OpenAI __obi çerezi: ChatGPT hesabınız başka sitelerde de izlenebiliyor

Ne ortaya çıktı?

20 Eylül 2026’da yayımlanan bağımsız bir teknik inceleme (Buchodi), OpenAI’nin reklam ölçüm zincirini tersine mühendislikle izledi. Özet: ChatGPT oturumunda oluşan __obi adlı çerez, .openai.com alanında bir yıl yaşayacak şekilde ayarlanıyor. ChatGPT’de reklam satın alan siteler kendi sayfalarına OpenAI pikselini (oaiq.min.js / bzr.openai.com) yüklediğinde, tarayıcı bu çerezi OpenAI’ye geri gönderebiliyor. Sonuç: o sitede gezdikleriniz, ChatGPT hesabınıza (veya anonim ama kalıcı bir kimliğe) bağlanabilir.

Araştırmacı kendi telefonunda mekanizmayı yeniden ürettiğini, aylara yayılan trafikte yüzlerce reklam pikseli gördüğünü yazıyor. OpenAI’ye 14 Eylül’de sorulan iki soruya — neden analytics diye sınıflandığı ve pazarlama reddedilince de çalışıp çalışmadığı — destek hattı “içeride incelenecek” deyip özüne cevap vermemiş.

Teknik olarak ne oluyor? (yüksek seviye)

Zincir üç adımda anlatılıyor:

ChatGPT istemcisi kısa ömürlü bir senkron jetonu alıyor (obi_sync).

Bu jeton bzr.openai.com üzerinde __obi çerezine dönüşüyor; SameSite=None; Secure — yani siteler arası isteklerde taşınabilecek yapı.

Reklamveren sitesi OpenAI SDK’sını yükleyince çerez OpenAI’ye geri gidiyor; sayfa yolu, dönüşüm olayları ve SDK’nın form / etiket yöneticisinden topladığı (hash’lenmiş) kimlik parçaları da gidebiliyor.

Önemli nüans: OpenAI çerez politikasında __obi Analytics altında listeleniyor, Marketing altında değil. Analytics’e izin verip pazarlamayı reddeden kullanıcıda da senkron jetonlarının analytics_allowed taşıdığı gözlenmiş. Yani “reklamı kapattım, sorun bitti” hissi yanıltıcı olabilir.

Sınırlar ve abartılmaması gerekenler

Bu bir mahkeme kararı veya resmî ihlal tespiti değil; bağımsız gözlem. Masaüstü Chrome tam taranmamış. Safari / iOS WebKit üçüncü taraf çerezleri engellediği için aynı yol orada çalışmıyor. Her ChatGPT oturumu senkron üretmiyor; kabaca beşte bir oranından söz ediliyor. Reklamverenler __obi değerini okuyamıyor — çerez OpenAI alanına ait. Asıl soru, OpenAI’nin sunucu tarafında sohbet ürünü kimliğini dışarıdaki gezinmeyle birleştirip birleştirmemesi.

Yine de bağlam ağır: insanlar sohbet botlarına sosyal ağda yazmayacakları şeyleri yazıyor. Aynı ürünün klasik reklamteknoloji kimlik birleştirmesini çalıştırması, “sadece sohbet” beklentisini bozar.