Faits : A. A._, ressortissant syrien né en 1991, est arrivé en Suisse en septembre 2000. Il a obtenu la nationalité suisse le 21 août 2013. Le 16 juin 2017, le Département genevois de la sécurité et de l'économie l'a informé que, dans le cadre de la procédure de naturalisation de son frère B._, le Secrétariat d'Etat aux migrations (SEM) avait été informé par le Service de renseignement de la Confédération (SRC) que les deux frères étaient impliqués dans des activités de surveillance prohibée de ressortissants syriens en Suisse. Le département envisageait de soumettre au Conseil d'Etat genevois un arrêté d'annulation de la naturalisation genevoise accordée en 2013. Dans ses déterminations du 25 août 2017, A._ a contesté les reproches qui lui étaient adressés et demandait l'accès, préalablement à toute décision, aux preuves administrées. Auparavant, le 7 juillet 2017, il s'est adressé au SRC afin d'accéder à ses données personnelles. Par décision du 31 août 2017, le SRC a indiqué que son nom figurait dans 15 documents enregistrés dans le système d'information GEVER; l'accès à ces documents a été refusé car il était de nature à compromettre la sûreté intérieure de la Suisse ainsi que l'intégrité des personnes ayant fourni des informations. B. Par arrêt du 30 août 2018, le Tribunal administratif fédéral (TAF) a rejeté le recours formé par A._. Le recours était sans objet s'agissant des documents 7 à 10 qui avaient été remis sous forme non anonymisée au recourant en cours de procédure. Les documents 4 à 6 et 11 à 15 avaient été remis sous forme anonymisée, et les documents 1 à 3 avaient été remis au TAF, mais non au recourant. Le grief de violation du droit d'être entendu dans la procédure d'annulation de la naturalisation ne relevait pas du droit d'accès. Les autres griefs relatifs au droit d'être entendu ont aussi été écartés. Le refus de communiquer les documents 1 à 3 était justifié par la protection des sources et des communications entre organes de sûreté, le recourant pouvant pour sa part faire valoir ses droits dans le cadre de la procédure d'annulation de la naturalisation. Les caviardages effectués sur les documents 4 à 6 et 11 à 15 étaient également justifiés. C. Agissant par la voie du recours en matière de droit public, A._ demande au Tribunal fédéral d'annuler l'arrêt du TAF. Il a par la suite demandé l'assistance judiciaire. Le TAF s'est déterminé dans le sens du rejet du recours et a produit le dossier, qui contient notamment les quinze pièces du SRC, dans leurs versions originale et anonymisée. Le SRC conclut à la confirmation de l'arrêt attaqué. Le Préposé fédéral à la protection des données et à la transparence a renoncé à se déterminer. Dans ses dernières observations, le recourant persiste dans ses conclusions.