OpenAI 的广告业务里有一个叫 bzr.openai.com 的采集端点，它会在你访问普通网站时收到一枚叫 obi 的 Cookie，而这枚 Cookie 能对回你的 ChatGPT 账号。

链路是这样的：在 chatgpt.com 上，客户端生成 16 个随机字节，向 /backend-api/bazaar/obi/sync-token 换回一个 RS256 签名的 JWT，里面 sub 是账号、obi 是随机标识、有效期 60 秒；客户端再跨站把这枚 token POST 给 bzr.openai.com/v1/obi/sync，拿回 obi Cookie——Domain 挂 .openai.com、HttpOnly、Secure、SameSite=None、Max-Age 一年。也就是说，这枚 Cookie 出厂就配置成"允许跨站携带"。

回传那一半更像现成的广告技术。任何在 ChatGPT 上买过广告的公司，会在自己网站挂一小段 OpenAI 的测量像素（做法和 Meta、Google 的追踪代码一样）。页面加载这段脚本时，obi 连同你在看的商品、正在读的文章、下单行为一起发回 OpenAI 的域名，于是 OpenAI 能把你在那些网站上的动作和你的 ChatGPT 账号对上。

作者在自己手机上复现了整条链路，用两种独立抓包方式交叉验证，另外对照了数月的观测流量：936 个不同的广告主像素、1,029 个主机名。有一个细节值得单独拎出来：SDK 里存在一条"不带凭据"的代码路径，但它救不了你——Cookie 是浏览器自动附上去的；作为对照，另一条拉取像素配置的请求干脆没有带 Cookie 头。HN 讨论帖 757 分（2026-09-20 提交），评论区的主流反应是"这套机制就是标准 adtech，Meta 和 Google 做了几十年"，同时也承认罕见之处在于它被搬到了一个 AI 聊天产品上；还有人贴出这条链路至少 4 月就存在，以及第三方统计显示带 ChatGPT 广告追踪的站点数量在翻倍。

这是一位独立研究者的自建抓包与抽样流量结论，不是 OpenAI 或第三方机构的审计，完整数据集没有公开；文中也没有拿到 OpenAI 对测量像素与账号关联关系的官方说明。所以能确认的是"机制成立"，不能确认的是"你的每一次浏览都一定被关联"。

我的判断：这件事的现实含义不是"换个浏览器隐私设置"，因为采集发生在第三方网站的脚本里，而不是 chatgpt.com 的页面上。想减少暴露，务实的做法是在日常浏览的主浏览器里拦掉第三方脚本、把 ChatGPT 这类登录态的站点单独隔开；如果你本来就用 ChatGPT 的免费版并不在意账号里有浏览画像，那这条更像是"知道就好"。真正值得追问的是那句 HN 评论里最扎人的话——机制是老的，但把它跑在 AI 对话产品上是新的。