Новое расширение для браузера Kaito Pulse от Kaito AI привлекло внимание после того, как анализ исходного кода показал, что программное обеспечение может определять местоположение устройств, отслеживать подробную активность в X и получать доступ к данным учетных записей с нескольких сторонних платформ во время инициированной пользователем проверки.
По словам известного аналитика Ultra, изучившего исходный код Kaito Pulse, были обнаружены различные формы сбора данных, при этом наиболее обширная система регистрации данных была связана с тем, как люди используют X.
Позже аналитик уточнил, что доступ к ChatGPT, Claude и Binance осуществляется только тогда, когда пользователь запускает процесс верификации, и заявил, что регистрируются только подтверждения, полученные в ходе этих проверок.
Эти результаты появились менее чем через сутки после того, как 18 августа компания Kaito запустила Pulse — расширение для браузера, добавляющее подтвержденные сделки и другую активность непосредственно в интерфейс X. Kaito также представила Aura — метрику, предназначенную для объединения того, что пользователи говорят в интернете, с подтверждаемыми действиями, такими как торговля или активность создателей контента.
Kaito Pulse создает постоянный отпечаток устройства
Согласно результатам анализа исходного кода, Kaito Pulse генерирует отпечаток устройства, используя несколько сигналов, связанных с оборудованием, а не полагаясь только на cookie-файл браузера или идентификатор учетной записи.
Аналитик заявил, что расширение хеширует способ, которым графический процессор устройства отображает невидимое изображение, объединяет эту информацию с моделью графического процессора и проверяет, как оборудование обрабатывает тестовый сигнал. Предполагается, что вместе эти сигналы создают идентификатор, позволяющий отличать одно устройство от другого.
Компания Ultra заявила, что отпечаток затем передается вместе с идентификатором учетной записи X пользователя. По интерпретации аналитика, код может означать, что несколько учетных записей X, используемых с одного и того же устройства, могут быть связаны с одним устройством.
Анализ исходного кода также показал, что Pulse записывает значительно больше информации во время просмотра пользователем X-страницы. По словам аналитика, расширение может регистрировать каждый пост, добавленный в ленту, включая посты, которые пользователь пролистывает, не взаимодействуя с ними.
Согласно полученным данным, телеметрия включает в себя время, в течение которого публикация оставалась видимой (измеряется в миллисекундах), а также клики, подписки, отписки, поисковые запросы и закладки. Кроме того, Pulse, предположительно, отправляет сигнал активности каждые 30 секунд и проверяет, находится ли пользователь в режиме ожидания, что, по словам аналитика, может быть использовано для определения того, когда сессия была активна и как долго она длилась.
«Наиболее интересной особенностью является функция сбора логов в Twitter», — заявила компания Ultra в последующем сообщении, уточнив, как расширение обрабатывает проверку в других сервисах.
В описании расширения Kaito Pulse в Chrome Web Store отдельно указано, что расширение обрабатывает «активность пользователей» и «контент веб-сайта». Kaito заявляет в описании, что собранные данные не продаются третьим лицам вне утвержденных целей, не передаются для целей, не связанных с основной функцией расширения, и не используются для определения кредитоспособности или для предоставления займов.
Доступ к ChatGPT, Claude и Binance осуществляется посредством верификации
Согласно последующим разъяснениям компании Ultra, доступ к другим платформам осуществляется иначе, чем телеметрия X, описанная в обзоре.
Аналитик первоначально заявил, что расширение может проверять информацию о подписке пользователя на ChatGPT и Claude, включая используемый платный тариф и объем использованного лимита трафика. При этом не утверждалось, что доступ к переписке был получен.
Что касается ChatGPT, анализ исходного кода показал, что Pulse может открывать область настроек учетной записи и переходить в раздел использования в рамках процесса проверки.
Проверка на Binance была описана как более тщательная. По словам Ultra, Pulse может перейти на вкладку «Позиции» и повторно отправить аутентифицированные запросы из активной сессии пользователя для получения информации о балансе кошелька, фьючерсных позициях, прибыли и убытках, а также истории пополнения и вывода средств.
После того, как первоначальная публикация вызвала вопросы о масштабах такого доступа, аналитик заявил, что функции Claude, ChatGPT и Binance «срабатывают только при выполнении проверки» и что «в журнал записываются только подтверждения».
Это уточнение означает, что аналитик не утверждал, что Pulse постоянно собирает информацию об учетных записях ChatGPT, Claude или Binance в фоновом режиме. Его опасения по поводу постоянного сбора информации были направлены главным образом на активность X.
В описании расширения Kaito в Chrome Web Store говорится, что оно генерирует доказательства безопасности транспортного уровня с нулевым разглашением (zkTLS) на основе данных сторонних платформ и отправляет их в Kaito. Согласно описанию, Pulse позволяет пользователям просматривать подтвержденные торговые счета и позиции из профилей X, изучать мнения трейдеров относительно тикеров и получать рекомендации по счетам и активам для отслеживания.
В обзоре Ultra говорится, что реализация zkTLS в Pulse основана на форке проекта Primus, проекта с открытым исходным кодом. Аналитик также выявил 12 доменов, поддерживаемых расширением, включая Binance, OKX, Bybit, Hyperliquid, Lighter, Polymarket, TradeXYZ, Variational, ChatGPT, Claude, X и Kaito. Согласно обзору, только домен Kaito имеет право напрямую взаимодействовать с расширением.
Читайте также:
