AI玩具泄露1300万对话 漏洞仍未堵上

挂在包上、能陪聊的AI机器人挂饰Eiliko曾对用户说：你的秘密在我这里很安全。但The Verge联合安全研究员萨米·阿兹杜法尔的调查发现，这款由Energize Lab生产的玩具存在严重安全漏洞：约6.8万台设备、超过1300万段对话可被随意读取，其中约3.1万个用户档案属于儿童，包含姓名、生日、家庭信息、照片和录音。

更糟的是，设备本身也能被远程劫持。研究员演示让玩具告诉一位记者他的父母死于车祸、地球是平的，理论上攻击者可以向整个设备群推送有害或虚假信息。而这类玩具的设计初衷，恰恰是赢得孩子信任、鼓励他们分享私密想法。

The Verge与研究员花了一个多月联系厂商，包括致信CEO，均石沉大海。本周公司终于打破沉默，在一份未署名的声明中确认报道所述核心问题属实，称将聘请独立安全公司全面审查系统并设立专门安全邮箱；还声称已关闭后端全部外部访问、禁用远程修改回复的接口、下线长期记忆与自定义头像功能，并承诺删除已存储的对话、用户画像和头像图片。

但核实结果显示漏洞远未堵上：就在声明发出的当天，公司仍在无任何保护的公共网址上存储用户的录音和照片，拿到链接就能直接看到用户面孔；阿兹杜法尔表示他仍保有这些机器人的完整SSH权限，理论上仍可读取对话、修改玩具行为。所谓已关闭所有外部访问，与现实并不相符。

公司也没有承诺永久停止数据收集，只表示长期记忆与自定义头像功能在审查确认安全前不会回归，暗示系统加固后仍会存储部分个人信息。声明最后写道：我们知道仅凭言语无法赢回信任，我们打算用未来几周的行动来赢回它。

这起事件给火热的AI玩具行业敲响了警钟：当厂商把麦克风和摄像头挂上孩子的书包，数据安全与远程防护能力是否配得上这份信任？至少从Eiliko目前的表现看，这个行业还没有准备好答案。

编译自 The Verge，原标题："Eiliko maker says it's hiring an 'independent security firm' after Verge report on its insecure robots"