X ट्रैकिंग पर निजता विवाद के बाद Kaito Pulse हुआ ओपन सोर्स

Kaito AI का Kaito Pulse 18 अगस्त को एक ऐसे ब्राउज़र एक्सटेंशन के रूप में लॉन्च हुआ, जिसका उद्देश्य X की बातचीत में वास्तविक प्रमाण जोड़ना था। यह X फीड में Polymarket और Hyperliquid पर उपयोगकर्ताओं की सत्यापित पोजीशन, ट्रेड और अन्य मान्य ऑफ-प्लेटफॉर्म गतिविधियां दिखा सकता है—ताकि लोग केवल ऑनलाइन किए गए दावों पर निर्भर न रहें।

लॉन्च के तुरंत बाद यह प्रोडक्ट निजता विवाद में घिर गया। एक स्रोत-कोड समीक्षा में आरोप लगाया गया कि Pulse डिवाइस फिंगरप्रिंट बना सकता है और X पर उपयोगकर्ता की गतिविधियों का विस्तृत रिकॉर्ड रख सकता है। Kaito के संस्थापक Yu Hu ने डिजाइन का बचाव किया, सत्यापन की सीमा स्पष्ट की और कोड सार्वजनिक करने का वादा किया। 21 अगस्त तक रिपॉजिटरी सार्वजनिक हो गई थी, जबकि अपडेटेड एक्सटेंशन Chrome Web Store की समीक्षा में था।

Kaito Pulse क्या करने के लिए बनाया गया था?

Pulse को X के ऊपर काम करने वाली एक ‘सोशल लेयर’ के तौर पर पेश किया गया। इसका विचार यह था कि उपयोगकर्ता किसी अकाउंट की कही बातों के साथ-साथ यह भी देख सकें कि उस व्यक्ति ने अन्य प्लेटफॉर्म पर वास्तव में क्या किया है। Kaito के अनुसार, Pulse पोजीशन, ट्रेड, वास्तविक पहुंच और अन्य सत्यापित संकेतों को सीधे X के अनुभव में शामिल करता है।

लॉन्च के साथ Aura भी पेश किया गया। यह ध्यान और प्रतिष्ठा मापने वाला एक मेट्रिक है, जिसका उद्देश्य केवल फॉलोअर संख्या देखने के बजाय उपयोगकर्ताओं के बयानों और अलग-अलग प्लेटफॉर्म पर उनके सत्यापित व्यवहार से संकेत जुटाना है।

इस लॉन्च की पृष्ठभूमि में 20 अगस्त को 3.26 करोड़ KAITO टोकन जारी होने का निर्धारित कार्यक्रम भी था। रिपोर्ट के अनुसार, यह मात्रा प्रचलन में मौजूद कुल सप्लाई के 7.63% के बराबर थी।

zkTLS सत्यापन कैसे काम करने वाला था?

Kaito ने कहा कि Pulse ब्राउज़र-आधारित सत्यापन के लिए zero-knowledge TLS यानी zkTLS का इस्तेमाल करता है। इसका मूल वादा यह है कि उपयोगकर्ता किसी तीसरे पक्ष की वेबसाइट से जुड़े एक खास दावे को साबित कर सकता है, बिना अपने पूरे अकाउंट डेटा की कॉपी Kaito को सौंपे।

Kaito के जवाब के अनुसार, सत्यापन उपयोगकर्ता को खुद शुरू करना होता है। इसके बाद ब्राउज़र एक एन्क्रिप्टेड प्रूफ बनाता है और Kaito को पूरा अकाउंट डेटा या ब्राउज़िंग हिस्ट्री नहीं, बल्कि उस सत्यापन से बना प्रूफ या अटेस्टेशन मिलता है।

