ChatGPTの広告コレクタが使うクッキー「__obi」が、広告主サイトからも送られていると個人ブログが報告。観測された範囲と、著者自身が置いた留保

個人ブログが報告した仕組み。ChatGPTが発行する識別子がクッキーになる

報告によれば、ChatGPTのクライアントは16バイトの乱数から識別子を作り、バックエンドに問い合わせてRS256で署名されたJWTを受け取ります。著者が復号したというトークンには、識別子そのものを表す値と、アカウントを指す値が含まれており、送り先としてbzr.openai.comが指定され、有効期限は60秒だと記載されています。bzrは同社の広告基盤の内部名称だと著者は説明しています。

次に、そのトークンがbzr.openai.comへ送られると、応答で__obiという名前のクッキーが返ってくるとされています。著者が記録したヘッダでは、このクッキーの適用範囲は.openai.com、有効期間は1年、そしてSameSite=NoneとSecureが付いています。SameSite=Noneは、別のサイトを見ているときの通信にもクッキーを付ける設定です。著者は、OpenAIの他のクッキーが同じ場面ではブラウザに遮断されたのに対し、__obiだけがSameSite=Noneで送られたと書いています。

3つめの段階が、広告主のサイトからの送出です。ChatGPTに広告を出す企業は、既存の広告計測タグと同じ要領でOpenAIのコードを自社サイトに設置します。著者は、そのスクリプトを読み込む通信そのものにクッキーが付く点を指摘しています。計測コードの側に資格情報を付けない処理経路があっても、スクリプトを読み込む時点でブラウザがクッキーを添付するため、OpenAI側のコードが動き出す前に識別子が渡る、という説明です。

送られる内容についても記述があります。著者によれば、計測コードは広告主が意図的に渡した値と、入力欄・表示中の文字列・タグマネージャから拾った値を区別して送っており、観測した範囲では後者のほうが多かったとされています。メールアドレス・電話番号・氏名はハッシュ化される一方、国・地域・市区町村・郵便番号はそのまま送られ、URLは問い合わせ文字列を落としてパスまでが残る、と記載されています。著者は、そうして届いたパスの中に、病名や債務整理、訴訟の受付を示すものが含まれていたと述べています。一方で原典は、収集の対象から除外される項目の一覧（denylist）があることも記録しています。著者によれば、パスワード、ワンタイムコード、カード番号、社会保障番号、生年月日、病歴、診断名、裁判に関する入力欄は除外されます。設定が判明した881のピクセルのうち638で自動照合が有効になっており、そこには観測されたすべての信用・貸付系の広告主が含まれていたとも書かれています。

原典には「It works when you are logged out」（ログアウト状態でも動く）という節があり、この仕組みがChatGPTのアカウントに紐づく場合に限られないと書かれています。著者が復号した932件の同期トークンのうち、736件は主体の種別がaccount_user、196件はanonymousだったとされています。著者は、この匿名の主体もアカウントの主体と同じだけ安定しており、端末ごとに1つ、少なくとも27日間持続したと述べています。識別子を作る最初の呼び出しも、ログアウト時は/backend-anon/の経路になると記載されています。ログインしていなければ関係のない仕組みだ、とは原典からは読めません。

どこまでが観測結果で、どこから先が観測されていないのか

この記事でいちばん注意して読むべきなのは、著者自身が置いた留保です。原典のLimitsという節には、見出しとして「The join is not observed.」（突合は観測していない）と書かれています。著者の説明では、計測サーバが202を返したことは、クッキーが付いた状態でイベントを受け取ったことを示すにすぎず、OpenAIがそれをサーバ側でアカウントに結び付けているかどうかは、設計から導かれる推論であって自分は見ていない、という趣旨です。つまり「ChatGPTアカウントと閲覧履歴が実際に突合されている」ことは、この報告では実証されていません。

観測の環境にも限界が示されています。著者が確認したのはAndroid版Chromeであり、デスクトップのChromeは未検証、SafariとiOS上のブラウザではこの仕組みは動かないと書かれています。また、ChatGPTの利用セッションのうち識別子の同期が起きたのは5回に1回程度で、モバイル版のウェブ画面では同期なしに広告が配信される場合があるため、手順をなぞってもクッキーが付かないことがあるとも述べています。

