Kaito Pulse diventa open source dopo le accuse di tracciamento su X

Kaito Pulse, l’estensione per browser di Kaito AI pensata per aggiungere “prove” alle conversazioni su X, è diventata rapidamente un caso sulla privacy. Il prodotto, lanciato il 18 agosto, mostrava nel feed posizioni verificate su Polymarket e Hyperliquid, oltre ad altre attività validate svolte fuori dalla piattaforma.

Poco dopo il lancio, un’analisi del codice ha sollevato dubbi sulla possibilità che Pulse generasse un’impronta digitale del dispositivo e registrasse in modo dettagliato l’attività degli utenti su X. Il fondatore di Kaito, Yu Hu, ha difeso il design, chiarito il funzionamento delle verifiche e promesso di pubblicare il codice. Il 21 agosto il repository era pubblico, mentre una versione aggiornata dell’estensione risultava ancora in attesa della revisione del Chrome Web Store.

A cosa serviva Kaito Pulse

Pulse era presentato come un nuovo livello sociale per X: non solo ciò che un account dichiara, ma anche alcune prove verificabili di ciò che ha fatto altrove. Secondo Kaito, l’estensione poteva mostrare direttamente nell’esperienza di X posizioni, operazioni, portata e altri segnali validati.

Il lancio ha introdotto anche Aura, una metrica destinata a misurare attenzione e reputazione a partire dalle dichiarazioni e dalle azioni degli utenti su più piattaforme. L’idea era spostare il focus dai soli follower verso comportamenti verificati dentro e fuori X.

Nello stesso contesto era previsto, il 20 agosto, lo sblocco di 32,6 milioni di token KAITO, pari secondo le stime riportate al 7,63% dell’offerta circolante.

Come avrebbe dovuto funzionare la verifica con zkTLS

Kaito ha spiegato che Pulse utilizza la tecnologia zero-knowledge TLS, o zkTLS, per le verifiche effettuate dal browser. In termini semplici, questa tecnologia dovrebbe consentire all’utente di dimostrare una specifica informazione proveniente da un sito di terze parti senza consegnare a Kaito l’intero contenuto dell’account.

Secondo la replica dell’azienda, la verifica deve essere avviata attivamente dall’utente. Il browser genera quindi una prova crittografica cifrata e Kaito riceve la prova finale, o attestazione, invece di una copia completa dei dati dell’account o della cronologia di navigazione.

La distinzione è diventata importante dopo i primi resoconti sull’accesso a servizi come ChatGPT, Claude e Binance. Le precisazioni successive hanno indicato che tali siti venivano utilizzati all’interno di un flusso di verifica avviato dall’utente, non come prova di una raccolta continua dei dati in background. Il risultato conservato sarebbe stato l’attestazione prodotta dalla verifica.

Lo zkTLS rispondeva quindi a una parte della questione: quante informazioni vengono rivelate per dimostrare una dichiarazione esterna a X. Da solo, però, non chiariva quali dati l’estensione potesse osservare localmente né in che modo identificativi e telemetria potessero essere collegati.

Cosa sosteneva l’analisi del codice

Il 18 agosto l’analista 0x_ultra ha affermato che l’analisi del codice sorgente di Pulse aveva individuato diverse modalità di raccolta dati. L’accusa più rilevante riguardava un’impronta digitale del dispositivo costruita combinando più segnali: il modo in cui la GPU eseguiva il rendering di un’immagine invisibile, il modello del dispositivo o dell’hardware e la risposta dell’hardware a un tono di prova. Secondo l’analisi, l’identificativo risultante poteva essere associato a un account X.

L’analisi sosteneva inoltre che l’estensione potesse registrare dati dettagliati sull’attività all’interno di X, tra cui:

• I post o i contenuti mostrati all’utente
• Il tempo di scorrimento o di permanenza sui contenuti
• I clic e altre interazioni
• Le ricerche e i segnalibri
• Pacchetti periodici di attività, o “heartbeat”, inviati a intervalli di circa 30 secondi

Questi elementi vanno considerati accuse emerse dall’ispezione del codice e dai successivi resoconti, non una conclusione indipendente e definitiva secondo cui Kaito avrebbe utilizzato impropriamente le informazioni. Il punto centrale era la portata e la possibilità di collegare i dati: un identificativo legato al dispositivo associato a informazioni comportamentali può costruire un profilo molto più ricco rispetto alla semplice prova una tantum di una posizione di trading.

La risposta di Kaito

Yu Hu ha dichiarato che il fingerprinting era stato progettato per contrastare gli abusi, ad esempio limitando le frodi sui clic e l’attività Sybil, e non per analisi o profilazione degli utenti. Ha inoltre affermato che la raccolta di contenuti visualizzati, tempi di permanenza e interazioni su X era autorizzata al momento dell’installazione dell’estensione.

Kaito ha aggiunto che l’attività di navigazione sui siti esterni a X non veniva inviata all’azienda, salvo quando l’utente avviava attivamente una verifica supportata. La società ha anche affermato che Pulse non catturava schermate, password o input da tastiera.

Un altro punto controverso riguardava il linguaggio delle autorizzazioni di Chrome. Agli utenti appariva un permesso secondo cui l’estensione poteva leggere e modificare i dati su tutti i siti web. Kaito ha riconosciuto che quella formulazione era più ampia dell’uso previsto e ha promesso di correggere la visualizzazione dei permessi in una versione successiva.

Cosa è cambiato entro il 21 agosto

L’esito immediato è stato una concessione sul fronte della trasparenza. Kaito ha dichiarato di aver reso Pulse open source, con l’aiuto dell’analista coinvolto nella revisione, e di aver inviato una versione aggiornata al Chrome Web Store. Al momento, tuttavia, la nuova versione risultava ancora sottoposta alla normale procedura di revisione e non era stata confermata come approvata.

La sequenza degli eventi — dal lancio del 18 agosto, al controllo pubblico del codice, alla risposta del 19 agosto e alla pubblicazione del repository entro il 21 agosto — ha prodotto un risultato concreto. Gli utenti e i revisori esterni hanno potuto esaminare l’implementazione direttamente, invece di affidarsi soltanto alle descrizioni del prodotto o alle finestre dei permessi.

La lezione più ampia sulla privacy

Il caso Pulse mostra perché la privacy delle estensioni per browser debba essere valutata su più livelli.

Il primo è il livello della prova. Lo zkTLS può ridurre la quantità di dati dell’account originale rivelati quando l’utente verifica una specifica dichiarazione.

Il secondo è il livello della raccolta. A seconda dei permessi e dell’implementazione, un’estensione può anche osservare l’attività sui siti in cui opera. Kaito ha riconosciuto la raccolta autorizzata di dati sulle interazioni su X e ha difeso il fingerprinting dei dispositivi come misura anti-abuso.

Il terzo è il livello della collegabilità. Anche se un servizio riceve soltanto un’attestazione relativa a un account esterno, le preoccupazioni sulla privacy restano se segnali del dispositivo, identità degli account e telemetria comportamentale possono essere collegati. È questa la tensione principale evidenziata dalla revisione.

Il lancio di Pulse non ha dimostrato che zkTLS e privacy siano incompatibili. Ha mostrato qualcosa di più circoscritto e pratico: proteggere il contenuto di una dichiarazione verificata non equivale a ridurre al minimo tutti i dati raccolti dal client che genera quella prova. Il controllo della community ha portato questa distinzione in primo piano e, nel giro di pochi giorni, ha spinto Kaito a rendere il codice consultabile pubblicamente.