यह फर्क तब महत्वपूर्ण हो गया जब ChatGPT, Claude और Binance जैसी सेवाओं तक पहुंच की चर्चा सामने आई। बाद की रिपोर्टिंग में स्पष्ट किया गया कि इन साइटों का इस्तेमाल उपयोगकर्ता द्वारा शुरू किए गए सत्यापन के दौरान होता है; इससे यह साबित नहीं होता कि Pulse लगातार बैकग्राउंड में इन सेवाओं का डेटा एकत्र कर रहा था। रिपोर्ट के अनुसार, सुरक्षित रखा जाने वाला परिणाम सत्यापन से बना अटेस्टेशन था।

इस तरह zkTLS ने निजता से जुड़े एक सवाल का जवाब दिया—किसी ऑफ-प्लेटफॉर्म दावे को साबित करते समय कितना मूल डेटा साझा होता है। लेकिन इससे यह सवाल अपने-आप हल नहीं हुआ कि एक्सटेंशन स्थानीय स्तर पर क्या देख सकता है या अलग-अलग पहचानकर्ताओं और उपयोग टेलीमेट्री को आपस में जोड़ा जा सकता है या नहीं।

स्रोत-कोड समीक्षा में क्या आरोप लगाए गए?

18 अगस्त को विश्लेषक 0x_ultra ने कहा कि Pulse के स्रोत-कोड की समीक्षा में डेटा संग्रह के कई तरीके दिखे। सबसे प्रमुख आरोप एक ऐसे डिवाइस फिंगरप्रिंट से जुड़ा था, जिसे कई संकेतों से बनाया जा सकता है—जैसे GPU किसी अदृश्य तस्वीर को कैसे रेंडर करता है, डिवाइस या हार्डवेयर मॉडल और हार्डवेयर किसी टेस्ट टोन को किस तरह संभालता है। समीक्षा के अनुसार, इस पहचानकर्ता को X अकाउंट से जोड़ा जा सकता था।

समीक्षा में X के भीतर गतिविधि की विस्तृत निगरानी का भी आरोप लगाया गया, जिसमें शामिल थे:

• उपयोगकर्ता को दिखाए गए पोस्ट या अन्य कंटेंट
• स्क्रॉल करने या किसी पोस्ट पर रुकने की अवधि
• क्लिक और दूसरी इंटरैक्शन
• सर्च और बुकमार्क
• लगभग हर 30 सेकंड में भेजे जाने वाले गतिविधि या ‘हार्टबीट’ पैकेट

इन बिंदुओं को कोड निरीक्षण और बाद की रिपोर्टिंग से सामने आए आरोपों के रूप में देखना चाहिए। यह किसी स्वतंत्र जांच या निर्णायक फैसले के बराबर नहीं है कि Kaito ने इस डेटा का दुरुपयोग किया। विवाद का मुख्य मुद्दा संग्रह की सीमा और डेटा को जोड़कर पहचानने की क्षमता थी: डिवाइस-स्तरीय पहचानकर्ता को व्यवहार संबंधी डेटा के साथ मिलाने पर किसी उपयोगकर्ता की प्रोफाइल, एक बार के ट्रेडिंग प्रूफ की तुलना में, कहीं अधिक विस्तृत हो सकती है।

Kaito ने क्या जवाब दिया?

Yu Hu ने कहा कि फिंगरप्रिंटिंग का उद्देश्य एनालिटिक्स या यूज़र प्रोफाइलिंग नहीं, बल्कि क्लिक फ्रॉड और Sybil गतिविधि जैसे दुरुपयोग को रोकना था। उन्होंने यह भी कहा कि X पर कंटेंट दिखने, किसी पोस्ट पर रुकने की अवधि और इंटरैक्शन का संग्रह एक्सटेंशन इंस्टॉल करते समय उपयोगकर्ता की अनुमति के दायरे में था।

Kaito ने आगे कहा कि X के बाहर की वेबसाइटों पर ब्राउज़िंग गतिविधि कंपनी को नहीं भेजी जाती, सिवाय उन मामलों के जहां उपयोगकर्ता खुद किसी समर्थित सत्यापन की शुरुआत करता है। कंपनी के जवाब में यह भी कहा गया कि Pulse स्क्रीन कैप्चर, पासवर्ड संग्रह या कीस्ट्रोक रिकॉर्डिंग नहीं करता।

