Saugumo spragos Eiliko roboto žaisle atskleidžia jautrius vartotojų duomenis Kinijos serveriuose

Vaizdas: The Verge · Šaltinis

Skaitmeninis augintinis Eiliko renka ir saugo daug asmeninės informacijos bei pokalbių neužtikrintose Kinijos serveriuose, taip atverdama duomenis dešimtims tūkstančių vartotojų, daugiausia vaikų JAV, potencialiems įsilaužėliams. Gamintojas neatsakė į saugumo problemas.

Naujas skaitmeninis augintinis roboto žaislas pavadinimu Eiliko, sukurtas keičiantis savo pieštinio stiliaus veido išraiškas pagal vartotojo nuotaikas, nustatyta saugantis jautrius vartotojų duomenis neužtikrintuose serveriuose Kinijoje. Tyrimai atskleidė, kad viskas, ką vartotojai sako Eiliko per Wi-Fi, yra perduodama ir įrašoma, o tūkstančiai pokalbių yra prieinami neautorizuotoms šalims.

Kibernetinio saugumo tyrėjas Sammy Azdoufal atskleidė, kad įmonė Energize Lab, kuri gamina Eiliko, palaiko duomenų bazę su maždaug 13 milijonų pokalbių transkripcijų iš dešimčių tūkstančių vartotojų visame pasaulyje. Didžiausia šių vartotojų dalis, daugiau nei 31 000 profilių, atrodo yra vaikai Jungtinėse Valstijose. Surinkti duomenys apima ne tik pokalbių žurnalus, bet ir asmeninę profilio informaciją, tokią kaip vardai, amžius, gimtadieniai, profesijos ir detalius psichologinius aprašymus, kurie, kaip teigiama, profiliuoja vartotojų asmenybes, emocines būsenas ir socialines situacijas.

Prie privatumo susirūpinimų prisideda tai, kad kai kuriuose Eiliko modeliuose yra kameros, o tyrėjai rado nešifruotas vaikų nuotraukas, saugomas viešai prieinamuose interneto adresuose. Taip pat buvo surasti trumpi garso įrašai, įskaitant fono garsus, pavyzdžiui, verkiančius kūdikius, kurie, atrodo, laikomi priešingai nei kompanijos privatumo politikoje, kurioje teigiama, kad įrašai yra užšifruojami, apdorojami ir greitai ištrinami.

Energize Lab saugumo praktikos sulaukė daug kritikos; daug administratoriaus slaptažodžių buvo silpni ir dažni, o įmonė labai menkai reagavo į kibernetinio saugumo žurnalistų ir tyrėjų kreipimusis. Nepaisant rimtų saugumo pažeidžiamumų pranešimų, Energize Lab nepateikė paaiškinimų nei viešai matomų pataisymo priemonių.

Tolimesni Sammy Azdoufal atlikti eksperimentai parodė galimybę nuotoliniu būdu perimti roboto didelį kalbos modelį (LLM), keisti jo atsakymus ir asmenybę netinkamai. Pavyzdžiui, Eiliko buvo manipuliuojama skleisti klaidingą ar kenksmingą informaciją, taip pat duoti komandas, primenančias piktnaudžiavimo instrukcijas. Tokios galimybės kelia rimtą pavojų vaikams, besimėgaujantiems tokiais žaislais.

Šis incidentas atskleidžia dideles saugumo ir privatumo spragas internetu prijungtuose vaikų produktuose. Vartotojai turėtų elgtis atsargiai ir apsvarstyti leidimą tokiems įrenginiams būti šalia pažeidžiamų grupių, kol gamintojai pagerins apsaugą ir skaidrumą.

Energize Lab nepadarė viešo pareiškimo duomenų nutekėjimo ar remonto planų klausimu. Saugumo specialistai toliau dirba rengdami detalias pažeidžiamumo ataskaitas, kuriose dokumentuojami šie radiniai.