शोधकर्ताओं का दावा: ओपनएआई की विज्ञापन कुकी चैटजीपीटी खातों को दूसरी वेबसाइटों की ब्राउज़िंग से जोड़ती है

शोध का दावा क्या है

सुरक्षा कंपनी बुचोडी ने रविवार को एक विश्लेषण प्रकाशित किया उस मापन पिक्सेल का, जो ओपनएआई उन विज्ञापनदाताओं को देती है जो चैटजीपीटी के भीतर विज्ञापन खरीदते हैं। निष्कर्ष यह है कि यह पिक्सेल ओपनएआई को किसी व्यक्ति की चैटजीपीटी पहचान को उन वेबसाइटों पर उसकी गतिविधि से जोड़ने देता है जिनका चैटजीपीटी से कोई संबंध नहीं।

टीम के मुताबिक उसने यह पिक्सेल बारह व्यावसायिक वेबसाइटों पर तेरह अलग पिक्सेल पहचानों के साथ देखा, जिनमें चूई, वेफ़ेयर, हेलोफ़्रेश, कोर्सेरा और सीटगीक शामिल हैं। डिकोड किए गए 932 टोकन में से 736 में चैटजीपीटी खाते से जुड़ा विषय था और 196 में गुमनाम विषय। बुचोडी का कहना है कि गुमनाम पहचान खाते से जुड़ी पहचान जितनी ही स्थिर रही और किसी उपकरण पर कम से कम 27 दिन टिकी।

ये शोधकर्ताओं के अपने आंकड़े हैं, उनकी अपनी माप से निकले। ओपनएआई ने अपनी ओर से कोई आंकड़े प्रकाशित नहीं किए हैं।

कुकी कैसे काम करती बताई गई

विश्लेषण के अनुसार चैटजीपीटी का सर्वर एक हस्ताक्षरित टोकन जारी करता है जो किसी पहचान को या तो चैटजीपीटी खाते से या गुमनाम सत्र से बांधता है। यह पहचान __obi नाम की कुकी में रखी जाती है, जो ओपनएआई के डोमेन पर एक साल की अवधि और SameSite=None तथा Secure गुणों के साथ सेट होती है — यही संयोजन कुकी को एक साइट से दूसरी साइट तक भेजने देता है। जब विज्ञापनदाता का पिक्सेल लगा कोई पृष्ठ खुलता है, कुकी उस पृष्ठ के आंकड़ों के साथ ओपनएआई को लौट जाती है।

ये आंकड़े केवल उतने नहीं जितने विज्ञापनदाता देना तय करता है। बुचोडी बताती है कि पिक्सेल का डेवलपमेंट किट जिस पृष्ठ पर होता है उसे खंगालता है और ईमेल, फ़ोन तथा नाम के हैश किए मान एकत्र करता है, साथ ही बिना कूटबद्ध देश, क्षेत्र, शहर और पिन कोड, तथा देखे गए पते, फ़ॉर्म फ़ील्ड और पृष्ठ की सामग्री। देखे गए ट्रैफ़िक में खंगाली गई पहचान विज्ञापनदाता द्वारा दी गई पहचान से अधिक थी, 685 घटनाएं बनाम 255, और 881 में से 638 पिक्सेल पर स्वचालित डेटा मिलान चालू था।

विश्लेषण या विपणन

रिपोर्ट का सबसे तीखा बिंदु तकनीकी नहीं, वर्गीकरण का है। ओपनएआई की कुकी नीति __obi को विपणन कुकी नहीं, विश्लेषण कुकी मानती है। इस वर्गीकरण में विपणन सहमति ठुकराने वाले को भी यह कुकी मिलती है, यानी साइटों के आर-पार चलने वाली पहचान उस चुनाव के बाद भी बनी रहती है जिससे अधिकांश लोग ठीक यही रुकने की अपेक्षा करते हैं।

पिक्सेल विज्ञापनदाता के अपने डोमेन पर एक क्लिक पहचान भी रखता है, जो इस पूरी रचना का वह हिस्सा है जो पारंपरिक कन्वर्ज़न मापन से सबसे अधिक मिलता-जुलता है।

ओपनएआई ने क्या कहा

बुचोडी का कहना है कि उसने 14 सितंबर को ओपनएआई के सामने अपने सवाल रखे। रिपोर्ट के अनुसार कंपनी ने पूछताछ मिलने की पुष्टि की, पर यह नहीं बताया कि __obi को किस श्रेणी में रखा गया है या उसके लिए सहमति कैसे ली जाती है। एवियो न्यूज़ को इन निष्कर्षों पर ओपनएआई का कोई सार्वजनिक बयान नहीं मिला है।

शोध के अनुसार लॉग-इन उपयोगकर्ता सेटिंग्स, डेटा कंट्रोल्स, मार्केटिंग प्राइवेसी में जाकर विज्ञापन ट्रैकिंग बंद कर सकते हैं — यह नियंत्रण खाते के भीतर है, विज्ञापनदाता की साइट पर दिखने वाले सहमति बैनर में नहीं।

आगे क्या देखना है

वर्गीकरण ही वह चीज़ है जिसे नियामक परखते हैं। यूरोपीय डेटा संरक्षण प्राधिकरण बार-बार कह चुके हैं कि कुकी के लिए सहमति ज़रूरी है या नहीं, यह उसके लेबल से नहीं उसके उद्देश्य से तय होता है, और ओपनएआई अब कई सौ मिलियन उपयोगकर्ताओं वाले उत्पाद के भीतर विज्ञापन कारोबार चला रही है। अगला ठोस कदम यह देखना है कि कोई निगरानी प्राधिकरण __obi के विवरण में दिलचस्पी लेता है या नहीं।