Buchodi、ChatGPT広告計測の外部閲覧追跡を報告

セキュリティ関連の調査・分析を行うBuchodiは、米OpenAI（ChatGPTや生成AI技術を開発・提供する米国の人工知能企業）が広告主向けに提供している広告計測コード「Measurement Pixel（ウェブサイト上に配置して閲覧や購入などのユーザー行動を広告サーバーへ通知する計測プログラム）」に関して、利用者が閲覧した外部ウェブサイトのページ情報とChatGPT（OpenAIが提供する対話型AIサービス）のアカウント識別子が結び付けられて同社サーバーへ送信される仕組みが存在すると報告した。調査では、オンラインショップや予約サイトなど実際に稼働する12の外部サイトにおいて、同一の識別子Cookieが付加された通信がOpenAI側へ届く挙動が確認された。

広告成果測定の仕組みと「__obi」クッキー

OpenAIはChatGPT上で広告を展開しており、広告を見たユーザーが実際に購入や会員登録に至ったかを測るコンバージョン計測ツールとしてMeasurement Pixelを提供している。広告主が自社サイトにOpenAI提供のJavaScriptコードを埋め込むことで、ページ閲覧、商品表示、カート追加、購入といったイベントがOpenAIの計測サーバーへ送信される。また、顧客情報を自動検出してメールアドレスや電話番号をSHA-256でハッシュ化して送る「Automatic advanced matching」機能も提供されている。

こうした枠組み自体はMetaやGoogleなどの広告プラットフォームでも広く利用されているが、BuchodiはChatGPT利用時に発行されるクッキー「__obi」が外部サイトでの広告計測にも関与している点を問題視している。

技術検証の内容とアカウント紐付けの懸念

Buchodiの検証によると、ブラウザでChatGPTを利用した際、OpenAIのドメイン「bzr.openai.com」を介して識別子が生成され、「__obi」として保存される場合があった。その後、同じブラウザでMeasurement Pixelを導入した第三者の外部ウェブサイトを開くと、外部サイトからOpenAIの広告計測用サーバーへ送信される通信ヘッダーにこの「__obi」が付加されていた。

Android版Chromeを用いた検証では、オンラインショップやイベント予約サービスなど12の外部サイトから同一の「__obi」がOpenAIへ送信される様子が観測された。送信データではURLのクエリ文字列は削除されていたものの、訪問したページのパス部分はそのまま含まれていた。さらに、取得された認証トークン内にChatGPTアカウントを示す値と「__obi」が同時に含まれていたことから、外部サイトでのページ閲覧履歴が個人のChatGPTアカウントと紐づけられる構造になっていると指摘されている。

公式開示状況とプライバシー上の論点

Measurement Pixelの仕様や、外部サイトからページ閲覧・購入イベントが送信される仕組み、および顧客情報のハッシュ送信機能については、OpenAIも公式にドキュメントで説明している。また、OpenAIの公式Cookieポリシーにおいて、「__obi」はアナリティクス（分析）Cookieとして記載されている。

Buchodiは2026年9月14日にOpenAIに対し、「広告成果の計測に利用される__obiがなぜ分析用Cookieとして分類されているのか」などを問い合わせたが、社内で調査内容を確認するとの回答にとどまり、具体的な技術的回答は得られなかったとしている。

独自価値要素：プライバシー影響と利用者の自衛策

本調査で明らかになった挙動の背景と、利用者が取り得る対策・確認事項を整理する。

項目	現状の確認事実	利用者・事業者への影響と対策
​送信されるデータ​	閲覧したページのURLパス、イベント（閲覧・購入等）	パスに個人情報や機微なカテゴリ名が含まれる場合は閲覧傾向が伝達される懸念
​識別子の共有​	ChatGPT側で発行されたCookie「__obi」が外部通信に付加	アカウントと外部サイト閲覧行動がOpenAIのサーバー側で突合可能な状態
Cookieの分類定義​	公式ポリシー上は「アナリティクスCookie」に分類	広告成果測定・追跡に関わる機能との整合性について透明性を求める声がある
​ユーザー側の自衛策​	現時点でChatGPT内での一括オプトアウト設定は未確認	広告ブロック機能の利用、ブラウザのCookie分離（プライベートブラウズ）、別プロファイルでの利用
​サイト運営者の留意点​	Measurement Pixel導入時に第三者Cookieやトラッキングが発生	各国のプライバシー法（GDPRや個人情報保護法）に基づく同意取得表記の再点検が必要

分析・展望

外部サイトに埋め込まれたピクセルコードを通じて閲覧行動や購買データを集約する手法自体は、MetaやGoogleなどの大手広告プラットフォームで広く採用されている標準的な枠組みである。しかし、対話型AIという極めて個人的な対話やプライベートな検索意図を扱うChatGPTにおいて、外部ウェブサイトでの回遊履歴が同一のアカウント識別子と紐づき得る形で収集されることに対しては、ユーザーからのプライバシー上の警戒感がより強まりやすい。

欧州GDPRをはじめとするプライバシー規制下では、分析用Cookieと広告・トラッキング用Cookieの厳格な区分や、事前の同意取得（オプトイン）が厳しく義務付けられている。OpenAIが今後広告ビジネスを本格化させるにあたり、Measurement Pixelのデータ取り扱い方針の透明化や、アカウント設定における追跡オプトアウト機能の提供が求められる可能性が高い。

引用元：GIGAZINE | AI PICKS