Kaito Pulse po kritice sledování na X zveřejnil zdrojový kód

Do širšího kontextu uvedení zapadal také plánovaný odemknutý přísun 32,6 milionu tokenů KAITO dne 20. srpna. Tato částka odpovídala 7,63 % obíhající nabídky.

Jak mělo fungovat ověřování pomocí zkTLS

Kaito uvedlo, že Pulse využívá zero-knowledge TLS, zkráceně zkTLS, pro ověřování v prohlížeči. Principem je umožnit uživateli prokázat konkrétní tvrzení z webu třetí strany, aniž by společnosti Kaito předal kompletní obsah svého účtu.

Podle reakce Kaito musí ověření aktivně spustit uživatel. Prohlížeč následně vytvoří zašifrovaný důkaz a Kaito obdrží výsledek neboli atestaci, nikoli celý dataset účtu nebo historii prohlížení.

Toto rozlišení bylo důležité po zprávách o přístupu ke službám jako ChatGPT, Claude a Binance. Následné informace upřesnily, že tyto weby měly být použity v rámci ověření spuštěného uživatelem, nikoli jako důkaz průběžného sběru jejich dat na pozadí. Uchovávaným výsledkem měla být atestace vytvořená během ověření.

zkTLS tedy řešil jednu část otázky soukromí: kolik informací je nutné odhalit při prokazování tvrzení z jiné platformy. Sám o sobě ale neodpovídal na to, co může rozšíření sledovat lokálně ani jak lze propojovat identifikátory s telemetrií používání.

Co tvrdila analýza zdrojového kódu

Analytik 0x_ultra 18. srpna uvedl, že v kódu Pulse objevil několik způsobů sběru dat. Největší pozornost vzbudil otisk zařízení vytvořený kombinací více signálů: způsobu, jakým grafický procesor vykresluje neviditelný obrázek, modelu zařízení či hardwaru a reakce hardwaru na testovací zvuk. Podle analýzy mohl být takto vzniklý identifikátor propojen s účtem na X.

Analýza dále tvrdila, že rozšíření detailně sleduje aktivitu uvnitř X, například:

• příspěvky nebo obsah zobrazený uživateli,
• dobu posouvání či setrvání u obsahu,
• kliknutí a další interakce,
• vyhledávání a záložky,
• pravidelné „heartbeat“ pakety s údaji o aktivitě, odesílané přibližně každých 30 sekund.

Tyto body je třeba chápat jako tvrzení vycházející z kontroly kódu a následného zpravodajství, nikoli jako nezávisle potvrzený závěr, že Kaito data zneužilo. Klíčová byla především otázka rozsahu a propojitelnosti údajného sběru: identifikátor zařízení spojený s údaji o chování může vytvořit výrazně podrobnější profil než jednorázový důkaz o obchodní pozici.

Jak Kaito reagovalo

Yu Hu uvedl, že fingerprinting měl sloužit k ochraně proti zneužití — například k omezení podvodného generování kliknutí a aktivity typu Sybil — nikoli k analytice nebo profilování uživatelů. Zároveň řekl, že sběr údajů o zobrazovaném obsahu, době setrvání a interakcích na X byl při instalaci rozšíření autorizován.

Kaito také uvedlo, že aktivita na webech mimo X se společnosti neodesílá, s výjimkou případů, kdy uživatel sám spustí podporované ověření. Podle vyjádření Pulse nezachytává obrazovku, hesla ani stisky kláves.

Napětí vyvolalo také oprávnění v Chromu. Uživatelé viděli formulaci, podle níž může rozšíření číst a měnit data na všech webových stránkách. Kaito uvedlo, že toto znění je širší než zamýšlené použití produktu a že zobrazení oprávnění opraví v další verzi.

Co se změnilo do 21. srpna

Bezprostředním výsledkem byla ústupová vstřícnost v oblasti transparentnosti. Kaito oznámilo, že Pulse zveřejnilo jako open source, a to s pomocí analytika zapojeného do kontroly. Aktualizovanou verzi zároveň odeslalo ke kontrole do Chrome Web Store. V danou chvíli ale stále šlo o běžící kontrolní proces, nikoli o potvrzení schválení.

Vývoj měl rychlý spád: od uvedení 18. srpna přes veřejnou kritiku a reakci z 19. srpna až ke zveřejnění repozitáře 21. srpna. Externí kontrola tím získala konkrétní výsledek. Uživatelé a nezávislí posuzovatelé mohli začít zkoumat implementaci přímo, místo aby se spoléhali pouze na popis produktu nebo systémová oprávnění.

Poučení pro soukromí

Případ Pulse ukazuje, že soukromí u rozšíření prohlížeče je nutné posuzovat ve více vrstvách.

První vrstvou je samotný důkaz. zkTLS může omezit množství dat z účtu třetí strany, které se při ověření konkrétního tvrzení zveřejní.

Druhou je sběr dat. Rozšíření může podle oprávnění a implementace sledovat aktivitu na webech, kde běží. Kaito přiznalo autorizovaný sběr interakcí na X a fingerprinting zařízení obhajovalo jako opatření proti zneužití.

Třetí vrstvou je propojitelnost. I když služba obdrží z účtu třetí strany pouze atestaci, obavy o soukromí mohou přetrvat, pokud lze propojit signály zařízení, identity účtů a údaje o chování. Právě na toto napětí analýza upozornila.

Uvedení Pulse neprokázalo, že zkTLS a ochrana soukromí jsou vzájemně neslučitelné. Ukázalo něco užšího, ale prakticky důležitého: ochrana obsahu ověřovaného tvrzení není totéž jako minimalizace všech dat, která sbírá klient vytvářející daný důkaz. Veřejná kontrola kódu tento rozdíl rychle zviditelnila a během několika dnů přiměla Kaito zpřístupnit implementaci veřejnosti.