ChatGPT dispose désormais d'un cookie publicitaire et il vous suit vers d'autres sites Web

Un article sur l’ingénierie inverse publié cette semaine décrit le fonctionnement de la mesure publicitaire d’OpenAI, et il s’agit de la machinerie familière de l’industrie publicitaire pointée vers un compte chatbot. Lorsque vous êtes connecté, ChatGPT génère un identifiant aléatoire et demande un jeton signé liant cet identifiant à votre compte. Le jeton est publié sur un point de terminaison OpenAI, qui définit un cookie appelé « __obi » sur le domaine openai.com, marqué « SameSite=None » et « Secure » avec une durée de vie d’un an. Ces deux indicateurs permettent à un cookie de voyager : ils permettent au navigateur de l’envoyer avec des requêtes provenant de sites Web entièrement différents.

C’est important car les annonceurs qui achètent des publicités ChatGPT peuvent intégrer le pixel de mesure d’OpenAI sur leurs propres sites. Un pixel est un petit morceau de code, qui n’est plus vraiment une image, dont le rôle est de déclencher un message lors du chargement d’une page. Étant donné que le pixel est chargé à partir de l’infrastructure OpenAI, le navigateur attache le cookie « __obi » et OpenAI peut recevoir les pages que vous avez visitées sur le site de cet annonceur, y compris les pages de produits, les URL d’articles et les confirmations d’achat. L’auteur rapporte que le pixel collecte également le contenu de la page, les adresses e-mail et les numéros de téléphone hachés, les données non cryptées sur la ville, la région et le courrier, ainsi que les valeurs extraites des champs de formulaire de la page, et que l’identité récupérée dépassait en nombre l’identité fournie par l’annonceur de 685 événements à 255.

Qu’est-ce qu’il y a derrière ça

Deux détails méritent d’être distingués du malaise général. Tout d’abord, la classification : la politique en matière de cookies d’OpenAI répertorie « __obi » comme un cookie analytique plutôt que marketing, ce qui signifie qu’une personne qui a refusé le consentement marketing peut toujours le recevoir. La question de savoir si cela résiste aux règles de l’UE relève des régulateurs, pas de nous, mais c’est le type de distinction que ces règles permettent de contrôler. Deuxièmement, les défenses du navigateur atténuent déjà cette situation. Safari et d’autres navigateurs WebKit bloquent complètement les cookies tiers via Intelligent Tracking Prevention, donc sur iPhone et sur Safari pour Mac, le mécanisme ne devrait pas fonctionner du tout.

Rien de tout cela n’est une technologie inhabituelle. Meta et Google utilisent des pixels de conversion depuis de nombreuses années, et mesurer si une annonce a fonctionné est une chose légitime pour un annonceur. Ce qui est nouveau, c’est l’identifiant auquel il s’attache. Un compte ChatGPT n’est pas un profil publicitaire assemblé à partir de suppositions, c’est un identifiant attaché à un service où les gens saisissent des choses qu’ils ne mettraient pas dans un champ de recherche.

Ce que cela signifie pour vous : Si vous souhaitez le limiter, les étapes pratiques sont ordinaires : utilisez Safari ou Firefox, ou un navigateur Chromium avec les cookies tiers désactivés, ou un bloqueur de contenu, et vérifiez les paramètres des cookies d’OpenAI dans votre compte. Rien de tout cela n’est dramatique. Le point plus large est que ChatGPT est passé du statut de produit pour lequel vous payez ou que vous utilisez gratuitement à celui de produit avec une activité publicitaire derrière lui, et les incitations de ces deux choses ne sont pas les mêmes. Il vaut la peine de savoir lequel vous utilisez.

Sources

• Buchodi : ChatGPT sait désormais ce que vous faites sur d’autres sites Web via le collecteur de publicités
• Cybersecurity News: le cookie de suivi publicitaire ChatGPT suit les utilisateurs sur les sites Web d’annonceurs tiers
• Notebookcheck : le cookie __obi de ChatGPT vous suit vers d’autres sites Web