Kakushie: Zabawa w chowanego na X, która może ukrywać niebezpieczne treści

Jak działa ta techniczna sztuczka?

Sztuczka wykorzystuje specyficzną interakcję między kanałem alfa przezroczystego PNG a mobilną przeglądarką obrazów X:

1. PNG-8 z przezroczystością – Twórca eksportuje obraz jako PNG-8 (8-bitowy) z kanałem alfa, gdzie wybrane obszary są w pełni lub częściowo przezroczyste, zaznaczone za pomocą narzędzia kropli.
2. Kompresja osi czasu X – Gdy obraz jest wyświetlany na głównej osi czasu, mechanizm X renderuje PNG z zachowaniem przezroczystości, przez co duże przezroczyste lub półprzezroczyste obszary wydają się blade, zniekształcone lub prawie puste.
3. Ujawnienie po dotknięciu/przytrzymaniu – W aplikacji mobilnej X dotknięcie obrazu otwiera go w trybie pełnoekranowym. Przytrzymanie palca uruchamia ładowanie wersji obrazu w wyższej rozdzielczości („4K”). W tym momencie dane przezroczystości są renderowane inaczej, a ukryty obraz „wyskakuje” w pełnej widoczności. Na iOS użytkownicy mogą musieć dotknąć opcji „Load in 4K”, jeśli zostanie wyświetlona.

To nie jest luka w zabezpieczeniach ani hack w tradycyjnym sensie steganografii – to celowe wykorzystanie dwuetapowego mechanizmu renderowania obrazów X (miniatura vs. widok pełnoekranowy). Platforma nie stosuje tej samej kompresji ani obsługi kanału alfa w widoku pełnoekranowym, co na osi czasu, tworząc efekt ujawnienia.

Obawy dotyczące bezpieczeństwa: CSAM i nieodpowiednie treści

Nie ma jeszcze bezpośrednich dowodów konkretnie łączących obrazy kakushie z aktywną dystrybucją CSAM. Jednak obawa ta jest powszechnie uznawana za wiarygodne i poważne ryzyko z kilku powodów:

• Narzędzie do celowego zaciemniania – Cały cel kakushie polega na tym, aby obraz wyglądał niewinnie lub był nieczytelny na osi czasu, ukrywając drugie zdjęcie, które wymaga konkretnej interakcji użytkownika. Ten mechanizm może być bezpośrednio wykorzystany do omijania automatycznej moderacji treści, która skanuje tylko publiczną miniaturę.
• Precedens steganografii – W 2021 roku badacz bezpieczeństwa David Buchanan udowodnił, że mechanizm PNG na Twitterze może być wykorzystywany do ukrywania archiwów ZIP, plików MP3 i do 3 MB dowolnych danych w opublikowanych obrazach – technika ta może być używana do dystrybucji złośliwego oprogramowania lub nielegalnych treści poza zasięgiem skanerów bezpieczeństwa.
• Znane problemy z moderacją CSAM na X – Australijski regulator bezpieczeństwa uznał CSAM za „szczególnie systemowy” problem na X, czyniąc go najgorszą platformą pod względem materiałów pedofilskich. Organizacja non-profit Alliance4Europe zidentyfikowała co najmniej 150 kont udostępniających CSAM w ciągu zaledwie czterech dni w 2025 roku. Komisja Europejska wszczęła w 2025 roku śledztwo dotyczące dystrybucji CSAM na X. W czerwcu 2025 roku organizacja Thorn, zajmująca się bezpieczeństwem dzieci, zerwała współpracę z X z powodu niezapłaconych faktur i braku działań platformy w sprawie CSAM. National Center on Sexual Exploitation określił X jako „stronę tytułową wykorzystywania seksualnego w internecie”.
• Śledztwo Ofcomu – Ofcom wszczął formalne śledztwo w sprawie X 12 stycznia 2026 roku na mocy brytyjskiej ustawy o bezpieczeństwie online (Online Safety Act 2023), po aferze z AI Grok, która generowała seksualne obrazy prawdziwych kobiet i dzieci. W czerwcu 2026 roku Ofcom nakazał wszystkim platformom społecznościowym, w tym X, przyjęcie protokołów „krytycznych incydentów” w celu powstrzymania wiralowych nielegalnych treści.
• Badania akademickie – Artykuł naukowy z 2025 roku („Just in Plain Sight”) zbadał, jak kampanie dystrybucji CSAM działają otwarcie na X, wykorzystując konta typu sockpuppet i skompromitowane profile, potwierdzając, że luki w moderacji platformy są aktywnie wykorzystywane.

Kluczowe zastrzeżenie: Istnieją wyraźne, udokumentowane dowody na systemowy problem CSAM na X i rosnącą presję regulacyjną. Jednak żadne konkretne doniesienie ani śledztwo nie potwierdziło jeszcze aktywnego wykorzystania obrazów kakushie do celów CSAM. Obawa pozostaje wiarygodnym, szeroko dyskutowanym ryzykiem, a nie potwierdzonym wektorem ataku – ale biorąc pod uwagę, że cała technika ma na celu ukrywanie obrazów przed publicznym widokiem, ryzyko nadużyć jest oczywiste i zostało zasygnalizowane przez badaczy bezpieczeństwa.

Krajobraz regulacyjny

X znajduje się obecnie pod lupą z kilku stron, a trend kakushie dodaje nowy wymiar do tych istniejących obaw. Zapewnia technicznie trywialną, powszechnie dostępną metodę publikowania przez każdego użytkownika treści, które są niewidoczne dla automatycznej moderacji na osi czasu i widoczne dopiero po celowej interakcji.

Dopóki X nie dostosuje swojego mechanizmu renderowania, aby stosować spójne skanowanie treści zarówno na etapie miniatury, jak i w widoku pełnoekranowym, platforma pozostanie narażona na ten wektor ataku.