ما الذي يقوله البحث
نشرت شركة الأمن بوتشودي يوم الأحد تحليلًا لبكسل القياس الذي تمنحه OpenAI للمعلنين الذين يشترون إعلانات داخل ChatGPT. وخلاصته أن هذا البكسل يتيح للشركة ربط هوية المستخدم في ChatGPT بما يفعله على مواقع لا صلة لها بالمنتج.
ويقول الفريق إنه رصد البكسل على اثني عشر موقعًا تجاريًا بثلاثة عشر معرّفًا مختلفًا، وذكر من بينها تشوي ووايفير وهيلوفريش وكورسيرا وسيت غيك. ومن أصل 932 رمزًا مميزًا جرى فك ترميزه، حمل 736 موضوعًا مرتبطًا بحساب في ChatGPT وحمل 196 موضوعًا مجهولًا. وبحسب بوتشودي، كان المعرّف المجهول ثابتًا بقدر المرتبط بالحساب، وبقي على الجهاز 27 يومًا على الأقل.
هذه أرقام الباحثين المستمدة من قياساتهم الخاصة، ولم تنشر OpenAI أرقامًا من جانبها.
كيف يُقال إن الكوكي يعمل
بحسب التحليل، يصدر خادم ChatGPT رمزًا موقّعًا يربط معرّفًا إما بحساب في المنصة وإما بجلسة مجهولة. ويُخزَّن هذا المعرّف في ملف تعريف باسم __obi يوضع على نطاق OpenAI بمدة صلاحية سنة وبخاصيتي SameSite=None وSecure، وهي التركيبة التي تسمح بإرسال ملف التعريف من موقع إلى آخر. وحين تُحمَّل صفحة تحمل بكسل المعلن، يعود الملف إلى OpenAI مصحوبًا ببيانات عن الصفحة.
وهذه البيانات لا تقتصر على ما يختار المعلن تسليمه. تفيد بوتشودي بأن حزمة تطوير البكسل تجمع محتوى الصفحة التي توجد عليها، فتلتقط قيمًا مجزّأة للبريد الإلكتروني والهاتف والاسم إلى جانب بيانات غير مشفّرة عن الدولة والمنطقة والمدينة والرمز البريدي، فضلًا عن العناوين المزارة وحقول النماذج ومحتوى الصفحة. وتفوقت الهوية المجموعة تلقائيًا على تلك التي يرسلها المعلن بواقع 685 حدثًا مقابل 255 في حركة البيانات التي تابعها الفريق، وكان 638 من أصل 881 بكسلًا يعمل بمطابقة البيانات التلقائية.
تحليلات أم تسويق
أحدّ ما في التقرير مسألة تصنيف لا مسألة تقنية. فسياسة ملفات التعريف لدى OpenAI تعامل __obi بوصفه ملف تحليلات لا ملف تسويق. وبهذا التصنيف يحصل عليه حتى من يرفض موافقة التسويق، فيبقى معرّف عابر للمواقع حيًا بعد اختيار يتوقع معظم الناس أن يوقف هذا تحديدًا.
كما يخزّن البكسل معرّف نقرة في ملف تعريف من الطرف الأول على نطاق المعلن نفسه، وهو الجزء الأقرب إلى قياس التحويلات التقليدي.
ماذا قالت OpenAI
تقول بوتشودي إنها وجّهت أسئلتها إلى OpenAI في 14 سبتمبر. وبحسب التقرير أقرّت الشركة بتلقي الاستفسار لكنها لم تجب عن كيفية تصنيف __obi ولا عن كيفية إدارة الموافقة عليه. ولم تطّلع أيفيو نيوز على أي بيان علني من OpenAI بشأن هذه النتائج.
ويمكن للمستخدمين المسجّلين إيقاف تتبع الإعلانات من الإعدادات ثم ضوابط البيانات ثم خصوصية التسويق، وفق البحث، وهو ضبط يقع داخل الحساب لا في نافذة الموافقة التي يعرضها موقع المعلن.
ما ينبغي متابعته
التصنيف هو ما تختبره الجهات التنظيمية عادة. فقد قضت سلطات حماية البيانات الأوروبية مرارًا بأن الغرض من ملف التعريف، لا التسمية التي يحملها، هو ما يحدد وجوب الموافقة، وتدير OpenAI اليوم نشاطًا إعلانيًا داخل منتج يستخدمه مئات الملايين. والخطوة الملموسة التالية هي ما إذا كانت جهة رقابية ستهتم بالطريقة التي يوصف بها __obi.
