En bref
- Un cookie publicitaire d’OpenAI, __obi, pourrait reconnaître le même navigateur sur certains sites partenaires après une visite sur ChatGPT.
- Le mécanisme pourrait transmettre à OpenAI des informations sur les pages consultées, sans preuve qu’elles soient directement reliées à un compte ChatGPT.
- La découverte reste à confirmer et dépend des conditions de test, mais elle soulève des questions sur le suivi publicitaire d’OpenAI.
Fermer ChatGPT ne veut peut-être pas dire couper totalement le fil. Un chercheur indépendant affirme avoir repéré un mécanisme publicitaire qui permettrait à OpenAI de reconnaître un même navigateur sur certains sites après un passage par ChatGPT.
Un cookie qui peut suivre le même navigateur
Le point de départ, c’est un cookie nommé __obi. Le chercheur Buchodi dit avoir analysé pendant des mois le trafic réseau lié à 936 pixels publicitaires d’OpenAI, répartis sur 1029 noms de domaine.
D’après cette analyse, visiter ChatGPT peut amener le navigateur à stocker ce cookie. Jusque-là, rien d’exotique. Là où ça devient plus sensible, c’est sa configuration. __obi pourrait rester actif pendant un an et utiliser le paramètre SameSite=None, ce qui autorise son envoi dans certaines requêtes venant d’autres sites.
Des annonceurs utilisant les outils pub d’OpenAI peuvent en effet installer un pixel de mesure sur leurs pages. Lors des tests de Buchodi, le même identifiant aurait ensuite été renvoyé à OpenAI quand le navigateur visitait ces sites partenaires.
Quelles données peuvent remonter à OpenAI ?
Ce suivi ne concernerait pas seulement la visite d’un site. Le chercheur dit avoir observé des informations liées aux pages consultées ainsi qu’à des conversions, autrement dit des actions mesurées par les annonceurs.
Sur 23.929 URL observées, les chaînes de requête auraient été retirées avant envoi à OpenAI, mais pas les chemins d’URL. Or un chemin peut déjà en dire long. Dans les exemples relevés, il était question d’une pathologie, de services liés aux dettes ou d’un formulaire autour d’un litige.
La documentation publique d’OpenAI mentionne aussi des outils de mesure permettant de savoir ce qu’il se passe après une interaction avec une publicité dans ChatGPT, sur le web, dans des applis et même hors ligne.
Le lien avec un compte ChatGPT n’est pas prouvé
C’est le point à garder en tête. Buchodi dit avoir trouvé, dans le processus de génération de l’identifiant, des jetons marqués account_user ou anonymous. Sur 932 jetons décodés, 736 étaient associés à des utilisateurs connectés et 196 à des profils anonymes. Les identifiants anonymes pouvaient aussi rester stables au moins 27 jours sur un même appareil.
Mais le chercheur n’a pas observé directement, côté serveurs, un rapprochement entre un événement venu d’un site annonceur et un compte personnel ChatGPT. En gros, l’architecture laisserait cette possibilité ouverte, sans preuve définitive que ce rattachement est systématique.
Pourquoi cette découverte pèse dans le débat ?
Le sujet arrive alors que la publicité monte vite chez OpenAI. L’entreprise a récemment présenté de nouveaux outils pub dopés à l’IA et les Sponsored Agents, avec un rythme de revenus annualisé annoncé à 1 milliard de dollars.
OpenAI n’a pas répondu publiquement sur le fond de ces constats. Selon Buchodi, ses équipes presse et vie privée ont accusé réception de ses questions, sans réponse détaillée au moment de la publication. En parallèle, l’entreprise rappelle que les annonceurs n’ont pas accès aux conversations, à l’historique ni aux données personnelles de ChatGPT, et qu’elle ne vend pas les données utilisateurs.
Il reste enfin plusieurs limites. Les tests ont été faits sur Chrome sur Android, pas sur la version desktop. Et Safari, avec ses protections anti-suivi, ne devrait pas laisser fonctionner ce mécanisme de la même façon. Autre détail, le jeton n’apparaissait pas à chaque session, mais environ une fois sur cinq. Ce n’est pas rien, quand même.
