セキュリティ研究者のBuchodiは2026年9月20日、ChatGPTの広告計測で使われる「__obi」クッキーについて、他の広告主サイトからOpenAIへ行動データが送られる仕組みを公開しました。数か月分の観測トラフィックを、936個の広告主ピクセルと1,029ホスト名にまたがって照合しています。
自社サイトがOpenAIの広告計測タグを導入しているなら、ブラウザにセットされた識別子の送信先とデータ項目の確認が必要です。
メールアドレスや電話番号はSHA-256でハッシュ化されます。位置情報は平文で送られる場合があります。2026年10月6日時点で、OpenAIは実質的な説明や方針変更を公表していません。
※本記事は2026年10月6日時点の情報です。
検証環境はChrome for Androidです。iOSのSafariなど、WebKitを使うブラウザでは動作しません。Desktop Chromeは未検証です。同期トークンは約5セッションに1回だけ生成され、広告が表示されても同期しない場合があります。以下はこの条件に限った結果です。
AIシステム開発の種類・工程・費用・会社選定までの全体像については、無料ホワイトペーパー「AIシステム開発の完全ガイドブック」で詳しく解説しています。
何が起きたか｜広告主サイトからOpenAIへ「__obi」が送られる
Buchodiが公開したのは、ChatGPTの広告計測に関係する識別子の分析です。ChatGPTクライアントが生成した識別子をもとに、.openai.comドメインへ「__obi」というクッキーがセットされます。属性はSameSite=none; Secureで、Max-Ageは31,536,000秒、約1年です。
そのクッキーは、広告主サイトからOpenAIへ向かうリクエストに付いていました。観測されたサイトにはChewy、Wayfair、ThriftBooks、Eventbrite、HelloFresh、Coursera、SeatGeekが含まれます。30個の異なる__obi値のうち12個が複数の広告主にまたがって現れ、1つの識別子が12の商用サイトから到達した例もありました。
ここで見るべきなのは、一つの識別子が複数サイトからOpenAIへ送られた点です。自社サイトにOpenAIのMeasurement Pixelや関連する計測機能を入れているかを点検してください。次に、タグがブラウザのどのCookieを送信するかを確認します。ChatGPT広告の表示面を整理したChatGPT広告の記事も参考になります。
ポイント
__obiの論点は、広告計測の識別子が広告主サイトからOpenAIへ向かう複数のリクエストに付くことです。自社のタグと送信先を特定します。
仕組み｜16バイトの識別子からCookie同期まで
調査では、ChatGPTクライアントが16個のランダムバイトを生成しました。これを使い、POST /backend-api/bazaar/obi/sync-tokenでRS256署名のJWTを取得します。トークンには識別子、ログイン済みアカウントまたはデバイス識別子、同意区分が含まれていました。
続いてトークンはbzr.openai.com/v1/obi/syncへ送られ、.openai.comに__obiがセットされます。調査で確認された同意区分の一つはconsent_decision: analytics_allowedでした。内部名は「Bazaar」と見られますが、公式ドキュメントで__obiの技術仕様が説明されているわけではありません。
Chrome for Androidの検証では、ChatGPTからログアウトした状態でも動作しました。ただし、同期トークンは約5セッションに1回だけ生成されます。広告が表示されても同期しない場合があります。利用者側では、ブラウザのCookie設定を点検してください。特に、サイトをまたぐ送信を制限する設定の有無を確認します。
ポイント
Chrome for Androidでの検証は、ログイン状態だけでは影響範囲を切り分けられないことを示します。ブラウザのCookie設定と自社サイト側の計測タグを別々に点検してください。
集められるデータ｜ハッシュ化と平文送信を分けて確認する
メールアドレスと電話番号はSHA-256でハッシュ化されます。氏名と地理情報の取得は、スコープ縮小前のv0.1.31で確認されました。8月27日に対象が縮小されたため、版を分けて扱います。
OpenAI公式のMeasurement Pixel仕様には、都市、地域、郵便番号を平文で扱うフィールドが掲載されています。Buchodiの観測では、郵便番号の送信を100イベント、28サイトで確認しました。広告主は管理画面とブラウザ通信の値を確かめてください。
