Kimi Work、最近の5件のエージェントセッションの生の記録をフィードバックレポートに密かに添付

RUNTIMEWIRE INVESTIGATION — Scoop

Original reporting by RuntimeWire, based on reverse engineering, testing.

Why it matters

Kimi Work can handle private files, source code and shell output. Packaging five recent sessions without listing them prevents users from reviewing the data attached to feedback.

Reporting record

Moonshot AIのKimi Workデスクトップアプリは、ユーザーがフィードバックを送信するたびに、直近のエージェントとの会話5件からの生の診断記録を添付するよう設計されている、とRuntimeWireによるWindowsアプリケーションの分析で判明した。

その収集はユーザーが報告しているタスクを超えて及ぶ。Kimi Desktopはローカルに登録されたすべてのWork会話を最終更新時刻でソートし、最新の5件を取り、バンドルされたバックグラウンドサービスにそれぞれの別個のZIPアーカイブを作成するよう要求する。これらのアーカイブはデスクトップの診断ログパッケージとともにアップロードされ、フィードバックのテキスト送信が行われる。

RuntimeWireは、Kimi.exeからの送信トラフィックをブロックするWindowsファイアウォールルールを使用して、インストールされたKimi Desktop 3.1.5のコピー上でこの動作を確認した。テストではKimi WorkのPluginsページからフィードバックを開き、無害なフレーズ「RuntimeWire test」を送信した。Kimiは直ちに診断アーカイブを含むmultipartアップロードを試行した。その後、5つの異なる最近の会話IDに関連する生レコードアーカイブのアップロードを試みた。

すべての試行は意図どおり net::ERR_NETWORK_ACCESS_DENIED で失敗した。Kimiのメインプロセスのログには5回の失敗が5ミリ秒内に記録され、続いて以下が記録された:

[FeedbackRawRecords] ok: 0/5 archives uploaded in 166ms

ファイアウォールは記録の機械外流出を阻止し、ハンドラの本番実行を確認した。

一般的なフィードバックフォームが最近の作業にまたがる

Pluginsのフィードバック画面は特に示唆に富む入口だった。その内部メタデータはレポートがプラグインハブからのものであると識別しており、そのバージョンのフォームはユーザーによる画像添付を無効にしている。それを送信しても、アカウントメニュー、アクティブ会話、Kimiの生成したウェブサイトプレビューからのフィードバックで使われるのと同じグローバルな収集ルーチンが呼び出された。

レンダラはレポートを送信する前に2つのバックグラウンド操作を開始する:

Promise.allSettled([
  feedbackUploadLogs(),
  feedbackUploadRawRecords()
])

生レコードハンドラは conversations.list を呼び出し、返された会話を updatedAt でソートし、.slice(0, 5) を適用する。現在の会話は引数として渡されない。Kimiの出荷済みpreloadコードの内部コメントは、このメソッドをデスクトップのメインプロセスで選択が固定された、最新5セッションをエクスポートしてアップロードするものと説明している。

各完了したアップロードはオブジェクト名を返す。Kimiはそれらの識別子をフィードバック本文内の非表示メタデータプレフィックス rawRecordsObjectNames の下に配置する。通常の file_object_names 添付フィールドはユーザーが選択した画像用に予約されている。

その区分はインターフェイス上で重要である。英語のフォームは問題を説明するようユーザーに促し、画像はアップロードまたは貼り付けできると記載している。診断アーカイブや5つの会話アーカイブ、あるいはそれらの合計サイズの可能性については記載がない。添付ファイルのプレビュー、同意ボックス、あるいは関連するセッションを選択するコントロールは存在しない。

Kimiの公開ヘルプページは、製品内レポートが自動的に「device and account context」を添付すると述べている。直近のエージェントセッションの生レコードについては言及していない。RuntimeWireが2024年8月15日にレビューした時点で、同社のヘルプドキュメントは最新だった。

Kimiが生レコードアーカイブに入れるもの

Kimi WorkはDaimonというバンドルされたバックグラウンドコンポーネントを使用している。RuntimeWireが調べたWindowsパッケージはバージョン0.5.49で、7月24日作成だった。これは conversations.getRawRecordsArchive という本番制御メソッドを公開および登録し、そのルートをフィードバック送信時に使われるアーカイブ生成器に結び付けている。

