Hacker News Digest

Современные методы отслеживания пользователей перешли от сторонних cookies к более надёжному и труднообнаруживаемому способу — браузерному отпечатку (fingerprinting). Он собирает десятки технических деталей: модель GPU, поддержка WebGL, шрифты и рендеринг текста в canvas, настройки Intl (часовой пояс, локаль, календарь), количество ядер CPU, объём памяти, язык браузера и даже результаты криптографических хэшей через crypto.subtle. Эти данные объединяются в уникальный идентификатор, который остаётся стабильным даже при смене IP через VPN, очистке cookies или использовании режима инкогнито — только при смене устройства он меняется, но остаётся предсказуемо постоянным для каждого гаджета.

Этот отпечаток позволяет рекламным сетям и брокерам данных связывать ваше поведение на разных сайтах, создавая детальный профиль: интересы, привычки, даже диалоги с ИИ, если сайт их сохраняет по политике конфиденциальности. В отличие от cookies, отпечаток нельзя просто удалить — он встроен в ваше устройство и браузер. Google, несмотря на публичные обещания отказаться от сторонних cookies к 2022 году, в итоге отложил это из-за давления рекламного бизнеса и неудач Privacy Sandbox, а в 2025 году официально разрешил использование fingerprinting в своих рекламных продуктах. Таким образом, пользователь становится не субъектом с правами, а источником предсказуемых паттернов — цифровым фракталом, чьё поведение монетизируется высшим бiddером, будь то рекламодатель, государство или брокер данных. Ваша индивидуальность сводится к набору измеряемых параметров — вы становитесь шестернёй в машине профилирования, а не её хозяином.

Тема раскрывает, что отпечатки действительно заменяют куки благодаря широким возможностям JavaScript, однако их практическая стабильность ограничена, коммерческие сервисы всё ещё полагаются на IP, а реальные защиты (расширения, браузеры) лишь частично снижают уникальность; участники считают, что единственное надёжное решение — законодательное, при этом предлагаются варианты добровольного таргетинга.

• Все согласны, что основная причина возможности отпечатков — JavaScript, который раскрывает браузеру детали аппаратуры, часовой пояс, язык и т.д., тогда как чистый HTML предоставляет лишь IP и User‐Agent.

• Спор: Сторона A ( @legitster): отпечатки нестабильны, большинство коммерческих сервисов всё ещё полагаются на IP, а без него идентификация быстро деградирует. Сторона B ( @alkonaut): если бы пользователи могли добровольно предоставить гео‐данные, пол, возраст и интересы, то целевая реклама была бы приемлемой, а скрытый сбор отпечатков — неприемлем.

• Совет: Для снижения уникальности рекомендуется использовать расширения Chameleon (ротация профилей) совместно с JShelter в строгом режиме, как советует @absqueued.

• Практические наблюдения показывают разную стабильность: в Vanadium ID остаётся одинаковым даже в инкогнито, а в Firefox с uBlock и CanvasBlocker отпечаток меняется при каждой перезагрузке страницы.

• По мнению @boomlinde и @1a527dd5, европейский «cookie law» на самом деле регулирует любой способ слежения, а не только файлы cookie, поэтому согласие требуется и для отпечатков.

• Некоторые участники, например @exceptione, считают, что единственное решение — законодательное, сравнивая нарушение приватности с тяжкими преступлениями и требуя строгих санкций.

• Совет: Предлагается создать открытый API для целевого рекламного таргетинга, где пользователь явно соглашается делиться гео‐данными, полом, возрастом и интересами, как предлагает @alkonaut.

• Стоимость реального отпечатка подтверждается данными @jwally: Fingerprint.com берёт $0.004 за проверку и требует прокси‐сервер, что показывает, насколько сложна масштабируемая эксплуатация.

• Отметка @HughParry: анти‐fingerprint браузеры трудно отличить, поэтому трекеры могут переходить к более «грубым» отпечаткам, собирая менее детальные, но всё равно уникальные данные.

• По словам @sridevisridevi2, современные отпечатки позволяют обходить блокировщики рекламы и более эффективно продавать пользовательские данные, чем традиционные cookie.

OpenAI использует рекламный сборщик на bzr.openai.com, который устанавливает cookie __obi, привязанный к аккаунту ChatGPT. Этот идентификатор генерируется при использовании чатбота: клиент создаёт 16 случайных байтов, получает подписанный JWT-токен с данными учётной записи и отправляет его на bzr.openai.com, где он сохраняется как долгоживущая cookie с атрибутами SameSite=none; Secure, позволяющая передаваться при межсайтовых запросах.

Когда пользователь посещает сайт рекламодателя, установившего OpenAI-подобный пиксель (аналогичный Meta или Google), скрипт загружается с bzrcdn.openai.com, и браузер автоматически прикрепляет cookie __obi к запросу — даже до выполнения любого кода пикселя. Затем при отправке событий конверсии или аналитики на bzr.openai.com этот идентификатор передаётся вместе с данными о поведении на сайте: поисковыми запросами, прочитанными статьями, действиями в формах. OpenAI объединяет эти данные с аккаунтом ChatGPT через поле sub в исходном токене.

