Kaito Pulse Dibuka untuk Publik Usai Diserang Isu Privasi

Kaito AI meluncurkan Kaito Pulse pada 18 Agustus sebagai ekstensi peramban untuk menambahkan “bukti” ke percakapan di X. Ekstensi ini dapat menampilkan posisi terverifikasi di Polymarket dan Hyperliquid, serta aktivitas lain di luar platform, langsung di lini masa sosial. Dengan begitu, pengguna tidak hanya mengandalkan klaim seseorang tentang apa yang mereka lakukan.

Namun, produk tersebut segera berubah menjadi isu privasi. Tinjauan kode oleh analis 0x_ultra menuduh Pulse dapat membuat sidik jari perangkat dan mencatat aktivitas pengguna secara rinci di X. Pendiri Kaito, Yu Hu, kemudian membela rancangan tersebut, menjelaskan batasan proses verifikasi, dan berjanji membuka kode sumbernya. Pada 21 Agustus, repositori Pulse telah tersedia untuk publik, sementara versi terbaru ekstensi masih menunggu peninjauan di Chrome Web Store.

Apa yang ditawarkan Kaito Pulse?

Pulse diposisikan sebagai lapisan sosial untuk X. Jika lini masa X terutama menunjukkan apa yang dikatakan sebuah akun, Pulse ingin menambahkan konteks tentang apa yang benar-benar dilakukan akun tersebut—mulai dari posisi dan transaksi hingga jangkauan serta rekam jejak yang tervalidasi.

Peluncuran ini juga memperkenalkan Aura, metrik perhatian dan reputasi yang dirancang untuk mengukur sinyal dari pernyataan dan tindakan pengguna di berbagai platform. Konsepnya menggeser fokus dari jumlah pengikut semata ke perilaku pengguna, baik di dalam maupun di luar platform, yang dapat diverifikasi.

Di tengah peluncuran tersebut, Kaito juga dijadwalkan melepas 32,6 juta token KAITO pada 20 Agustus. Jumlah itu dilaporkan setara dengan 7,63% dari pasokan yang beredar.

Cara kerja verifikasi zkTLS

Kaito menyatakan bahwa Pulse menggunakan zero-knowledge TLS (zkTLS) untuk melakukan verifikasi berbasis peramban. Sederhananya, teknologi ini memungkinkan pengguna membuktikan klaim tertentu dari situs pihak ketiga tanpa menyerahkan seluruh data akun yang mendasarinya kepada Kaito.

Menurut penjelasan Kaito, proses tersebut harus dimulai secara aktif oleh pengguna. Peramban kemudian membuat bukti terenkripsi, sedangkan Kaito menerima bukti atau atestasi hasil verifikasi—bukan salinan lengkap data akun maupun riwayat penjelajahan.

Penjelasan ini menjadi penting setelah laporan awal menyebut akses ke layanan seperti ChatGPT, Claude, dan Binance. Pelaporan lanjutan mengklarifikasi bahwa situs-situs tersebut diakses sebagai bagian dari alur verifikasi yang dimulai pengguna, bukan sebagai bukti bahwa Pulse terus-menerus mengumpulkan data layanan itu di latar belakang. Hasil yang dilaporkan disimpan adalah atestasi yang dihasilkan dari verifikasi.

Dengan demikian, zkTLS menjawab sebagian pertanyaan privasi: seberapa banyak informasi yang dibagikan saat pengguna membuktikan klaim di luar platform. Namun, teknologi tersebut tidak otomatis menjawab apa saja yang dapat diamati ekstensi secara lokal, atau bagaimana identitas perangkat dan telemetri penggunaan dapat dikaitkan.

Tuduhan dari tinjauan kode

Pada 18 Agustus, analis 0x_ultra mengatakan bahwa tinjauan terhadap kode sumber Pulse menemukan sejumlah mekanisme pengumpulan data. Tuduhan yang paling menonjol berkaitan dengan pembuatan sidik jari perangkat dari beberapa sinyal, termasuk cara GPU merender gambar tak terlihat, model perangkat atau perangkat keras, serta cara perangkat keras memproses nada uji. Menurut tinjauan tersebut, pengenal yang dihasilkan dapat dikaitkan dengan akun X.

