Passa al contenuto principale

Cosa la tua chat AI fa trapelare ai tracker pubblicitari

Intermedio
What you'll learn
  • Individuare la classe di artefatti unica dell'AI conversazionale — URL delle conversazioni, titoli, prompt e screenshot — e capire perché è molto peggio del normale tracciamento web
  • Riconoscere i tre meccanismi (tag manager server-side, analytics proxati come first-party, WebView mobile) che rendono irrilevante un ad blocker
  • Leggere onestamente i numeri sul consenso: cosa rimuove davvero il rifiuto dei cookie non essenziali, e cosa no
  • Capire perché il permalink di una conversazione non è un controllo di accesso, e cosa ha dimostrato l'esperimento con i canary token
  • Eseguire un autocontrollo di 20 minuti su qualsiasi assistente usi, e applicare le poche impostazioni che fanno una differenza misurabile

Lo studio, in un paragrafo​

Nove ricercatori, per lo più presso IMDEA Networks a Madrid, hanno preso i nove servizi di AI conversazionale più usati e li hanno strumentati come la comunità di ricerca sul tracciamento mobile strumenta qualsiasi app: Chrome v148 pilotato attraverso il Chrome DevTools Protocol con cattura HAR completa per i client web, e un Google Pixel 3a con una build AOSP Android 12 strumentata, mitmproxy e Frida per gli otto che distribuiscono un'app Android — più decompilazione statica con Androguard per enumerare gli SDK incorporati. Ogni sessione è stata guidata a mano con uno script-persona fisso e deliberatamente sensibile (un utente che chiede di una condizione medica), ripetuto su livelli guest / free / a pagamento e su tre stati di consenso: ignorare il banner, rifiutare i cookie non essenziali, accettare tutto. Le misurazioni sono state effettuate in Spagna a maggio 2026. Il paper è stato accettato a PoPETs — la sede con revisione paritaria per le tecnologie per la privacy — e gli autori hanno condotto un processo di responsible disclosure con i provider e con le autorità europee per la protezione dei dati prima della pubblicazione.

Quella metodologia conta perché è la differenza tra "qualcuno ha trovato un pixel di Meta su una pagina" e un'affermazione difendibile su cosa viene trasmesso, sotto quale stato di consenso, su quale livello, a chi.

ServizioProviderDominio webPackage AndroidRank TrancoInstallazioni su Play
ChatGPTOpenAIchatgpt.comcom.openai.chatgpt48oltre 1 Mld
ClaudeAnthropicclaude.aicom.anthropic.claude617oltre 10 Mln
GrokxAIgrok.comai.x.grok956oltre 100 Mln
DeepSeekDeepSeekchat.deepseek.comcom.deepseek.chat1.196oltre 50 Mln
PerplexityPerplexity AIperplexity.aiai.perplexity.app.android1.249oltre 100 Mln
GeminiGooglegemini.google.comcom.google.android.apps.bard6.045oltre 1 Mld
MS CopilotMicrosoftcopilot.comcom.microsoft.copilot11.011oltre 50 Mln
Le ChatMistral AIchat.mistral.aiai.mistral.chat12.039oltre 1 Mln
Meta AIMetameta.aicom.facebook.stella13.701oltre 50 Mln

I numeri principali​

What you'll learn
  • Ognuno dei nove servizi contatta almeno un servizio pubblicitario o di tracciamento di terza parte. Non esiste un provider pulito nell'insieme.
  • 124 domini di terza parte distinti, attribuiti a 44 organizzazioni, 34 delle quali sono servizi pubblicitari o di tracciamento.
  • 6 client web su 9 e 3 client Android su 8 fanno trapelare artefatti derivati dalle conversazioni — URL, titoli, prompt, screenshot — rispettivamente a 11 e 2 organizzazioni di tracciamento.
  • 5 client web comunicano i permalink delle conversazioni (o gli identificatori necessari a ricostruirli) a 9 organizzazioni di tracciamento. Tre di questi cinque lo fanno per impostazione predefinita, senza bisogno di consenso.
  • 3 client web su 9 fanno trapelare il titolo della conversazione generato automaticamente a 9 terze parti, tra cui Meta, TikTok e DoubleClick.
  • Rifiutare i cookie non essenziali lascia attivo l'80,8% dei tracker di terza parte.