Сборщик также извлекает личные данные со страниц рекламодателей: из полей форм (fm), текста страницы (ht), JavaScript-среды (js) и особенно из систем управления тегами (in), где email оказывается главным источником — в наблюдаемом трафике scraped-данные превышали переданные рекламодателем в соотношении 685 к 255. Механизм подтверждён на Chrome для Android при 936 пикселях across 1,029 хостов; не работает в Safari из-за ITP и на iOS из-за WebKit. Хотя аналогичные схемы давно используются в adtech, их применение в ИИ-чате ново: пользователи делятся с ChatGPT конфиденциальной информацией, которой бы не поделились в соцсетях, а теперь эта информация может быть связана с их поведением в открытом вебе через рекламную сеть OpenAI. Advertisers не получают доступ к __obi — он принадлежит домену OpenAI и недоступен их скриптам.

Отслеживание через cookie __obi на bzr.openai.com можно блокировать DNS-фильтрацией (NXDOMAIN), как отметили @drnick1 и @Razengan, или с помощью строгой разделённости кук в Firefox, Brave и Safari. В Chrome и Edge этот метод не работает. Для изоляции кук рекомендуется использовать отдельные контейнеры для каждого домена, а также расширения uBlock Origin и EFF Privacy Badger. По данным Bloomberry, число сайтов с ad-трекингом ChatGPT удвоилось за месяц. @Legend2440 сравнивает эти трекеры с инструментами Facebook и Google. Практика вызывает критику как часть «экономики наблюдения» и вызывает опасения о коллаборации с государством. Применение стандартного трекинга к AI-чатам противоречит ожиданиям пользователей в приватности, что привело к отказу некоторых от использования ChatGPT. EU-законодательство рассматривает такие действия как нарушение приватности и стремится их ограничить. При этом часть пользователей считает рекламу на основе содержания чатов приемлемой, а другие полагают, что OpenAI тратит ресурсы на рекламу вместо стремления к AGI.

Google продолжает показывать мошеннические рекламные объявления, хотя его собственная модель Gemini сразу же классифицирует их как нарушение политик: имитация системных уведомлений iOS, фальшивые кнопки «Да/Нет» и запугивание пользователей угрозой сбоя устройства. Несколько пользователей сообщили об одном и том же рекламном баннере — и получили одинаковый ответ: «Объявление не нарушает правила». При этом AI без труда выявляет три нарушения: обманчивый дизайн, нефункциональные элементы интерфейса и манипулятивные scare-тактики. Вопрос в том, почему ручная проверка, медленная и ненадёжная, всё ещё доминирует, хотя у Google есть мощные модели, способные автоматически блокировать такие объявления за секунды. Возможно, система просто не настроена на использование AI для фильтрации рекламы, или же есть системная лень в обновлении процессов. Альтернативно — если реклама кликается, она приносит доход, и её удалять не спешат.

Google сознательно игнорирует мошеннические рекламные объявления из-за их прибыльности, несмотря на наличие технологий для блокировки. Проблема системна: бизнес-модель Google зависит от дохода от мошеннической рекламы, составляющего около 78% общего дохода. Система модерации полагается на репорты пользователей, а не на автоматизацию, чтобы не терять доход от легитимных объявлений, даже если AI может их обнаруживать. Злоумышленники используют динамические поддомены и ежедневно создают новые аккаунты, делая блокировку по доменам невозможной; Google отказывается блокировать TLD. Компания не отвечает на репорты, даже при многократных сообщениях о поддельных уведомлениях iOS, лекарствах и фишинге. Компании, использующие Google Ad Manager, вынуждены нанимать штат сотрудников для ручной блокировки одинаковых баннеров, что подтверждает техническую возможность AI-решения. Мошеннические объявления на YouTube и в поиске часто генерируются ИИ и имитируют системные уведомления, особенно угрожая пожилым и менее технически подкованным пользователям. Google скрывает маркировку «Ads by Google» за иконкой «info», чтобы дистанцироваться от мошенничества. Регуляторы (FTC, FCC) не применяют санкции, отсутствие юридической ответственности позволяет практике продолжаться. Пользователи, зависящие от рекламного дохода, вынуждены самостоятельно блокировать объявления — обязанность лежит на Google. Аналогичные проблемы наблюдаются на Facebook, Apple News и Google Play, указывая на отраслевую проблему. Google блокирует миллиарды мошеннических объявлений в год, но объем и скорость загрузки превышают возможности ручной проверки, а автоматизация не применяется. Уход Сьюзан Войчицки с поста главы YouTube связан с резким ростом качества мошеннической рекламы. Мошеннические объявления приводят к реальному вреду: пожилые люди удаляют приложения, считая устройства взломанными. Google мог бы решить проблему, требуя подтверждения личности рекламодателей и немедленной блокировки аккаунтов после первого нарушения, но не делает этого из-за потери дохода. Рекомендуется устанавливать эффективные блокировщики рекламы на устройствах членов семьи для защиты от мошенничества как меры безопасности.