Energize Lab отвечает на уязвимости в роботе Eiliko независимой проверкой безопасности

Image: Eiliko maker says it’s hiring an “independent security firm’ after Verge report on its insecure robots · Source

После сообщений об уязвимостях в AI-роботе Eiliko компания Energize Lab обязалась провести независимый аудит безопасности и принять немедленные меры для защиты данных пользователей и доступа к системе.

Energize Lab, компания, создавшая Eiliko — маленького робота-чарм с искусственным интеллектом, предназначенного для вовлечения пользователей в беседу — признала наличие серьезных уязвимостей в безопасности после детального расследования, выявившего значительные риски для конфиденциальности. Робот, который продавался с гарантией, что разговоры пользователей останутся конфиденциальными, оказался с множеством эксплуатационных слабых мест, допускающих несанкционированный доступ к чувствительным данным пользователей. Эта критическая ситуация стала известна после длительной попытки The Verge и исследователя безопасности Самми Аздуфала связаться с компанией, на что изначально не было ответа.

В заявлении, опубликованном после нескольких недель молчания, Energize Lab подтвердила основные проблемы безопасности, выявленные в расследовании, и перечислила шаги по их устранению. Ключевые немедленные действия включают закрытие всего внешнего доступа к бэкэнд-системе, отзыв учетных данных доступа и отключение веб-интерфейса, который позволял удаленно менять ответы робота. Компания также отключила функции долгосрочной памяти робота и пользовательских аватаров, пообещав прекратить хранение записей разговоров и профилей пользователей для снижения рисков конфиденциальности.

Важно, что Energize Lab объявила о полном удалении всех ранее собранных данных, включая журналы разговоров, профили и изображения аватаров. Однако компания указала, что некоторая форма сбора данных через долгосрочную память и кастомные аватары может быть возвращена, но только после тщательной проверки безопасности независимой фирмой, которая подтвердит безопасность этих функций. Для контроля этого процесса Energize Lab привлекла внешнего аудитора безопасности для полной оценки системы.

Несмотря на предпринятые меры, независимая проверка обнаружила продолжающиеся уязвимости. Журналист и исследователь подтвердили, что на момент заявления компании аудиозаписи и фотографии пользователей все еще были доступны по незашифрованным публичным веб-адресам. Кроме того, Аздуфал сохранял доступ по SSH к роботам, что позволяло потенциально манипулировать ими и просматривать транскрипты. Эти продолжающиеся риски указывают на то, что утверждение компании об устранении внешнего доступа было преждевременным.

Energize Lab извинилась за задержку с реакцией на проблемы безопасности и создала специальный контактный адрес электронной почты для вопросов безопасности, чтобы лучше отслеживать возникающие проблемы. Компания подчеркнула важность восстановления доверия пользователей и взяла обязательство на прозрачность в ходе процесса исправления.

Изначально робот Eiliko был создан для того, чтобы приносить радость через интерактивное общение с ИИ, но отсутствие надежной безопасности существенно подорвало эту цель. Предстоящий независимый аудит безопасности и реформы в области обработки данных от Energize Lab станут важными шагами на пути к восстановлению уверенности в безопасности и защите конфиденциальности продукта. Компания планирует регулярно информировать о ходе работы по устранению серьезных проблем.