오픈AI(OpenAI)의 광고 수집기가 이용자가 다른 웹사이트에서 보는 상품·기사와 구매 행동을 챗GPT(ChatGPT) 계정에 연결할 수 있는 구조라는 분석이 나왔다. 외부 사이트에 설치된 광고 코드가 오픈AI 도메인의 식별 쿠키를 전송하는 방식으로, 분석자는 안드로이드 크롬에서 이를 재현하고 936개 광고 픽셀과 1029개 호스트네임의 트래픽을 확인했다.
오픈AI 광고 수집기의 식별자 전송 구조
해외 기술 분석 사이트 해외 기술 분석 사이트는 9월 21일 오픈AI의 광고 수집기 주소인 bzr.openai.com이 ‘__obi’라는 쿠키를 사용한다고 보도했다. 이 쿠키는 .openai.com 범위로 설정되며, 챗GPT 이용 중 생성된 식별자와 계정 정보를 연결한 뒤 일반 웹사이트 방문 때 오픈AI로 전송된다는 내용이다.
분석에 따르면 챗GPT 웹 클라이언트는 16바이트 난수를 생성해 오픈AI 서버에 보내고, 계정 또는 익명 이용자와 연결된 RS256 JWT를 받는다. 토큰은 60초 뒤 만료되지만, 이후 오픈AI 광고 수집기와 동기화되면서 동일한 식별자가 최대 1년 동안 유지되는 쿠키로 저장된다. 광고주 사이트에 설치된 오픈AI 코드가 실행되면 이용자가 보고 있는 상품, 읽는 기사, 구매 관련 행동이 페이지 정보와 함께 전송될 수 있다.
수집기는 광고주가 직접 넘긴 정보뿐 아니라 페이지의 입력란, 화면에 표시된 문구, 태그 관리자 데이터에서도 정보를 가져오는 것으로 조사됐다. 관찰된 사례에서는 광고주가 제공한 신원정보가 255건이었던 반면, 코드가 페이지에서 추출한 정보는 685건이었다. 이메일·전화번호·이름은 SHA-256으로 해시 처리됐지만 국가·지역·도시·우편번호는 평문으로 전송됐고, 우편번호는 28개 사이트에서 100차례 수집됐다. URL은 검색어 등 쿼리 문자열을 제외하고 경로를 남겼으며, 의료 질환·채무 해결·소송 접수와 관련된 경로도 관찰됐다.
계정 연결 범위와 개인정보 동의 쟁점
분석자는 자신의 휴대전화에서 한 개의 __obi 값이 츄이(Chewy), 웨이페어(Wayfair), 이벤트브라이트(Eventbrite), 헬로프레시(HelloFresh), 코세라(Coursera), 시트긱(SeatGeek) 등 12개 상업 사이트와 13개 광고 픽셀을 통해 전송되는 과정을 확인했다고 밝혔다. 모두 오픈AI 수집기가 요청을 접수했다는 의미의 HTTP 상태 코드 202를 반환했다. 전체 관찰 자료에서는 30개 식별자 중 12개가 둘 이상의 광고주에서 나타났고, 한 식별자는 10개 광고주에서 확인됐다.
자동 정보 매칭 기능은 설정이 확인된 881개 픽셀 중 638개에서 활성화돼 있었으며, 관찰된 신용·대출 광고주에는 모두 적용됐다. 오픈AI의 광고 관리자에서 제어되는 이 기능은 비밀번호, 일회용 코드, 카드번호, 사회보장번호, 생년월일, 의료 기록과 진단, 법원 관련 입력란 등을 제외하도록 설정돼 있다. 다만 분석자는 경로 정보와 일부 지역·연락처 정보가 전송되는 구조 자체가 이용자의 웹 활동을 챗GPT 계정과 결합할 가능성을 만든다고 지적했다.
오픈AI 쿠키 정책은 __obi를 1년짜리 분석 쿠키로 분류하고 있으며, 분석 동의와 마케팅 동의를 별도로 관리한다. 분석자는 분석 쿠키에는 동의하고 마케팅 쿠키에는 동의하지 않은 경우에도 해당 식별자가 발급되는지 오픈AI에 질의했지만, 오픈AI 지원팀은 문의를 내부 검토에 공유하겠다고만 답하고 질문에는 답하지 않았다고 전했다. 안드로이드용 크롬에서 관찰됐고 iOS 브라우저에서는 웹킷과 사파리의 제3자 쿠키 차단으로 작동하지 않는 것으로 분석됐다. 데스크톱 크롬에서는 아직 시험하지 않았다. 관찰 자료상 동기화 토큰이 발급된 챗GPT 세션은 약 5분의 1이었으며, 모바일 웹 클라이언트에서는 광고가 표시돼도 동기화가 이뤄지지 않는 경우가 있었다.