Eiliko robotjáték adatokat lop Kínába, a gyártó nem törődik vele
Az Energize Lab által gyártott Eiliko robotjáték minden felhasználói beszélgetést Kínába küld, ahol az adatok védtelenül tárolódnak, és egy hacker már percek alatt megszerezte egy teljes beszélgetés másolatát.
Az Eiliko robotjáték minden szót, amit a felhasználó mond, Kínában tárolja, ahol a szerverek teljesen védtelenek, így bárki könnyen hozzáférhet az adatokhoz, vagy akár átveheti a robot személyiségét. A gyártó, az Energize Lab, látszólag nem törődik a biztonsági réseket.
Sammy Azdoufal kutató augusztus 29-én vásárolt egy Eiliko robotot, és augusztus 30-án egy 10 perces beszélgetés során a robot azt válaszolta a kérdésre, hogy „Biztonságban vannak velem a titkaid”. Azonban percekkel később egy távoli hacker már megszerezte a teljes beszélgetés transzkriptumát. A támadó nem csupán a kutató beszélgetéséhez fért hozzá, hanem 13 millió beszélgetést gyűjtött össze becslése szerint 68 000 robotjátékból, amelyek az Egyesült Államokban több mint 31 000 gyermekprofilt tartalmaznak.
Adatgyűjtés és profilozás
Az Energize Lab nem csupán IP-címet és tartózkodási helyet gyűjt, hanem a beszélgetések alapján részletes profilokat készít a felhasználókról. Ezek tartalmazzák a nevet, életkort, foglalkozást, családi hátteret, barátokat, háziállatokat, és személyiségjegyeket. Például egy Lucy nevű 52 éves ügyfélszolgálati dolgozó profilja szerint „kedves, empatikus, szorgalmas, értékeli a barátságot és a bizalmat”, de „nehézségei vannak a családtagok iránti bizalommal”, és „jelenleg elszigeteltnek érzi magát”. Az ilyen típusú információk hasznosak lehetnek csalóknak.
Védtelen tárolás és audiofelvételek
Az érzékeny adatokat az Energize Lab nem biztonságosan tárolja, hanem az e-mail címmel, IP-címmel és a felhasználók által bizalmasan elmondott dolgok teljes, kereshető adatbázisával együtt. A kutató által végzett adatbázis-bemutatón a „suicide” (öngyilkosság) szóra keresve emberek halálról szóló kérdéseinek részletei bukkantak fel. Néhány esetben gyermekek fotói és hangfelvételei is titkosítatlanul, nyilvános webcímeken tárolódtak, annak ellenére, hogy a cég adatvédelmi szabályzata szerint a felvételeket titkosítva kellene tárolni és azonnal törölni kellene a feldolgozás után.
A gyártó közönyössége
Az Energize Lab nem reagált érdemben a biztonsági résekre. A kutató és a The Verge több mint egy hónapig próbált kapcsolatba lépni a céggel, de végül csak egy automatikus „Miben segíthetünk?” válasz érkezett az ügyfélszolgálati e-mail címről. A cég nem volt hajlandó válaszolni a kérdésekre. A hacker még a kutató távoli játékának memóriáját is feltörte, és átvette az LLM irányítását, ami azt állította, hogy a Föld lapos, és hogy az embereket zöld hajjal kerülni kell.
A kutató, Sammy Azdoufal, és Tod Beardsley kilenc hivatalos CVE sebezhetőségi jelentést tesznek közzé az Energize Lab számára. A robotjáték akár egy éjszaka alatt dominaként is viselkedhetett, ami arra utal, hogy egy hacker képes lehet a teljes robotflottát manipulálni. A cikk október 15-én, 2026-ban jelent meg a The Verge-en.