Kaito Pulse Jadi Sumber Terbuka Selepas Tercetus Kontroversi Privasi di X

Kaito AI melancarkan Kaito Pulse pada 18 Ogos sebagai sambungan pelayar yang menambah “bukti” kepada perbualan di X. Alat ini boleh memaparkan kedudukan Polymarket dan Hyperliquid yang telah disahkan, selain aktiviti luar platform tertentu, terus dalam suapan sosial. Dengan itu, pengguna tidak perlu bergantung semata-mata pada dakwaan seseorang di internet.

Namun, produk itu segera bertukar menjadi isu privasi. Semakan kod oleh seorang penganalisis mendakwa Pulse boleh menghasilkan cap jari peranti dan merekod aktiviti terperinci di X. Pengasas Kaito, Yu Hu, kemudian mempertahankan reka bentuk tersebut, menjelaskan skop pengesahan dan berjanji untuk menerbitkan kodnya. Menjelang 21 Ogos, repositori Pulse telah dibuka kepada umum, manakala versi sambungan yang dikemas kini masih menunggu semakan Chrome Web Store.

Apa yang Kaito Pulse cuba lakukan

Pulse diposisikan sebagai lapisan sosial untuk X. Jika suapan biasa hanya menunjukkan perkara yang dikatakan oleh seseorang, Pulse cuba menambah bukti tentang tindakan mereka di platform lain—seperti kedudukan dagangan, transaksi, capaian dan isyarat lain yang telah disahkan.

Pelancaran itu turut memperkenalkan Aura, iaitu metrik perhatian dan reputasi yang bertujuan mengukur isyarat daripada kenyataan serta tindakan pengguna merentas platform. Pendekatan ini mengalihkan tumpuan daripada jumlah pengikut semata-mata kepada tingkah laku dalam dan luar platform yang boleh disahkan.

Dalam latar pelancaran yang sama, sebanyak 32.6 juta token KAITO dijadualkan dilepaskan pada 20 Ogos. Jumlah itu dilaporkan bersamaan 7.63% daripada bekalan yang sedang beredar.

Bagaimana pengesahan zkTLS sepatutnya berfungsi

Kaito berkata Pulse menggunakan zero-knowledge TLS (zkTLS) untuk pengesahan berasaskan pelayar. Secara ringkas, teknologi ini membolehkan pengguna membuktikan tuntutan tertentu daripada laman web pihak ketiga tanpa menyerahkan keseluruhan data akaun berkenaan kepada Kaito.

Menurut penjelasan Kaito, pengguna perlu memulakan proses pengesahan secara aktif. Pelayar kemudiannya menghasilkan bukti yang disulitkan, dan Kaito menerima bukti atau pengesahan akhir itu—bukan salinan penuh data akaun atau sejarah pelayaran pengguna.

Perbezaan ini menjadi penting selepas laporan awal membincangkan akses kepada perkhidmatan seperti ChatGPT, Claude dan Binance. Laporan susulan menjelaskan bahawa laman-laman tersebut diakses sebagai sebahagian daripada proses pengesahan yang dimulakan pengguna, bukannya bukti bahawa Pulse mengumpul data perkhidmatan berkenaan secara berterusan di latar belakang. Hasil yang dilaporkan disimpan ialah pengesahan yang terhasil daripada proses tersebut.

Justeru, zkTLS menjawab satu bahagian daripada persoalan privasi: berapa banyak maklumat perlu didedahkan untuk membuktikan tuntutan luar platform. Namun, teknologi itu sendiri tidak menjawab sepenuhnya perkara yang boleh diperhatikan oleh sambungan pada peranti pengguna, atau bagaimana pengecam dan telemetri penggunaan mungkin dipautkan.

Dakwaan daripada semakan kod sumber

Pada 18 Ogos, penganalisis 0x_ultra berkata semakan terhadap kod sumber Pulse menemui beberapa bentuk pengumpulan data. Dakwaan paling ketara berkaitan cap jari peranti yang dibina daripada pelbagai isyarat, termasuk cara GPU menghasilkan imej yang tidak kelihatan, model peranti atau perkakasan, serta cara perkakasan memproses nada ujian. Semakan itu mendakwa pengecam yang terhasil boleh dipautkan kepada akaun X.

