Un cookie d’OpenAI pourrait suivre certains utilisateurs au-delà de ChatGPT, jusque sur des sites web tiers.
Le chercheur en sécurité Buchodi a découvert qu’un cookie __obi d’OpenAI pouvait être inclus dans des requêtes effectuées depuis des sites web utilisant la technologie publicitaire de l’entreprise. Le cookie peut rester dans un navigateur pendant un an, fournissant à OpenAI un identifiant persistant susceptible de réapparaître lorsque le même navigateur consulte des sites participants.
Cette découverte ne montre pas qu’OpenAI peut voir tout ce qu’un utilisateur fait en ligne. Elle soulève toutefois de nouvelles questions en matière de confidentialité sur la manière dont l’activité en dehors de ChatGPT peut être reliée via l’infrastructure publicitaire de l’entreprise.
Comment l’identifiant d’OpenAI suit les utilisateurs d’un site à l’autre
Le suivi web à des fins publicitaires est devenu si courant que de nombreux utilisateurs s’attendent déjà à en subir une certaine forme. OpenAI utilise également des cookies depuis des années, et le __obi cookie lui-même n’est pas une technologie de suivi nouvelle, selon Buchodi. L’aspect le plus intéressant de cette découverte tient à la manière dont OpenAI le classe et le déploie.
Pour commencer, OpenAI classe le __obi dans la section Analytique de sa politique relative aux cookies, plutôt que dans la section Marketing. OpenAI décrit les cookies analytiques comme des outils permettant de comprendre les performances de ses services et la manière dont les utilisateurs interagissent avec eux. En revanche, sa politique définit séparément les cookies de mesure des performances marketing comme ceux utilisés pour mesurer l’efficacité des campagnes marketing.
OpenAI répertorie le __obi avec une durée de vie d’un an. En outre, Buchodi a découvert que ce mécanisme pouvait fonctionner même lorsqu’un utilisateur était déconnecté de ChatGPT. Lors des tests, les identifiants anonymes sont restés stables pendant au moins 27 jours.
Lorsqu’un site participant charge le code publicitaire d’OpenAI, le navigateur peut envoyer le __obi cookie à OpenAI, avec les informations transmises par le site. Selon les données envoyées par le site web, cela pourrait permettre d’associer l’activité sur différentes pages au même identifiant de navigateur.
iOS semble limiter une partie du suivi
Les protections de confidentialité du navigateur d’Apple sont conçues pour limiter de nombreuses formes de suivi intersites, ce qui pourrait réduire le fonctionnement de ce mécanisme sur les iPhone et les iPad.
Les tests de Buchodi se sont concentrés sur Chrome pour Android. Les navigateurs de bureau et les autres environnements mobiles n’ont pas été testés : l’ampleur du phénomène sur les différentes plateformes reste donc incertaine.
Au moment où OpenAI mise encore davantage sur son activité commerciale
Le moment où intervient cette découverte est difficile à ignorer : OpenAI transforme rapidement ChatGPT en activité publicitaire. Le chiffre d’affaires annualisé de l’activité publicitaire d’OpenAI a atteint 1 milliard de dollars au 31 août 2026.
Cette croissance est survenue moins d’un an après le début du déploiement des publicités au sein de ChatGPT par OpenAI. La publicité constitue donc désormais l’une des sources de revenus qu’OpenAI développe parallèlement aux abonnements, aux services destinés aux entreprises et à l’utilisation de son API, ce qui rend de plus en plus important le fait de mesurer ce que font les utilisateurs après avoir vu une publicité.
Cela contribue à expliquer pourquoi OpenAI a développé une technologie capable de relier l’activité des utilisateurs sur le site web d’un annonceur. Cela intervient également à un moment où les détaillants et les entreprises d’IA se disputent sans cesse les données des clients, ce qui suggère que les données générées par l’activité des visiteurs sur le web en dehors d’un chatbot d’IA sont devenues de plus en plus importantes.
Le compromis entre confidentialité et commodité
Pour les utilisateurs, le compromis devient plus clair : ChatGPT offre un espace pratique pour effectuer des recherches, se documenter, faire des achats, planifier des activités et obtenir des réponses, mais OpenAI met également en place un système capable de rendre cette activité plus précieuse pour l’entreprise et les annonceurs.
ChatGPT peut potentiellement contenir des informations très personnelles. Et bien que l’entreprise affirme ne pas utiliser les conversations personnelles à des fins publicitaires, la publicité s’est traditionnellement appuyée sur une bonne compréhension des centres d’intérêt des utilisateurs, ce qui soulève une importante question de confidentialité des données concernant ce __obi cookie.
Cette étude ne montre pas qu’OpenAI peut voir tout ce qu’un utilisateur fait en ligne.
Pour les utilisateurs, le problème concret est qu’un identifiant provenant d’un service d’IA peut désormais apparaître dans des activités menées en dehors de ce service. Ils doivent donc prendre en compte une donnée supplémentaire lorsqu’ils décident de ce qu’ils partagent avec ChatGPT et de la quantité de leur activité en ligne qu’ils acceptent de voir reliée à la plateforme.
Autre actualité : les attaquants de TeamFiltration ont ciblé 5 714 comptes répartis sur 28 locataires Microsoft 365, compromettant sept comptes de service oubliés qui n’étaient pas protégés par l’authentification multifacteur et utilisaient peut-être des mots de passe par défaut ou prévisibles.