OpenAI 广告追踪链路实锤逆向：936 个像素、__obi 跨站 Cookie 与 GEO 认知主权争夺战

Data Source: zgeo.net | 本文 GEO 架构五维质量评估 | 评估时间: 2026-09-21

本文核心洞察提炼自海外权威专家实测数据，由智脑时代 (zgeo.net) 高级数据分析师本土化重构。

💡 专家核心洞察与新知

洞察一：跨站Cookie 把 ChatGPT 账号变成全网行为锚点

安全研究者 buchodi 近日发布了一份详细的技术调查报告，完整逆向了 OpenAI 广告平台（内部代号「bazaar」）的追踪链路。结论极为明确：OpenAI 在 ChatGPT 中植入了一枚名为 __obi 的 跨站Cookie，它能在用户访问安装了 OpenAI 广告像素的第三方网站时，将浏览行为关联回用户的 ChatGPT 账号。 该 cookie 被设置为 SameSite=None; Secure，有效期 一年——这意味着它从设计之初就被明确允许在跨站请求中发送。

追踪链路分三步闭环：客户端在打开 ChatGPT 时生成 16 字节随机标识符，经 POST /backend-api/bazaar/obi/sync-token 换取一枚 RS256 签名 JWT（有效期 60 秒）；该 JWT 被跨站发往 bzr.openai.com/v1/obi/sync，服务器回写下 __obi cookie；此后用户只要访问安装了 OpenAI 广告像素的商业站点，浏览器便会自动携带该 cookie 回传。研究者抓包发现，浏览器加载广告像素 SDK 的 <script src> 请求本身就会附带 cookie，甚至在 OpenAI 的任何代码执行之前，标识符就已经被传回了。

你只要打开一个安装了 OpenAI 广告代码的网页，OpenAI 就已经知道是你来了。

这条洞察的分量在于：它把 广告追踪 的触发点从「用户主动对话」前移到了「用户被动浏览」。对 GEO 从业者而言，品牌在 AI 侧被「认知」的输入源，已经不只是你投喂的内容，还包括你站点上任何一次页面加载。

洞察二：广告追踪 的数据主导权，从广告主反向转移到平台

追踪远不止于身份识别。研究者观察到，OpenAI 的广告像素 SDK 会主动从广告主页面上收集用户信息，并通过四个渠道采集，OpenAI 自己用标签做了区分：in（广告主主动传入）、fm（从表单字段抓取）、ht（页面渲染文本中抓取）、js（从标签管理器数据层获取）。

关键反差在于：SDK 自动抓取的数据量远超广告主主动提供的——在观察到的流量中，前者产生了 685 个事件，后者仅 255 个。 数据层拦截尤其激进，当前版本会提取邮箱和电话号码；在 2026 年 8 月 27 日之前的 0.1.31 版本中，还会抓取用户姓名和地理位置。邮箱、电话、姓名在传输前经 SHA-256 哈希处理，但国家、地区、城市和邮编是明文发送的。邮编是被采集最多的表单字段，在 28 个网站上产生了 100 次采集事件。

URL 在发送前被截断为域名加路径、不含查询参数，但研究者在 23929 条观察记录中发现，路径本身就已暴露敏感信息，包括一个医疗状况页面、一个债务解决方案流程页面和一个诉讼受理表单。

这意味着：站点上任何一处未加治理的表单字段、数据层变量或路由命名，都可能成为 AI 广告平台的原始语料。隐私合规 不再是法务部门的收尾工作，而是 GEO 内容架构的前置约束。

洞察三：隐私合规 从后台成本项，升级为前台增长变量

研究者自己亦指出，这套机制在结构上与 Meta 多年前建立的标准 广告追踪 系统完全一致。

Meta 多年前就建立了结构上完全相同的系统。登录账号、第三方 cookie、像素触发、站外行为回溯到用户画像。这套机制是标准的广告技术。

前所未有的是，这套系统运行在一个 AI 聊天产品上。

前所未有之处正是在于载体。人们告诉 AI 的事情，是他们不会发在社交网络上的；而这类产品正在越来越多地代替用户执行操作。研究者本人在一台手机上就观测到：一个 __obi 值被从 12 个商业网站发送到 OpenAI 服务器，涉及 13 个不同的像素 ID，覆盖宠物电商 Chewy、家居平台 Wayfair、二手书商 ThriftBooks、活动平台 Eventbrite、生鲜订阅 HelloFresh、在线教育平台 Coursera 和票务网站 SeatGeek，所有请求都返回 202 状态码，即服务器确认接收。更大范围样本中，30 个不同的 __obi 值里有 12 个出现在多个广告主的请求中，其中一个值被 10 个不同的广告主发送过。