Semakan tersebut turut mendakwa Pulse menjejaki aktiviti pengguna di X secara terperinci, termasuk:

• Siaran atau kandungan yang dipaparkan kepada pengguna;
• Tempoh menatal atau berada pada kandungan;
• Klik dan interaksi lain;
• Carian serta penanda buku; dan
• Paket aktiviti berkala, atau “denyutan” sistem, yang dihantar kira-kira setiap 30 saat.

Perkara ini wajar difahami sebagai dakwaan berdasarkan pemeriksaan kod dan laporan susulan—bukan dapatan yang telah diputuskan secara bebas bahawa Kaito menyalahgunakan maklumat tersebut. Isu utamanya ialah skop dan kebolehpinjaman data yang didakwa dikumpulkan: pengecam peringkat peranti yang digabungkan dengan data tingkah laku boleh menghasilkan profil jauh lebih terperinci berbanding bukti sekali sahaja tentang kedudukan dagangan.

Penjelasan Kaito

Yu Hu berkata fungsi cap jari peranti bertujuan mencegah penyalahgunaan, seperti mengehadkan penipuan klik dan aktiviti Sybil, bukannya untuk analitik atau pemprofilan pengguna. Beliau turut berkata pengumpulan kandungan yang dilihat, tempoh berada pada kandungan dan interaksi di X telah dibenarkan ketika pengguna memasang sambungan tersebut.

Kaito juga menyatakan bahawa aktiviti pelayaran di laman selain X tidak dihantar kepada syarikat, kecuali apabila pengguna secara aktif memulakan pengesahan yang disokong. Kenyataan itu turut menegaskan bahawa Pulse tidak menangkap skrin, kata laluan atau input papan kekunci.

Satu lagi titik pertikaian melibatkan bahasa kebenaran dalam Chrome. Pengguna melihat kebenaran yang menunjukkan sambungan itu boleh membaca dan mengubah data di semua laman web. Kaito berkata paparan tersebut lebih luas daripada penggunaan produk yang dimaksudkan dan berjanji untuk membetulkan paparan kebenaran itu dalam versi akan datang.

Apa yang berubah menjelang 21 Ogos

Hasil segera kontroversi ini ialah langkah ketelusan yang nyata. Kaito berkata Pulse telah dijadikan sumber terbuka dengan bantuan penganalisis yang terlibat dalam semakan tersebut, dan versi sambungan yang dikemas kini telah dihantar kepada Chrome Web Store. Pada ketika itu, penyerahan baharu tersebut masih dalam semakan rutin dan belum disahkan diluluskan.

Urutan peristiwa ini—daripada pelancaran pada 18 Ogos, penelitian awam, respons pada 19 Ogos, hingga repositori dibuka pada 21 Ogos—memberikan kontroversi berkenaan hasil yang konkrit. Pengguna dan penyemak luar kini boleh meneliti pelaksanaan kod tersebut, bukan hanya bergantung pada penerangan produk atau paparan kebenaran pelayar.

Pengajaran lebih besar tentang privasi

Kontroversi Pulse menunjukkan mengapa dakwaan privasi untuk sambungan pelayar perlu dinilai pada beberapa lapisan.

Pertama ialah lapisan bukti. zkTLS boleh mengurangkan jumlah data akaun asal yang didedahkan apabila pengguna mengesahkan tuntutan tertentu.

Kedua ialah lapisan pengumpulan. Sambungan pelayar juga mungkin memerhatikan aktiviti di laman yang digunakan, bergantung pada kebenaran dan pelaksanaannya. Kaito mengakui bahawa Pulse mengumpul data interaksi X yang dibenarkan pengguna, selain mempertahankan cap jari peranti sebagai langkah pencegahan penyalahgunaan.

Ketiga ialah lapisan kebolehpinjaman. Walaupun perkhidmatan hanya menerima pengesahan daripada akaun pihak ketiga, persoalan privasi masih boleh timbul jika isyarat peranti, identiti akaun dan telemetri tingkah laku boleh disambungkan. Inilah ketegangan utama yang dibangkitkan oleh semakan tersebut.

Pelancaran Pulse tidak membuktikan bahawa zkTLS sememangnya tidak serasi dengan privasi. Kesnya lebih khusus dan praktikal: melindungi kandungan tuntutan yang disahkan tidak sama dengan meminimumkan semua data yang dikumpulkan oleh klien yang menghasilkan tuntutan itu. Penelitian komuniti memaksa perbezaan tersebut didedahkan—dan dalam tempoh beberapa hari, mendorong Kaito menjadikan kod Pulse terbuka untuk diperiksa.