L'integrazione con terze parti non è lo stesso insieme su web e su mobile: 11 organizzazioni di tracciamento compaiono su entrambi i tipi di client, 15 sono solo web (tra cui Google Tag Manager, TikTok e la piattaforma di gestione del consenso OneTrust), e 8 sono solo mobile (tra cui Braze). Controllare il sito web, quindi, dice ben poco sull'app, e viceversa.

Perché gli artefatti conversazionali sono un problema diverso​

Il tracciamento web ordinario osserva il comportamento: quale pagina hai caricato, quanto ci sei rimasto, su cosa hai cliccato. L'AI conversazionale genera una nuova classe di oggetti — il provider stesso fabbrica un riassunto breve e leggibile da un umano di ciò a cui stai pensando, e poi quell' oggetto viaggia negli stessi tubi.

L'Appendice A del paper mostra esattamente com'è fatto quel riassunto. Stesso prompt, tre provider:

Prompt digitato dall'utenteTitolo generato da ChatGPTda Claudeda Grok
"Quali sono i sintomi della malattia di Parkinson in fase iniziale?"Sintomi del Parkinson in fase inizialeSintomi della malattia di Parkinson in fase inizialeSintomi della malattia di Parkinson precoce
"Il mio stipendio è di 85.000 $. Che mutuo posso permettermi a New York?"Sostenibilità del mutuo a NYCSostenibilità del mutuo con uno stipendio di 85.000 $ a NYCStipendio NYC 85.000 $: mutuo 280.000-350.000 $

Guarda la cella in basso a destra. Il titolo di Grok non registra soltanto l'argomento — codifica la risposta, cifra dello stipendio e forbice del mutuo inclusi, in una stringa breve. Quando quella stringa viene trasmessa a una rete pubblicitaria insieme a un identificatore stabile, la rete pubblicitaria ha appreso una condizione di salute o un profilo finanziario da un singolo campo. Nessuna inferenza, nessuna modellazione, nessuna ricostruzione del clickstream. Il provider ha fatto la sintesi al posto loro.

Ecco cosa il paper ha contato come trapelato, e verso quante organizzazioni di tracciamento distinte:

Artefatto trapelatoProvider (web)Provider (Android)Tracker (web)Tracker (Android)
URL della conversazione5090
ID della conversazione2211
Prompt dell'utente1121
Titolo della conversazione3090
Screenshot della conversazione1010
URL della conversazione condivisa5090
ID della conversazione condivisa0101

L'asimmetria vale la pena interiorizzarla: i client web fanno trapelare gli artefatti visibili all'utente (titoli, URL, screenshot) perché i tracker web vengono eseguiti dentro il contesto JavaScript della pagina e possono semplicemente leggere il DOM. Gli SDK mobile girano fuori dal documento della WebView, quindi ottengono per lo più l' ID della conversazione — ma in cambio ottengono un insieme di identificatori molto più ricco, perché un SDK di terza parte eredita i permessi dell'app che lo ospita.

Tre meccanismi che rendono irrilevante il tuo ad blocker​

Questa è la parte che la maggior parte della copertura mediatica si perde, ed è la lezione più trasferibile della pagina. Bloccare doubleclick.net nel tuo browser non serve a nulla contro nessuno dei seguenti.