| 名称 | 設定元 | 有効期間 | 役割・位置づけ |
|---|---|---|---|
__obi | .openai.com | 31,536,000秒（約1年） | ChatGPT側で発行され、広告主サイトからOpenAIへのリクエストに付いたと調査で確認。 |
__oppref | 広告主サイト | 30日 | ランディングページURLから取得するprivacy-preserving identifier。 |
__obref | 広告主サイト | 365日 | 新規生成されるrandomly generated browser reference。 |
__opprefと__obrefは、OpenAIの公式「Measurement Pixel」ドキュメントが説明する広告主サイト側のCookieです。__obiとは名称も設定場所も異なります。自社のタグがどの識別子を使うかを確認してください。
ポイント
位置情報などが平文で送信されるかを項目単位で確認します。__obiと公式ドキュメントの__oppref・__obrefは別物です。
同意設定との関係｜「分析」と「マーケティング」の分類を点検する
__obiをめぐるもう一つの論点は、クッキーの分類です。Buchodiの分析では、oai_consent_analyticsとoai_consent_marketingという同意区分が確認されました。consent_decision: analytics_allowedを含むトークンも使われていました。
分析目的の計測とマーケティング目的の計測をどこで分けるかは、企業のCookie同意管理にも関わります。自社のCMPで「分析」を許可したとき、どのタグが動き、どのデータが送信される設定なのかを、分類名だけでなく通信結果で確認します。
Buchodiは、__obiがなぜanalytics分類なのか、マーケティングを拒否した場合にどう動くのかをOpenAIへ質問しました。質問は2026年9月14日にpress@openai.comとprivacy@openai.comへ送付されています。OpenAI Supportからは内部で共有するとの返答がありましたが、個別の質問への直接回答はありませんでした。
- 分類：分析とマーケティングのどちらに置かれているか。
- 発火条件：同意前・拒否後にどのタグが動くか。
- 通信内容：識別子、位置情報、イベント情報のどれが送られるか。
OpenAIの対応｜公式ドキュメントと指摘された挙動を分ける
OpenAIのdevelopers.openai.comが公開するのは、広告主サイト向け「Measurement Pixel」の仕様です。__opprefは30日、__obrefは365日で失効するfirst-party cookieとして説明されています。oaiq("measure", ...)による計測やevent_idによる重複排除も記載されています。
一方、Buchodiが分析したのは、ChatGPT側で発行され、.openai.comにセットされる__obiです。公式ページが説明する広告主サイト側の計測タグと、今回指摘されたChatGPT側のCookieは同じ名前ではありません。企業は公式仕様に書かれた範囲と、ブラウザで観測した通信を照合して判断します。
OpenAIはこの指摘への実質的な公式声明、方針変更、訂正を出していません。現時点で結論を急ぐより、使っている計測機能とデータ項目を棚卸しし、説明が更新されたときに差分を追える状態を作ることが先です。
OpenAIのデータ保護を別の角度から見る場合は、OpenAIのゼロデータリテンション拡充の記事も参考になります。APIのデータ保持方針と広告計測Cookieは対象が違うため、同じ説明として扱わないことが大切です。
自社が確認すべきこと｜広告主側と利用者側で分けて点検する
広告主とChatGPT利用者で対応が分かれます。自社のブラウザとサイトにある具体的な通信が対象です。
広告主側では、Measurement PixelやConversions APIの導入箇所を一覧にします。Cookieの同意状態ごとに、送信される項目を確認します。メールアドレスと電話番号のハッシュ化を確認し、位置情報が平文で送られていないかも点検してください。プライバシーポリシーには、収集項目と利用目的を実際の設定に合わせて記載します。
利用者側では、Chrome for Androidの検証条件を前提に、ブラウザのサイト越えCookie設定を点検してください。会社支給端末と個人端末は分けて管理します。Cookie制限の適用範囲も確認します。
- 自社サイトの計測タグ、Cookie名、送信先を棚卸しする。
- 同意状態ごとに、識別子・位置情報・イベントの送信内容を確認する。
- プライバシーポリシーとCMPの分類を実際の挙動に合わせる。
