Kaito Pulse เปิดซอร์สโค้ด หลังเจอกระแสตีกลับเรื่องติดตามผู้ใช้บน X

Kaito AI เปิดตัว Kaito Pulse เมื่อวันที่ 18 สิงหาคม ในรูปแบบส่วนขยายเบราว์เซอร์สำหรับเพิ่ม “หลักฐานประกอบ” ให้บทสนทนาบน X โดยสามารถแสดงสถานะที่ยืนยันได้จาก Polymarket และ Hyperliquid รวมถึงกิจกรรมนอกแพลตฟอร์มบางประเภทลงในฟีด ทำให้ผู้ใช้ไม่ต้องพึ่งเพียงคำกล่าวอ้างของเจ้าของบัญชีบนโซเชียลมีเดีย

แต่ผลิตภัณฑ์กลับกลายเป็นประเด็นด้านความเป็นส่วนตัวอย่างรวดเร็ว การตรวจสอบซอร์สโค้ดกล่าวหาว่า Pulse อาจสร้างลายนิ้วมือของอุปกรณ์และบันทึกกิจกรรมบน X อย่างละเอียด จน Yu Hu ผู้ก่อตั้ง Kaito ต้องออกมาชี้แจงขอบเขตการทำงานของระบบ พร้อมให้คำมั่นว่าจะเปิดเผยโค้ดต่อสาธารณะ ภายในวันที่ 21 สิงหาคม รีโพซิทอรีของโครงการถูกเปิดเป็นสาธารณะแล้ว ขณะที่ส่วนขยายเวอร์ชันอัปเดตยังอยู่ระหว่างการตรวจสอบของ Chrome Web Store

Kaito Pulse สร้างมาเพื่ออะไร

Kaito วางตำแหน่ง Pulse เป็น “ชั้นโซเชียล” สำหรับ X ที่ช่วยให้ผู้ใช้เห็นไม่เพียงสิ่งที่บัญชีหนึ่งพูด แต่ยังเห็นหลักฐานบางส่วนของสิ่งที่บัญชีนั้นทำบนแพลตฟอร์มอื่นด้วย ระบบถูกออกแบบมาเพื่อแสดงสถานะการถือครอง การเทรด การเข้าถึงผู้ชม และสัญญาณอื่น ๆ ที่ผ่านการยืนยันได้ภายในประสบการณ์ใช้งาน X เดิม

การเปิดตัวยังมาพร้อม Aura ซึ่งเป็นตัวชี้วัดด้านความสนใจและชื่อเสียง โดยตั้งใจประเมินสัญญาณจากคำพูดและการกระทำของผู้ใช้ในหลายแพลตฟอร์ม แทนการดูจำนวนผู้ติดตามเพียงอย่างเดียว จึงให้น้ำหนักกับพฤติกรรมทั้งในและนอกแพลตฟอร์มที่ยืนยันได้มากขึ้น

ในช่วงเวลาเดียวกัน Kaito มีกำหนดปล่อยโทเคน KAITO จำนวน 32.6 ล้านโทเคนในวันที่ 20 สิงหาคม คิดเป็น 7.63% ของอุปทานที่หมุนเวียนอยู่

zkTLS ยืนยันข้อมูลโดยไม่ต้องส่งข้อมูลทั้งบัญชีอย่างไร

Kaito ระบุว่า Pulse ใช้ zero-knowledge TLS หรือ zkTLS สำหรับการยืนยันข้อมูลจากเว็บไซต์ผ่านเบราว์เซอร์ แนวคิดหลักคือ ผู้ใช้สามารถพิสูจน์ข้อความอ้างอิงบางอย่างจากเว็บไซต์ภายนอกได้ โดยไม่จำเป็นต้องส่งสำเนาข้อมูลบัญชีทั้งหมดให้ Kaito

ตามคำชี้แจงของ Kaito ผู้ใช้ต้องเป็นฝ่ายเริ่มกระบวนการยืนยันก่อน จากนั้นเบราว์เซอร์จะสร้างหลักฐานที่เข้ารหัส และ Kaito จะได้รับผลลัพธ์ในรูปแบบ proof หรือ attestation แทนที่จะได้รับชุดข้อมูลบัญชีทั้งหมดหรือประวัติการท่องเว็บ

