오픈AI가 ChatGPT 외부의 웹사이트 방문 기록을 사용자 계정과 연결하는 광고 추적 시스템을 운영 중인 것으로 확인됐다. 사용자가 다른 사이트에서 검색하거나 구매하는 행동이 ChatGPT 계정과 매칭되는 구조다. 이는 오픈AI의 광고 플랫폼이 사용자 식별자를 외부 사이트로 전송하는 방식에 기반한다.
기술적 메커니즘은 오픈AI의 광고 수집기 주소인 bzr.openai.com이 설정하는 obi 쿠키에서 시작된다. 이 쿠키는 .openai.com 도메인에 적용되며, 사용자가 ChatGPT에 로그인한 상태에서 생성되어 계정과 연결된다. 이후 사용자가 다른 웹사이트를 방문할 때 이 obi 값이 오픈AI 서버로 전송된다.
이 과정은 광고주가 자신의 웹사이트에 오픈AI의 추적 코드를 설치함으로써 이루어진다. 메타나 구글의 추적 코드와 유사한 방식이다. 코드가 로드되면 사용자가 보고 있는 페이지 데이터와 obi가 함께 전송된다.
전송되는 데이터에는 검색 제품, 읽는 기사, 구매 행동 등이 포함된다.
한 기술 블로그는 이 메커니즘을 휴대폰에서 재현하고 두 가지 독립적인 캡처 방법으로 검증했다. 936개의 광고 픽셀과 1,029개의 호스트 이름을 포함하는 수개월간의 트래픽을 교차 확인한 결과다. 구체적으로 클라이언트는 16바이트 랜덤 데이터를 생성해 백엔드 API를 호출한다.
백엔드는 RS256 JWT 토큰을 반환하는데, 여기서 sub는 계정, obi는 식별자다.
이 토큰은 60초 후 만료되며 광고 수집기 범위로 제한된다. bzr은 오픈AI 내부에서 광고 플랫폼을 지칭하는 bazaar의 약자다. 클라이언트는 이 토큰을 bzr.openai.com/v1/obi/sync 엔드포인트로 교차 사이트 요청을 통해 전송한다.
광고주의 페이지에서 오픈AI 호스트로 전송되는 세 가지 유형의 요청은 모두 obi를 포함한다.
SDK는 광고주의 페이지에서 신원 정보도 수집한다. 페이로드에는 광고주가 전달하는 값, 폼 필드 스크래핑 값, 렌더링된 페이지 텍스트, 태그 관리자 버스 수집 값이 구분되어 포함된다. 관찰된 트래픽에서는 스크래핑된 신원 정보가 광고주 제공 정보보다 많았다.
685건이 스크래핑 데이터였고, 255건이 광고주 제공 데이터였다. 태그 관리자 버스는 이메일 주소 수집의 가장 큰 원천이었다.
이러한 추적 기술 자체는 새로운 것이 아니다. 하지만 AI 채팅 제품에 적용된다는 점에서 사용자 우려가 제기된다. 특히 유료 구독자에게 무료 서비스의 감시 경제 모델이 적용되는 것에 대한 불편함이 호소되고 있다.
브라우저별 대응도 중요하다. 파이어폭스, 브레이브, 사파리는 차단 기능을 제공하지만 크롬과 엣지는 기본 차단하지 않는다.
현재 오픈AI가 수집 데이터를 어떻게 활용하는지, 사용자가 추적을 완전히 비활성화할 수 있는지에 대한 명확한 정책 답변은 제한적이다. EU 등에서는 입법을 통해 소비자 데이터 보호를 강화하고 있으나, 기술 구현과 법적 규제 간 간극은 여전히 존재한다.
작성자 소개
