メインコンテンツまでスキップ

AIチャットが広告トラッカーに漏らしているもの

中級
What you'll learn
  • 会話型AI に固有のアーティファクトの種類 — 会話のURL、タイトル、プロンプト、スクリーンショット — を挙げ、それが通常のWebトラッキングよりはるかに悪質である理由を理解する
  • 広告ブロッカーを無意味にしてしまう3つの仕組み（サーバーサイドのタグマネージャー、ファーストパーティ経由でプロキシされたアナリティクス、モバイルのWebView）を見分ける
  • 同意に関する数字を正直に読む: 非必須クッキーを拒否すると実際に何が消え、何が消えないのか
  • 会話のパーマリンクがアクセス制御ではない理由と、カナリアトークン実験が何を証明したのかを理解する
  • 自分が使っているアシスタントに対して20分の自己監査を実行し、測定可能な効果がある数少ない設定変更を適用する

この研究を一段落で​

主にマドリードの IMDEA Networks に所属する9人の研究者が、 最も利用されている9つの会話型AIサービスを取り上げ、モバイルトラッキングの研究コミュニティが アプリを調べるときと同じ手法で計測した。Webクライアントについては Chrome DevTools Protocol 経由で駆動する Chrome v148 と完全なHARキャプチャ、Androidアプリを提供している8サービスに ついては mitmproxy と Frida を組み込んだ Android 12 AOSP ビルドを動かす Google Pixel 3a、 さらに Androguard による静的逆コンパイルで組み込みSDKを列挙した。すべてのセッションは、 意図的に機微な内容を含む固定のペルソナ台本（ある病状について尋ねるユーザー）に沿って手動で 実行され、ゲスト／無料／有料の各ティア、そして3つの同意状態（バナーを無視する、非必須クッキーを 拒否する、すべて受け入れる）にわたって繰り返された。測定は2026年5月にスペインで行われた。 この論文はプライバシー技術の査読付き会場である PoPETs に採択され、著者らは公表前に各プロバイダーと 欧州のデータ保護当局に対する責任ある開示プロセスを実施している。

この方法論が重要なのは、「あるページに Meta のピクセルが見つかった」という話と、どの同意状態で、 どのティアで、誰に対して、何が送信されるのかという擁護可能な主張との違いを生むからだ。

サービス提供元WebドメインAndroidパッケージTrancoランクPlayインストール数
ChatGPTOpenAIchatgpt.comcom.openai.chatgpt4810億以上
ClaudeAnthropicclaude.aicom.anthropic.claude6171000万以上
GrokxAIgrok.comai.x.grok9561億以上
DeepSeekDeepSeekchat.deepseek.comcom.deepseek.chat1,1965000万以上
PerplexityPerplexity AIperplexity.aiai.perplexity.app.android1,2491億以上
GeminiGooglegemini.google.comcom.google.android.apps.bard6,04510億以上
MS CopilotMicrosoftcopilot.comcom.microsoft.copilot11,0115000万以上
Le ChatMistral AIchat.mistral.aiai.mistral.chat12,039100万以上
Meta AIMetameta.aicom.facebook.stella13,7015000万以上

主要な数字​

What you'll learn
  • 9つのサービスすべてが、少なくとも1つの第三者広告・トラッキングサービスに接続している。この中にクリーンな提供元は存在しない。
  • 124の異なる第三者ドメインが観測され、44の組織に帰属した。そのうち34は広告またはトラッキングのサービスである。
  • Webクライアントは9つ中6つ、Androidクライアントは8つ中3つが、会話由来のアーティファクト（URL、タイトル、プロンプト、スクリーンショット）をそれぞれ11および2のトラッキング組織に漏らしている。
  • 5つのWebクライアントが、会話のパーマリンク（またはそれを再構成するのに必要な識別子）を9つのトラッキング組織に開示している。そのうち3つは同意なしに、デフォルトでそうしている。
  • 9つのWebクライアントのうち3つが、自動生成された会話タイトルを Meta、TikTok、DoubleClick を含む9つの第三者に漏らしている。
  • 非必須クッキーを拒否しても、第三者トラッカーの80.8%は動作したままである。

第三者との統合はWebとモバイルで同じ集合ではない。11のトラッキング組織は両方のクライアント種別に 現れ、15はWeb専用（Google Tag Manager、TikTok、同意管理プラットフォームの OneTrust を含む）、 8はモバイル専用（Braze を含む）である。したがってWebサイトを監査してもアプリについてはほとんど 何も分からないし、その逆もまた同じだ。

