IMDEA 연구, Claude가 쿠키 거부 후에도 광고 추적기에 데이터 공유

IMDEA Networks의 프라이버시 연구 'Prompt like a Butterfly, Sting like a Tracker'는 2026년 5월에 9개 AI 챗봇의 웹 및 모바일 버전을 분석했으며, PoPETs 2027에 채택되었습니다. 이 연구는 프라이버시 보호를 표방하는 Claude가 제3자 서비스로 사용자 데이터를 전송함을 확인했습니다.

데이터 유출 발견 사항

Anthropic의 웹 클라이언트에서 발견된 구체적인 프라이버시 위반 사항은 다음과 같습니다:

• 제3자 전송: 모든 쿠키를 수락하면 웹 클라이언트는 1차 도메인(a-cdn.anthropic.com)을 통해 Segment Analytics를 로드하고, Facebook, LinkedIn, TikTok, Reddit, Google Enhanced Conversions 등 11개 서비스로 사용자 이벤트를 전달합니다. 이 서버 측 전달 방식은 표준 광고 차단기를 우회합니다.
• 쿠키 거부 실패: 사용자가 비필수 쿠키를 명시적으로 거부한 후에도 Claude는 Google Ads에 계속 연결했습니다. 또한 채팅 링크, 이메일 주소 및 기타 식별자가 Datadog, Intercom 같은 서비스로 전송되었으며, 일부는 쿠키 거부 후에도 발생했습니다.
• 유료 티어 제한: 유료 플랜 구독은 웹 기반 추적에 거의 영향을 미치지 않았습니다. 유일한 개선점은 Android 앱에서 유료 사용자가 무료 티어 사용자와 달리 Intercom 또는 Sentry에 연결하지 않는다는 점뿐이었습니다.

범위 및 배경

이 연구는 ChatGPT, Claude, Gemini, Grok, DeepSeek, Perplexity, Le Chat, Meta AI, Copilot을 조사했습니다. Claude가 최악의 위반자로 식별되지는 않았고, 대화 내용 자체가 광고 네트워크로 전송된다는 증거는 제시되지 않았으나, 메타데이터와 식별자가 광고 플랫폼으로 전송되는 것은 여전히 중요한 우려 사항입니다. 이 연구는 Windows 또는 Mac 데스크톱 애플리케이션을 다루지 않았습니다.