Az OpenAI egy __obi nevű, egy évig érvényes sütit helyez el a ChatGPT-felhasználók böngészőjében, amely a fiókjukhoz kötődik. A süti a más webhelyeken végzett tevékenység nyomon követésére is használható.
- A süti SameSite=None beállítása lehetővé teszi, hogy a böngésző más webhelyekre irányuló kérésekhez is csatolja; az OpenAI a saját szabályzatában elemzési sütiként sorolja fel.
- A külső webhelyekbe beágyazható „Measurement Pixel” szkript adatokat gyűjt a látogatókról. A hirdetők magát az __obi sütit nem tudják kiolvasni; a forrás szerint a Free és Go csomagokban jelenik meg, és csak fizetős előfizetéssel távolítható el.
- Az automatikus fejlett egyeztetés e-mail-címeket, telefonszámokat és neveket a böngészőben hashel, az országot, régiót, várost és irányítószámot viszont hash-elés nélkül küldi el. A vizsgálatban a pixel 685 alkalommal gyűjtött önállóan adatot, szemben a hirdetők 255 szándékos adatátadásával.
- Bár a tiltólista többek között a jelszavakra, egyszeri kódokra, kártyaszámokra, születési dátumokra, diagnózisokra és bírósági iratokra is kiterjed, a pixel más személyes adatokat továbbra is begyűjthet. Az oldal elérési útja egészségügyi állapotra, adósságrendezésre vagy peres ügyfelvételre is utalhat.
- A megfigyelések Androidon futó Chrome-ból származnak. iPhone-on és iPaden a WebKit nyomkövetés elleni védelme blokkolja a harmadik féltől származó sütiket, ezért a mechanizmus nem működik ezeken az eszközökön. Csak nagyjából minden ötödik ChatGPT-munkamenethez jött létre azonosító.
- A harmadik féltől származó sütik böngészőbeli letiltása megakadályozza, hogy az __obi más webhelyekre is továbbkerüljön.
- Az OpenAI oldalain a „Cookie-k kezelése” gombnál az __obi az egyetlen elemzési süti. A marketingcélú sütik elutasítása nem elég; a sütik törlése új azonosítót hoz létre, a kijelentkezés pedig nem szünteti meg a követést. Néhány azonosító névtelen munkamenethez tartozott, és legalább 27 napig változatlan maradt.
