Buchodi가 보안 관련 조사 결과, “ChatGPT를 이용한 후 OpenAI의 광고 측정 코드를 도입한 웹사이트를 방문하면, 방문한 페이지 등의 정보와 ChatGPT 측에서 발행된 식별자가 OpenAI로 전송되는 경우”가 있을 수 있다고 보고했습니다. ChatGPT now knows what you do on other websites via ad collector https://www.buchodi.com/chatgpt-now-knows-what-you-do-on-other-websites-via-ad-collector/
OpenAI는 ChatGPT에서 광고를 전개하고 있으며, 광고를 본 사용자가 광고주의 상품을 구매했는지 등 광고의 성과를 측정하는 시스템도 마련해 놨습니다. 광고의 성과를 측정하기 위해 OpenAI가 광고주에게 제공하는 시스템 중 하나가 Measurement Pixel입니다. 광고주가 자사 사이트에 OpenAI의 JavaScript를 임베딩하면, 페이지 뷰, 상품 표시, 장바구니 추가, 구매와 같은 이벤트를 OpenAI로 전송할 수 있습니다. Measurement Pixel에는 광고를 클릭한 사람과 광고주 사이트에서 행동한 사람을 연결하는 기능이 있으며, “Automatic advanced matching”이라는 기능을 활성화하면, 광고주의 웹사이트에서 해당 고객 정보를 자동으로 감지하고, 이메일 주소 또는 전화번호 등을 SHA-256으로 해싱하여 전환 정보에 포함합니다.
이러한 메커니즘 자체는 Meta나 Google도 제공하고 있는 일반적인 광고 측정 메커니즘과 유사하지만, ChatGPT를 이용할 때 생성되는 “억”이라는 쿠키가 외부 사이트에서의 광고 측정에도 관여한다는 점을 Buchodi가 문제시하고 있습니다. Buchodi의 검증에 따르면, ChatGPT를 이용하면 브라우저 내에서 식별자가 생성되어 OpenAI의 “bzr.openai.com”을 통해 억으로 저장되는 경우가 있었습니다. 더불어 Measurement Pixel을 도입한 다른 웹사이트를 같은 브라우저에서 열었을 때, OpenAI의 광고 측정용 서버에 대한 통신에 억이 첨가된 것으로 확인되었습니다.
북디(Buchodi)는 안드로이드 버전 크롬을 사용한 검증에서, 온라인 쇼핑몰이나 이벤트 예약 서비스 등 12 사이트에서 동일한 API가 OpenAI로 전송되는 것을 확인했다고 보고했습니다. 또한, OpenAI로 전송된 URL에서는 쿼리 문자열이 삭제되었지만, URL의 경로 부분은 남아 있었습니다. 북디가 획득한 토큰에는 ChatGPT 계정을 나타내는 값과 “API”가 동시에 포함되었습니다. 북디는 이 메커니즘에 의해 외부 사이트에서 전송되어 온 API가 ChatGPT 계정과 연결될 수 있다고 추측합니다. 추측이 옳다면, OpenAI는 “특정 ChatGPT 사용자가 측정 픽셀을 도입한 외부 사이트에서 어떤 페이지를 보았는지”를 파악할 수 있다는 의미입니다. 참고로, 측정 픽셀 자체의 존재, 광고주 사이트에서 페이지 뷰 또는 구매와 같은 이벤트를 OpenAI로 전송할 수 있는 것, 그리고 자동 고급 매칭으로 고객 정보를 해시화하여 전송할 수 있는 것은 OpenAI도 공식적으로 설명했습니다. OpenAI의 쿠키 정책에서도 API는 분석(analytics) 쿠키로 게시되어 있습니다.
부코디(Buchodi)는 2026년 9월 14일 OpenAI에 광고 측정에 활용될 수 있는 메커니즘과 관련된 __오비(obi)가 왜 애널리틱스 쿠키에 분류되는지 등을 문의했습니다. OpenAI의 지원팀에서는 조사 내용을 사내에서 확인하겠다는 답변을 받았지만, 부코디에 따르면 구체적인 질문에 대한 답변은 얻어지지 않았다고 합니다. 부코디는 OpenAI로부터 추가적인 답변이 있을 경우 기사를 업데이트할 것이라고 밝혔습니다.
원문 보기 | 출처: Gigazine