「ChatGPTを利用した後にOpenAIの広告計測コードを導入したウェブサイトを閲覧すると、閲覧したページなどの情報とChatGPT側で発行された識別子がOpenAIへ送信される場合がある」とセキュリティ関連の調査を行うBuchodiが報告しました。

ChatGPT now knows what you do on other websites via ad collector

https://www.buchodi.com/chatgpt-now-knows-what-you-do-on-other-websites-via-ad-collector/



OpenAIはChatGPT上で広告を展開しており、広告を見たユーザーが広告主の商品を購入したかなど、広告の成果を測定する仕組みも用意しています。

広告の成果を測るためにOpenAIが広告主へ提供している仕組みの1つがMeasurement Pixelです。広告主が自社サイトにOpenAIのJavaScriptを組み込むと、ページの閲覧や商品の表示、カートへの追加、購入といったイベントをOpenAIへ送信できます。

Measurement Pixelには広告をクリックした人物と広告主サイトで行動した人物を結び付ける機能があり、「Automatic advanced matching」と呼ばれる機能を有効にすると、広告主のウェブサイトから対応する顧客情報を自動的に検出し、メールアドレスや電話番号などをSHA-256でハッシュ化してコンバージョン情報に含めます。



こうした仕組み自体はMetaやGoogleなども提供している一般的な広告計測の仕組みに近いものですが、ChatGPTを利用した際に作成される「__obi」というクッキーが外部サイトでの広告計測にも関わっている点をBuchodiは問題視しています。

Buchodiの検証によると、ChatGPTを利用するとブラウザ内で識別子が生成され、OpenAIの「bzr.openai.com」を通じて__obiとして保存される場合がありました。さらにMeasurement Pixelを導入した別のウェブサイトを同じブラウザで開くと、OpenAIの広告計測用サーバーへの通信に__obiが付加されたとのこと。



BuchodiはAndroid版Chromeを使った検証で、オンラインショップやイベント予約サービスなど12サイトから同じ__obiがOpenAIへ送られる様子を確認したと報告しています。また、OpenAIへ送信されたURLではクエリ文字列が削除されていた一方で、URLのパス部分は残っていたとのこと。

Buchodiが取得したトークンにはChatGPTアカウントを示す値と「__obi」が同時に含まれていました。Buchodiは、この仕組みによって外部サイトから送られてきた__obiをChatGPTアカウントと結び付けられると推測しています。推測が正しければ、OpenAIは「特定のChatGPTユーザーがMeasurement Pixelを導入した外部サイトでどのページを見たか」を把握できるというわけです。

なお、Measurement Pixel自体の存在や、広告主サイトからページ閲覧・購入などのイベントをOpenAIへ送信できること、Automatic advanced matchingで顧客情報をハッシュ化して送信できることはOpenAIも公式に説明しています。OpenAIのクッキーポリシーでも__obiはアナリティクス(分析)クッキーとして掲載されています。



Buchodiは2026年9月14日にOpenAIへ、広告計測に利用できる仕組みと関連する__obiがなぜアナリティクスクッキーに分類されているのかなどを問い合わせました。OpenAIのサポートからは調査内容を社内で確認するという回答があったものの、Buchodiによると具体的な質問への回答は得られなかったとのこと。BuchodiはOpenAIから追加の回答があれば記事を更新すると述べています。