Kaito Pulse يفتح مصدره بعد backlash على تتبّع مستخدمي X

تحولت إضافة Kaito Pulse من أداة تهدف إلى إضفاء قدر من «الإثبات» على منشورات X إلى قضية خصوصية خلال أيام قليلة. فقد أطلقت Kaito AI المنتج في 18 أغسطس لإظهار مراكز تداول موثقة على Polymarket وHyperliquid، إلى جانب أنشطة أخرى تم التحقق منها خارج المنصة، داخل موجز X نفسه.

لكن مراجعة للشيفرة المصدرية أثارت اتهامات بأن Pulse قد تنشئ بصمة فريدة للجهاز وتسجل تفاصيل دقيقة عن طريقة استخدام X. وردّ المؤسس المشارك لـKaito، يو هو، على هذه المخاوف في 19 أغسطس، قبل أن تعلن الشركة بحلول 21 أغسطس إتاحة الشيفرة للعامة، فيما بقيت النسخة المحدّثة قيد المراجعة في متجر Chrome.

ما الذي أرادت Kaito Pulse تقديمه؟

تقدم Kaito Pulse نفسها بوصفها «طبقة اجتماعية» تبدأ من X. فبدلاً من الاكتفاء بما يقوله الحساب عن نفسه، تعرض الإضافة أدلة منتقاة على ما فعله صاحبه فعلياً في منصات أخرى، مثل المراكز والتداولات على Polymarket وHyperliquid، فضلاً عن مؤشرات موثقة على الوصول والتوقعات السابقة.

كما رافق الإطلاق تقديم Aura، وهو مقياس للانتباه والسمعة يهدف إلى احتساب الإشارات الناتجة عن تصريحات المستخدم وأفعاله عبر منصات متعددة. وبذلك لا يقتصر التقييم على عدد المتابعين، بل يركز أكثر على السلوك الموثق داخل المنصة وخارجها.

وجاء ذلك في وقت كان مقرراً فيه إطلاق 32.6 مليون رمز KAITO في 20 أغسطس، وهو ما أُعلن أنه يعادل 7.63% من المعروض المتداول.

كيف كان من المفترض أن يعمل التحقق عبر zkTLS؟

قالت Kaito إن Pulse تستخدم تقنية zkTLS، أو بروتوكول طبقة النقل الآمنة بإثباتات المعرفة الصفرية، للتحقق من بيانات مواقع الويب عبر المتصفح. والفكرة الأساسية هي تمكين المستخدم من إثبات ادعاء محدد من خدمة خارجية، من دون تسليم Kaito نسخة كاملة من بيانات حسابه.

وبحسب رد الشركة، لا تبدأ عملية التحقق تلقائياً؛ إذ يتعين على المستخدم تشغيلها بنفسه. بعد ذلك ينشئ المتصفح إثباتاً مشفراً، وتتلقى Kaito النتيجة أو «الإفادة» الناتجة عن التحقق، لا مجموعة بيانات الحساب كاملة ولا سجل التصفح العام.

وكان هذا التفريق مهماً بعدما تناولت تقارير مبكرة خدمات مثل ChatGPT وClaude وBinance. فقد أوضحت المتابعة أن الوصول إلى هذه المواقع يحدث ضمن مسار تحقق يبدأه المستخدم، وليس دليلاً على أن Pulse تجمع بياناتها باستمرار في الخلفية. أما النتيجة التي قيل إنها تُحتفظ بها فهي الإفادة الناتجة عن عملية التحقق.

لكن zkTLS عالجت جانباً واحداً فقط من سؤال الخصوصية: مقدار البيانات التي تُكشف عند إثبات ادعاء خارج المنصة. فهي لا تجيب وحدها عن البيانات التي تستطيع الإضافة ملاحظتها محلياً، أو عن طريقة ربط معرّفات الأجهزة ببيانات الاستخدام.

ماذا ادعت مراجعة الشيفرة؟

في 18 أغسطس، قال المحلل 0x_ultra إن فحصه لشيفرة Pulse كشف عدة أشكال من جمع البيانات. وكان أبرز الادعاءات أن الإضافة تنشئ بصمة للجهاز اعتماداً على إشارات متعددة، من بينها طريقة معالجة وحدة الرسوميات لصورة غير مرئية، وطراز الجهاز أو مكوناته، وكيفية تعامل العتاد مع نغمة اختبار صوتية. وذكرت المراجعة أن المعرّف الناتج يمكن ربطه بحساب على X.

