OpenAI-ın reklam toplayıcısı digər saytlardakı fəaliyyətinizi ChatGPT hesabına bağlayır

Buchodi's Threat Intel bülleteni 20 sentyabrda OpenAI-ın reklam toplayıcısının üçüncü tərəf saytlarındakı fəaliyyəti ChatGPT hesabları ilə necə əlaqələndirdiyini təsvir edən trafik təhlili dərc edib. .openai.com domenində yazılan __obi adlı kuki OpenAI-ın konversiya pikselini quraşdıran adi kommersiya saytlarından OpenAI-a geri göndərilir — pərakəndə satıcıların Meta və Google izləmə kodunu yükləməsi ilə eyni üsul. Tədqiqatçı mexanizmi öz telefonunda bərpa etdiyini, iki qeyd üsulu ilə yoxladığını və aylarla müşahidə olunan trafiklə tutuşdurduğunu bildirir: 1.029 host adında 936 reklamçı pikseli.

İdentifikator necə yaradılır

chatgpt.com-da klient 16 təsadüfi bayt yaradır və POST /backend-api/bazaar/obi/sync-token sorğusunu göndərir; cavab auditoriyası bzr.openai.com, subyekti isə ChatGPT hesabı olan, RS256 ilə imzalanmış JWT qaytarır. bzr — OpenAI-ın reklam platforması üçün daxili adı olan bazaar-ın qısaltmasıdır. Sonra token saytlararası şəkildə bzr.openai.com/v1/obi/sync ünvanına göndərilir və cavab __obi kukisini Domain=.openai.com, HttpOnly, SameSite=None, Secure və bir illik müddətlə yazır.

Geri nə göndərilir

Kuki reklamçı səhifəsindən çıxan üç sorğu sinfinə əlavə olunurdu; onlardan biri SDK skriptinin özünün yüklənməsi idi və brauzer kukini bu sorğuya daha OpenAI kodunun heç biri işləməmişdən əlavə edir, ona görə SDK-nın «etimad məlumatı olmadan» yolu heç nəyi dəyişmir. Həmin SDK səhifədən kimliyi də toplayır: in reklamçının bilərəkdən verdiyi dəyərlər, fm, ht və js isə forma sahələrindən, səhifə mətnindən və tag-manager kanalından götürülən məlumatlardır. Müşahidə olunan trafikdə toplanan kimlik veriləni 685-ə 255 hadisə ilə üstələyib. E-poçt, telefon və adlar göndərilməzdən əvvəl SHA-256 ilə heşlənir, ölkə, şəhər və poçt indeksi isə açıq göndərilir.

Əhatə, razılıq və məhdudiyyətlər

Tədqiqatçının cihazında tək bir __obi dəyəri 12 kommersiya saytından 13 piksel ID-si ilə OpenAI-a çatdı və bütün sorğular HTTP 202 ilə qəbul edildi; daxil olmayan istifadəçilər də kənarda qalmır — deşifrə edilmiş 932 tokenindən 196-sı ən azı 27 gün sabit qalan anonim subyekt daşıyırdı. OpenAI-ın kuki siyasəti __obi-ni analitik kuki kimi sadalayır, həmin bölmədə yeganə qeyd budur, və deşifrə olunan hər token analytics_allowed razılıq qərarını daşıyırdı; yəni marketinqdən imtina edən istifadəçi üçün analitikaya razılıq kifayətdir. OpenAI dəstək xidməti tədqiqatçının suallarını aldığını təsdiqləyib, amma cavab verməyib. Mexanizm Android üçün Chrome-da müşahidə edilib və iOS brauzerlərində işləmir.