Tinjauan itu juga menuduh Pulse mencatat aktivitas pengguna di dalam X secara rinci, termasuk:

• Postingan atau konten yang ditampilkan kepada pengguna
• Durasi menggulir atau berhenti pada konten
• Klik dan interaksi lainnya
• Pencarian dan bookmark
• Paket aktivitas berkala, atau “heartbeat”, yang dikirim kira-kira setiap 30 detik

Poin-poin tersebut perlu dipahami sebagai tuduhan berdasarkan pemeriksaan kode dan pemberitaan lanjutan, bukan temuan independen yang telah menetapkan bahwa Kaito menyalahgunakan data. Persoalan utamanya adalah cakupan dan keterhubungan data yang dilaporkan: pengenal tingkat perangkat yang dipasangkan dengan data perilaku dapat membentuk profil jauh lebih detail dibandingkan bukti satu kali atas posisi perdagangan.

Respons Kaito

Yu Hu mengatakan fitur sidik jari perangkat dimaksudkan untuk mencegah penyalahgunaan, seperti penipuan klik dan aktivitas Sybil, bukan untuk analitik atau pembuatan profil pengguna. Ia juga mengatakan pengumpulan data paparan konten, durasi melihat, dan interaksi di X telah diizinkan ketika pengguna memasang ekstensi.

Kaito menambahkan bahwa aktivitas penjelajahan di situs selain X tidak dikirimkan kepada perusahaan, kecuali ketika pengguna secara aktif memulai verifikasi yang didukung. Pernyataan tersebut juga menyebut Pulse tidak mengambil tangkapan layar, kata sandi, atau input dari papan ketik.

Salah satu sumber perdebatan adalah bahasa izin di Chrome. Pengguna melihat izin yang menyatakan ekstensi dapat membaca dan mengubah data di seluruh situs. Kaito mengakui bahwa rumusan tersebut lebih luas daripada penggunaan produk yang dimaksud dan berjanji memperbaiki tampilan izin pada versi berikutnya.

Perubahan pada 21 Agustus

Hasil langsung dari kontroversi ini adalah konsesi transparansi. Kaito menyatakan telah membuka kode sumber Pulse untuk publik, dengan bantuan analis yang terlibat dalam tinjauan tersebut, serta mengirimkan versi terbaru ke Chrome Web Store. Saat itu, pengajuan baru masih berada dalam peninjauan rutin dan belum dikonfirmasi telah disetujui.

Urutannya berlangsung cepat: Pulse diluncurkan pada 18 Agustus, mendapat sorotan publik, direspons Kaito pada 19 Agustus, lalu kode sumbernya tersedia pada 21 Agustus. Pengguna dan peninjau independen pun memiliki kesempatan untuk memeriksa implementasi secara langsung, alih-alih hanya mengandalkan deskripsi produk atau peringatan izin.

Pelajaran privasi yang lebih luas

Kontroversi Pulse menunjukkan bahwa klaim privasi pada ekstensi peramban perlu diperiksa secara berlapis.

Pertama, lapisan pembuktian. zkTLS dapat mengurangi jumlah data akun yang dibagikan ketika pengguna memverifikasi klaim tertentu.

Kedua, lapisan pengumpulan. Bergantung pada izin dan implementasinya, ekstensi peramban juga dapat mengamati aktivitas di situs tempat ekstensi tersebut berjalan. Kaito mengakui bahwa Pulse mengumpulkan data interaksi yang diizinkan di X dan membela penggunaan sidik jari perangkat sebagai mekanisme pencegah penyalahgunaan.

Ketiga, lapisan keterhubungan. Meskipun sebuah layanan hanya menerima atestasi dari akun pihak ketiga, kekhawatiran privasi tetap dapat muncul jika sinyal perangkat, identitas akun, dan telemetri perilaku dapat dihubungkan. Inilah ketegangan utama yang diangkat dalam tinjauan kode tersebut.

Peluncuran Pulse tidak membuktikan bahwa zkTLS dan privasi selalu bertentangan. Pelajaran yang lebih spesifik adalah bahwa melindungi isi klaim yang diverifikasi tidak sama dengan meminimalkan seluruh data yang dikumpulkan klien pembuat klaim. Sorotan komunitas memaksa perbedaan itu menjadi lebih jelas—dan dalam hitungan hari, mendorong Kaito menjadikan kodenya dapat diperiksa publik.