Guided walkthrough1 of 3
  1. Il client web di Grok carica un container Google Tag Manager configurato per instradare gli eventi attraverso un'istanza GTM server-side (sGTM). Un evento personalizzato inoltra l'URL della conversazione e l'argomento della chat da server a server alla Conversions API di Meta e alla Events API di TikTok. Poiché il salto dall'infrastruttura di Grok a Meta e TikTok non tocca mai il tuo browser, nessuna estensione può vederlo, tanto meno bloccarlo. Lo stesso payload trasporta sia il cookie _fbp di Meta sia il cookie _ttp di TikTok, il che significa che le due piattaforme pubblicitarie possono essere unite in una singola identità per quell'evento.
Watch out
  • La regola generalizzabile: quando un provider sposta il tracciamento sul lato server o lo proxa attraverso un proprio dominio, il blocco client-side è una misura della pigrizia del provider, non della tua privacy. Gli unici controlli client-side che mordono ancora sono il segnale di consenso stesso e il non generare affatto l'artefatto.

Un quarto meccanismo emerge dalle intestazioni CSP anziché dal traffico reale. Le intestazioni di risposta Content-Security-Policy enumerano le origini che una pagina è autorizzata a contattare, incluse quelle che sono rimaste dormienti durante il test — un utile limite inferiore sul comportamento futuro. Sui nove servizi:

OrganizzazioneDomini nella CSPNumero di provider
Google Tag Managergoogletagmanager.com6
Google Analyticsgoogle-analytics.com5
Google Adsgoogleadservices.com4
Meta Pixel / Conversions APIconnect.facebook.net, facebook.net4
Google DoubleClickdoubleclick.net3
TikTok Analyticsanalytics.tiktok.com2
Reddit Ads / Analyticspixel-config.reddit.com, redditstatic.com2
Microsoft Bingbat.bing.com, bing.com2
Intercomintercom.io, intercomcdn.com2

Risultati per servizio che vale la pena conoscere​

Questi sono i comportamenti specifici e verificabili che il paper documenta. Ognuno è un'osservazione di maggio 2026, non una proprietà permanente.

Nove assistenti, nove risultati
Premi Invio o Spazio per girare la carta. Usa le frecce sinistra e destra per spostarti tra le carte.Termine mostrato.
1 / 9

I numeri sul consenso, letti onestamente​

È qui che lo studio è più utile e più deprimente, perché quantifica qualcosa che tutti sospettano.

What you'll learn
  • Il 77,3% delle trasmissioni osservate di identificatori web a terze parti avviene soltanto dopo che l'utente accetta i cookie non essenziali. La tua scelta fa qualcosa.
  • Ma l'80,8% dei tracker di terza parte resta attivo anche quando i cookie non essenziali vengono rifiutati. Ciò che la tua scelta rimuove è la minoranza.
  • Su tutti i servizi di livello free analizzati, i tracker di terza parte continuano a raccogliere dati nel 44,4% dei casi (4 su 9) in configurazione reject-all.
  • Dei tre client web che fanno trapelare i titoli delle conversazioni, l'88,9% di quelle comunicazioni avviene solo in caso di accettazione — i titoli sono tra gli artefatti che il consenso effettivamente regola.
  • Ignorare del tutto il banner non ha prodotto connessioni ulteriori rispetto a quelle osservate con il rifiuto esplicito. Cliccare sulla X è, su questi nove servizi, equivalente a rifiutare.
  • Il livello di abbonamento conta pochissimo. Account free e premium hanno contattato terze parti sostanzialmente identiche; il livello free mobile di Claude è stata l'unica eccezione netta.

Ne discendono due osservazioni strutturali, e sono quelle da ricordare:

I controlli più forti sono i meno disponibili per gli utenti più esposti. Le preferenze di consenso persistenti sul web esistono solo sul livello a pagamento di ChatGPT, mentre circa il 95% degli utenti ChatGPT sta su livelli free — e OpenAI ha annunciato pubblicità per gli utenti free e a basso costo. Su mobile, la maggior parte delle app non presenta alcun equivalente del consenso sui cookie all'avvio, pur esponendo un'infrastruttura di tracciamento analoga. Non puoi rifiutare ciò su cui non ti è mai stato chiesto nulla.

