카이토 펄스, X 추적 논란에 코드 공개로 선회…프라이버시 논쟁이 남긴 것

카이토 AI의 브라우저 확장 프로그램 **카이토 펄스(Kaito Pulse)**는 8월 18일, X에서 오가는 주장에 ‘근거’를 덧붙이겠다는 취지로 출시됐다. 사용자가 올린 말만 보는 대신 폴리마켓(Polymarket)과 하이퍼리퀴드(Hyperliquid)의 검증된 포지션·거래 정보 등 일부 외부 활동을 X 피드 안에 표시하는 서비스다.

하지만 출시 직후 제품의 프라이버시 문제가 논쟁의 중심으로 떠올랐다. 소스코드 검토를 통해 펄스가 기기 지문을 만들고 X 안에서의 이용 행태를 상세히 기록할 수 있다는 주장이 제기됐기 때문이다. 카이토 창업자 위 후(Yu Hu)는 수집 범위와 검증 방식에 대해 해명한 뒤 코드를 공개하겠다고 약속했다. 8월 21일에는 저장소가 공개됐고, 수정된 확장 프로그램은 여전히 크롬 웹 스토어의 심사를 기다리고 있었다.

펄스가 하려던 일

카이토는 펄스를 ‘인터넷의 소셜 레이어’로 설명했다. 우선 X를 기반으로, 계정이 무엇을 말하는지만이 아니라 외부 플랫폼에서 실제로 무엇을 했는지도 보여주겠다는 구상이다. 이에 따라 보유 포지션, 거래 내역, 실제 도달 범위, 과거 예측 성과 같은 검증된 신호를 기존 X 이용 경험에 결합하려 했다.

출시와 함께 **아우라(Aura)**라는 관심도·평판 지표도 소개됐다. 단순한 팔로워 수보다 사용자의 발언과 행동에서 확인되는 신호를 측정하는 지표로, 검증된 온·오프플랫폼 활동을 바탕으로 영향력을 평가하려는 기능이다.

이 제품 출시를 둘러싼 배경에는 8월 20일 예정된 3,260만 개 KAITO 토큰 언락도 있었다. 해당 물량은 당시 유통량의 7.63%에 해당하는 것으로 보도됐다.

zkTLS 검증은 어떻게 작동하나

카이토에 따르면 펄스의 브라우저 기반 검증에는 **영지식 TLS(zkTLS)**가 사용된다. 핵심은 외부 웹사이트의 특정 정보를 사실이라고 증명하면서도, 해당 계정의 전체 데이터 사본을 카이토에 넘기지 않는다는 데 있다.

카이토의 설명대로라면 검증은 사용자가 직접 시작해야 한다. 브라우저가 암호화된 증명을 생성하고, 카이토가 받는 것은 전체 계정 데이터나 검색 기록이 아니라 검증 결과에 해당하는 증명 또는 인증서(attestation)다.

초기 보도에서 ChatGPT, Claude, 바이낸스 등 여러 서비스에 대한 접근 가능성이 언급되면서 혼선도 생겼다. 이후 보도에서는 해당 사이트 접근이 펄스의 백그라운드 상시 수집을 의미하는 것이 아니라 사용자가 검증을 시작했을 때 이뤄지는 절차라고 설명했다. 기록되는 결과 역시 검증 과정에서 생성된 인증서라는 것이다.

다만 zkTLS가 프라이버시와 관련한 모든 의문을 해결해주는 것은 아니다. 검증 대상 계정에서 얼마나 많은 정보를 공개할지 줄여주는 기술인 것은 맞지만, 증명을 생성하는 확장 프로그램이 사용자의 기기에서 무엇을 관찰하는지, 식별자와 이용 데이터가 어떻게 연결되는지는 별도의 문제다.

소스코드 검토에서 제기된 의혹

8월 18일 암호화폐 분석가 0x_ultra는 펄스 소스코드를 살펴본 결과 여러 형태의 데이터 수집 기능을 확인했다고 주장했다. 가장 큰 논란이 된 부분은 여러 신호를 조합한 기기 지문이었다. 보이지 않는 이미지의 GPU 렌더링 방식, 기기·하드웨어 모델, 하드웨어가 테스트 음원을 처리하는 방식 등을 이용해 식별자를 만들고 이를 X 계정과 연결할 수 있다는 내용이다.

검토 내용에는 다음과 같은 X 이용 행태 기록 주장도 포함됐다.

