카이토 AI(Kaito AI)가 브라우저 확장 프로그램 ‘카이토 펄스(Kaito Pulse)’의 소스코드를 공개했다.

출시 직후 디바이스 정보와 이용자의 X 활동을 추적할 수 있다는 개인정보 보호 우려가 제기되자 프로그램의 작동 방식을 외부에서 검증할 수 있도록 한 조치다.

카이토는 펄스의 오픈소스 공개를 마치고 구글 크롬 웹스토어 심사를 위해 확장 프로그램을 제출한 것으로 전해졌다.

펄스는 지난 18일 출시됐다. 카이토 창업자 유후(Yu Hu)는 개인정보 수집 범위를 둘러싼 논란이 확산하자 다음 날인 19일 소스코드를 공개해 누구나 프로그램의 기능을 확인할 수 있도록 하겠다고 밝혔다.

유후는 “누구나 코드가 어떤 작업을 수행하는지 확인하고 문제를 제기하거나 개선 방안을 제안할 수 있도록 하겠다”는 취지로 설명했다. 유후 공식 X 계정

카이토 펄스는 X의 타임라인에 외부 플랫폼의 공개 거래 데이터를 표시하는 브라우저 확장 프로그램이다.

기존에는 트레이더가 X를 통해 특정 종목이나 시장에 투자했다고 주장하더라도 실제 포지션 보유 여부를 곧바로 확인하기 어려웠다.

펄스는 폴리마켓과 하이퍼리퀴드의 공개 데이터를 불러와 해당 이용자의 포지션을 X 피드에서 확인할 수 있도록 지원한다.

트레이더의 발언과 실제 투자 행동을 연결해 정보의 신뢰성을 평가할 수 있게 한다는 것이 카이토 측의 설명이다.

카이토는 펄스와 함께 이용자의 온라인 영향력과 검증된 활동을 결합한 평가 지표 ‘아우라(Aura)’도 선보였다.

단순 게시물 노출이나 팔로워 수뿐만 아니라 실제 온체인 활동까지 반영해 이용자의 영향력을 측정하는 방식이다. 카이토 펄스 출시 내용

문제는 한 분석가가 펄스의 작동 방식을 조사하면서 개인정보 수집 가능성을 제기한 뒤 불거졌다.

분석 내용에 따르면 펄스에는 기기의 특성을 조합해 이용자를 구분하는 디바이스 핑거프린팅 기능이 포함됐다.

X에서 게시물을 본 시간과 클릭, 검색, 북마크 등 이용자의 활동을 기록할 수 있는 기능도 발견됐다는 주장이 나왔다.

디바이스 핑거프린팅은 화면 해상도와 설치된 글꼴, 그래픽 처리 특성, 브라우저 환경 등 여러 정보를 조합해 특정 기기를 식별하는 기술이다.

일반적인 쿠키와 달리 이용자가 직접 확인하거나 삭제하기 어렵다는 점에서 개인정보 보호 논란이 반복적으로 제기돼 왔다. 프린스턴대학교 디지털 핑거프린팅 설명

특히 브라우저 확장 프로그램은 이용자가 방문하는 페이지와 웹서비스에 접근할 수 있기 때문에 실제로 필요한 범위를 넘어선 권한을 요구하는지 확인해야 한다는 지적이 나왔다.

다만 분석 과정에서 제기된 내용이 곧바로 개인정보의 외부 유출이나 부당한 사용을 의미하는 것은 아니다. 어떤 정보가 실제 서버로 전송됐고 얼마나 오랫동안 저장되는지는 공개된 코드와 개인정보 처리방침을 통해 별도로 검증할 필요가 있다.

카이토 측은 펄스가 이용자의 일반적인 웹 활동을 추적하거나 화면과 비밀번호를 수집하지 않는다고 해명했다.

회사 측에 따르면 디바이스 핑거프린팅은 클릭 조작과 다중 계정 운영, 시빌 공격 등 서비스 악용을 방지하기 위해 사용된다. 이용자를 광고 목적으로 추적하거나 일반적인 분석 데이터를 확보하기 위한 기능은 아니라는 설명이다.

카이토는 “펄스가 다른 웹사이트에서 발생하는 일반적인 브라우징 활동을 카이토로 전송하지 않으며 화면이나 비밀번호도 기록하지 않는다”고 밝혔다. 카이토 AI 공식 X 계정

외부 계정 검증 과정에는 영지식 전송계층보안 기술인 zkTLS가 활용되는 것으로 알려졌다. 카이토 측은 이용자가 검증을 직접 요청했을 때만 암호화된 증명이 생성되며 카이토 서버에는 전체 계정 데이터나 인터넷 이용 기록이 아닌 최종 검증 결과만 전달된다고 설명했다.

카이토가 출시 직후 소스코드를 공개한 것은 이용자의 신뢰를 확보하기 위한 대응으로 풀이된다. 외부 개발자와 보안 전문가가 코드를 직접 검토할 수 있게 되면서 실제 데이터 수집 범위와 서버 전송 방식에 대한 검증도 가능해졌다.

그러나 오픈소스 공개만으로 모든 문제가 해소되는 것은 아니다. 공개된 코드와 크롬 웹스토어에서 실제 배포되는 프로그램이 일치하는지, 수집된 정보가 어떤 방식으로 저장·삭제되는지, 이용자가 추적 기능을 거부할 수 있는지가 추가로 확인돼야 한다.

카이토 펄스는 소셜미디어에서 이뤄지는 투자 주장과 실제 거래 기록을 연결한다는 점에서 정보 검증 도구로 주목받고 있다.

동시에 이용자의 행동 데이터를 어디까지 활용할 수 있는지에 대한 논쟁도 불러오면서 웹3 서비스의 투명성과 개인정보 보호 기준을 시험하는 사례가 될 전망이다.