OpenAIs ChatGPT verfolgt nun mithilfe eines Werbe-Tracker-Cookies namens __obi, was Sie auf anderen Websites tun, wie eine neue Entdeckung zeigt, die erneut die Aufmerksamkeit auf die Art und Weise lenkt, wie das Unternehmen Daten über seine Nutzer sammelt. Das Cookie verknüpft den Browserverlauf eines Besuchers mit seinem ChatGPT-Konto und enthält sensible Details wie E-Mail-Adressen, gehashte Namen und Standorte.
Der Name des Cookies verrät bereits einen Teil der Wahrheit: __obi.
Sobald es gesetzt ist, ist es auf .openai.com beschränkt und mit einem Benutzers ChatGPT-Konto verknüpft. Ein Unternehmen, das Werbung auf ChatGPT schaltet, installiert OpenAIs Code auf seiner eigenen Website. Dieser Code sendet das Cookie zusammen mit Browserdaten an OpenAI, während Nutzer von Seite zu Seite wechseln.
Wie das Cookie reist
Der Cookie-Wert ist mit einem Benutzers ChatGPT-Konto verknüpft und reist mit jedem Besuch auf einer Website, die ihn verwendet, zu OpenAI. Die gesendeten Daten umfassen gesuchte Produkte, gelesene Artikel und Kaufverhalten. Mit zwei unabhängigen Erfassungsmethoden über 936 Werbeanzeigen-Pixel und 1.029 Hostnamen wurde der Umfang des Cookies bestätigt.
JWT ist mit RS256 signiert, der Herausgeber ist „chatgpt-wadi“, das Ziel ist „bzr.openai.com“. JWT läuft 60 Sekunden nach der Ausstellung ab. POST /backend-api/bazaar/obi/sync-token oder /backend-anon/ generiert das Token. POST an bzr.openai.com/v1/obi/sync setzt das Cookie.
Das Cookie selbst ist HttpOnly, Max-Age=31536000, SameSite=none, Secure. Diese Kombination bedeutet, dass es vom Server gelesen, aber nicht vom Browser-Code gelesen werden kann und Anfragen über Websites hinweg verfolgt. Die darin enthaltenen Daten sind nicht Ende-zu-Ende-verschlüsselt.
Set-Cookie: __obi=«redacted»; Domain=.openai.com; HttpOnly; Max-Age=31536000; Path=/; SameSite=none; Secure
Daten von Webseiten werden über Skript-Laden erfasst, einschließlich Google Tag Manager und Facebooks eigener Dienste. E-Mail, Telefon, Namen werden mit SHA-256 gehasht. Land, Region, Stadt werden im Klartext gesendet. Postleitzahl wird am häufigsten erfasst, 100 Ereignisse über 28 Websites hinweg.
Das Ausgangsmaterial zeigt ein System, das darauf ausgelegt ist, den Bewegung eines Benutzers im Internet zu verfolgen. Das Cookie wird auf dem Browser eines Besuchers platziert, bevor irgendwelcher OpenAI-Code ausgeführt wird, was bedeutet, dass die Verfolgung beginnt, bevor der Benutzer sie stoppen kann.
Was die Daten enthüllt
Die Capture-Methoden verfolgten 936 Werbetracker-Pixel über 1.029 Hostnamen, eine große Stichprobe, die den Ergebnissen echtes Gewicht verleiht. Die JWT-Signatur, der Herausgeber und das Ziel bestätigen die Quelle des Cookies.
| Capture-Methode | Gesammelte Daten |
|---|---|
| Unabhängige Capture | 936 Werbetracker-Pixel |
| 1.029 Hostnamen verifiziert | 1.029 Hostnamen |
| JWT-Signatur | RS256, Herausgeber „chatgpt-wadi“, Ziel „bzr.openai.com“ |
| JWT-Ablauf | 60 Sekunden |
| POST-Endpunkte | /backend-api/bazaar/obi/sync-token, /backend-anon/ ) |
| Cookie-Einstellungen ) | HttpOnly, SameSite=none, Secure ) |
12 von 30 unterschiedlichen __obi-Werten tauchten unter mehreren Werbetreibenden auf. Das bedeutet, dass das Cookie nicht nur für eine einzelne Seite gilt; es verfolgt einen Nutzer über viele. Das Ausgangsmaterial zeigt ein System, das darauf ausgelegt ist, die Bewegungen eines Nutzers im Internet zu verfolgen. )
Was OpenAI sagt )
OpenAIs Cookie-Richtlinie listet __obi unter Analyse-Cookies auf chatgpt.com und openai.com auf. Die Richtlinie beschreibt Analyse-Cookies als hilfreich beim Verständnis der Service-Performance und -Nutzung. )
OpenAI betreibt Analysen und Marketing als separate Consent-Optionen: oai_consent_analytics und oai_consent_marketing. Jeder entschlüsselte Token trägt consent_decision: analytics_allowed. Das bedeutet, dass ein Nutzer, der Analyse-Consent gewährt, verfolgt wird, auch wenn er Marketing ablehnt. )
Die Offenlegung von Identifikatoren über Skript-Laden bedeutet, dass das Cookie gesendet wird, bevor irgendein OpenAI-Code ausgeführt wird, was bedeutet, dass die Verfolgung stattfindet, bevor der Nutzer sie verhindern kann. )
Die eigene Auffassung der Zeitung ist klar: Das Cookie ist ein Datenschutzproblem, auf das OpenAI noch keine Antwort gegeben hat. )
Eine Frage wurde an press@openai.com und privacy@openai.com am 14. September gesendet. Die Antwort kam von OpenAI Support, bestätigte die Anfrage und sagte, Beobachtungen würden zur Überprüfung weitergegeben. Das ist eine Bestätigung, keine Antwort. )
Wo die Zeitung steht )
Die Zeitung unterstützt Bürger und lokale Gruppen, die sich gegen Massenverfolgung wehren, und ist gegen Kameranetze, Daten-Schleppnetze und die Anbieter, die sich dafür einsetzen, sie aufrechtzuerhalten. OpenAIs __obi-Cookie geht weit über diese Grenzen hinaus. Es verfolgt die Bewegungen eines Nutzers im Internet, sammelt gehashte Namen und Klartext-Standorte und reist jedes Mal, wenn eine Seite das Cookie ausführt, zu OpenAI. )
Der Cookie wird auf dem Browser eines Besuchers platziert, bevor irgendein OpenAI-Code ausgeführt wird, was bedeutet, dass das Tracking beginnt, bevor der Nutzer es unterbinden kann. Die Cookie-Richtlinie des Unternehmens behandelt dies als Analytik, aber die gesammelten Daten gehen weit über die Service-Performance hinaus.
OpenAI hat auf die Anfrage Bezug genommen, aber keine Antwort gegeben. Die Zeitung möchte von OpenAI wissen, welche Daten der Cookie sammelt, wohin sie gelangen und wie lange sie gespeichert werden. Das Unternehmen sollte außerdem erklären, wie ein Nutzer, der der Analytik zustimmt, diese später ablehnen kann und wie der Cookie entfernt wird, wenn die Zustimmung widerrufen wird.
Quelle: “ChatGPT weiß jetzt, was Sie auf anderen Websites tun, über den Werbe-Collector,” buchodi.com.
Das Notizbuch abonnieren.
Die besten Geschichten des Tages und jedes neue Urteil, in klarem Deutsch, um sieben im Postfach. Eine Mail am Tag, nicht mehr.