- OpenAIの仕様更新と自社の通信差分を定期的に記録する。
個人データの扱いを見直す際は、改正個人情報保護法の解説も参照します。法的評価を先に断定せず、通信と同意の記録をそろえてください。関係部署で共有しやすくなります。
ポイント
広告主側はタグと送信項目、利用者側はブラウザと端末設定を確認します。Cookie名・同意状態・送信先の記録は共通化してください。
よくある質問
Q. ChatGPTからログアウトしていても「__obi」で追跡される可能性はありますか？
Chrome for Androidで、ログアウト状態でも同期トークンが生成されました。発生は約5セッションに1回で、広告が表示されても同期しない場合があります。この結果は未利用者全般を示しません。
Q. 「__obi」クッキーはOpenAIの中でどう分類されていますか？
Buchodiの調査では、__obiはanalytics（分析）カテゴリに分類されていると指摘されています。oai_consent_analyticsとoai_consent_marketingの区分も確認されています。
Q. 自社サイトがOpenAIの広告計測ピクセルを使う場合、何を確認すればよいですか？
位置情報などが平文で送信されていないか、同意状態ごとに確認してください。計測タグの設定、ブラウザ通信、プライバシーポリシーの収集項目が一致しているかも点検します。
Q. OpenAIはこの指摘にどう対応しましたか？
2026年10月6日時点で、問い合わせへの実質的な回答や方針変更の発表は確認されていません。Buchodiへの返答は、OpenAI Supportが内部で共有するという内容です。
まとめ
Buchodiの調査は、ChatGPT側で発行された__obiが、広告主サイトからOpenAIへ向かうリクエストに付く仕組みを示しました。数か月分の観測トラフィックを、936個の広告主ピクセルと1,029ホスト名にまたがって照合しています。Chrome for Androidの検証では、ログアウト状態でも同期トークンが生成されました。発生は約5セッションに1回で、広告が表示されても同期しない場合があります。
企業は計測タグとCookie同意を棚卸しし、同意状態の通信を確認してください。利用者はサイト越えCookie設定を点検します。__obiと公式の__oppref・__obrefを分け、仕様更新を記録してください。
ポイント
__obiの確認は、広告主サイトのタグ、Cookie同意、ブラウザ通信の3点を同じ記録で照合するところから始めます。
関連記事
- ChatGPT広告を解説｜AI回答内の広告枠とSEO・広告への影響
- 改正個人情報保護法を解説｜生成AI利用企業が確認すべき課徴金制度と対応
- OpenAIのゼロデータリテンション拡充を解説｜API利用データ保護と企業導入の判断ポイント
- 非人間IDを解説｜AIエージェントの権限管理と監視のポイント
- Google AI Modeの広告を解説｜検索広告の変化とマーケティングの対応
▼開発を相談する前に読みたい無料ホワイトペーパー
・AIシステム開発の完全ガイドブック
・【2026年最新版】AI駆動開発の完全ガイドブック
会社紹介
株式会社riplaでは、お客様の事業・ユーザー・業務に最適化したオーダーメイド型システムを、構想策定・要件定義から開発・改善まで一気通貫で支援。事業会社でIT・DXを経験したプロフェッショナルによる高い要件定義力・システム設計力を活かし、事業成果の最大化に伴走します。
また、当社独自の開発テンプレート「Boxシリーズ」による標準機能の高速開発と、AI駆動開発の独自フレームワーク「GoDD」による独自機能のAI実装を組み合わせることで、低コスト・短期間で開発を実現いたします。
もし、システム開発やプロダクト開発に関するご要望がございましたら、お気軽にお問い合わせください。
・サービス概要資料のURLはこちら >>>
・お問合せページのURLはこちら >>>
・お役立ち資料のURLはこちら >>>
株式会社ripla 代表取締役CEOとして、システムパッケージ活用、システム開発、データ分析、生成AI活用、SaaS開発、アプリ開発、EC構築など、幅広い領域で企業のDX推進と事業成長を支援している。事業会社でIT・DXを経験したプロフェッショナルが集う株式会社riplaにおいて、お客様の事業・ユーザー・業務に最適化したオーダーメイド型システムを構想策定・要件定義から開発・改善まで一気通貫で支援し、単なるシステム納品にとどまらず、クライアントと同じ目線で事業成果の最大化に向けた伴走支援を行う。早稲田大学卒業後、ラクスル株式会社、LINEヤフー株式会社にて事業開発やDX推進などに従事した後、株式会社riplaを創業。