「閲覧先12件がOpenAIへ」ChatGPTの計測コードが送っていた

広告計測コードがChatGPTの識別子を外部サイトから持ち出す

セキュリティ調査者Buchodiが2026年9月25日に報告した。ChatGPTを使ったあと別のサイトを開くとOpenAIへ閲覧情報が送られる場合がある。

しくみはこうだ。ChatGPTを使うとブラウザに「__obi」というクッキーが保存される。発行元はOpenAIの「bzr.openai.com」だ。OpenAIはChatGPTの広告の成果を測るためにMeasurement Pixelという計測コードを広告主へ提供している。このコードを入れた外部サイトを同じブラウザで開くとページのURLと__obiがOpenAIの計測サーバーへ送信される。

Measurement Pixelにはページの閲覧だけでなくカートへの追加や購入といったイベントも送れる。「Automatic advanced matching」を有効にするとメールアドレスや電話番号をハッシュ化して送信する機能もある。

12サイトから同じ識別子がOpenAIへ飛んでいた

BuchodiはAndroid版Chromeで検証した。オンラインショップやイベント予約サービスなど12サイトで同じ__obiがOpenAIへ送られる様子を確認している。

送信されたURLではクエリ文字列（?以降の部分）は削除されていた。ただしパス部分はそのまま残っていた。商品ページや記事ページの閲覧先はわかる状態だ。

さらにBuchodiが取得したトークンにはChatGPTアカウントを示す値と__obiが同時に含まれていた。この2つを突き合わせれば「どのChatGPTユーザーが外部のどのページを見たか」をOpenAIが把握できる可能性がある。

MetaやGoogleの広告追跡と何が違うのか

広告主サイトの閲覧や購入を配信元へ送るしくみ自体はMetaやGoogleも持っている。Measurement Pixel自体もOpenAIが公式に説明している機能だ。

問題はChatGPTアカウントとの紐づけにある。利用者はAIに質問しただけでChatGPTの会話とは無関係な外部サイトの閲覧まで追跡対象になるとは想定していない。OpenAIのクッキーポリシーでは__obiを「アナリティクス（分析）クッキー」に分類しているが広告計測に使われている点をBuchodiは疑問視している。

Buchodiは9月14日にOpenAIへ問い合わせた。サポートからは社内で確認するとの回答があったが具体的な説明はまだ出ていない。追加の回答があれば記事を更新するとBuchodiは述べている。

確認する方法と止め方

ブラウザのクッキー一覧で「bzr.openai.com」を探せば__obiの有無を確認できる。Chromeならデベロッパーツールの「Application」→「Cookies」で見つかる。

__obiを手動で削除すれば追跡の連鎖は切れる。ただしChatGPTを再び開けばクッキーは再発行される可能性がある。ブラウザの設定でサードパーティクッキーをブロックするか、ChatGPTと日常のブラウジングでブラウザを使い分けるのが確実だ。