OpenAI被抓包！ChatGPT竟然知道你在别的网站买了什么

刚刚，「ChatGPT 知道你在别的网站买了什么」这事，被人坐实了。

就在昨天，独立研究者 Buchodi 放出一份第一手调查，在 Hacker News 直接冲上 573 分、308 条评论。

他拿自己的安卓手机做实验，把手机跟各个网站之间悄悄传来传去的数据全截了下来，还换了一种方法再截一遍，两边对上了。

而且不是看了一两天。Buchodi 盯了好几个月的真实上网记录，涉及上千个网站上近千个广告追踪点。

结论就一句话：你在商家网站上搜了什么、看了什么、买了什么，能顺着一枚 Cookie 回到你的 ChatGPT 账号。

这枚 Cookie 叫 __obi。

三步，把你接上

第一步，ChatGPT 先给你发一张「60 秒过期的身份证」。

你打开 chatgpt.com 的那一刻，浏览器在后台生成一串随机数，发给 OpenAI 服务器。

服务器签回一枚数字令牌，把你的 ChatGPT 账号和这串随机数钉死在一起，60 秒后作废。

第二步，这张身份证被换成了一枚长寿 Cookie。

浏览器拿着令牌跨站发给 bzr.openai.com，服务器回种一枚 __obi，挂在 .openai.com 域名下，有效期整整一年。

关键在配置：SameSite=none：专门让它跟着跨站请求走的。你去逛别的网站，它也跟过去。

同一批请求里，浏览器把 OpenAI 其他所有 Cookie 都挡了下来，只放行了这一枚。

第三步，商家网站把它原路送回。

在 ChatGPT 上买了广告的公司，会在自己站点装一小段 OpenAI 追踪代码——跟 Meta Pixel、Google Tag 一类东西。

代码一加载，__obi 就带着你正在看的页面、正在搜的商品、刚下的订单一起飞回 OpenAI。

最狠的是，浏览器在 OpenAI 的代码跑起来之前，就已经把 Cookie...