Kaito Pulse ble åpen kildekode etter personvernkritikk rundt sporing på X

Kaito AI lanserte Kaito Pulse 18. august som en nettleserutvidelse for X. Målet var å legge «bevis» inn i samtalene på plattformen: Verifiserte posisjoner på Polymarket og Hyperliquid, samt annen bekreftet aktivitet utenfor X, skulle vises direkte i strømmen. Dermed skulle brukerne i mindre grad være avhengige av det folk selv hevder på nettet.

Produktet ble raskt til en personvernsak. En gjennomgang av kildekoden hevdet at Pulse kunne lage et enhetsfingeravtrykk og registrere detaljert aktivitet på X. Kaito-grunnlegger Yu Hu forsvarte utformingen, presiserte hva som faktisk ble verifisert og lovet å publisere koden. 21. august var kildekoden offentlig, mens en oppdatert versjon av utvidelsen fortsatt ventet på godkjenning i Chrome Web Store.

Hva Kaito Pulse skulle gjøre

Pulse ble presentert som et sosialt lag for X. I stedet for bare å vise hva en konto sier, skulle utvidelsen også vise utvalgte bevis på hva brukeren faktisk har gjort andre steder. Kaito beskrev funksjonen som en måte å hente inn verifiserte posisjoner, handler, rekkevidde og andre signaler direkte i den eksisterende X-opplevelsen.

Lanseringen introduserte også Aura, et mål på oppmerksomhet og omdømme. Hensikten var å måle signaler fra det brukerne sier og gjør på tvers av plattformer. Det flytter oppmerksomheten bort fra følgertall alene og over mot verifisert atferd både på og utenfor plattformen.

Som en del av lanseringsbildet skulle 32,6 millioner KAITO-tokens frigis 20. august. Det tilsvarte 7,63 prosent av den sirkulerende beholdningen.

Slik skulle zkTLS-verifiseringen fungere

Kaito sa at Pulse bruker zero-knowledge TLS, vanligvis forkortet zkTLS, til nettleserbasert verifisering. Den grunnleggende ideen er at en bruker kan bevise en konkret opplysning fra et tredjepartsnettsted uten å gi Kaito en full kopi av kontodataene.

Ifølge Kaito må brukeren selv starte en verifisering. Nettleseren lager deretter et kryptert bevis, og Kaito mottar beviset eller attestasjonen som blir resultatet – ikke hele kontodatabasen eller brukerens komplette nettleserhistorikk.

Dette skillet ble viktig etter tidlige omtaler av tilgang til tjenester som ChatGPT, Claude og Binance. Senere rapportering presiserte at disse sidene ble åpnet som del av en verifisering brukeren selv hadde startet. Det var altså ikke dokumentasjon på at Pulse kontinuerlig samlet inn data fra tjenestene i bakgrunnen. Det som ifølge rapporteringen ble lagret, var attestasjonen som ble generert under verifiseringen.

zkTLS svarte dermed på én del av personvernspørsmålet: Hvor mye informasjon må deles for å bevise et krav fra en annen plattform? Teknologien svarte ikke i seg selv på hva utvidelsen kunne observere lokalt, eller hvordan identifikatorer og bruksdata kunne kobles sammen.

Dette hevdet kildekodegjennomgangen

18. august skrev analytikeren 0x_ultra at en gjennomgang av Pulse-koden hadde avdekket flere former for datainnsamling. Den mest omtalte påstanden gjaldt et enhetsfingeravtrykk bygget fra flere signaler – blant annet hvordan en GPU gjengir et usynlig bilde, hvilken enhets- eller maskinvaremodell som brukes, og hvordan maskinvaren håndterer en testlyd. Ifølge gjennomgangen kunne denne identifikatoren knyttes til en X-konto.