كما ادعت المراجعة أن الإضافة تسجل تفاصيل من نشاط المستخدم داخل X، منها:

• المنشورات أو المحتوى الذي يظهر للمستخدم؛
• مدة التمرير أو البقاء أمام المحتوى؛
• النقرات والتفاعلات الأخرى؛
• عمليات البحث والإشارات المرجعية؛
• حزم نشاط دورية، أو ما سُمي «نبضات قلب»، تُرسل تقريباً كل 30 ثانية.

وتظل هذه النقاط ادعاءات ناتجة عن فحص الشيفرة وتقارير لاحقة، وليست حكماً مستقلاً يثبت أن Kaito أساء استخدام البيانات. أما جوهر القلق فيتعلق بنطاق الجمع وإمكانية الربط: فضم معرّف على مستوى الجهاز إلى بيانات سلوكية قد ينتج ملفاً أكثر تفصيلاً بكثير من مجرد إثبات لمركز تداول.

كيف ردت Kaito؟

قال يو هو إن بصمة الجهاز صُممت لأغراض مكافحة إساءة الاستخدام، مثل الحد من الاحتيال في النقرات ونشاطات «سيبيل» التي تهدف إلى إنشاء هويات وهمية أو تضخيم التفاعل، وليس لأغراض التحليلات أو بناء ملفات تعريف للمستخدمين. كما قال إن جمع بيانات ظهور المحتوى ومدة التوقف والتفاعلات على X يكون مصرحاً به عند تثبيت الإضافة.

وأكدت Kaito أيضاً أن نشاط التصفح على المواقع خارج X لا يُرسل إليها، إلا عندما يبدأ المستخدم بنفسه عملية تحقق مدعومة. وقال رد الشركة إن Pulse لا تلتقط الشاشة، ولا كلمات المرور، ولا ضغطات المفاتيح.

وظهرت نقطة خلاف أخرى في صياغة أذونات Chrome. فقد رأى المستخدمون إذناً يفيد بأن الإضافة تستطيع قراءة البيانات وتعديلها عبر المواقع. وقالت Kaito إن هذه الصياغة أوسع من الاستخدام المقصود للمنتج، وتعهدت بتصحيح عرض الأذونات في إصدار لاحق.

ماذا تغير بحلول 21 أغسطس؟

كانت النتيجة المباشرة للجدل تنازلاً واضحاً في جانب الشفافية. فقد أعلنت Kaito أنها أتاحت مصدر Pulse للعامة بمساعدة المحلل الذي شارك في المراجعة، وقدمت نسخة محدّثة إلى متجر Chrome. وحتى ذلك الوقت، كانت النسخة الجديدة لا تزال في المراجعة الروتينية، ولم يكن اعتمادها قد تأكد بعد.

وهكذا انتقلت القصة من إطلاق المنتج في 18 أغسطس، إلى التدقيق العام، ثم رد الشركة في 19 أغسطس، وصولاً إلى نشر المستودع البرمجي في 21 أغسطس. وأصبح بإمكان المستخدمين والمراجعين الخارجيين فحص التنفيذ بأنفسهم، بدلاً من الاعتماد فقط على وصف المنتج أو شاشة الأذونات.

الدرس الأوسع للخصوصية

تكشف أزمة Pulse أن تقييم خصوصية إضافات المتصفح يحتاج إلى النظر في أكثر من طبقة واحدة.

الطبقة الأولى هي طبقة الإثبات. يمكن لـzkTLS تقليل كمية بيانات الحساب الأصلية التي تُكشف عند تحقق المستخدم من ادعاء محدد.

الطبقة الثانية هي طبقة الجمع. فقد تتمكن إضافة المتصفح، وفق أذوناتها وطريقة تنفيذها، من مراقبة النشاط على المواقع التي تعمل داخلها. وقد أقرت Kaito بجمع بيانات تفاعل مصرح بها على X، ودافعت بشكل منفصل عن بصمة الجهاز باعتبارها إجراءً لمكافحة إساءة الاستخدام.

الطبقة الثالثة هي قابلية الربط. حتى إذا تلقت الخدمة إفادة فقط من حساب خارجي، فقد تبقى المخاوف قائمة إذا أمكن ربط إشارات الجهاز بهوية الحساب والبيانات السلوكية.

لا تثبت واقعة إطلاق Pulse أن zkTLS والخصوصية متعارضان بطبيعتهما. لكنها توضح نقطة أكثر تحديداً: حماية محتوى الادعاء الذي يجري التحقق منه لا تعني بالضرورة تقليل كل البيانات التي يجمعها التطبيق أو الإضافة التي تنشئ ذلك الادعاء. وقد أجبر التدقيق المجتمعي Kaito على توضيح هذا الفرق، ثم دفعها خلال أيام إلى جعل الشيفرة قابلة للفحص العام.