes de que el usuario pueda detenerlo.
Lo que revela los datos
Los métodos de captura rastrearon 936 píxeles de anunciantes a través de 1.029 nombres de dominio, una muestra amplia que da peso real a los hallazgos. La firma JWT, el emisor y los detalles de la audiencia confirman la fuente de la cookie.
| Método de captura | Datos recopilados |
|---|---|
| Captura independiente | 936 píxeles de anunciantes |
| 1.029 nombres de dominio verificados | 1.029 nombres de dominio |
| Firma JWT | RS256, emisor «chatgpt-wadi», audiencia «bzr.openai.com» |
| Vencimiento de JWT | 60 segundos |
| Puntos finales POST | /backend-api/bazaar/obi/sync-token, /backend-anon/ ) |
| Configuración de cookies ) | HttpOnly, SameSite=none, Secure ) |
12 de 30 valores distintos de __obi aparecieron bajo múltiples anunciantes. Eso significa que la cookie no es única de un sitio; sigue a un usuario a través de muchos. El material de origen muestra un sistema diseñado para seguir los movimientos de un usuario a través de la web. )
Lo que dice OpenAI )
La política de cookies de OpenAI lista __obi bajo cookies de análisis en chatgpt.com y openai.com. La política describe las cookies de análisis como las que ayudan a comprender el rendimiento y el uso del servicio. )
OpenAI realiza análisis y marketing como opciones de consentimiento separadas: oai_consent_analytics y oai_consent_marketing. Cada token decodificado lleva una decisión de consentimiento: analytics_allowed. Eso significa que un usuario que otorga consentimiento para análisis es rastreado, incluso si rechaza marketing. )
La divulgación de identificadores a través de la carga de scripts significa que la cookie se envía antes de que se ejecute cualquier código de OpenAI, lo que significa que el rastreo ocurre antes de que el usuario pueda detenerlo. )
La propia opinión del periódico es clara: la cookie es un problema de privacidad que OpenAI aún no ha respondido. )
Se envió una pregunta a press@openai.com y privacy@openai.com el 14 de septiembre. La respuesta provino de OpenAI Support, reconoció la consulta y dijo que las observaciones se compartirían para su revisión. Esa es una confirmación, no una respuesta. )
Dónde está el periódico )
El periódico apoya a los ciudadanos y grupos locales que se oponen al rastreo masivo, y se opone a las redes de cámaras, las redes de datos y los proveedores que hacen lobby para mantenerlas. La cookie __obi de OpenAI está mucho más allá de esos límites. Sigue los movimientos de un usuario a través de la web, recopila nombres con hash y ubicaciones de texto claro, y viaja a OpenAI con cada visita a un sitio que la ejecuta. )
La cookie se coloca en el navegador de un visitante antes de que se ejecute algún código de OpenAI, lo que significa que el rastreo comienza antes de que el usuario pueda detenerlo. La política de cookies de la empresa considera esto como analítica, pero los datos recopilados van mucho más allá del rendimiento del servicio.
OpenAI ha reconocido la consulta pero no ha ofrecido respuesta. El periódico desea que OpenAI diga claramente qué datos recopila la cookie, a dónde van y durante cuánto tiempo permanecen. La empresa también debe explicar cómo un usuario que otorga consentimiento para las analíticas puede rechazarlo más adelante, y cómo se elimina la cookie cuando se retira el consentimiento.
Fuente: “ChatGPT ahora sabe lo que haces en otros sitios web a través de un recolector de publicidad,” buchodi.com.
Recibe El Cuaderno.
Las mejores historias del día y cada veredicto nuevo, en español claro, en tu correo a las siete. Un correo al día, nada más.