Kaito Pulse công khai mã nguồn sau tranh cãi về theo dõi người dùng trên X

Kaito AI ra mắt Kaito Pulse ngày 18/8 như một tiện ích mở rộng trình duyệt dành cho X. Công cụ này được thiết kế để bổ sung “bằng chứng” vào các cuộc trò chuyện trên mạng xã hội: thay vì chỉ dựa vào lời tự nhận của một tài khoản, người dùng có thể nhìn thấy các vị thế đã xác minh trên Polymarket, Hyperliquid cùng một số hoạt động ngoài nền tảng khác.

Tuy nhiên, Pulse nhanh chóng trở thành một câu chuyện về quyền riêng tư. Một cuộc rà soát mã nguồn cáo buộc tiện ích có thể tạo dấu vân tay thiết bị và ghi nhận hoạt động chi tiết của người dùng trên X. Nhà sáng lập Kaito, Yu Hu, sau đó lên tiếng giải thích phạm vi xác minh, bảo vệ thiết kế của sản phẩm và cam kết công khai mã nguồn. Đến ngày 21/8, kho mã đã được mở cho công chúng, còn phiên bản cập nhật vẫn chờ Chrome Web Store xét duyệt.

Kaito Pulse được xây dựng để làm gì?

Kaito định vị Pulse như một “lớp xã hội” cho X. Nếu dòng thời gian hiện chủ yếu cho người dùng biết một tài khoản đang nói gì, Pulse muốn bổ sung thông tin về những gì tài khoản đó thực sự làm ở nơi khác. Dữ liệu được hiển thị có thể gồm vị thế, giao dịch, phạm vi tiếp cận và những tín hiệu đã được xác minh.

Cùng đợt ra mắt, Kaito giới thiệu Aura — một chỉ số về mức độ chú ý và danh tiếng, nhằm đo lường tín hiệu đến từ phát ngôn và hành động của người dùng trên nhiều nền tảng. Cách tiếp cận này chuyển trọng tâm khỏi số người theo dõi đơn thuần, hướng sang hành vi đã được xác thực cả trong và ngoài nền tảng.

Bối cảnh ra mắt còn gắn với đợt mở khóa 32,6 triệu token KAITO được lên lịch vào ngày 20/8, tương đương 7,63% nguồn cung đang lưu hành.

zkTLS được cho là hoạt động như thế nào?

Kaito cho biết Pulse sử dụng zero-knowledge TLS (zkTLS) để xác minh dữ liệu trên trình duyệt. Về nguyên tắc, công nghệ này cho phép người dùng chứng minh một tuyên bố cụ thể từ website bên thứ ba mà không cần giao cho Kaito toàn bộ dữ liệu tài khoản.

Theo phản hồi của Kaito, người dùng phải chủ động bắt đầu quy trình xác minh. Trình duyệt sau đó tạo một bằng chứng được mã hóa; Kaito nhận kết quả chứng thực hoặc bằng chứng này, thay vì bản sao đầy đủ của dữ liệu tài khoản hay lịch sử duyệt web.

Điểm này trở nên quan trọng sau khi các báo cáo ban đầu đề cập đến khả năng truy cập những dịch vụ như ChatGPT, Claude và Binance. Các thông tin tiếp theo làm rõ rằng những website này chỉ được truy cập trong quy trình xác minh do người dùng khởi động, chứ không phải bằng chứng cho thấy Pulse liên tục thu thập dữ liệu của chúng ở chế độ nền. Kết quả được cho là lưu lại là chứng thực tạo ra từ quy trình xác minh.

Nói cách khác, zkTLS giải quyết một phần câu hỏi về quyền riêng tư: người dùng phải tiết lộ bao nhiêu thông tin khi chứng minh một tuyên bố ngoài nền tảng. Nhưng bản thân zkTLS không trả lời tiện ích có thể quan sát những gì trên thiết bị, hoặc các mã nhận diện và dữ liệu đo lường sử dụng có thể được liên kết với nhau ra sao.

Cuộc rà soát mã nguồn đã cáo buộc điều gì?

Ngày 18/8, nhà phân tích 0x_ultra cho biết cuộc rà soát mã nguồn Pulse phát hiện nhiều hình thức thu thập dữ liệu. Cáo buộc đáng chú ý nhất liên quan đến một dấu vân tay thiết bị được tạo từ nhiều tín hiệu, gồm cách GPU kết xuất một hình ảnh vô hình, mẫu thiết bị hoặc phần cứng, và cách phần cứng xử lý một âm thử nghiệm. Theo cuộc rà soát, mã nhận diện này có thể được gắn với tài khoản X.