会話由来のアーティファクトがなぜ別種の問題なのか​

通常のWebトラッキングが観測するのは行動である。どのページを読み込み、どれだけ滞在し、何を クリックしたか。会話型AIは新しい種類のオブジェクトを生み出す。提供元自身が、あなたが何を考えて いるのかを短く人間が読める形に要約し、そのオブジェクトが同じパイプを通って流れていくのだ。

論文の Appendix A は、その要約が具体的にどのようなものかを示している。同じプロンプト、3つの プロバイダー:

ユーザーが入力したプロンプトChatGPT が生成したタイトルClaude が生成Grok が生成
「パーキンソン病の初期症状は何ですか?」パーキンソン病初期の症状パーキンソン病初期段階の症状パーキンソン病早期の症状
「年収は8万5千ドルです。ニューヨークでいくらの住宅ローンを組めますか?」NYCでの住宅ローン負担可能額年収8万5千ドルでのNYC住宅ローン負担可能額年収8万5千ドルのNYC: 住宅ローン28万〜35万ドル

右下のセルを見てほしい。Grok のタイトルは話題を記録しているだけではない — 年収の数字と住宅ローンの レンジを含む答えそのものを、短い文字列に符号化している。その文字列が安定した識別子とともに 広告ネットワークに送信されたとき、広告ネットワークはたった1つのフィールドから健康状態や 金融プロファイルを学習したことになる。推論も、モデリングも、クリックストリームの再構成も要らない。 提供元が代わりに要約してくれたのだ。

論文が漏洩として数え上げたものと、その送信先となる異なるトラッキング組織の数は次のとおり:

漏洩したアーティファクトプロバイダー数（Web）プロバイダー数（Android）トラッカー数（Web）トラッカー数（Android）
会話のURL5090
会話ID2211
ユーザーのプロンプト1121
会話のタイトル3090
会話のスクリーンショット1010
共有された会話のURL5090
共有された会話のID0101

この非対称性は覚えておく価値がある。Web クライアントはユーザーに見えるアーティファクト （タイトル、URL、スクリーンショット）を漏らす。WebトラッカーはページのJavaScriptコンテキスト内で 実行され、DOMをそのまま読めるからだ。モバイルSDKは WebView のドキュメントの外で動くため、 主に会話IDしか得られない — だがその代わりにはるかに豊富な識別子の集合を手に入れる。第三者のSDKは ホストアプリの権限をそのまま引き継ぐからである。

広告ブロッカーを無力化する3つの仕組み​

ここが大半の報道が見落としている部分であり、このページで最も応用の利く教訓でもある。ブラウザで doubleclick.net をブロックしても、以下のどれにも効果はない。

Guided walkthrough1 of 3
  1. Grok のWebクライアントは、サーバーサイドGTM（sGTM）インスタンスを経由してイベントを転送するよう設定された Google Tag Manager コンテナを読み込む。カスタムイベントが会話のURLとチャットの話題を、サーバー間通信で Meta の Conversions API と TikTok の Events API に転送する。Grok のインフラから Meta と TikTok への経路はあなたのブラウザを一切通らないため、どんな拡張機能もそれを見ることができず、ましてやブロックできない。同じペイロードが Meta の _fbp クッキーと TikTok の _ttp クッキーの両方を運ぶので、2つの広告プラットフォームはそのイベントについて単一のアイデンティティとして結合できる。
Watch out
  • 一般化できる法則: プロバイダーがトラッキングをサーバーサイドに移すか自社ドメイン経由でプロキシした時点で、クライアント側のブロックが測っているのはあなたのプライバシーではなく、そのプロバイダーの手抜き具合である。まだ効き目のあるクライアント側の制御は、同意シグナルそのものと、そもそもアーティファクトを生成しないことだけだ。

4つ目の仕組みは、実際のトラフィックではなく CSP ヘッダーに現れる。Content-Security-Policy レスポンスヘッダーは、ページが接続を許可されているオリジンを列挙する。テスト中は沈黙していた ものも含まれるため、将来の挙動に対する有用な下限値になる。9つのサービス全体では:

組織CSP内のドメインプロバイダー数
Google Tag Managergoogletagmanager.com6
Google Analyticsgoogle-analytics.com5
Google Adsgoogleadservices.com4
Meta Pixel / Conversions APIconnect.facebook.net, facebook.net4
Google DoubleClickdoubleclick.net3
TikTok Analyticsanalytics.tiktok.com2
Reddit Ads / Analyticspixel-config.reddit.com, redditstatic.com2
Microsoft Bingbat.bing.com, bing.com2
Intercomintercom.io, intercomcdn.com2