Gjennomgangen hevdet også at utvidelsen registrerte detaljert aktivitet inne på X, blant annet:

• innlegg eller innhold som ble vist til brukeren
• hvor lenge brukeren scrollet eller ble værende ved innhold
• klikk og andre interaksjoner
• søk og bokmerker
• periodiske aktivitets- eller «heartbeat»-pakker sendt omtrent hvert 30. sekund

Dette er påstander fra en kodegjennomgang og påfølgende rapportering – ikke en uavhengig avgjørelse som fastslår at Kaito misbrukte informasjonen. Det sentrale spørsmålet var omfanget av den påståtte innsamlingen og hvor lett dataene kunne kobles sammen. En enhetsidentifikator kombinert med atferdsdata kan gi et langt mer detaljert brukerprofil enn et engangsbevis på en handelsposisjon.

Slik svarte Kaito

Yu Hu sa at fingeravtrykkingen var ment som et tiltak mot misbruk, blant annet for å begrense klikkfusk og såkalt Sybil-aktivitet, der én aktør forsøker å fremstå som mange separate brukere. Han avviste at formålet var analyse eller brukerprofilering. Hu sa også at innsamling av hva brukere så på X, hvor lenge de ble værende og hvordan de interagerte, var autorisert da de installerte utvidelsen.

Kaito opplyste videre at nettleseraktivitet på andre nettsteder ikke ble sendt til selskapet, med mindre brukeren aktivt startet en støttet verifisering. Selskapet sa også at Pulse ikke tok skjermbilder, samlet inn passord eller registrerte tastetrykk.

Et stridspunkt var teksten i Chromes tillatelsesdialog. Enkelte brukere fikk se en tillatelse som indikerte at utvidelsen kunne lese og endre data på tvers av nettsteder. Kaito sa at denne formuleringen var bredere enn den tiltenkte bruken, og lovet å rette visningen i en senere versjon.

Hva skjedde innen 21. august?

Det umiddelbare resultatet ble et konkret løfte om større åpenhet. Kaito sa at Pulse var gjort til åpen kildekode, med hjelp fra analytikeren som hadde gjennomgått løsningen, og at en oppdatert versjon var sendt inn til Chrome Web Store. På dette tidspunktet var innsendingen fortsatt til vanlig vurdering og ikke bekreftet godkjent.

Rekkefølgen – lansering 18. august, offentlig kritikk, et svar 19. august og et offentlig kodearkiv innen 21. august – ga kontroversen et håndfast utfall. Brukere og eksterne gjennomgåere fikk mulighet til å undersøke implementeringen, i stedet for å måtte stole på produktbeskrivelser og tillatelsesdialoger alene.

Den bredere personvernlærdommen

Saken viser hvorfor personvern i nettleserutvidelser bør vurderes i flere lag.

Det første laget er beviset. zkTLS kan redusere mengden underliggende kontoinformasjon som deles når en bruker verifiserer et konkret krav.

Det andre laget er innsamlingen. En nettleserutvidelse kan også observere aktivitet på nettstedene der den kjører, avhengig av tillatelsene og implementeringen. Kaito bekreftet at Pulse samlet inn autoriserte interaksjonsdata fra X, og forsvarte samtidig enhetsfingeravtrykkingen som et tiltak mot misbruk.

Det tredje laget er koblingen mellom dataene. Selv om en tjeneste bare mottar en attestasjon fra en tredjepartskonto, kan personvernspørsmålene bestå dersom enhetssignaler, kontoidentiteter og atferdsdata kan knyttes sammen. Det var denne spenningen kildekodegjennomgangen særlig trakk frem.

Lanseringen viste ikke at zkTLS og personvern nødvendigvis er uforenlige. Den viste noe mer avgrenset og praktisk: Å beskytte innholdet i et verifisert krav er ikke det samme som å begrense all data som samles inn av klienten som lager kravet. Samfunnets og brukernes gjennomgang presset dette skillet frem i lyset – og bidro i løpet av få dager til at Kaito gjorde koden offentlig tilgjengelig.