Araşdırma: doqquz əsas AI asistentinin hamısı söhbət məlumatlarını trekerlərlə paylaşır

IMDEA Networks və UC3M tədqiqatçıları doqquz aparıcı söhbət AI xidmətinin məxfiliyini yoxlayıb. „Prompt like a Butterfly, Sting like a Tracker“ işi veb və Android müştərilərini əhatə edir; təcrübələr 2026-cı ilin mayında İspaniyada keçirilib. Siyahıya ChatGPT, Claude, Grok, DeepSeek, Perplexity, Gemini, Microsoft Copilot, Mistral Le Chat və Meta AI daxil olub.

Bütün xidmətlər trekerlərə qoşulur

Araşdırmaya görə, 124 müxtəlif domen 44 təşkilata aiddir; onlardan 34-ü reklam və ya izləmə xidmətidir. Yoxlanılan hər xidmət ən azı bir belə partnyorla əlaqə saxlayıb. Ən geniş iz Google-a məxsusdur. Təhlil həmçinin tanınmış treker bazalarına məlum olmayan xidmətləri aşkar edib: DeepSeek müştəriləri mobil cihazda Fengkong Cloud-a, vebdə isə ShuMei-yə qoşulur.

Mobil tətbiqlərdə çağırılan ünvanların 71%-i daxili WebView-dən gəlir; Grok tətbiqində bu göstərici 98%-dir.

Söhbət məzmunu üçüncü tərəflərə çatır

Əsas nəticə: üçüncü tərəflər söhbət məzmununu da alır. Doqquz veb müştərisindən altısı, səkkiz Android müştərisindən isə üçü onlara söhbətin linkini, başlığını, istifadəçi sorğusunu və ya ekran görüntüsünü, çox vaxt daimi identifikatorlarla birlikdə ötürüb. Beş veb müştəri daimi söhbət linkini və ya qlobal identifikatoru doqquz izləmə xidməti ilə paylaşıb; onlardan üçü bunu standart olaraq edir.

Ən çox Grok seçilir: Google Tag Manager konteyneri söhbət linkini və AI tərəfindən yaradılan başlığı serverdən serverə Meta-nın Conversions API və TikTok-un Events API xidmətlərinə ötürür. Claude-un Segment konfiqurasiyası on bir reklam platformasına hadisə göndərir, Perplexity isə e-poçt heşlərini Singular-a ötürüb.

Cookie-ləri rədd etmək yalnız qismən kömək edir

Razılıq bannerləri istifadəçinin gözlədiyindən azını dəyişir. „Hamısını rədd et“ ssenarisində belə Perplexity, DeepSeek, Gemini, Copilot, ChatGPT və Claude yenə Google Ads-ə qoşulur, üçüncü tərəf trekerlərinin 80,8%-i isə aktiv qalır. Mobil cihazda ekvivalent nəzarət ümumiyyətlə yoxdur, abunəlik səviyyəsi də demək olar ki, heç nəyi dəyişmir.

İctimai linklər və hüquqi sual

Zəif yer giriş nəzarəti də oldu. Grok-da pulsuz və ödənişli tarif söhbətləri standart olaraq ictimai oxuna bilir, Perplexity isə qonaq söhbətlərini həmişə ictimai edir. Bütün xidmətlər paylaşılmış söhbəti avtorizasiya olmadan göstərir, paylaşma səhifələrində isə doqquz üçüncü tərəf bütün mətni görür. Canary tokenləri ilə sonrakı giriş yalnız Grok halında təsdiqlənib: 70 IP ünvanından 70 aktivləşdirmə, 48 avtonom sistemdə, 14 ölkədən.

İş bu təcrübəni ePrivacy Direktivi və GDPR ilə əlaqələndirir: 5(3) maddəsi reklam və analitik cookie-lər üçün əvvəlcədən razılıq tələb edir. Tədqiqatçılara görə, OpenAI, Anthropic, Perplexity və xAI bu ötürməni ümumi ifadələrlə təsvir edir. Komanda Avropa və Böyük Britaniya məlumatların müdafiəsi orqanlarına 2026-cı il aprelin 13-də, xAI-yə isə aprelin 17-də bildirib; mayın 4-də nəticələrin bir hissəsi ictimaiyyətə açıqlanıb. İspaniyanın AEPD-si mayın 27-də məhz bu işə əsaslanaraq məsələnin araşdırılmasını tələb edib.