Un chercheur indépendant décrit un cookie lié aux pubs de ChatGPT capable de réapparaître sur d’autres sites. Pas une preuve totale, mais un vrai signal.
En bref
- Un cookie d’OpenAI suivrait certains navigateurs hors ChatGPT
- Le mécanisme repose sur __obi et des pixels publicitaires
- Le lien direct avec un compte n’est pas prouvé
Le sujet, au fond, dépasse un simple cookie. Quand un acteur comme OpenAI ajoute de la mesure publicitaire autour de ChatGPT, la question n’est plus seulement technique. Elle touche à la frontière entre ce que vous dites à un assistant IA et ce qui peut remonter ensuite depuis le web classique.
Pourquoi ça compte maintenant
Chez OpenAI, la pub prend de l’ampleur vite. L’entreprise a lancé de nouveaux outils publicitaires dopés à l’IA et des Sponsored Agents. Le mois dernier, elle indiquait que les publicités dans ChatGPT avaient déjà atteint un rythme annualisé d’environ 891 millions d’euros (1 milliard de dollars). Bon, le suivi cross-site existe depuis des années chez Google ou Meta. Mais ici, le point sensible est ailleurs, parce que les usages de ChatGPT vont bien au-delà d’une requête produit.
Comment le cookie __obi se balade
Le chercheur indépendant Buchodi dit avoir analysé plusieurs mois de trafic réseau, avec 936 pixels publicitaires OpenAI répartis sur 1 029 noms d’hôte. Son observation centrale tient dans un identifiant nommé __obi, déposé lors de certaines visites sur ChatGPT.
Ce cookie aurait une durée de vie d’un an et utiliserait le réglage SameSite=None, ce qui autorise son envoi dans certaines requêtes venant d’autres sites. Des annonceurs utilisant la techno pub d’OpenAI peuvent intégrer un pixel de mesure sur leur site. Lors des tests de Buchodi, l’identifiant __obi repartait alors vers OpenAI quand le même navigateur visitait ces sites partenaires.
Ce que le système peut voir, et ce qu’il ne montre pas encore
L’analyse évoque plus qu’une simple visite. Le collecteur publicitaire d’OpenAI recevrait aussi des informations liées aux pages consultées et à des événements de conversion. Sur 23 929 URL observées, les paramètres de requête étaient supprimés, mais les chemins d’URL restaient présents. Et ça peut être parlant, quand même, avec des exemples liés à une pathologie, à des services de dette ou à un formulaire d’entrée en contentieux.
La documentation publique d’OpenAI explique d’ailleurs que ses intégrations de mesure peuvent suivre des conversions et de l’attribution sur des sites web, dans des apps, et même hors ligne.
Le point le plus délicat, c’est le compte utilisateur
Buchodi a repéré des jetons marqués account_user ou anonymous. Sur 932 jetons décodés, 736 concernaient des utilisateurs connectés et 196 des profils anonymes. Ces derniers pouvaient rester stables au moins 27 jours sur le même appareil.
Mais le chercheur n’a pas vu directement, côté serveur, OpenAI rattacher un événement reçu depuis un site annonceur au compte ChatGPT d’une personne. Résultat ? L’architecture rend ce lien possible, pas démontré. Sur un appareil testé, la même valeur __obi est remontée depuis 12 sites commerciaux via 13 pixels. Dans l’ensemble, 12 identifiants sur 30 apparaissaient chez plusieurs annonceurs, dont un partagé par 10 d’entre eux.
Réponse incomplète, limites bien réelles
Les tests ont été menés sous Chrome sur Android, pas sur Chrome desktop. Et Safari, avec les protections anti-suivi d’Apple et le moteur WebKit imposé sur iOS, bloquerait ce mécanisme de cookie tiers. Autre limite, __obi n’était pas créé à chaque session, mais dans environ une session sur cinq.
Le 14 septembre, Buchodi a contacté les équipes presse et vie privée d’OpenAI. L’entreprise aurait accusé réception sans répondre sur la classification du cookie en analytique ni sur son comportement après refus des cookies marketing. Sa documentation publique insiste sur un point, les annonceurs n’obtiennent ni conversations ChatGPT, ni historique, ni memories, ni données personnelles, et reçoivent seulement des rapports agrégés. L’alerte porte donc sur le flux inverse, des sites vers OpenAI.
