Kaito Pulse neden açık kaynak oldu? X takibi tartışmasının perde arkası

Lansman gündeminin bir başka parçası da 20 Ağustos’ta planlanan 32,6 milyon KAITO token kilit açılımıydı. Söz konusu miktarın dolaşımdaki arzın yüzde 7,63’üne karşılık geldiği bildirildi.

zkTLS doğrulaması nasıl çalışmalıydı?

Kaito’ya göre Pulse, tarayıcı tabanlı doğrulama için sıfır bilgi kanıtlı TLS, yani zkTLS, kullanıyordu. Bu yaklaşımın temel vaadi, bir kullanıcının üçüncü taraf bir web sitesindeki belirli bir iddiayı kanıtlayabilmesi; ancak hesabın tüm verilerini Kaito’ya teslim etmemesiydi.

Kaito’nun açıklamasına göre doğrulamayı kullanıcının kendisinin başlatması gerekiyordu. Tarayıcı daha sonra şifrelenmiş bir kanıt oluşturuyor, Kaito ise hesabın tamamına ait veri seti veya genel tarama geçmişi yerine bu kanıta dayalı sonucu, yani attestasyonu alıyordu.

İlk raporlarda ChatGPT, Claude ve Binance gibi hizmetlere erişimden söz edilmesi de tartışmayı büyüttü. Takip eden haberlerde ve açıklamalarda bu sitelere erişimin arka planda sürekli veri toplama anlamına gelmediği; yalnızca kullanıcının bir doğrulama sürecini aktif biçimde başlatmasıyla gerçekleştiği belirtildi. Kaydedildiği bildirilen sonuç, doğrulama sırasında üretilen attestasyondu.

Dolayısıyla zkTLS, gizlilik sorusunun bir bölümüne yanıt veriyordu: Çevrim dışı bir iddiayı kanıtlarken ne kadar veri açıklanıyor? Ancak teknoloji, uzantının kullanıcının cihazında neleri gözlemleyebileceği veya kimliklerle kullanım telemetrisi arasında bağlantı kurulup kurulamayacağı sorularını tek başına yanıtlamıyordu.

Kaynak kodu incelemesinde ne iddia edildi?

Analist 0x_ultra, 18 Ağustos’ta Pulse’un kaynak kodunu inceledikten sonra çeşitli veri toplama biçimleri tespit ettiğini söyledi. En dikkat çekici iddia, birden fazla sinyalden oluşturulan cihaz parmak izine ilişkindi. İncelemeye göre bu sinyaller arasında GPU’nun görünmez bir görseli nasıl işlediği, cihaz veya donanım modeli ve donanımın bir test sesini işleme biçimi bulunuyordu. Ortaya çıkan kimliğin bir X hesabıyla ilişkilendirilebildiği öne sürüldü.

İncelemede ayrıca X içindeki etkinliklerin ayrıntılı biçimde izlenebildiği iddia edildi. Bunlar arasında şunlar yer alıyordu:

• Kullanıcıya gösterilen gönderiler veya içerikler
• Kaydırma ve içerik üzerinde kalma süresi
• Tıklamalar ve diğer etkileşimler
• Aramalar ve yer imleri
• Yaklaşık 30 saniyelik aralıklarla gönderilen periyodik etkinlik ya da “heartbeat” paketleri

Bu noktalar, kaynak kodu incelemesine ve sonrasındaki haberlere dayanan iddialar olarak değerlendirilmelidir; Kaito’nun bu bilgileri kötüye kullandığına dair bağımsız biçimde karara bağlanmış bir bulgu değildir. Tartışmanın asıl ağırlık noktası, iddia edilen veri toplamanın kapsamı ve bu verilerin birbirine bağlanabilmesiydi. Cihaz düzeyindeki bir kimlik, hesap bilgisi ve davranış telemetrisiyle eşleştirildiğinde, tek seferlik bir işlem kanıtından çok daha kapsamlı bir profil oluşturabilir.