規模の数字も、すべて著者の観測値です。数か月分の通信から1,029のホスト名にまたがる936の広告主向けピクセルを突き合わせ、932件の同期トークンを復号したと記載されています。自身の端末では、1つの__obiの値が12の商用サイトから13の異なるピクセルIDのもとでOpenAIへ送られ、いずれも202で受け付けられたとしています。具体的な企業名も挙げられていますが、TechDaylightは各社の実装を独自に確認していないため、本稿では社名を列挙しません。

同意の扱いについても指摘があります。著者は、OpenAIが分析と広告を別々の同意として扱っていること、そして自分が復号したトークンはいずれも分析に同意した状態を示す値を持っていたことを挙げ、分析を許可して広告を拒否した利用者にもこのクッキーが付くと述べています。ただし、この記述もOpenAIの文書を著者が読んだうえでの説明であり、当編集部が原典にあたって裏付けたものではありません。

OpenAI側の説明は確認できていません

報告によれば、著者は9月14日にOpenAIの広報窓口とプライバシー窓口へ仕組みと2つの質問を送りました。__obiを分析用クッキーに分類している理由と、分析に同意して広告を拒否した利用者にもこのクッキーが渡るのかという質問です。返信はサポート窓口から届き、問い合わせを受け取ったこと、内容を社内で共有して検討することは伝えられたものの、どちらの質問にも回答はなかったと記載されています。著者は、OpenAIから回答があれば記事を更新すると書いています。

TechDaylightとしても、OpenAIのクッキーポリシーやプライバシーポリシーなど、同社側の一次資料を当編集部の環境から取得しようとしましたが、いずれもHTTP 403が返り、本稿の執筆時点で内容を確認できていません。したがって本稿には、OpenAIの公式な説明も、同社の文書に書かれている内容の直接確認も含まれていません。同社が__obiをどう位置づけているか、報告された挙動を同社がどう説明するかは、本稿では未確認の事項です。読者が判断する際は、この点を差し引いて読んでください。

したがって現時点で言えるのは、「個人の研究者が自分の端末でこう観測し、こう報告した」ところまでです。仕組みの一部が事実だとしても、OpenAIがその識別子をどう扱っているかは別の問題であり、片方の資料だけで結論を出せる論点ではありません。

編集部による論点の整理。法的評価ではありません

日本の読者にとっての論点。自社サイトに置いた計測タグから何が出ているか

この報告がもし正確であれば、影響を受けるのはChatGPTの利用者だけではありません。自社サイトに広告計測タグを設置している事業者の側も、自分のサイトの訪問者に関するデータが、どの宛先に、何を伴って送られているのかという問題に直面します。著者は、広告主の側からは__obiの値を読めないため、自社の訪問者がChatGPTの識別子に結び付けられていることを知る手段がない、とも述べています。

ここから先は、日本の事業者が自社で確かめるべき論点です。あらかじめお断りしておくと、TechDaylightは本稿の執筆にあたって個人情報保護法の条文や個人情報保護委員会のガイドラインを一次資料として固定していません。そのため以下は法的評価ではなく、法務部門や専門家に確認すべき問いとして挙げます。

第一に、自社サイトに設置した計測タグから外部の事業者へ送られている項目を、実際の通信で把握しているかという点です。仕様書ではなく、ブラウザの開発者ツールやプロキシで実際に出ている内容を確認しないと、ハッシュ化されていない地域情報やURLのパスが何を含むかは分かりません。第二に、その送信が第三者への提供にあたるのか、あたるとすればどの根拠と説明で行っているのかという整理です。第三に、同意管理ツール（CMP）の分類が実装と一致しているかという点です。分析と広告を別の同意項目として提示しているのであれば、広告を拒否した利用者の端末で実際に何が止まっているのかを、設定画面の表示ではなく通信で確かめる必要があります。

本稿は、これらの問いに答えを出すものではありません。ただ、外部の研究者が個人の端末1台から数か月かけて観測しなければ表に出てこなかった種類の挙動が、自社サイトに貼ったタグの内側でも起きうる、という点は、読者が自分の環境を確認する十分な理由になると考えます。