ChatGPT اکنون می داند که شما در وب سایت های دیگر از طریق جمع آوری آگهی چه می کنید

هر شرکتی که تبلیغات را در ChatGPT خریداری می کند، قطعه کوچکی از کد OpenAI را در سایت خود نصب می کند، به همان روشی که خرده فروشان قبلا متا و کد رهگیری گوگل را نصب می کنند. با بارگیری آن کد، __obi را به همراه داده های مربوط به صفحه ای که در حال مرور آن هستید به OpenAI ارسال می کند. این شامل محصولاتی است که جستجو می کنید، مقالاتی که می خوانید و رفتارهای خرید.

نکته اصلی این است که OpenAI می تواند آنچه را که در آن سایت ها انجام می دهید به حساب ChatGPT شما متصل کند.

من مکانیسم کامل را در تلفن خود بازتولید کردم، با دو روش ضبط مستقل تأیید شد و با چندین ماه ترافیک مشاهده شده که 936 پیکسل تبلیغ کننده متمایز را در 1029 نام میزبان پوشش می داد، بررسی کردم.

مرحله 1. ChatGPT یک شناسه ایجاد می کند و آن را امضا می کند.

در chatgpt.com، مشتری 16 بایت تصادفی تولید می‌کند و پس از خروج از سیستم، POST /backend-api/bazaar/obi/sync-token (یا /backend-anon/) را فرا می‌خواند. باطن یک RS256 JWT برمی گرداند:

زیر حساب است. obi شناسه است. توکن آن‌ها را متصل می‌کند، در محدوده جمع‌کننده قرار می‌گیرد و در 60 ثانیه منقضی می‌شود. bzr مخفف bazaar، نام داخلی OpenAI برای پلتفرم تبلیغات است. wadi سرویس صادر کننده است.

کلاینت {"token": ""JWT""} را بین سایتی به bzr.openai.com/v1/obi/sync ارسال می کند. پاسخ:

سه کلاس درخواست از صفحه یک تبلیغ‌کننده به میزبان OpenAI می‌رود. روی یک تلفن با __obi در شیشه، هر سه آن را حمل کردند:

همین SDK هویت را از صفحه تبلیغ‌کننده نیز جمع‌آوری می‌کند. محموله چهار منبع را جدا می‌کند که توسط خود OpenAI برچسب‌گذاری شده‌اند: برای مقادیری که تبلیغ‌کننده عمدا پاس می‌دهد، و fm، ht، js برای مقادیری که SDK از فیلدهای فرم، متن صفحه رندر شده و گذرگاه مدیریت برچسب حذف می‌کند. در ترافیک مشاهده شده، هویت خراشیده شده از 685 رویداد از هویت ارائه شده توسط تبلیغ کننده بیشتر به 255 رویداد رسید.

گذرگاه tag-manager بزرگترین منبع ایمیل است. SDK تابع خود را جایگزین window.dataLayer.push می‌کند، adobeDataLayer را نیز می‌خواند، و با تجزیه پارامتر l= از تگ اسکریپت gtm.js، لایه‌های GTM تغییر نام یافته را مکان‌یابی می‌کند. نسخه های فعلی ایمیل و تلفن را از آن می گیرند. نسخه 0.1.31 نیز قبل از محدود شدن دامنه در 27 آگوست، نام ها و جغرافیا را به خود اختصاص داد.

ایمیل، تلفن، نام و نام خانوادگی SHA-256 قبل از ارسال هش شده است. کشور، منطقه، شهر و کد پستی به صورت شفاف ارسال می شود. کد پستی بیشترین تعداد فیلد فرم، 100 رویداد در 28 سایت بود.

URL ها قبل از ارسال به مسیر مبدا به اضافه کاهش می یابند. هیچ یک از 23929 مشاهده شده دارای یک رشته پرس و جو نبودند. مسیرها باقی می مانند و مسیرهایی که به جمع کننده می رسند شامل یک وضعیت پزشکی، یک قیف حل بدهی و یک فرم دریافت دعوی قضایی است.

تطبیق خودکار برای 638 پیکسل از 881 پیکسل با یک تنظیم شناخته شده، از جمله هر تبلیغ کننده اعتبار و وام مشاهده شده، فعال شد. این توسط مدیر تبلیغات OpenAI کنترل می شود. فهرست انکار رمزهای عبور، کدهای یکبار مصرف، شماره کارت، SSN، تاریخ تولد، سابقه پزشکی، تشخیص و فیلدهای دادگاه را حذف می کند.

__obi تنها شناسه OpenAI است که با SameSite=None پیکربندی شده است.

در دستگاه من، یک مقدار __obi از 12 وب سایت تجاری تحت 13 شناسه پیکسل متمایز، از جمله Chewy، Wayfair، ThriftBooks، Eventbrite، HelloFresh، Coursera و SeatGeek به OpenAI ارسال شد. هر درخواست با 202 پذیرفته شد.

در ترافیک وسیع‌تر، 12 مورد از 30 مقدار __obi متمایز در زیر بیش از یک تبلیغ‌کننده ظاهر شد، یکی زیر ده.

در بین 932 توکن همگام رمزگشایی شده، 736 مورد موضوع_نوع: حساب_کاربر و 196 مورد ناشناس حمل می‌شوند. موضوع ناشناس به اندازه موضوع حساب پایدار است: یک مورد در هر دستگاه، حداقل 27 روز ادامه دارد.

OpenAI تجزیه و تحلیل و بازاریابی را به‌عنوان دو انتخاب رضایت مجزا اجرا می‌کند، oai_consent_analytics و oai_consent_marketing، و هر توکن همگام‌سازی که رمزگشایی کردم حاوی consent_decision: analytics_allowed بود. کسی که اجازه تجزیه و تحلیل را می دهد و بازاریابی را رد می کند، این را دریافت می کند.

تبلیغ کنندگان نمی توانند این را ببینند. __obi متعلق به دامنه ای است که اسکریپت های آنها نمی توانند بخوانند. آنها یک پیکسل تبدیل نصب کرده‌اند و راهی ندارند که بدانند بازدیدکنندگانشان به یک هویت ChatGPT حل می‌شوند.