サービス別に知っておくべき発見​

以下は論文が記録している具体的で検証可能な挙動である。いずれも2026年5月時点の観測であり、 製品の恒久的な性質ではない。

9つのアシスタント、9つの発見
Enter キーまたはスペースキーでカードを裏返します。左右の矢印キーでカードを移動できます。用語を表示しました。
1 / 9

同意の数字を正直に読む​

この研究が最も有用で、同時に最も気の滅入る部分がここだ。誰もが薄々感じていることを定量化して しまっているからである。

What you'll learn
  • 観測されたWeb識別子の第三者への送信のうち77.3%は、ユーザーが非必須クッキーを受け入れた後にのみ発生する。あなたの選択には意味がある。
  • しかし非必須クッキーを拒否しても、第三者トラッカーの80.8%は動作したままである。あなたの選択が取り除くのは少数派のほうだ。
  • 分析対象の無料ティアサービス全体では、すべて拒否の設定下でも44.4%（9つ中4つ）で第三者トラッカーがデータを収集し続けている。
  • 会話タイトルを漏らす3つのWebクライアントについては、その開示の88.9%が受け入れ時にのみ発生する — タイトルは同意が実際に制御しているアーティファクトの一つだ。
  • バナーを完全に無視した場合、明示的な拒否のときに観測された以上の接続は発生しなかった。この9つのサービスにおいて、×印をクリックすることは拒否することと等価である。
  • サブスクリプションのティアはほとんど関係がない。無料アカウントとプレミアムアカウントはほぼ同一の第三者に接続していた。Claude のモバイル無料ティアだけが唯一の明確な例外だった。

ここから2つの構造的な観察が導かれる。覚えておくべきなのはこの2つだ。

最も強力な制御は、最も露出の大きいユーザーにとって最も手の届かないところにある。 Web上で 同意設定を永続化できるのは ChatGPT の有料ティアだけだが、ChatGPT ユーザーのおよそ95%は無料ティアに いる — しかも OpenAI は無料および低価格ユーザー向けの広告を発表済みだ。モバイルでは、同等の トラッキング基盤を抱えているにもかかわらず、起動時にクッキー同意に相当するものを提示するアプリは ほとんどない。尋ねられなかったものを拒否することはできない。

存在することは目的の証明ではない。 論文はこの点に慎重であり、あなたもそうあるべきだ。 トラフィックに第三者が現れることは、それ自体ではデータが広告に使われていることを意味しない。 クラッシュレポート、セッションリプレイ、アプリ内決済を担うSDKもある。Sentry、Datadog、Intercom には 明白な運用上の正当性がある。著者らはまた、自分たちの方法論ではプロバイダー自身のファーストパーティな サーバーサイドトラッキングと機能的なトラフィックを区別できないとも述べている。表は「これらの事業者が このデータを受け取っている」として読むべきであり、「このデータが確実に売られている」として読むべきでは ない。

パーマリンクはアクセス制御ではない​

9つのサービスのいずれも会話を共有できるようになっており、そのいずれもが受信者の認証を求めることなく 共有された会話を配信する。セキュリティモデルは、URLに含まれるUUIDの推測困難性だけだ。論文の表6は プロバイダーとティアごとのデフォルトの姿勢を測定している。際立った2つの例外は、無料版・プレミアム版の 会話パーマリンクがデフォルトで公開（オプトアウトあり）の Grok と、ゲストティアの会話が常に公開で オプトアウトがまったくない Perplexity である。Perplexity はその上にホワイトリスト制御を提供する 唯一のプロバイダーでもある。

そして著者らは、理論上の露出を測定された露出に変えることをやってのけた。カナリアトークンを配備したのだ — canarytokens.org のものと、一部のアシスタントが既知のカナリアドメインを認識して拒否するため、 汎用ドメインを使った自己ホスト型のカナリア基盤のものと、両方を使った。それらをプロンプトに直接貼り付け、 さらにアップロードした .docx と .pdf のファイルの中にも埋め込んだ。そして誰がそれを取得しに来るかを 待った。

Watch out
  • DeepSeek、Copilot、Mistral、Claude については、一部のカナリアURLが送信時に一度だけ、AWS または GCP のアドレスから発火した — これはプロバイダー自身のリンクプレビューや取得インフラと整合する挙動である。
  • Grok については、送信から数時間後から数日後にかけて70件の異なるカナリア起動が記録された。4大陸14か国の48の自律システムにまたがる70個のIPアドレスからのもので、接続の65.7%は米国発だった。
  • Perplexity は、プロンプトで明示的に取得しないよう指示されていても、米国のAWSインフラ上にある Perplexity-User クローラーのIPレンジから繰り返しカナリアURLを取得した。

