警惕 ChatGPT 的追踪 Cookie

如果您免费使用 ChatGPT，您的浏览器很可能正带着一个名为 __obi 的讨厌 Cookie，它由 OpenAI 设置，有效期长达一年。一位化名 Buchodi 的研究人员分析了它的运作机制，并于本周末发布了一份非常有趣的报告。

报告显示，这个 Cookie 能让 OpenAI 从您访问的电商网站上收集数据。

其原理与广告像素如出一辙，就像 Meta 和 Google 多年来在您不知情的情况下植入的那种。一家在 ChatGPT 上投放广告的商家会在自己的网页上嵌入一段 OpenAI 的代码，这段代码会在您完成购买时向商家发出通知。

但不同的是，由于 __obi 被设置为 SameSite=None，您的浏览器会在脚本加载之前就自动将其附加到请求中，甚至在任何代码执行之前就已经完成了这一操作。

而且这个标识并非匿名！事实上，在 chatgpt.com 上，它是由服务器随机生成并用包含您账户 ID 的令牌签名的。两者就这样紧密地绑定在一起，从而能够精准地识别出您的身份。

Buchodi 在他的网站上指出，他并未观察到 OpenAI 在服务器端进行这种关联，但后者完全具备这样的能力。在他的手机上，同一个 __obi 已经被用于 12 家商家，其中包括 Wayfair、HelloFresh 和 Coursera 等。

更有趣的是，OpenAI 将关于这个像素的所有信息都公开记录在案。例如，文档中写道，SDK 默认认为您已同意收集数据，而广告主必须显式添加一行代码才能表示反对。

文档还说明了该像素会从商家页面自动获取哪些信息：它能检测您的电子邮件、电话号码和姓名，在浏览器中对这些信息进行 SHA‑256 哈希处理，并将您的城市和邮政编码以明文形式发送出去。

太棒了 \o/！

接下来，最能让那些“GDPR 敬拜者”们震惊的一点是，OpenAI 的 Cookie 政策将 __obi 归类为“分析型 Cookie”。没错，正是这类 Cookie 据称“帮助我们了解服务的运行和使用情况”。

这甚至是该部分唯一的条目 在他们的Cookie政策中 ，而紧挨着的营销类却列出了 LinkedIn、Google、Reddit、Meta、Bing 和 TikTok 等众多第三方。

所以，即便您只接受了统计类而不愿接受营销类，实际上还是被动接受了它。“真有意思”，正如 Sam Altman 所说！

于是，Buchodi 向 OpenAI 提出了这个问题，结果“很奇怪”的是，客服确认收到了邮件，却始终没有回复……

那么，您是否受到这种“小东西”的影响呢？

这取决于您使用的浏览器。幸运的 Safari 自 2020 年起默认阻止所有第三方 Cookie，而所有 iOS 浏览器都基于同一内核，因此它们都不会放行 OpenAI 的 Cookie。

真正的极客之选 Firefox 自 2022 年起便按站点将 Cookie 隔离在独立容器中，这彻底阻断了跨站追踪，同时又不会破坏网站功能。至于 Chrome——那个似乎不太在乎隐私的人们所用的浏览器——则已于 2025 年 4 月放弃了删除第三方 Cookie 的计划，而 OpenAI 的这一机制恰恰是在 Android 版 Chrome 上被观察到的。

那该怎么办呢？

好消息是，最有效的防护措施很可能早已部署在您的设备上了。EasyPrivacy 是一项默认启用的反追踪列表 uBlock 起源 ，其中已经包含了 ||bzr.openai.com^ 和 ||bzrcdn.openai.com^ 这两条规则。

由于它们会拦截整个域名，因此也能在 chatgpt.com 上直接阻断设置 Cookie 的请求。如果您通过 Pi-hole 或 NextDNS 使用 DNS 过滤，只需再加入这两个域名，就能覆盖全屋，包括 Wi‑Fi 上的手机。

不过，别指望 Safari 或 Firefox 能默认解决一切问题，因为它们只能对付 Cookie，却无法阻止其他数据传输。事实上，发往 OpenAI 的请求仍然会携带您的 IP 地址、明文邮政编码以及商家若启用了自动检测功能时的哈希后邮箱地址。

此外，该像素还有一个“服务器端兄弟”——由商家服务器调用的 API，遗憾的是，任何浏览器设置都无法触及它。

也别以为这只是美国才有的现象，因为自 8 月底起，ChatGPT Ads 已覆盖法国及另外 30 个欧洲国家。广告仅会出现在 Free 和 Go 账户上（我的付费账户就没有 __obi Cookie），而且即使您处于未登录状态，Cookie 也会同步生效。

总之，请检查一下您的过滤规则。如果您想查看自己的 __obi Cookie，它就藏在 .openai.com 的 Cookie 列表里。

来源：布乔迪的调查 和 OpenAI 像素文档。