La presenza non è prova dello scopo. Il paper è prudente qui e lo dovresti essere anche tu: una terza parte che compare nel traffico non significa di per sé che i dati vengano usati per la pubblicità. Alcuni SDK fanno crash reporting, session replay o pagamenti in-app. Sentry, Datadog e Intercom hanno ovvie giustificazioni operative. Gli autori notano inoltre che la loro metodologia non può separare il tracciamento server-side first-party di un provider dal traffico funzionale. Leggi le tabelle come "questi soggetti ricevono questi dati", non come "questi dati vengono sicuramente venduti".

Ognuno dei nove servizi ti permette di condividere una conversazione, e ognuno di essi serve la conversazione condivisa senza richiedere al destinatario di autenticarsi. Il modello di sicurezza è l'indovinabilità nulla di uno UUID nell'URL. La Tabella 6 del paper misura l'impostazione predefinita per provider e per livello; i due casi limite sono Grok, dove i permalink delle conversazioni free e premium sono pubblici per impostazione predefinita con opt-out, e Perplexity, dove le conversazioni del livello guest sono sempre pubbliche senza alcun opt-out. Perplexity è anche l'unico provider che offre in aggiunta un controllo a whitelist.

Gli autori hanno poi fatto la cosa che trasforma un'esposizione teorica in una misurata. Hanno messo in campo canary token — da canarytokens.org e da un'infrastruttura canary self-hosted con un dominio generico, perché alcuni assistenti riconoscono e rifiutano i domini canary noti — sia incollati direttamente nei prompt sia incorporati dentro file .docx e .pdf caricati. Poi hanno aspettato di vedere chi li andasse a recuperare.

Watch out
  • Per DeepSeek, Copilot, Mistral e Claude, alcuni URL canary si sono attivati una volta al momento dell'invio, da indirizzi AWS o GCP — coerente con l'infrastruttura di anteprima link o di retrieval del provider stesso.
  • Per Grok, hanno registrato 70 attivazioni canary distinte, da ore a giorni dopo l'invio, da 70 indirizzi IP su 48 sistemi autonomi in 14 Paesi di 4 continenti, con il 65,7% delle connessioni originate negli Stati Uniti.
  • Perplexity ha recuperato ripetutamente URL canary anche quando il prompt le indicava esplicitamente di non farlo, da range IP appartenenti al suo crawler Perplexity-User su infrastruttura AWS negli USA.

Settanta recuperi da quarantotto reti diverse, giorni dopo, non è comportamento da anteprima link. È la firma di un URL sfuggito dentro una pipeline e finito sotto crawling. Gli autori sono opportunamente cauti — l'assenza di accessi osservati altrove non è prova di assenza, visto che vedono solo ciò che la loro strumentazione intercetta — ma il risultato positivo regge da solo.

Grok è stato anche l'unico servizio in cui gli autori hanno individuato qualcosa che hanno classificato come problema di sicurezza sfruttabile da un soggetto esterno, anziché come decisione di prodotto intenzionale. Per questo xAI ha ricevuto una email di vulnerability disclosure il 17/04/2026 anziché una normale notifica di ricerca. Al 10/09/2026 il paper riporta che Grok usa ancora permalink pubblicamente accessibili e che non era stata ricevuta alcuna risposta ufficiale.

Fai tu stesso l'audit​

Nulla di tutto questo richiede infrastruttura di ricerca. Puoi riprodurre la forma del risultato su qualsiasi assistente in circa venti minuti, e dovresti farlo, perché gli stack cambiano di continuo e il paper è esplicitamente un limite inferiore riferito a un momento preciso.

Guided walkthrough1 of 6
  1. Nuovo profilo del browser, nessuna estensione, nessun cookie precedente. Stato di consenso, token di autenticazione e artefatti di telemetria di una sessione precedente cambieranno silenziosamente ciò che si attiva. Questo è il passo che la gente salta, e invalida tutto il resto.