選択された各会話について、Daimonはメインエージェントの wire.jsonl ファイルとサブエージェントに属するレコードを検出する。1つの会話アーカイブに最大100個のレコードファイルを含めることが可能で、各ファイルから最後の500件のJSONLレコードを読み取る。単一の圧縮ZIPは8 MiBに制限されており、クライアント側の上限は5つの生レコードアーカイブで合計40 MiB、これに別個のデスクトップログパッケージが加わる。

Kimi自身のドキュメントは agents/main/wire.jsonl をメインエージェントの「完全な通信記録」と説明している。これらのファイルはセッションの復元とリプレイをサポートする。また、同社のセッションドキュメントによれば、これらはツールスキーマ、リクエストパラメータ、MCPツール一覧を含むリクエストトレースを運ぶ。

Daimonは限定的なサニタイズを適用する。大きなbase64の塊と見える文字列を削除し、過大な値を長さとハッシュのマーカーに置換し、通常の文字列を8,192文字に制限する。これらのチェックはサイズとエンコーディングに基づいている。コードはパスワード、APIキー、アクセストークン、プライベートなソースコード、シェル出力、機密ファイルパスを探すことはしない。サイズ制限内の通常の文字列はそのまま保持される。

不正な形式または異常に大きなJSONLレコードには256文字のプレビューを含む診断的置換が行われる。アーカイブのマニフェストはローカルセッションパス、レコードパス、識別子および処理統計も記録する。

KimiのCLIは別個の明示的なセッションエクスポートフローを提供している。そのドキュメントはエクスポートされたファイルにコード、コマンド出力、ファイルパスが含まれる可能性があり、共有前に内容を確認するようユーザーに警告している。フィードバックワークフローには同等の警告や確認ステップは存在しない。

プライバシーポリシーの記載内容

Moonshot AIのprivacy policy、8月4日発効は、同社が会話情報、フィードバックデータおよび会話内容を含む可能性のあるログを収集する場合があると述べている。その文言はKimiが扱う情報の広範なカテゴリをカバーしている。

実装は、ユーザーが送信時に見ることのできないより狭い製品上の選択を行っている: プラグインレポート、ウェブサイトプレビューのレポート、または一般的なアカウントレポートは、関連性のない最近のWorkセッション5件からの限定されたレコードを運ぶ可能性がある。それらのセッションは異なるプロジェクト、フォルダ、クライアント、あるいは資格情報を含む場合がある。

出荷されたクライアントは通常のフィードバックハンドラの一部として収集を実行する。これは収集範囲と開示の問題である。テストはリモートからの悪用経路を明らかにしなかった。

RuntimeWireは5セッション選択の公開文書を見つけられず、内部メソッド名 conversations.getRawRecordsArchive やログタグ FeedbackRawRecords の以前の公開結果も見つけられなかった。

Moonshot AIはこの振る舞いがいつ出荷されたか、どのデスクトップバージョンとプラットフォームに含まれているか、アップロードされたアーカイブがどのくらい保持されるか、誰がアクセスできるか、サーバー側で追加の編集(redaction)が行われるかを説明すべきである。ユーザーには提案されている添付ファイルを検査する方法、報告対象のセッションに収集を限定する方法、および会話記録を提供せずにフィードバックを送信する方法も必要である。

RuntimeWireのテスト方法

RuntimeWireはKimi Desktop 3.1.5の本番ASARとWindows x64用Daimon 0.5.49バンドルを調査した。静的解析によりレンダラからElectron IPC、ZIP生成、/file/upload_simple、および/user/feedbackへのフィードバックボタンの経路が追跡された。

実行時テストでは、署名済みの Kimi.exe 実行ファイルに対してWindowsファイアウォールの送信アクセスをブロックしてからアプリケーションを起動した。RuntimeWireは無害なプラグインフィードバックを送信し、生成されたローカルログを観察した。アプリケーションは5つの会話IDを選択し、各アーカイブのアップロード段階に到達した。外向きのすべてのリクエストは ERR_NETWORK_ACCESS_DENIED で失敗した。RuntimeWireは会話のレコード内容を検査または送信しなかった。

主要なファイルハッシュと詳細な制限はRuntimeWireの報告者ノートに記載されている。