让人担心的事还是发生了。安全研究者扒出，OpenAI通过内部代号为bazaar的广告平台，搭起了一条跨站追踪的完整链路。当一名用户打开ChatGPT时，客户端会先生成一串随机标识符，并取走一个绑定了该用户账号的JWT令牌，随后在跨站环境下写入一个名为__obi的跨站cookie。这枚cookie就像一张贴着身份的标签，当用户日后访问那些装了OpenAI广告像素的第三方网站时，网页上的浏览动作会被直接关联回其ChatGPT账号。

更值得注意的是，这种关联并不以你在ChatGPT里输入过什么为前提。哪怕你从没在对话框里提过相关话题，只要踏进装了像素的站点，你的网页浏览行为就会被OpenAI收走。换句话说，聊天框之外的那片广阔网络，也已经被悄悄纳入了画像范围。这一发现已经冲上HackerNews热榜第三，在开发者社区里掀起了不小的波澜。