• 사용자에게 노출된 게시물이나 콘텐츠
• 스크롤 또는 콘텐츠를 머문 시간
• 클릭을 비롯한 각종 상호작용
• 검색 및 북마크
• 약 30초 간격으로 전송되는 활동·‘하트비트’ 패킷

다만 이는 소스코드 검토와 후속 보도에 기반한 의혹이지, 카이토가 해당 정보를 부적절하게 사용했다는 사실이 독립적인 절차를 통해 확정됐다는 뜻은 아니다. 논쟁의 핵심은 수집 정보의 범위와 연결 가능성이었다. 기기 수준의 식별자에 행동 데이터까지 결합되면, 특정 거래 포지션을 한 번 증명하는 것보다 훨씬 정교한 이용자 프로필이 만들어질 수 있기 때문이다.

카이토의 해명

위 후는 기기 지문 기능이 분석이나 이용자 프로파일링이 아니라 클릭 사기와 시빌(Sybil) 활동 같은 악용을 제한하기 위한 목적이라고 밝혔다. 또한 펄스가 X에서 콘텐츠 노출, 체류 시간, 상호작용 데이터를 수집하는 것은 이용자가 확장 프로그램을 설치할 때 권한을 부여하는 범위에 포함된다고 설명했다.

카이토는 X 외부 사이트의 브라우징 활동은 사용자가 지원되는 검증을 직접 시작한 경우를 제외하면 회사로 전송되지 않는다고도 밝혔다. 화면 캡처, 비밀번호 수집, 키 입력 기록은 하지 않는다는 설명도 덧붙였다.

크롬의 권한 표시도 논쟁을 키운 요소였다. 일부 이용자에게는 확장 프로그램이 모든 웹사이트의 데이터를 읽고 수정할 수 있다는 취지의 권한 문구가 표시됐다. 카이토는 이 문구가 제품의 실제 사용 범위보다 넓게 표시된 것이라며, 다음 버전에서 권한 안내를 수정하겠다고 밝혔다.

8월 21일까지 달라진 점

논란의 즉각적인 결과는 투명성 강화 조치였다. 카이토는 소스코드 검토에 참여한 분석가의 도움을 받아 펄스를 오픈소스로 전환했다고 밝혔고, 업데이트된 확장 프로그램을 크롬 웹 스토어에 제출했다. 다만 8월 21일 기준으로 새 버전은 승인된 상태가 아니라 통상적인 심사 절차를 진행 중이었다.

8월 18일 출시에서 시작해 공개 검토, 8월 19일 공식 해명, 8월 21일 저장소 공개로 이어진 과정은 논쟁이 구체적인 변화로 연결된 사례가 됐다. 이용자와 외부 검토자는 제품 설명이나 권한 안내만이 아니라 실제 구현 코드를 살펴볼 수 있게 됐다.

이번 논쟁이 보여준 프라이버시의 세 층위

펄스 사례는 브라우저 확장 프로그램의 프라이버시를 평가할 때 암호화 기술 하나만 봐서는 부족하다는 점을 보여준다.

첫째는 증명 계층이다. zkTLS는 사용자가 특정 외부 활동을 검증할 때 원본 계정 정보가 공개되는 범위를 줄일 수 있다.

둘째는 수집 계층이다. 확장 프로그램은 권한과 구현 방식에 따라 자신이 실행되는 웹사이트에서 이용자의 활동을 관찰할 수 있다. 카이토는 펄스가 권한을 부여받은 X 상호작용 데이터를 수집한다고 인정했고, 기기 지문 기능은 악용 방지 목적이라고 설명했다.

셋째는 연결 가능성 계층이다. 외부 계정에서 카이토로 전달되는 정보가 인증서뿐이라고 해도, 기기 신호와 X 계정, 행동 데이터가 서로 연결될 수 있다면 프라이버시 우려는 남는다. 소스코드 검토가 제기한 핵심 문제도 바로 이 지점이었다.

펄스의 출시는 zkTLS와 프라이버시가 양립할 수 없다는 사실을 보여준 것은 아니다. 더 정확히 말하면, 검증하려는 주장의 내용을 보호하는 것과 그 주장을 만들어내는 클라이언트가 수집하는 모든 데이터를 최소화하는 것은 서로 다른 문제라는 점을 드러냈다. 이번에는 커뮤니티의 코드 검토가 그 차이를 수면 위로 끌어올렸고, 며칠 만에 카이토가 저장소를 공개하도록 만들었다.