무슨 일이 있었나요?
ChatGPT에 광고가 붙기 시작한 건 이미 올해 초부터 알려진 사실이에요. 무료 사용자와 저가 요금제(Go) 사용자에게 대화 하단에 광고를 보여주는 방식이었죠. 그런데 이번에 공개된 분석 글에 따르면, ChatGPT와 전혀 상관없는 일반 웹사이트를 돌아다닐 때 OpenAI 쪽으로 데이터를 보내는 추적 스크립트가 발견됐다고 해요.
정체는 OpenAI의 '광고 수집기(ad collector)'라고 불리는 스크립트예요. 광고주 사이트에 삽입되어서 방문자가 어떤 페이지를 봤고, 뭘 장바구니에 넣었고, 결제까지 했는지를 OpenAI 서버로 보내는 코드죠. 즉, ChatGPT 광고 시스템이 'ChatGPT 안'에만 머무는 게 아니라, 인터넷 곳곳에 심어진 수집기를 통해 사용자가 다른 사이트에서 뭘 하는지까지 알게 됐다는 얘기예요.
이게 뭐냐면: 픽셀, 전환 추적, 그리고 리타게팅
이런 방식이 완전히 새로운 건 아니에요. 메타 픽셀(Meta Pixel), 구글 태그(gtag), 틱톡 픽셀 같은 게 다 똑같은 원리로 동작하거든요. 광고주가 자기 쇼핑몰에 작은 자바스크립트 한 줄을 심으면, 방문자의 행동이 광고 플랫폼으로 전송돼요.
왜 이런 걸 심느냐면 '전환 추적(conversion tracking)' 때문이에요. 광고 플랫폼 입장에서는 'ChatGPT에서 이 광고를 본 사람이 실제로 물건을 샀는가'를 알아야 광고주에게 성과를 증명하고 돈을 받을 수 있거든요. 그래서 광고주 사이트에 수집기를 심어서 광고 노출, 클릭, 구매를 하나의 선으로 이어요.
그런데 이 데이터는 성과 측정에만 쓰이지 않아요. 한번 모이면 '이 사람은 러닝화 페이지를 3번 봤으니 러닝화 광고를 보여주자'는 리타게팅(다시 쫓아가는 광고)에 쓰이고, 더 나아가 사용자 프로필을 두껍게 만드는 데 쓰여요. 메타와 구글이 지난 15년 동안 해온 바로 그 사업 모델이죠.
기술적으로는 보통 이렇게 동작해요. 사이트에 삽입된 스크립트가 페이지 로드 시 실행되면서 사용자 브라우저에 쿠키나 로컬 식별자를 심고, 페이지 URL, 이벤트 종류(조회, 장바구니, 구매), 상품 정보 같은 걸 광고 플랫폼 엔드포인트로 POST 요청으로 보내요. 최근에는 브라우저의 서드파티 쿠키 차단을 피하려고 서버 사이드 태깅, 즉 광고주 서버에서 직접 광고 플랫폼 API로 데이터를 쏘는 방식도 많이 써요. 이렇게 되면 사용자 브라우저에서는 아예 보이지도 않죠.
왜 ChatGPT라서 더 민감할까요?
똑같은 추적인데 왜 유독 이번 건이 논란이 되냐면, ChatGPT가 가진 데이터의 성격이 다르기 때문이에요.
검색 엔진은 '내가 뭘 찾았는지'를 알아요. SNS는 '내가 누구랑 친하고 뭘 좋아하는지'를 알죠. 그런데 ChatGPT는 사람들이 고민 상담, 건강 질문, 이직 준비, 연애 문제, 회사 코드까지 털어놓는 곳이에요. 대화 내용 자체가 그 어떤 플랫폼보다 내밀한 데이터예요. 여기에 '다른 사이트에서 뭘 샀는지'까지 연결되면, 지금까지 존재한 적 없는 수준으로 정밀한 개인 프로필이 만들어질 수 있어요.
OpenAI는 광고를 시작하면서 '대화 내용을 광고주에게 팔지 않고, 광고가 답변에 영향을 주지 않는다'고 약속했어요. 그 약속이 깨졌다는 증거는 아직 없어요. 하지만 외부 사이트 행동 데이터를 모으기 시작했다는 건, 적어도 'ChatGPT 광고는 다른 광고 플랫폼과 다르다'는 이미지는 유지하기 어려워졌다는 뜻이에요.
업계 맥락: AI 챗봇의 수익 모델 전쟁
OpenAI가 광고로 가는 이유는 단순해요. 주간 사용자가 수억 명인데 대부분 무료 사용자고, GPU 비용은 천문학적이거든요. 구독만으로는 감당이 안 되니까 구글과 메타의 길을 따라가는 거죠.
경쟁사들의 입장은 조금씩 달라요. 앤트로픽은 클로드에 광고를 넣지 않겠다고 공개적으로 선을 그었고, 구글은 제미나이에 광고를 어떻게 붙일지 조심스럽게 실험 중이에요. 구글은 이미 세계 최대 광고 회사라서 오히려 여유가 있죠. 퍼플렉시티는 답변 옆에 스폰서 질문을 붙이는 형태로 일찍부터 광고를 시도했고요. 결국 'AI 어시스턴트의 답변을 얼마나 광고로부터 독립적으로 유지할 수 있느냐'가 각 회사의 브랜드가 되어가고 있어요.
한국 개발자에게 주는 시사점
첫째, 여러분이 운영하는 서비스에 광고 픽셀을 심을 때 뭘 보내는지 정확히 알아야 해요. 마케팅팀이 '이 스크립트 한 줄만 넣어주세요'라고 하면 대부분 그냥 넣잖아요? 그 한 줄이 어떤 이벤트와 어떤 사용자 데이터를 어디로 보내는지 브라우저 네트워크 탭에서 한 번은 확인하세요. 개인정보보호법상 제3자 제공과 국외 이전에 해당할 수 있어서 개인정보처리방침에 명시해야 하는 경우도 많아요.
둘째, 서드파티 스크립트는 곧 공급망 위험이에요. 외부 스크립트는 여러분 페이지 안에서 여러분 코드와 같은 권한으로 실행돼요. CSP(콘텐츠 보안 정책) 헤더를 설정하고, 가능하면 서버 사이드 태깅으로 옮기고, 필요한 이벤트만 최소한으로 보내는 습관이 중요해요.
셋째, 사용자 입장에서는 방어 수단을 알아두면 좋아요. uBlock Origin 같은 차단기는 이런 수집기를 필터 목록에 빠르게 추가하고, 파이어폭스의 강화된 추적 방지나 브레이브 브라우저는 기본적으로 막아줘요. 그리고 AI 어시스턴트에 민감한 내용을 이야기할 때는, 그 회사의 수익 모델이 뭔지 한 번쯤 떠올려 보는 것도 방법이에요.
마무리
한 줄로 정리하면, 'ChatGPT 광고는 이제 ChatGPT 밖으로 나왔고, OpenAI도 메타와 구글이 걸었던 추적 광고의 길에 들어섰다'예요.
여러분은 어떻게 생각하세요? AI 어시스턴트가 광고를 붙이는 건 어쩔 수 없는 흐름일까요, 아니면 대화 데이터만큼은 광고와 분리되어야 할까요? 서비스 운영자라면 여러분은 어떤 추적 스크립트까지 허용하시나요?
🔗 출처: Hacker News