ประเด็นนี้มีความสำคัญหลังรายงานเบื้องต้นพูดถึงการเข้าถึงบริการอย่าง ChatGPT, Claude และ Binance การรายงานติดตามผลระบุว่าเว็บไซต์เหล่านี้ถูกเข้าถึงในขั้นตอนการยืนยันที่ผู้ใช้เริ่มต้นเอง ไม่ใช่หลักฐานว่า Pulse เก็บข้อมูลของบริการเหล่านี้อยู่เบื้องหลังอย่างต่อเนื่อง ผลลัพธ์ที่มีการเก็บไว้ตามรายงานคือ attestation ที่เกิดจากการยืนยัน

ดังนั้น zkTLS อาจช่วยตอบคำถามได้ว่า “ระหว่างการพิสูจน์ข้อมูลนอกแพลตฟอร์ม ต้องเปิดเผยข้อมูลมากแค่ไหน” แต่เทคโนโลยีนี้ไม่ได้ตอบโดยอัตโนมัติว่าส่วนขยายจะสังเกตข้อมูลใดบนอุปกรณ์ หรือข้อมูลระบุตัวตนกับเทเลเมทรีการใช้งานจะถูกเชื่อมโยงกันอย่างไร

การตรวจสอบโค้ดกล่าวหาอะไรบ้าง

เมื่อวันที่ 18 สิงหาคม นักวิเคราะห์ 0x_ultra ระบุว่าการตรวจสอบซอร์สโค้ดของ Pulse พบพฤติกรรมเก็บข้อมูลหลายรูปแบบ ข้อกล่าวหาที่ได้รับความสนใจมากที่สุดคือการสร้างลายนิ้วมืออุปกรณ์จากสัญญาณหลายชนิด เช่น วิธีที่ GPU เรนเดอร์ภาพที่มองไม่เห็น รุ่นอุปกรณ์หรือฮาร์ดแวร์ และวิธีที่ฮาร์ดแวร์ตอบสนองต่อเสียงทดสอบ จากนั้นตัวระบุนี้อาจถูกเชื่อมโยงกับบัญชี X

การตรวจสอบยังกล่าวหาว่ามีการติดตามกิจกรรมบน X อย่างละเอียด ได้แก่

• โพสต์หรือเนื้อหาที่แสดงให้ผู้ใช้เห็น
• ระยะเวลาการเลื่อนดูหรือหยุดอ่านเนื้อหา
• การคลิกและการโต้ตอบอื่น ๆ
• การค้นหาและบุ๊กมาร์ก
• แพ็กเกจกิจกรรมหรือ “heartbeat” ที่ส่งเป็นระยะประมาณทุก 30 วินาที

ประเด็นเหล่านี้ควรถูกมองว่าเป็น ข้อกล่าวหาจากการตรวจสอบโค้ดและรายงานต่อเนื่อง ไม่ใช่ข้อสรุปที่ผ่านการวินิจฉัยโดยหน่วยงานอิสระว่า Kaito นำข้อมูลไปใช้ในทางที่ผิดแล้ว สิ่งที่ทำให้เกิดคำถามคือขอบเขตและความสามารถในการเชื่อมโยงข้อมูล เพราะตัวระบุระดับอุปกรณ์ที่จับคู่กับข้อมูลพฤติกรรมอาจสร้างโปรไฟล์ผู้ใช้ที่ละเอียดกว่าการพิสูจน์สถานะการเทรดเพียงครั้งเดียว

Kaito ชี้แจงอย่างไร

Yu Hu ระบุว่าการทำ fingerprinting มีไว้เพื่อป้องกันการใช้งานในทางมิชอบ เช่น การจำกัดการโกงคลิกและกิจกรรมแบบ Sybil ไม่ได้มีเป้าหมายเพื่อทำการวิเคราะห์หรือสร้างโปรไฟล์ผู้ใช้ นอกจากนี้เขายังกล่าวว่าการเก็บข้อมูลการเห็นเนื้อหา ระยะเวลาที่อยู่กับเนื้อหา และการโต้ตอบบน X ได้รับอนุญาตเมื่อผู้ใช้ติดตั้งส่วนขยาย

Kaito ระบุเพิ่มเติมว่า กิจกรรมการท่องเว็บบนเว็บไซต์อื่นนอกเหนือจาก X จะไม่ถูกส่งให้บริษัท เว้นแต่ผู้ใช้จะเป็นฝ่ายเริ่มการยืนยันบนเว็บไซต์ที่รองรับ โดยคำชี้แจงยังระบุว่า Pulse ไม่ได้บันทึกภาพหน้าจอ รหัสผ่าน หรือการกดแป้นพิมพ์

