OpenAI, ChatGPT 계정과 연결된 쿠키로 외부 웹사이트 사용자 행동 추적

OpenAI의 광고 수집 시스템이 ChatGPT 계정과 연결된 식별자 쿠키(__obi)를 설정하여, 사용자가 방문하는 외부 웹사이트에서의 행동을 추적하고 있는 것으로 드러났다. 이 메커니즘은 Meta나 Google의 기존 광고 추적 기술과 유사한 구조를 따르고 있으며, ChatGPT라는 AI 대화형 제품에서 이러한 크로스 사이트 추적이 이루어진다는 점이 주목된다.

추적 메커니즘 및 데이터 수집

사용자가 chatgpt.com에 접속하면 백엔드는 RS256 JWT 형식의 토큰을 발급하고, 이를 통해 .openai.com 도메인에 __obi 쿠키가 설정된다. 이 쿠키는 SameSite=None 및 Secure 속성을 가지며 유효 기간은 1년이다. 광고주가 자사 사이트에 OpenAI 측정 픽셀을 설치하면, 페이지 로딩 시 __obi와 함께 검색 제품, 읽는 기사, 구매 행동 등의 데이터가 OpenAI로 전송되어 ChatGPT 계정 활동과 연결된다.

수집되는 데이터는 광고주 의도적 전달(in), 양식 필드 스크래핑(fm), 렌더링된 페이지 텍스트(ht), 태그 관리자 버스(js) 등 네 가지 소스로 분류된다. 특히 태그 관리자 버스를 통해 이메일과 전화번호가 수집되며, 국가, 지역, 도시, 우편번호는 평문으로 전송된다. URL은 origin과 path로 축소되어 전송되나, 의료 상태나 소송 접수 양식 등 민감한 정보가 포함된 path는 그대로 수집된다.

프라이버시 및 동의 정책의 문제점

OpenAI는 __obi 쿠키를 'Analytics cookies'로 분류하고 있으나, 관측된 모든 sync token은 consent_decision: analytics_allowed를 포함하고 있다. 이는 사용자가 마케팅 쿠키 동의를 거부하더라도 분석 쿠키 허용 시 추적이 발생함을 의미한다. 또한 로그아웃 상태에서도 익명 식별자가 생성되어 최소 27일간 지속되며, 이는 로그인 계정과 동일한 안정성을 가진다.

자동 매칭(Automatic matching) 기능은 설정이 알려진 881개 픽셀 중 638개에서 활성화되어 있으며, 이는 OpenAI Ads Manager에서 제어된다. 차단 목록(denylist)을 통해 비밀번호, 카드 번호, SSN, 병력 등 극도로 민감한 정보는 제외되지만, 그 외의 행동 데이터는 광범위하게 수집된다. 한 __obi 값이 Chewy, Wayfair 등 12개 이상의 상업 웹사이트에서 OpenAI로 전송되는 사례가 관측되었다.