48の異なるネットワークから数日後に70回の取得が行われるのは、リンクプレビューの挙動ではない。 URLがパイプラインに流出してクロールされたときの痕跡だ。著者らは適切に慎重である — 自前の計測装置が 捉えたものしか見えない以上、他のサービスでアクセスが観測されなかったことはアクセスがなかったことの 証拠にはならない — が、陽性の結果はそれ自体で成立している。

Grok はまた、意図的な製品上の判断ではなく外部の第三者によって悪用可能なセキュリティ上の問題として 著者らが分類した事象が見つかった唯一のサービスでもある。だからこそ xAI には、通常の研究通知ではなく 2026年4月17日に脆弱性開示のメールが送られた。2026年9月10日時点で、論文は Grok が依然として公開 アクセス可能なパーマリンクを使用しており、公式な回答は得られていないと報告している。

自分で監査してみる​

ここまでの内容に研究用のインフラは必要ない。どのアシスタントでも、約20分でこの発見の形を再現できるし、 再現すべきだ。トラッキングスタックは絶えず変化しており、論文自身がこれを特定時点の下限値だと明言して いるからである。

Guided walkthrough1 of 6
  1. 新しいブラウザプロファイル、拡張機能なし、過去のクッキーなし。以前のセッションから残った同意状態、認証トークン、テレメトリのアーティファクトは、何が発火するかを静かに変えてしまう。ここは皆が飛ばす手順であり、ここを飛ばすとその後がすべて無効になる。

HAR からすべての第三者ホストを抽出し、自分の識別子を探す

# Every distinct host the page contacted, by request count
jq -r '.log.entries[].request.url' capture.har \
| awk -F/ '{print $3}' | sort | uniq -c | sort -rn

# Any request whose URL or POST body contains the conversation UUID
CONV_ID="paste-the-uuid-from-the-address-bar"
jq -r --arg id "$CONV_ID" '
.log.entries[]
| select((.request.url | contains($id))
      or ((.request.postData.text // "") | contains($id)))
| "\(.request.method) \(.request.url)"' capture.har

# Your email, in clear and in the three hashes trackers actually use
EMAIL="you@example.com"
for h in "$EMAIL" \
       "$(printf %s "$EMAIL" | md5)" \
       "$(printf %s "$EMAIL" | shasum -a 1   | cut -d' ' -f1)" \
       "$(printf %s "$EMAIL" | shasum -a 256 | cut -d' ' -f1)"; do
printf '%s -> ' "$h"
grep -c -- "$h" capture.har
done

実際に露出を減らすもの​

論文自身の緩和策の議論に沿って、効果の大きい順に並べた。

Guided walkthrough1 of 6
  1. 研究中で最悪の送信は共有のコードパスで発生しており、どのプロバイダーも過去に共有したリンクを取り消せるようになっている。今すぐ既存の共有リストを見直すこと。2024年に作って忘れたパーマリンクは、Grok と Perplexity のゲストティアでは今も公開されたままであり、カナリアの結果は共有URLが実際に取得されることを示している。

これらのAPIの上に作るなら、これはあなたの問題でもある​

論文のスコープに関する注記は読み飛ばしやすいが、エンジニアが最も心配すべき部分だ。ここで観測された 漏洩の経路は「標準的なWebおよびモバイルのトラッキングを会話インターフェースに直接埋め込んだことに 起因する」。そのどれもフロンティアラボに固有のものではない。LLM搭載のサポートチャットボット、 カスタムアシスタント、第三者製のAIラッパーを出荷していて、マーケティングチームが同じページに いつものアナリティクスを入れているなら、あなたはほぼ確実にこのアーキテクチャを偶然再現している。

自分のプロダクトで確認すべき具体的な3点:

