Игрушечный робот Eiliko хранит данные на серверах в Китае
The Verge сообщает, что детский робот-компаньон Eiliko передаёт всё сказанное ему на китайские серверы, где данные могут быть уязвимы для взлома. Случай привлекает внимание к рискам приватности в потребительских ИИ-устройствах для детей.
Издание The Verge сообщило о серьёзной утечке данных в детском роботе-игрушке Eiliko, выпущенном компанией Energize Lab. Устройство, позиционируемое как цифровой питомец с ИИ-компаньоном, при подключении к Wi-Fi передаёт все разговоры пользователей на китайские серверы. Журналист The Verge купил Eiliko на Amazon и в ходе десятиминутной беседы спросил у робота, передаёт ли он кому-то его слова — вскоре полный транскрипт разговора оказался доступен стороннему исследователю на другом конце планеты.
Хакер-исследователь Сэмми Аздуфал, ранее находивший уязвимости в роботах-пылесосах DJI и детских мониторах Meari, обнаружил, что сервис Energize Lab не защищён. По его данным, в открытом доступе находились 13 миллионов разговоров десятков тысяч пользователей, а также данные о 68 тысячах активных роботов по всему миру. Крупнейший рынок — США, где более 31 тысячи профилей принадлежат детям.
Компания не просто собирала технические данные вроде IP-адресов, а составляла подробные психологические профили: имя, возраст, день рождения, профессию, круг общения, домашних животных и черты характера. Например, в одном из профилей указано, что 52-летняя Люси, сотрудница службы поддержки, «добрая, эмпатичная, трудолюбивая», но «испытывает трудности с доверием к членам семьи» и «чувствует себя изолированной». Такая информация может быть использована мошенниками для выбора целей.
В базе также хранились фотографии детей, сделанные камерой старших моделей роботов, и короткие аудиозаписи, включая плач младенца. Вопреки политике конфиденциальности, которая обещает шифрование и немедленное удаление записей после обработки, файлы размещались по публичным веб-адресам. Многие административные пароли Energize Lab оказались из списка самых распространённых.
The Verge более месяца пыталась связаться с Energize Lab по десяти адресам, включая контакты основателя, PR-отдела и техподдержки. Единственный ответ — сообщение от менеджера по продажам Ланы Лв о пересылке письма технической команде. Никто из компании не ответил на вопросы журналистов. Аздуфал совместно с Тодом Бирдсли готовит девять официальных отчётов об уязвимостях (CVE) для Energize Lab.
Исследователь также продемонстрировал удалённый взлом памяти и подмену языковой модели робота. Игрушка начала утверждать, что Земля плоская, а родителей журналиста не стало в автокатастрофе. Позже Аздуфал дистанционно изменил личность робота на доминирующую, заставив его произносить оскорбительные фразы. По его словам, хакер может одновременно воздействовать на весь парк устройств Energize Lab.
Журналист The Verge заявил, что не подпустит игрушку к своим детям и выбросит её. Этот случай подчёркивает риски подключённых к интернету детских устройств с ИИ, особенно когда производители не обеспечивают базовую защиту данных и игнорируют сообщения об утечках.
Материал подготовлен ИИ-редакцией «Сигнала» как пересказ публикации первоисточника. Фактическую точность и подробности проверяйте по оригиналу.