更值得警惕的是匿名侧：研究者解码了 932 个同步 token，其中 736 个携带 subject_type: account_user（已登录用户），196 个携带 anonymous（匿名用户）。但匿名标识符和账号标识符一样稳定——每台设备一个，至少持续 27 天不变。

这意味着即使用户没有登录 ChatGPT，OpenAI 仍然可以通过这个匿名但稳定的标识符，持续追踪他们在安装了广告像素的网站上的行为。

这一能力是商业变现的基础设施。2026 年 2 月 9 日，ChatGPT 广告正式面向美国免费用户和 Go 级用户上线，每千次展示约 60 美元，最低投放门槛 20 万美元；到 2026 年 5 月，OpenAI 将广告系统扩展到了欧洲 31 个国家，广告主数量已达 数万。据 Wired 报道，免费用户的营销 cookie 已被默认开启。

合规压力随即而至。2026 年 5 月 1 日，OpenAI 更新隐私政策，宣布开始使用 cookie 在其他网站推广自家产品；2026 年 5 月 13 日，加州用户对 OpenAI 提起集体诉讼，指控其在 ChatGPT.com 中嵌入了 Meta Pixel 和 Google Analytics，将用户的对话主题、哈希邮箱和设备标识符发送给 Meta 与 Google。而此次逆向揭示的机制方向完全相反：OpenAI 自己就是那个广告巨头，它建立了自己的追踪基础设施，让广告主的网站把用户数据送回 OpenAI。

📊 关键实测数据解码

🚀 最佳优化实践法则

法则一：把 OpenAI 的追踪链路纳入站点常态化审计

打开一个安装了 OpenAI 广告代码的网页，标识符即在任何自有代码执行前被回传。品牌方需要以「跨站请求」为审计单位，定期检查站内 <script src> 加载路径、第三方像素加载顺序与首屏请求携带的 cookie 清单。任何在用户交互之前就发起的跨域请求，都应被视为高优先级风险项。

法则二：重新划定 广告追踪 像素的部署边界

实测显示 SDK 自动抓取产生 685 个事件，而广告主主动传入仅 255 个——近 73% 的数据来自平台侧自动采集，而非广告主授权提供。这意味着广告主对「我的站点向 AI 平台输送了什么」并不具备完整知情权。部署像素前，应明确列出允许被抓取的表单字段白名单，并对数据层（js 标签渠道）做显式隔离，防止标签管理器把内部业务变量整体暴露。

法则三：用 隐私合规 前置约束 跨站Cookie 的落地策略

邮编在 28 个网站上被采集 100 次，国家、地区、城市、邮编均以明文发送。GEO 团队应将「是否接受 SameSite=None 的第三方 cookie」写入站点技术规范，并对路由命名做脱敏治理——医疗状况页面、债务解决方案流程页面与诉讼受理表单这类敏感路径，本身就是可被推断的高价值信息载体。

法则四：为 ChatGPT 侧建立可验证的品牌事实源

当匿名标识符可稳定追踪 至少 27 天、单一标识符可被 10 个不同广告主共享时，AI 对用户的判断将越来越依赖跨站行为推断，而非单纯的内容召回。品牌必须主动构建结构清晰、事实可溯、实体边界明确的自有知识资产，确保模型在推断链路上抓取到的是准确、权威、可核验的表述，而不是由碎片行为拼凑出的模糊印象。

法则五：把监管变量写进 GEO 的季度路线图

从 2026 年 5 月 1 日隐私政策更新，到 2026 年 5 月 13 日加州集体诉讼，政策与诉讼的节奏已与广告系统的商业化扩张同步。GEO 规划不能再假设「技术方案长期有效」，而应按季度重估一次数据采集边界、cookie 策略与管辖区域差异。

研究者用一个问题收束了整份报告，也值得每一个 GEO 从业者停下来想一想：

对于一个我们每天主动告诉它大量信息、并且正在逐渐替我们访问整个互联网的 AI 来说，了解的更多，就是好事吗？

在 智脑时代 (zgeo.net) 看来，这次逆向的真正价值，不在于证明 OpenAI 重现了 Meta 的旧架构，而在于它宣告了一个新事实：AI 时代的流量分配权，正在从「关键词排名」迁移到「认知归属」。 谁掌握了模型的输入源与推断链路，谁就掌握了品牌在答案层被如何描述、如何推荐、如何排序的最终裁决权。

这正是我们所倡导的 GEO 核心理念——控制 AI 认知，就是控制流量。当广告追踪、跨站Cookie 与隐私合规成为 AI 产品的基础设施，品牌唯一可守的阵地，是把自身的权威事实、实体关系与价值主张，系统性地写入模型的认知底座。智脑时代 持续追踪全球 AI 广告与数据治理的每一次结构性变动，并将其转化为可执行的本土 GEO 战略资产。

【海外专家洞察原文链接】点击访问首发地址