Kakushie: Den virale 'tryk og hold'-trend på X gemmer på en alvorlig sikkerhedsrisiko

Hvordan det tekniske trick fungerer

Tricket udnytter et specifikt samspil mellem transparente PNG-alfakanaler og X's mobile billedviser:

1. PNG-8 med gennemsigtighed — Ophavspersonen eksporterer et billede som en PNG-8 (8-bit) med en alfakanal, hvor udvalgte områder gøres helt eller delvist gennemsigtige ved hjælp af et pipetteværktøj.
2. X's tidslinjekomprimering — Når det vises i hovedtidslinjen, gengiver X's billedpipeline PNG'en med dens gennemsigtighed intakt, hvilket får store gennemsigtige eller halvgennemsigtige områder til at se uklare, forvrængede eller næsten tomme ud.
3. Tryk/hold-afsløringen — I X's mobilapp åbner et tryk på billedet en fuldskærmsviser. At holde trykket udløser X til at indlæse en højere opløsning eller "4K" version af billedet. På det tidspunkt gengives gennemsigtighedsdataene anderledes, og det skjulte billede "springer" frem i fuld synlighed. På iOS skal brugere muligvis trykke på "Indlæs i 4K", hvis de bliver bedt om det.

Dette er ikke en sikkerhedssårbarhed eller et hack i traditionel steganografisk forstand — det er en bevidst udnyttelse af X's to-trins billedgengivelsespipeline (miniaturebillede vs. fuldskærmsviser). Platformen anvender ikke den samme komprimering eller alfakanalhåndtering i fuldskærmsvisningen som i tidslinjen, hvilket skaber afsløringseffekten.

Sikkerhedsbekymringer: CSAM og upassende indhold

Der er endnu ikke dukket direkte beviser op, der specifikt forbinder kakushie-billeder med aktiv distribution af børnepornografisk materiale (CSAM). Sikkerhedsbekymringen anses dog bredt for at være en troværdig og alvorlig risiko af flere grunde:

• Bevidst sløringsredskab — Hele formålet med kakushie er at få et billede til at se uskyldigt eller ulæseligt ud i tidslinjen, mens det skjuler et andet billede, der kræver en bestemt brugerhandling for at blive afsløret. Denne mekanisme kan direkte udnyttes til at omgå automatisk indholdsmoderering, der kun scanner det offentlige miniaturebillede i tidslinjen.
• Tidligere steganografipræcedens — I 2021 demonstrerede sikkerhedsforsker David Buchanan, at Twitters PNG-pipeline kunne misbruges til at skjule ZIP-arkiver, MP3-filer og op til 3 MB vilkårlige data i postede billeder — en teknik, der kunne bruges til at distribuere malware eller ulovligt indhold under radaren af modereringsscannere.
• X's kendte CSAM-modereringssvigt — Den australske onlinesikkerhedsmyndighed fandt CSAM for at være "særligt systemisk" på X, hvilket gør det til den værste platform for børnemisbrugsmateriale. Nonprofitorganisationen Alliance4Europe identificerede mindst 150 konti, der delte CSAM over bare fire dage i 2025. Europa-Kommissionen indledte en undersøgelse af X for CSAM-distribution i 2025. I juni 2025 opsagde børnesikkerhedsorganisationen Thorn sit partnerskab med X på grund af ubetalte fakturaer og platformens manglende handling mod CSAM. National Center on Sexual Exploitation beskrev X som "forsiden for seksuelt misbrug online."
• Ofcom-undersøgelse — Ofcom indledte en formel undersøgelse af X den 12. januar 2026 i henhold til Storbritanniens Online Safety Act 2023 efter Grok AI-skandalen, der genererede seksualiserede billeder af rigtige kvinder og børn. I juni 2026 pålagde Ofcom alle sociale medieplatforme, herunder X, at indføre "kritiske hændelsesprotokoller" for at stoppe viralt ulovligt indhold.
• Akademisk forskning — En akademisk artikel fra 2025 ("Just in Plain Sight") undersøgte, hvordan CSAM-distributionskampagner opererer åbent på X ved hjælp af marionetkonti og kompromitterede profiler, hvilket bekræfter, at platformens modereringshuller aktivt udnyttes.

Vigtig forbehold: Selvom der er klar dokumenteret evidens for X's systemiske CSAM-problem og stigende regulatorisk pres, har ingen specifik rapport eller undersøgelse endnu bekræftet, at kakushie-billeder aktivt bruges til CSAM. Bekymringen forbliver en troværdig, bredt diskuteret risiko snarere end en bekræftet udnyttelsesvektor — men givet at hele teknikken er designet til at skjule billeder fra offentlig visning, er potentialet for misbrug indlysende og er blevet påpeget af sikkerhedsforskere.

Det regulatoriske landskab

X er i øjeblikket under lup fra flere fronter, og kakushie-trenden tilføjer en ny dimension til disse eksisterende bekymringer. Den tilbyder en teknisk triviel, bredt tilgængelig metode for enhver bruger til at poste indhold, der er usynligt for automatisk moderering i tidslinjen og kun synligt efter bevidst brugerinteraktion.

Indtil X justerer sin gengivelsespipeline til at anvende ensartet indholdsmoderering på både miniaturebillede- og fuldskærmsstadierne, forbliver platformen eksponeret for denne udnyttelsesvektor.