Cuộc rà soát cũng cáo buộc tiện ích theo dõi chi tiết hoạt động bên trong X, gồm:

• Các bài đăng hoặc nội dung được hiển thị cho người dùng
• Thời gian cuộn hoặc thời gian dừng lại trên nội dung
• Lượt nhấp và các tương tác khác
• Lịch sử tìm kiếm và dấu trang
• Các gói dữ liệu hoạt động, hay “heartbeat”, được gửi định kỳ khoảng 30 giây một lần

Đây là các cáo buộc dựa trên việc kiểm tra mã nguồn và những báo cáo sau đó, không phải kết luận độc lập đã được phân xử rằng Kaito sử dụng dữ liệu sai mục đích. Vấn đề cốt lõi nằm ở quy mô và khả năng liên kết của dữ liệu được nêu: một mã nhận diện cấp thiết bị kết hợp với dữ liệu hành vi có thể tạo ra hồ sơ chi tiết hơn nhiều so với một bằng chứng chỉ dùng một lần để xác minh vị thế giao dịch.

Kaito phản hồi ra sao?

Yu Hu cho biết việc tạo dấu vân tay thiết bị nhằm phục vụ mục tiêu chống lạm dụng, chẳng hạn hạn chế gian lận lượt nhấp và hoạt động Sybil — việc tạo nhiều danh tính giả để thao túng hệ thống — chứ không nhằm phân tích hay lập hồ sơ người dùng. Ông cũng nói Pulse thu thập dữ liệu về nội dung hiển thị, thời gian dừng và tương tác trên X sau khi người dùng cấp quyền khi cài đặt tiện ích.

Kaito khẳng định hoạt động duyệt web trên các website bên ngoài X không được gửi về công ty, trừ khi người dùng chủ động bắt đầu một quy trình xác minh được hỗ trợ. Phản hồi này cũng cho biết Pulse không chụp màn hình, thu thập mật khẩu hoặc ghi lại thao tác bàn phím.

Một điểm gây khó hiểu liên quan đến cách Chrome hiển thị quyền truy cập. Một số người dùng nhìn thấy thông báo cho biết tiện ích có thể đọc và thay đổi dữ liệu trên mọi website. Kaito nói cách diễn đạt này rộng hơn phạm vi sử dụng thực tế của sản phẩm và hứa sẽ điều chỉnh thông báo quyền trong phiên bản sau.

Đến ngày 21/8, điều gì đã thay đổi?

Kết quả trực tiếp là một nhượng bộ về tính minh bạch. Kaito cho biết Pulse đã được công khai mã nguồn với sự hỗ trợ của nhà phân tích tham gia cuộc rà soát, đồng thời gửi phiên bản cập nhật đến Chrome Web Store. Tại thời điểm đó, bản gửi mới vẫn đang trong quy trình xét duyệt thông thường, chưa được xác nhận là đã phê duyệt.

Chuỗi diễn biến — ra mắt ngày 18/8, bị cộng đồng soi xét, phản hồi ngày 19/8 và công khai kho mã vào ngày 21/8 — đã biến tranh cãi thành một kết quả cụ thể. Người dùng và các bên đánh giá độc lập có thêm khả năng kiểm tra cách triển khai, thay vì chỉ dựa vào mô tả sản phẩm hoặc cửa sổ quyền truy cập.

Bài học rộng hơn về quyền riêng tư

Tranh cãi quanh Pulse cho thấy các tuyên bố về quyền riêng tư của tiện ích trình duyệt cần được xem xét theo nhiều lớp.

Lớp thứ nhất là bằng chứng. zkTLS có thể giảm lượng dữ liệu tài khoản gốc bị tiết lộ khi người dùng xác minh một tuyên bố cụ thể.

Lớp thứ hai là thu thập. Tùy vào quyền truy cập và cách triển khai, một tiện ích trình duyệt vẫn có thể quan sát hoạt động trên những website nơi nó chạy. Kaito thừa nhận Pulse thu thập dữ liệu tương tác được cấp quyền trên X, đồng thời bảo vệ việc tạo dấu vân tay thiết bị như một biện pháp chống lạm dụng.

Lớp thứ ba là khả năng liên kết. Ngay cả khi dịch vụ chỉ nhận một chứng thực từ tài khoản bên thứ ba, lo ngại về quyền riêng tư vẫn có thể tồn tại nếu tín hiệu thiết bị, danh tính tài khoản và dữ liệu hành vi có thể được nối với nhau. Đây chính là điểm căng thẳng trung tâm mà cuộc rà soát mã nguồn nêu ra.

Vụ việc không chứng minh rằng zkTLS vốn dĩ không tương thích với quyền riêng tư. Nó cho thấy một điều hẹp hơn nhưng thực tế hơn: bảo vệ nội dung của một tuyên bố đã xác minh không đồng nghĩa với việc giảm thiểu mọi dữ liệu được thu thập bởi tiện ích tạo ra tuyên bố đó. Sự giám sát từ cộng đồng đã buộc khác biệt này phải được nhìn nhận rõ ràng — và chỉ trong vài ngày, thúc đẩy Kaito đưa mã nguồn ra công chúng để kiểm tra.