  • 会話のタイトルや要約をクライアントサイドで生成しているか? そうならそれらはDOMの中にあり、 そのページ上のどんなタグマネージャーからも読める。対策は、生成した要約をドキュメントタイトル、 <meta> タグ、そしてあらゆるアナリティクスのイベントペイロードから外すことだ。
  • 会話IDがURLのパスに入っているか? それならページが行うすべての第三者リクエストの Referer ヘッダーに含まれ、すべてのスクリプトから document.location で読める。研究は2つのプロバイダーが グローバルな会話IDを独立したパラメータとして Datadog に送っているのを見つけており、それだけで パーマリンクを再構成できる。
  • 共有ページは公開で読めるか? ePrivacy指令の第5条3項および、その技術的範囲に関する EDPB の ガイドライン 2/2023 の下では、URLとピクセルによるトラッキング、永続的識別子、そしてブラウザに データをサーバーサイドAPIへ転送させる指示は、いずれも事前の十分な説明に基づく同意を必要とする。 EU司法裁判所の Fashion ID 判決（C-40/17、第78項）はさらに踏み込み、第三者のアクセスを可能にすること 自体が処理に関する決定であり、その第三者が実際にデータを読んだかどうかにかかわらず、あなたの義務を 発生させるとしている。

開示のタイムライン​

この種の研究がどう着地するかのモデルとして、また誰が動いたかの記録として有用だ。

日付出来事
2026-03-23著者らが Perplexity と Grok の分析中にトラッカーの活動に最初に気づく
2026-04-06同意状態、ティア、プライバシーモードを横断して主要プラットフォーム全体にテストを拡大
2026-04-13EU および英国のデータ保護当局に発見内容を通知
2026-04-17Grok の会話アクセス制御について、脆弱性開示として xAI に通知
2026-05-27スペインのデータ保護当局（AEPD）がこの研究を引用し、2026-06-06 に開催された EDPB 全体会合への付託を要請
2026-08-15OpenAI が ChatGPT のプライバシーポリシーを更新し、第三者トラッカーに明示的に言及（因果関係は著者らによって未確認）
2026-09-10Grok は依然として公開アクセス可能なパーマリンクを使用しており、公式な回答はない

理解度チェック

0/6
  1. あなたは使っているすべてのAIアシスタントで非必須クッキーを拒否しています。それによって第三者トラッカーのおよそどれだけが取り除かれますか?
  2. ブラウザで doubleclick.net をブロックしても、Grok の会話URLが Meta と TikTok に届くのを止められないのはなぜですか?
  3. 会話型AIのトラッキングを通常のWebトラッキングより質的に悪くしているアーティファクトはどれですか?
  4. カナリアトークン実験では、送信から数日後に14か国48の自律システムから70件の起動が発生しました。どのサービスで、それは何を示していますか?
  5. あなたは自社のLLM搭載サポートチャットボットを監査しています。この研究が特定した中で最もリスクの高いパターンはどれですか?
  6. Webクライアントのほうが会話内容を多く漏らすにもかかわらず、機微な会話にはモバイルアプリのほうが悪い選択になりうるのはなぜですか?
Key takeaways
  • 主要な会話型AIサービス9つすべてが、少なくとも1つの広告・トラッキング組織に接続している: 第三者ドメイン124、組織44、うち34が広告・トラッキングサービス。主流の選択肢の中にクリーンなものは存在しない。
  • 会話型AIは通常のWebトラッキングにはないアーティファクトの種類を生み出す — プロバイダー自身が生成するタイトル、つまりユーザーの意図を圧縮した自然言語の要約であり、9つのWebクライアントのうち3つがそれを Meta、TikTok、DoubleClick を含む9つの第三者に送っている。
  • クライアント側のブロックは3つの経路で構造的に無力化される: サーバーサイドのタグマネージャー（Grok から Meta Conversions API と TikTok Events API へ）、ファーストパーティ経由でプロキシされたアナリティクス（Claude の Segment が a-cdn.anthropic.com 経由で11のトラッカーへ転送）、そしてモバイルの全エンドポイントの71%を運ぶ WebView。
  • 同意が取り除くのは少数派だ: 非必須クッキーを拒否してもトラッカーの80.8%は生き残り、最強の制御である同意設定の永続化は ChatGPT の有料ティアにしか存在しない一方で、ユーザーのおよそ95%は無料ティアにいる。
  • 会話のパーマリンクは推測困難なURLであって、アクセス制御ではない。カナリアトークンは、共有された Grok の会話がチャット終了から数日後に14か国48の自律システムから70回取得されたことを証明した。
  • 最も安上がりで実効性のある緩和策: 古い共有リンクを取り消す、一時／シークレットチャットを使う、Android の広告IDはリセットではなく削除する、そして本当に機微な作業はタグマネージャーの存在しない生のAPI呼び出しかローカルモデルへ移す。
  • LLM機能を出荷しているなら、あなたはおそらくこのアーキテクチャを偶然引き継いでいる — DOM内の生成された要約、URLパス内の会話ID、公開で読める共有ページを確認すること。

出典とさらに読むもの​

次に​