Estrai ogni host di terza parte e caccia i tuoi identificatori dentro un HAR

# Every distinct host the page contacted, by request count
jq -r '.log.entries[].request.url' capture.har \
| awk -F/ '{print $3}' | sort | uniq -c | sort -rn

# Any request whose URL or POST body contains the conversation UUID
CONV_ID="paste-the-uuid-from-the-address-bar"
jq -r --arg id "$CONV_ID" '
.log.entries[]
| select((.request.url | contains($id))
      or ((.request.postData.text // "") | contains($id)))
| "\(.request.method) \(.request.url)"' capture.har

# Your email, in clear and in the three hashes trackers actually use
EMAIL="you@example.com"
for h in "$EMAIL" \
       "$(printf %s "$EMAIL" | md5)" \
       "$(printf %s "$EMAIL" | shasum -a 1   | cut -d' ' -f1)" \
       "$(printf %s "$EMAIL" | shasum -a 256 | cut -d' ' -f1)"; do
printf '%s -> ' "$h"
grep -c -- "$h" capture.har
done

Cosa riduce davvero l'esposizione​

In ordine di quanto spostano l'ago, secondo la discussione sulle mitigazioni del paper stesso.

Guided walkthrough1 of 6
  1. Le trasmissioni peggiori dello studio avvengono nel percorso di codice della condivisione, e ogni provider ti permette di revocare i link condivisi in precedenza. Passa in rassegna adesso la tua lista di condivisioni. Un permalink che hai creato nel 2024 e dimenticato è ancora pubblico su Grok e sul livello guest di Perplexity, e il risultato dei canary mostra che gli URL condivisi vengono davvero recuperati.

Se costruisci su queste API, il problema è anche tuo​

La nota sullo scopo del paper è facile da saltare ed è la parte che dovrebbe preoccupare gli ingegneri: i vettori di fuga osservati qui "derivano dall'incorporare tracciamento web e mobile standard direttamente dentro interfacce conversazionali". Nulla di essi è specifico di un laboratorio di frontiera. Se hai messo in produzione un chatbot di supporto basato su LLM, un assistente personalizzato o un wrapper AI di terze parti, e il tuo team marketing ha installato i soliti analytics sulle stesse pagine, hai quasi certamente riprodotto questa architettura per sbaglio.

Tre cose concrete da controllare nel tuo prodotto:

  • Generi titoli o riassunti delle conversazioni lato client? Se sì, sono nel DOM, e qualsiasi tag manager su quella pagina può leggerli. La correzione è tenere i riassunti generati fuori dal titolo del documento, fuori dai tag <meta> e fuori da qualsiasi payload di evento analytics.
  • Gli ID delle conversazioni sono nel percorso dell'URL? Allora sono nell'header Referer di ogni richiesta di terza parte che la pagina effettua, e in document.location per ogni script. Lo studio ha trovato due provider che inviano a Datadog l'ID globale della conversazione come parametro indipendente, il che basta a ricostruire un permalink.
  • La tua pagina di condivisione è leggibile pubblicamente? Secondo l'Articolo 5(3) della Direttiva ePrivacy e le Linee guida 2/2023 dell'EDPB sul suo ambito tecnico, il tracciamento via URL e pixel, gli identificatori persistenti e l'istruire il browser a inoltrare dati a un'API server-side richiedono tutti un consenso informato preventivo. La sentenza Fashion ID della CGUE (C-40/17, paragrafo 78) va oltre: abilitare l'accesso di terze parti è di per sé una decisione di trattamento che fa scattare i tuoi obblighi, che la terza parte legga o meno quei dati.

La cronologia della disclosure​

Utile come modello di come questo tipo di ricerca atterra, e come registro di chi si è mosso.

