오픈AI가 챗GPT 계정에 __obi 쿠키를 심어 다른 웹사이트 방문 기록까지 연결해온 정황이 드러났어요. 연구진이 동기화 토큰 932개를 살펴보니 736개가 실제 계정과 묶여 있었어요. 광고 추적을 꺼도 쿠키는 그대로 심어진다는 점이 논란의 핵심이에요.
한 독립 연구자가 최근 챗GPT 쿠키를 하나하나 뜯어보다가 좀 이상한 걸 발견했어요. 이름은 __obi. .openai.com 도메인 아래 심어지고, 유효기간이 무려 1년이에요. 처음엔 그냥 로그인 유지용 쿠키인 줄 알았는데, 까보니 역할이 완전히 달랐습니다.
오픈AI는 bzr.openai.com이라는 주소로 광고 수집기를 운영하고 있어요. 웹사이트들이 광고 성과를 측정하려고 오픈AI가 제공한 전환 픽셀 코드를 자기 사이트에 심으면, 그 페이지를 열 때마다 __obi 쿠키가 같이 딸려서 오픈AI 서버로 전송되는 구조예요. 서명된 JWT 토큰 안에 챗GPT 계정, 로그인을 안 했으면 익명 세션 식별자가 들어 있고, 어떤 페이지를 봤는지, 뭘 검색했는지, 최근에 뭘 주문했는지까지 같이 실려서 넘어가요.
문제는 이 쿠키를 광고 설정을 켜든 끄든 상관없이 심는다는 거예요. 챗GPT 설정에서 광고 추적을 분명히 꺼도 __obi는 그대로 기기에 남습니다. 게다가 오픈AI 쿠키 정책에는 이게 '분석용 쿠키'라고 분류돼 있는데, 실제로 하는 일은 누가 봐도 사이트 간 마케팅·광고 추적기거든요. 연구진이 이 분류에 대해 직접 질문했는데 오픈AI는 ❌ 답을 안 했다고 해요.
숫자로 보면 더 실감이 나요. 연구진이 동기화 토큰 932개를 디코딩했는데, 그중 736개는 실제 계정 식별자와 묶여 있었고 196개는 익명 식별자였어요. 근데 이 익명 식별자도 사실상 계정 식별자만큼 안정적이라, 기기당 하나씩 배정된 채 최소 27일 동안 그대로 유지된다고 하네요. 로그인을 안 했다고 안심할 일이 아니라는 거죠. 📊
다행히 모든 기기에서 다 뚫리는 건 아니에요. 이 방식은 안드로이드 크롬에서만 제대로 작동하고, 애플 사파리랑 아이폰 크롬은 이런 유형의 사이트 간 쿠키를 원천적으로 막아버리거든요. 근데 안드로이드 크롬 점유율이 전 세계적으로 압도적인 걸 생각하면, 막힌다고 안심할 수 있는 인구가 그렇게 많지도 않아요.
솔직히 이런 얘기가 나올 때마다 드는 생각인데, 대화형 AI라는 게 원래 사람들이 되게 사적인 이야기를 편하게 털어놓는 도구잖아요. 그런 서비스가 뒤에서 광고 생태계랑 이렇게 촘촘하게 엮여 있었다는 사실이 드러날 때마다 신뢰가 조금씩 깎이는 느낌이에요. 오픈AI 쪽 발표 없이 연구자 폭로로 이런 내용이 드러난 것도 그렇고요.
이 문제를 오픈AI에 처음 알린 게 9월 14일이었다는데, 공개된 지 꽤 됐는데도 회사 쪽 공식 해명이나 정책 변경 소식은 아직 안 들려요. 규제당국이 이 건을 들여다볼지, 아니면 이대로 조용히 묻힐지는 좀 더 지켜봐야 할 것 같아요.
출처