ChatGPT広告のピクセル、外部サイトの行動をアカウントと紐付けと指摘

何が発表されたか

セキュリティ研究者の Buchodi は2026年9月20日、OpenAIの広告ピクセルに関する調査結果を公開しました。主な指摘は次のとおりです。

• ChatGPTが、ユーザーのアカウントに紐づく署名付きの識別子を生成し、それが .openai.com ドメインの __obi というCookieとして保存される
• Cookieの有効期限は1年で、SameSite=none が設定されているため、サイトをまたいで送信される
• OpenAIのピクセルを設置した広告主サイトを訪れると、ブラウザが自動で __obi をOpenAIのサーバーに送る
• 1つの __obi の値が、12の商用サイト（Chewy、Wayfair、Eventbrite など）から13のピクセルIDのもとでOpenAIに送られていたのを確認
• 国・地域・市区町村・郵便番号などの位置情報は平文で、メールアドレスや電話番号はハッシュ化して収集されている
• ページ上から収集された識別情報は、広告主が明示的に渡した識別情報より多かった（685件対255件）
• OpenAIは __obi を「アナリティクスCookie」に分類しているが、マーケティング目的の同意を拒否しても、サイト横断の識別子として機能している

Buchodi は2026年9月14日にOpenAIへ報告しましたが、OpenAIは問い合わせを受け取ったことは認めたものの、Cookieの分類や同意の扱いに関する具体的な質問には答えていないとしています。

集客・販売への影響

• ChatGPT広告を出稿している、または検討している広告主：ピクセルの設置によって、自社サイト上のどんな情報が送られているかを把握しておく必要があります。フォームの入力内容やページのURLに個人情報が含まれていないかも確認しておきたいところです。
• 同意管理（CMP）の設定の見直し：ベンダーが付けた「アナリティクス」という分類をそのまま信用せず、実際の動作に合わせてカテゴリを割り当てているかを点検するきっかけになります。
• 調査は第三者によるもの：今回の内容は研究者の調査結果で、OpenAIからの公式な説明は出ていません。今後の公式発表や仕様変更に注意が必要です。