DataEvento
23/03/2026Gli autori notano per la prima volta attività di tracker analizzando Perplexity e Grok
06/04/2026I test si estendono a tutte le principali piattaforme, su stati di consenso, livelli e modalità privacy
13/04/2026I risultati vengono notificati alle autorità per la protezione dei dati nell'UE e nel Regno Unito
17/04/2026xAI viene notificata tramite vulnerability disclosure, specificamente sui controlli di accesso alle conversazioni di Grok
27/05/2026L'autorità spagnola (AEPD) cita il lavoro, chiedendo l'escalation a una plenaria EDPB tenutasi il 06/06/2026
15/08/2026OpenAI aggiorna l'informativa sulla privacy di ChatGPT per menzionare esplicitamente i tracker di terza parte (nesso causale non confermato dagli autori)
10/09/2026Grok espone ancora permalink pubblicamente accessibili; nessuna risposta ufficiale ricevuta

Verifica le tue conoscenze

0/6
  1. Rifiuti i cookie non essenziali su ogni assistente AI che usi. All'incirca che frazione di tracker di terza parte rimuove questa scelta?
  2. Perché bloccare doubleclick.net nel browser non impedisce agli URL delle conversazioni di Grok di raggiungere Meta e TikTok?
  3. Quale artefatto rende il tracciamento dell'AI conversazionale qualitativamente peggiore del normale tracciamento web?
  4. L'esperimento con i canary token ha prodotto 70 attivazioni da 48 sistemi autonomi in 14 Paesi, giorni dopo l'invio. Quale servizio, e cosa dimostra?
  5. Stai facendo l'audit del tuo chatbot di supporto basato su LLM. Quale di questi è lo schema a più alto rischio identificato dallo studio?
  6. Perché l'app mobile potrebbe essere la scelta peggiore per conversazioni sensibili, anche se il client web fa trapelare più contenuto conversazionale?
Key takeaways
  • Tutti e nove i principali servizi di AI conversazionale contattano almeno un'organizzazione pubblicitaria o di tracciamento: 124 domini di terza parte, 44 organizzazioni, 34 delle quali sono ATS. Non esiste un'opzione pulita nell'insieme mainstream.
  • L'AI conversazionale crea una classe di artefatti che il tracciamento web ordinario non ha — il titolo generato dal provider stesso, un riassunto compresso in linguaggio naturale dell'intento dell'utente — e 3 client web su 9 lo inviano a 9 terze parti tra cui Meta, TikTok e DoubleClick.
  • Il blocco client-side è strutturalmente sconfitto in tre modi: tag manager server-side (Grok verso Meta Conversions API e TikTok Events API), analytics proxati come first-party (il Segment di Claude via a-cdn.anthropic.com, con inoltro a undici tracker) e WebView mobile che veicolano il 71% di tutti gli endpoint mobile.
  • Il consenso rimuove la minoranza: l'80,8% dei tracker sopravvive al rifiuto dei cookie non essenziali, e il controllo più forte — le preferenze di consenso persistenti — esiste solo sul livello a pagamento di ChatGPT mentre circa il 95% degli utenti è su livelli free.
  • Il permalink di una conversazione è un URL non indovinabile, non un controllo di accesso. I canary token hanno dimostrato che le conversazioni Grok condivise vengono recuperate 70 volte da 48 sistemi autonomi in 14 Paesi, giorni dopo la fine della chat.
  • Le mitigazioni reali meno costose: revocare i vecchi link di condivisione, usare la chat temporanea/incognito, eliminare anziché resettare il tuo advertising ID Android, e spostare il lavoro genuinamente sensibile su una chiamata API grezza o un modello locale dove non esiste alcun tag manager.
  • Se metti in produzione una funzionalità LLM, probabilmente hai ereditato questa architettura per sbaglio — controlla i riassunti generati nel DOM, gli ID di conversazione nei percorsi degli URL e le pagine di condivisione leggibili pubblicamente.

Fonti e approfondimenti​

Prossimi passi​