实测实锤:ChatGPT 借 __obi Cookie 一年跨站追踪你的购物记录
新智元 · wechat · 2026-09-21
独立研究者 Buchodi 在 HN 发布调查,称安卓 Chrome 上 ChatGPT 会通过一枚名为 obi 的 Cookie 把你在其他网站的浏览、搜索与购买记录关联回 ChatGPT 账号。机制分三步:打开 chatgpt.com 时生成 60 秒令牌,换成挂 .openai.com 域下、有效期一年的 obi(SameSite=none,允许跨站),商家安装的 OpenAI 追踪代码再把该 Cookie 连同页面路径一起回传。
研究者手机上同一标识从 Chewy、Wayfair 等 12 个站点回传;邮编、国家、城市明文发送,页面路径可见疾病查询、债务方案等敏感页面;未登录用户也有跟随设备 27 天的匿名编号。更麻烦的是该 Cookie 被归入「数据分析」开关,关掉「广告营销」也拦不住。iPhone 与 Safari 用户不受影响,且研究者只能证明数据被送至 OpenAI 服务器,尚无法确认是否真正与账号绑定。OpenAI 对质询未正面回应;文章指出这类跨站追踪沿袭 Facebook Pixel,但聊天记录与购物数据汇入同一账号是新的隐私风险。
所属事件:ChatGPT 被曝用 __obi Cookie 跨站追踪用户(3 条相关)→
「安全」频道最新
- Guidelight 发布十类预示失控风险的 AI 失准行为分类 — sjgadler · 2026-11-12
- 研究者呼吁：RSI 式自我优化时应给 Claude 自主修改心智的自由 — repligate · 2026-11-12
- Gemini 被曝默认获得 Gmail 读取权限，数据共享选项默认开启 — paulnovosad · 2026-11-12
- PrivacyTests 新增24项指纹追踪测试：无浏览器防护完美 — gnukeith · 2026-11-12
- 2023年已有人工构造休眠触发器方案,早于 Anthropic sleeper agents 论文 — DimitrisPapail · 2026-11-12
- 前 OpenAI 安全研究员:NLP 的 Calvin 指超级智能对齐计划「依赖 AI 研究员」过于疯狂 — trevposts · 2026-11-12