9월 20일 공개된 한 독립 기술 조사에 따르면, OpenAI의 광고 수집 시스템은 사용자 브라우저에 크로스사이트 쿠키를 심고, OpenAI 광고 픽셀을 도입한 가맹점 사이트는 이를 이용해 사용자의 사이트 밖 탐색·구매 행동을 OpenAI로 되돌려 보내 해당 ChatGPT 계정과 연결한다고 한다. 이 글은 해커뉴스(Hacker News)에서 인기 글로 올라섰다.
저자는 자신의 휴대폰에서 두 가지 독립적인 패킷 캡처 방식으로 전체 과정을 재현하고, 몇 달간 쌓아온 트래픽 데이터와 대조했다. OpenAI는 글에서 제기된 구체적인 질문에 아직 답하지 않았다.
쿠키가 오가는 과정
캡처 기록에 따르면 과정은 3단계로 나뉜다. 먼저 ChatGPT 페이지가 16바이트 식별자를 생성해 /backend-api/bazaar/obi/sync-token에 요청을 보내면, 60초 뒤 만료되는 RS256 서명 토큰이 돌아오는데 이 토큰은 현재 계정과 해당 식별자를 묶는다. 이어 페이지는 이 토큰을 크로스사이트로 bzr.openai.com에 제출하고, 이곳에서 .openai.com 도메인에 __obi를 기록한다. 속성은 SameSite=None, Secure, HttpOnly이며 유효기간은 31536000초, 즉 1년이다.
이후 사용자가 OpenAI 광고 픽셀이 심어진 가맹점 사이트를 방문하면 브라우저는 __obi를 페이지 데이터와 함께 OpenAI로 전송한다. 픽셀이 수집하는 항목에는 SHA-256으로 해시 처리된 이메일·전화번호·이름, 평문으로 된 국가·지역·도시·우편번호, 그리고 쿼리 매개변수를 제거한 페이지 경로가 포함된다.
저자가 관찰한 픽셀 881개 중 638개에서 자동 매칭이 활성화돼 있었다. 페이지에서 자동으로 긁어온 신원 정보와 가맹점이 능동적으로 제출한 정보의 비율은 685 대 255였다. 기록된 경로에는 질병 관련 페이지, 채무 조정 유입 페이지, 소송 등록 양식 등이 포함돼 있었다.
분석용인가, 마케팅용인가
가장 논란이 되는 지점은 분류다. OpenAI의 쿠키 정책은 __obi를 분석용 쿠키로 분류하며, 서비스 이용 현황 파악을 돕기 위한 것이라고 설명한다. 그러나 저자가 해독한 동기화 토큰에는 모두 consent_decision: analytics_allowed라는 항목이 담겨 있었다. 저자의 결론은 다음과 같다.
"Someone who allows analytics and refuses marketing gets this."
분석은 허용하고 마케팅은 거부한 사람에게도 이 쿠키는 똑같이 심어진다.
저자의 한 기기에서는 동일한 __obi 값이 Chewy, Wayfair, ThriftBooks, Eventbrite, HelloFresh, Coursera, SeatGeek을 포함한 12개 상업 사이트에서 전송됐다. 더 넓은 표본에서는 서로 다른 쿠키 값 30개 중 12개가 둘 이상의 광고주에서 나타났고, 그중 하나는 10개 사이트에서 확인됐다.
저자는 9월 14일 OpenAI의 미디어·프라이버시 담당 메일로 두 가지 질문을 보냈다. __obi를 왜 분석용으로 분류했는지, 마케팅 동의를 거부한 사용자에게도 여전히 이 쿠키가 부여되는지였다. OpenAI 고객지원팀은 수신을 확인했지만 두 질문 모두에 답하지 않았다.
중화권 사용자도 영향을 받을까
이 메커니즘에는 뚜렷한 한계가 있다. 저자가 확인한 바로는 안드로이드 크롬에서는 전체 과정이 작동하지만, 아이폰 사파리는 지능형 추적 방지 기능으로 기본적으로 서드파티 쿠키를 차단해 경로가 끊긴다. 데스크톱 크롬은 저자가 테스트하지 않았다. 또한 ChatGPT 세션 다섯 번 중 한 번 꼴로만 동기화 토큰이 생성돼, OpenAI가 단계적으로 확대 적용 중임을 시사한다.
ChatGPT는 중국 본토에는 서비스를 제공하지 않지만, 홍콩·마카오·대만이나 해외의 중화권 사용자 중에는 안드로이드폰으로 ChatGPT에 로그인하면서 동시에 북미 전자상거래 사이트를 이용하는 경우가 적지 않다. 이름이 거론된 12개 가맹점은 모두 미국 시장을 겨냥한 사이트로, 실제 위험은 해당 사이트에서 쇼핑을 하는지에 달려 있다. 우선 대비하려면 크롬 설정에서 '서드파티 쿠키 차단'을 켜면 이 경로를 끊을 수 있다.
이 조사는 한 명의 저자가 자신의 기기와 데이터셋으로 진행한 패킷 캡처에 근거한 것으로, OpenAI는 어떤 기술적 세부사항도 확인하거나 부인하지 않았다.
참고 출처: Buchodi 독립 조사 보고서(쿠키 속성, 토큰 항목, 픽셀·호스트명 수치), 해커뉴스 토론, CocoLoop, OpenAI 쿠키 정책(__obi 분류 표현).