อีกจุดที่สร้างความไม่สบายใจให้ผู้ใช้คือข้อความขอสิทธิ์ของ Chrome ซึ่งระบุว่าส่วนขยายสามารถอ่านและแก้ไขข้อมูลบนเว็บไซต์ต่าง ๆ ได้ Kaito ยอมรับว่าข้อความดังกล่าวกว้างกว่าการใช้งานที่ผลิตภัณฑ์ตั้งใจไว้ และสัญญาว่าจะปรับแก้การแสดงสิทธิ์ในเวอร์ชันถัดไป

ภายในวันที่ 21 สิงหาคมเกิดอะไรขึ้น

ผลลัพธ์ที่เห็นได้ชัดที่สุดคือการเพิ่มความโปร่งใส Kaito ระบุว่าได้เปิดซอร์สโค้ดของ Pulse โดยมีนักวิเคราะห์ที่เกี่ยวข้องกับการตรวจสอบเข้ามาช่วยเหลือ และส่งส่วนขยายเวอร์ชันอัปเดตให้ Chrome Web Store ตรวจสอบ ขณะนั้นเวอร์ชันใหม่ยังอยู่ในขั้นตอนตรวจสอบตามปกติ และยังไม่มีการยืนยันว่าได้รับอนุมัติแล้ว

ลำดับเหตุการณ์ตั้งแต่เปิดตัววันที่ 18 สิงหาคม การถูกตรวจสอบจากชุมชน คำชี้แจงวันที่ 19 สิงหาคม ไปจนถึงการเปิดรีโพซิทอรีต่อสาธารณะในวันที่ 21 สิงหาคม ทำให้ข้อถกเถียงนี้มีผลลัพธ์ที่จับต้องได้ ผู้ใช้และผู้ตรวจสอบภายนอกสามารถเข้าไปดูการทำงานของซอฟต์แวร์ได้ แทนที่จะต้องอาศัยเพียงคำอธิบายผลิตภัณฑ์หรือหน้าต่างแจ้งสิทธิ์ของส่วนขยาย

บทเรียนด้านความเป็นส่วนตัวที่กว้างกว่านั้น

กรณีของ Pulse สะท้อนว่า การประเมินความเป็นส่วนตัวของส่วนขยายเบราว์เซอร์ควรพิจารณาเป็นหลายชั้น

ชั้นแรกคือชั้นการพิสูจน์ข้อมูล zkTLS อาจช่วยลดปริมาณข้อมูลบัญชีต้นทางที่ต้องเปิดเผย เมื่อผู้ใช้ยืนยันข้อความอ้างอิงบางอย่าง

ชั้นที่สองคือชั้นการเก็บข้อมูล ส่วนขยายเบราว์เซอร์อาจสังเกตกิจกรรมบนเว็บไซต์ที่มันทำงานอยู่ได้ ขึ้นอยู่กับสิทธิ์และการนำไปใช้งาน Kaito ยอมรับว่า Pulse เก็บข้อมูลการโต้ตอบบน X ที่ได้รับอนุญาต และชี้แจงแยกต่างหากว่าการทำ fingerprinting อุปกรณ์มีไว้เพื่อป้องกันการใช้งานในทางมิชอบ

ชั้นที่สามคือความสามารถในการเชื่อมโยงข้อมูล แม้บริการจะได้รับเพียง attestation จากบัญชีภายนอก แต่ข้อกังวลด้านความเป็นส่วนตัวยังคงอยู่ หากสัญญาณจากอุปกรณ์ ตัวตนของบัญชี และเทเลเมทรีพฤติกรรมสามารถนำมาเชื่อมต่อกันได้ นี่คือความตึงเครียดหลักที่การตรวจสอบโค้ดนำเสนอ

การเปิดตัวของ Pulse ไม่ได้พิสูจน์ว่า zkTLS กับความเป็นส่วนตัวขัดแย้งกันโดยธรรมชาติ แต่ชี้ให้เห็นประเด็นที่แคบและใช้ได้จริงกว่า นั่นคือ การปกป้องเนื้อหาของข้อมูลที่นำมายืนยัน ไม่เท่ากับการลดข้อมูลทุกประเภทที่ไคลเอนต์ผู้สร้างหลักฐานเก็บรวบรวม ชุมชนจึงผลักให้ความแตกต่างนี้ถูกเปิดเผยต่อสาธารณะ และภายในไม่กี่วันก็ทำให้ Kaito เปิดโค้ดให้ตรวจสอบได้