Chrome की अनुमति संबंधी भाषा भी विवाद का एक बिंदु बनी। उपयोगकर्ताओं को ऐसी अनुमति दिखाई दी जिसमें एक्सटेंशन के सभी वेबसाइटों पर डेटा पढ़ने और बदलने की क्षमता का संकेत था। Kaito ने कहा कि यह भाषा प्रोडक्ट के वास्तविक उद्देश्य से अधिक व्यापक थी और अगले संस्करण में अनुमति का विवरण ठीक करने का वादा किया।

21 अगस्त तक क्या बदला?

तत्काल नतीजा पारदर्शिता की दिशा में एक ठोस कदम था। Kaito ने कहा कि उसने 0x_ultra की समीक्षा में मदद के बाद Pulse को ओपन सोर्स कर दिया है और एक्सटेंशन का अपडेटेड संस्करण Chrome Web Store में जमा किया है। उस समय तक नया सबमिशन सामान्य समीक्षा प्रक्रिया में था; उसकी मंजूरी की पुष्टि नहीं हुई थी।

इस घटनाक्रम—18 अगस्त के लॉन्च, सार्वजनिक जांच, 19 अगस्त के जवाब और 21 अगस्त तक सार्वजनिक रिपॉजिटरी—ने विवाद को एक स्पष्ट परिणाम दिया। अब उपयोगकर्ता और बाहरी समीक्षक केवल प्रोडक्ट विवरण या अनुमति स्क्रीन पर निर्भर रहने के बजाय इम्प्लीमेंटेशन को खुद देख सकते थे।

इस विवाद से निजता को लेकर बड़ी सीख क्या मिलती है?

Pulse का मामला दिखाता है कि ब्राउज़र एक्सटेंशन की निजता संबंधी बातों को एक ही स्तर पर नहीं, बल्कि कई परतों में परखना चाहिए।

पहली परत है—प्रूफ। zkTLS किसी खास दावे का सत्यापन करते समय साझा होने वाले मूल अकाउंट डेटा की मात्रा कम कर सकता है।

दूसरी परत है—डेटा संग्रह। कोई ब्राउज़र एक्सटेंशन, अपनी अनुमति और कोड के आधार पर, उन वेबसाइटों पर होने वाली गतिविधि देख सकता है जहां वह चलता है। Kaito ने माना कि Pulse अधिकृत X इंटरैक्शन डेटा एकत्र करता है और डिवाइस फिंगरप्रिंटिंग को एंटी-अब्यूज उपाय बताया।

तीसरी परत है—लिंक किए जाने की क्षमता। किसी तीसरे पक्ष के अकाउंट से सेवा को केवल अटेस्टेशन मिलने पर भी निजता संबंधी सवाल बने रह सकते हैं, यदि डिवाइस संकेतों, अकाउंट पहचान और व्यवहार संबंधी टेलीमेट्री को आपस में जोड़ा जा सके। स्रोत-कोड समीक्षा में उठाया गया केंद्रीय तनाव यही था।

Pulse के लॉन्च से यह साबित नहीं होता कि zkTLS और निजता एक-दूसरे के विरोधी हैं। इससे एक अधिक सीमित, लेकिन व्यावहारिक बात सामने आती है: सत्यापित दावे की सामग्री को सुरक्षित रखना और उस दावे को बनाने वाले क्लाइंट द्वारा इकट्ठा किए जाने वाले हर तरह के डेटा को न्यूनतम रखना, दो अलग बातें हैं। समुदाय की जांच ने यह अंतर सार्वजनिक बहस के केंद्र में ला दिया और कुछ ही दिनों में Kaito को अपना कोड सार्वजनिक करने के लिए प्रेरित किया।