Il cookie __obi di ChatGPT ti segue anche fuori dalla chat

Un cookie chiamato __obi collega la tua navigazione su siti come Wayfair o HelloFresh al tuo account ChatGPT, anche se avevi rifiutato la pubblicità personalizzata.

Perché conta

Riguarda chiunque usi ChatGPT: la app collega la tua navigazione su altri siti al tuo account anche quando pensi di aver rifiutato la pubblicità personalizzata, e OpenAI non ha ancora chiarito la scelta.

In pratica

Puoi controllare o bloccare nel browser i cookie di terze parti provenienti da openai.com e dal dominio bzr.openai.com per ridurre il tracciamento; a oggi OpenAI non offre un interruttore dedicato per disattivarlo.

Un ricercatore di sicurezza indipendente ha scoperto che OpenAI installa, nel browser di chi usa ChatGPT, un cookie chiamato __obi capace di seguirti su altri siti web per un anno intero. Un cookie è un piccolo file che un sito salva nel tuo browser per riconoscerti alle visite successive. L'analisi, pubblicata il 20 settembre sul blog Buchodi's Threat Intel, mostra come questo specifico cookie colleghi la navigazione su siti come Wayfair, Chewy o HelloFresh all'account ChatGPT della persona.

Come funziona il cookie __obi

Il meccanismo funziona così: quando apri ChatGPT, l'app genera un codice identificativo casuale e lo scambia con un token (una specie di lasciapassare digitale) firmato dai server di OpenAI. Questo token viene inviato a un indirizzo chiamato bzr.openai.com, un sistema di OpenAI dedicato a misurare l'efficacia della pubblicità, che a sua volta imposta il cookie __obi sul dominio openai.com. Il cookie è configurato per poter essere inviato anche a siti diversi da OpenAI: così, quando visiti un sito che ha comprato pubblicità su ChatGPT e include un pixel pubblicitario di OpenAI (un piccolo pezzo di codice invisibile che manda dati al server), il tuo browser rispedisce automaticamente il cookie a OpenAI, che può collegare quella visita al tuo account.

Il punto più delicato riguarda il consenso. Secondo l'analisi, OpenAI classifica __obi come cookie di "analisi" nella propria cookie policy, non come cookie "di marketing". Nella pratica questo significa che chi accetta l'analisi del sito ma rifiuta esplicitamente la pubblicità personalizzata riceve comunque il cookie: ogni token esaminato dal ricercatore conteneva la dicitura "consent_decision: analytics_allowed", anche per chi aveva detto no al marketing. In una sola sessione di navigazione, il ricercatore ha osservato il cookie viaggiare verso dodici siti commerciali diversi, tra cui Chewy, Wayfair, ThriftBooks, Eventbrite, HelloFresh, Coursera e SeatGeek.

La pubblicità su ChatGPT è arrivata in Germania e in altri trenta mercati europei il 24 agosto, e il 10 settembre OpenAI ha aggiornato la propria cookie policy. Il 14 settembre il ricercatore ha scritto all'ufficio stampa di OpenAI chiedendo perché un cookie pubblicitario fosse classificato come "analytics" e se il consenso al marketing venisse davvero rispettato. La risposta è arrivata dal supporto clienti, non dall'ufficio stampa, e non ha affrontato nessuna delle due domande. Non è chiaro, quindi, se si tratti di una scelta di progettazione deliberata o di un errore di classificazione, né se OpenAI intenda cambiarla.

Come ridurlo

Per chi usa ChatGPT, la conseguenza pratica è che la navigazione su altri siti può restare collegata al proprio account anche quando si pensa di aver rifiutato la pubblicità personalizzata. Chi vuole limitare il fenomeno può controllare le impostazioni sui cookie di terze parti del browser o bloccare esplicitamente il dominio bzr.openai.com; a oggi OpenAI non ha pubblicato un interruttore dedicato per disattivare solo questo tracciamento.