Turvaaugud Eiliko robomänguasjas paljastavad tundliku kasutajateabe Hiina serverites

Pilt: The Verge · Allikas

Eiliko digilemmikrobot kogub ja salvestab laialdaselt isiklikku teavet ning vestlusi kaitsmata Hiina serveritesse, avaldades küberkurjategijatele kümnete tuhandete kasutajate, peamiselt laste Ameerika Ühendriikides, andmed. Tootja ei ole turvaküsimustele reageerinud.

Uus digilemmikrobot nimega Eiliko, mis muudab oma multifilmilikke näoilmeid kasutaja meeleoludega kooskõlas, on leitud tundlikku kasutajateavet kaitsmata Hiinas asuvatele serveritele salvestamas. Uurimised näitavad, et kõik, mida kasutajad Wi-Fi kaudu Eilikole räägivad, edastatakse ja salvestatakse, tuhanded vestlused on ligipääsetavad volitamata isikutele.

Küberjulgeoleku uurija Sammy Azdoufal avastas, et firma Energize Lab, kes Eiliko taga on, hoiab andmebaasi, mis sisaldab umbes 13 miljoni vestluse transkriptsioone kümnetelt tuhandetelt kasutajatelt üle maailma. Suurim osa neist kasutajatest, üle 31 000 profiili, on näiliselt Ameerika Ühendriikide lapsed. Kogutud andmed sisaldavad mitte ainult vestluslogisid, vaid ka isiklikke profiiliteavet nagu nimed, vanused, sünnipäevad, ametid ning põhjalikke psühholoogilisi kokkuvõtteid, mis kirjeldavad kasutajate isiksusi, emotsionaalseid seisundeid ja sotsiaalseid olusid.

Privaatsuse murede suurenemise tõttu sisaldavad mõned Eiliko mudelid kaameraid ning uurijad leidsid avalikult ligipääsetavatel veebiaadressidel krüpteerimata laste fotosid. Leiti ka lühikesi helisalvestisi, sealhulgas taustamüra nagu vastsündinute nutmine, mis näib olevat salvestatud vastupidiselt firma privaatsuspoliitikale, mis väidab salvestiste krüpteerimist, töötlemist ja kiiret kustutamist.

Energize Labi turvapraktikaid on tugevalt kritiseeritud; paljud administraatori paroolid olid nõrgad ja levinud ning firma on näidanud minimaalset reageerimist küberjulgeoleku ajakirjanike ja uurijate pöördumistele. Hoolimata tõsiste turvaaukude teatamisest ei ole Energize Lab pakkunud selgitusi ega võtnud avalikult nähtavaid korrektse tegevuse meetmeid.

Lisaks demonstreeris Azdoufal edasiarendatud võimalusi, sealhulgas robotile kaugjuhtimisega suure keelemudeli (LLM) üle võtmist, muutmaks selle vastuseid ja isiksust sobimatult. Näiteks manipuleeriti Eilikot esitamaks vale- või kahjulikku teavet ning välja andma käske, mis meenutavad väärkohtlevat juhendamist. Sellised võimalused tähendavad tõsiseid riske laste suhtlemisel selliste mänguasjadega.

See juhtum toob esile olulised puudujäägid turva- ja privaatsuskaitses internetiühendusega laste toodete seas. Kasutajad peaksid olema ettevaatlikud ning kaaluma selliste seadmete lubamist haavatavate isikute lähedusse enne, kui tootjad parandavad kaitset ja läbipaistvust.

Energize Lab ei ole avalikult avaldanud seisukohta andmete lekkest ega oma remondi plaanidest. Turvaspetsialistid töötavad jätkuvalt üksikasjalike haavatavusaruannete kallal, dokumenteerides neid tähelepanekuid.