Kaito Pulse blev open source efter privatlivskritik om X-sporing

I baggrunden lå også en planlagt frigivelse af 32,6 millioner KAITO-tokens 20. august. Frigivelsen blev rapporteret til at udgøre 7,63 procent af den cirkulerende beholdning.

Sådan skulle zkTLS-verificeringen fungere

Kaito oplyste, at Pulse bruger zero-knowledge TLS, forkortet zkTLS, til browserbaseret verificering. Den grundlæggende idé er, at en bruger kan bevise et bestemt krav fra en tredjepartswebsite uden at udlevere en komplet kopi af kontodataene til Kaito.

Ifølge Kaito skal brugeren selv starte en verificering. Browseren genererer derefter et krypteret bevis, og Kaito modtager det resulterende bevis eller en attestering – ikke hele kontodatasættet eller brugerens samlede browserhistorik.

Skellet blev vigtigt, efter at de første rapporter omtalte adgang til tjenester som ChatGPT, Claude og Binance. Opfølgende rapportering præciserede, at disse websites blev tilgået som led i en verificering, brugeren selv havde startet. Det var altså ikke i sig selv tegn på, at Pulse løbende indsamlede data fra tjenesterne i baggrunden. Det resultat, der ifølge rapporteringen blev gemt, var den attestering, som verificeringen genererede.

zkTLS besvarede dermed én del af privatlivsspørgsmålet: Hvor meget information skal udleveres for at dokumentere en aktivitet uden for platformen? Teknologien besvarede ikke i sig selv, hvad udvidelsen kunne observere lokalt, eller hvordan identifikatorer og brugsdata eventuelt kunne forbindes.

Hvad hævdede kildekodegennemgangen?

18. august skrev analytikeren 0x_ultra, at en gennemgang af Pulses kildekode havde afdækket flere former for dataindsamling. Den mest markante påstand handlede om et enhedsaftryk, der blev dannet ud fra flere signaler – blandt andet hvordan en GPU gengav et usynligt billede, hvilken enheds- eller hardwaremodel der blev brugt, og hvordan hardwaren håndterede en testlyd. Gennemgangen hævdede, at identifikatoren kunne forbindes med en X-konto.

Gennemgangen hævdede også, at Pulse registrerede detaljeret aktivitet på X, herunder:

• Indlæg eller indhold, som brugeren fik vist
• Hvor længe brugeren scrollede eller blev på indholdet
• Klik og andre interaktioner
• Søgninger og bogmærker
• Periodiske aktivitets- eller “heartbeat”-pakker, der blev sendt cirka hvert 30. sekund

Punkterne bør forstås som påstande baseret på kildekodeinspektion og efterfølgende rapportering – ikke som en uafhængigt afgjort konklusion om, at Kaito misbrugte oplysningerne. Det centrale spørgsmål var omfanget og muligheden for at kæde data sammen: Et enhedsaftryk, der kobles med adfærdsdata, kan skabe en langt mere detaljeret profil end et enkelt bevis på en handelsposition.

Kaito svarer på kritikken

Yu Hu sagde, at enhedsaftrykket var tænkt som et værn mod misbrug, blandt andet for at begrænse kliksvindel og såkaldt Sybil-aktivitet – altså forsøg på at skabe mange falske identiteter for at påvirke et system. Han afviste, at formålet var analyse eller brugerprofilering. Hu sagde også, at indsamlingen af eksponering, opholdstid og interaktioner på X var godkendt, da brugerne installerede udvidelsen.

Kaito oplyste desuden, at browseraktivitet på andre websites ikke blev sendt til virksomheden, medmindre brugeren aktivt startede en understøttet verificering. Selskabet sagde samtidig, at Pulse ikke optog skærmbilleder, adgangskoder eller tastetryk.

En del af uenigheden handlede om Chromes tilladelsestekst. Brugere kunne se en tilladelse, der angav, at udvidelsen kunne læse og ændre data på tværs af websites. Kaito erkendte, at formuleringen var bredere end den tilsigtede anvendelse, og lovede at rette visningen i en senere version.

Hvad ændrede sig frem mod 21. august?

Den umiddelbare konsekvens blev et konkret løfte om større gennemsigtighed. Kaito oplyste, at Pulse var blevet open source med hjælp fra den analytiker, der havde bidraget til gennemgangen. Samtidig blev en opdateret version sendt til Chrome Web Store. På det tidspunkt var indsendelsen stadig under almindelig kontrol og var ikke bekræftet godkendt.

Forløbet – fra lanceringen 18. august over den offentlige kritik og Kaito-svaret 19. august til et offentligt repository 21. august – gav kontroversen et håndgribeligt resultat. Brugere og eksterne gennemlæsere fik mulighed for at undersøge implementeringen i stedet for udelukkende at basere sig på produktbeskrivelser eller tilladelsesvinduer.

Den bredere lektie om privatliv

Pulse-sagen viser, hvorfor privatlivslofter for browserudvidelser bør vurderes i flere lag.

Det første lag er beviset. zkTLS kan begrænse mængden af underliggende kontooplysninger, der udleveres, når en bruger verificerer et bestemt krav.

Det andet lag er indsamlingen. En browserudvidelse kan også observere aktivitet på de websites, hvor den kører, afhængigt af tilladelserne og den konkrete implementering. Kaito har bekræftet, at Pulse indsamlede godkendte interaktionsdata fra X, og har forsvaret enhedsaftrykket som et middel mod misbrug.

Det tredje lag er sammenkædningen. Selv hvis en tjeneste kun modtager en attestering fra en tredjepartskonto, kan privatlivsproblemer stadig opstå, hvis enhedssignaler, konti og adfærdsdata kan forbindes. Det var den centrale spænding, som kildekodegennemgangen rejste.

Lanceringen fastslog ikke, at zkTLS og privatliv er uforenelige. Den viste noget mere snævert og praktisk: At beskytte indholdet af et verificeret krav ikke er det samme som at minimere alle data, der indsamles af klienten, som genererer kravet. Den offentlige granskning tvang forskellen frem i lyset – og fik inden for få dage Kaito til at gøre koden tilgængelig for offentlig kontrol.