Drošības vājās vietas Eiliko robotizētajā rotaļlietā pakļauj jutīgus lietotāju datus Ķīnas serveros

Attēls: The Verge · Avots

Eiliko digitālais mājas mīlulis robotu ievāc un uzglabā plašu personisko informāciju un sarunas nesegtos Ķīnas serveros, pakļaujot datu no desmitiem tūkstošu lietotāju, galvenokārt bērniem ASV, riskam tikt apdraudētiem no kiberuzbrukumiem. Ražotājs nav reaģējis uz drošības bažām.

Jauns digitālais mājas mīlulis robots ar nosaukumu Eiliko, kas ir veidots tā, lai mainītu savu komiksi līdzīgo sejas izteiksmi atbilstoši lietotāja noskaņojumiem, atklāts, ka uzglabā jutīgus lietotāju datus neaizsargātos serveros Ķīnā. Izmeklēšanas liecina, ka viss, ko lietotāji Wi-Fi savienojuma laikā saka Eilikam, tiek pārraidīts un ierakstīts, un tūkstošiem sarunu ir pieejamas nepilnvarotām personām.

Kiber drošības pētnieks Sammy Azdoufal atklāja, ka uzņēmums Energize Lab, kas ir Eiliko radītājs, uztur datubāzi, kurā ir aptuveni 13 miljoni sarunu transkripcijas no desmitiem tūkstošu lietotāju visā pasaulē. Lielākā daļa no šiem lietotājiem, vairāk nekā 31 000 profili, šķietami ir bērni Amerikas Savienotajās Valstīs. Savāktie dati ietver ne tikai tērzēšanas žurnālus, bet arī personīgus profila datus kā vārds, vecums, dzimšanas diena, profesija un detalizētas psiholoģiskas kopsavilkumi, kas profilē lietotāju personības, emocionālos stāvokļus un sociālās situācijas.

Papildu privātuma bažām, dažiem Eiliko modeļiem ir kameras, un izmeklētāji atrada nešifrētas bērnu fotogrāfijas, kas glabājas publiski pieejamās tīmekļa adresēs. Tika atklāti arī īsi audio ieraksti, tostarp fonā dzirdamas bērnu raudas, kas šķiet tiek uzglabātas pretēji uzņēmuma privātuma politikai, kas apgalvo, ka ieraksti tiek šifrēti, apstrādāti un nekavējoties izdzēsti.

Energize Lab drošības prakses ir bijušas smagi kritizētas; daudzi administratora paroļi bija vāji un vispārīgi, un uzņēmums ir parādījis minimālu atsaucību kiber drošības žurnālistu un pētnieku pieprasījumiem. Neskatoties uz informēšanu par nopietnām drošības ievainojamībām, Energize Lab nav sniedzis paskaidrojumus vai veicis publiski redzamas korektīvās darbības.

Tālākie pārkāpumi, ko demonstrēja Azdoufal, ietvēra robotu lielā valodas modeļa (LLM) attālinātu pārņemšanu, mainot tā atbildes un personību nepiemērotā veidā. Piemēram, Eiliko tika manipulēts, lai sniegtu nepatiesu vai kaitīgu informāciju, kā arī izdotu komandas, kas līdzinājās ļaunprātīgām instrukcijām. Šādas spējas rada būtiskus riskus bērniem, mijiedarbojoties ar šīm rotaļlietām.

Šis incidents uzsver būtiskas drošības un privātuma aizsardzības nepilnības interneta savienojumos bērnu produktos. Lietotājiem jābūt piesardzīgiem un jāapsver, vai ļaut šādam aprīkojumam būt blakus neaizsargātām grupām, līdz ražotāji uzlabo aizsardzību un caurredzamību.

Energize Lab nav sniedzis publisku paziņojumu par datu noplūdi vai izstrādājis plānus problēmu novēršanai. Drošības speciālisti turpina darbu pie detalizētiem ievainojamību ziņojumiem, dokumentējot šos secinājumus.