Kaito nasıl yanıt verdi?

Yu Hu, parmak izi oluşturma özelliğinin analiz veya kullanıcı profilleme için değil; tıklama sahtekârlığı ve Sybil faaliyetleri gibi kötüye kullanımları sınırlamak için tasarlandığını söyledi. Ayrıca Pulse’un X’teki içerik gösterimi, içerik üzerinde kalma süresi ve etkileşim verilerini, uzantı kurulurken verilen yetki kapsamında topladığını belirtti.

Kaito, X dışındaki sitelerdeki tarama etkinliğinin kullanıcı tarafından aktif biçimde başlatılan desteklenen bir doğrulama dışında şirkete gönderilmediğini de açıkladı. Şirket ayrıca Pulse’un ekran görüntüsü, şifre veya klavye girdisi toplamadığını söyledi.

Chrome’un izin açıklaması da tartışmanın bir parçası oldu. Bazı kullanıcılar, uzantının tüm web sitelerindeki verileri okuyup değiştirebileceğini belirten geniş bir izin ifadesi gördü. Kaito, bu metnin ürünün amaçlanan kullanımından daha geniş bir izlenim verdiğini kabul ederek, sonraki sürümde izin gösterimini düzeltme sözü verdi.

21 Ağustos’a gelindiğinde ne değişti?

Tartışmanın en somut sonucu şeffaflık yönünde atılan adım oldu. Kaito, kaynak kodunu kamuya açtığını ve incelemeye katkıda bulunan analistle birlikte çalıştığını açıkladı. Güncellenmiş uzantı da Chrome Web Store’a gönderildi; ancak 21 Ağustos itibarıyla başvuru hâlâ rutin incelemedeydi ve onaylandığı doğrulanmamıştı.

Böylece 18 Ağustos’taki lansmandan kamuoyu incelemesine, 19 Ağustos’taki resmi yanıttan 21 Ağustos’taki açık kaynak kararına uzanan hızlı bir süreç ortaya çıktı. Dışarıdaki araştırmacılar ve kullanıcılar, yalnızca ürün açıklamalarına veya izin ekranlarına güvenmek yerine uygulamanın nasıl çalıştığını inceleme imkânı kazandı.

Gizlilik açısından daha geniş ders ne?

Pulse tartışması, tarayıcı uzantılarındaki gizlilik iddialarının tek bir katman üzerinden değerlendirilmemesi gerektiğini gösteriyor.

İlk katman kanıt katmanı. zkTLS, kullanıcı belirli bir iddiayı doğrularken hesabın temel verilerinden ne kadarının açıklanması gerektiğini azaltabilir.

İkinci katman veri toplama katmanı. Bir tarayıcı uzantısı, izinlerine ve teknik uygulamasına bağlı olarak çalıştığı sitelerdeki etkinlikleri de gözlemleyebilir. Kaito, Pulse’un yetkilendirilmiş X etkileşim verilerini topladığını kabul etti ve cihaz parmak izini kötüye kullanımı önlemeye yönelik bir önlem olarak savundu.

Üçüncü katman ise ilişkilendirilebilirlik. Bir hizmet üçüncü taraf hesabından yalnızca bir attestasyon alsa bile cihaz sinyalleri, hesap kimlikleri ve davranış telemetrisi birbirine bağlanabiliyorsa gizlilik endişeleri devam edebilir. Kaynak kodu incelemesinin gündeme getirdiği temel gerilim buydu.

Pulse’un lansmanı, zkTLS ile gizliliğin doğası gereği bağdaşmadığını göstermedi. Daha dar ve pratik bir noktayı ortaya koydu: Doğrulanan iddianın içeriğini korumak, bu iddiayı üreten istemcinin topladığı tüm verileri en aza indirmekle aynı şey değil. Topluluk incelemesi bu ayrımı görünür kıldı ve birkaç gün içinde Kaito’yu kodu kamuya açmaya yöneltti.