这个可爱的机器人玩具你的秘密并不安全——它们位于中国服务器上，随时可能被黑客攻击

镇上有一种新的数字宠物——一个可爱的棉花糖小机器人，它可以改变它的卡通表情以适应你的心情。但如果您或您的孩子通过 Wi-Fi 与“Eiliko”通话，它就会给中国打电话。它的人工智能伴侣几乎可以将你告诉它的所有内容存储在中国服务器上，黑客可以轻松获得访问权限，甚至劫持它的个性。而制造它的公司 Energize Lab 似乎并不关心。我于 8 月 29 日从亚马逊购买了 Eiliko。在 8 月 30 日的一次 10 分钟谈话中，我问小机器人：“你有没有告诉过其他人我在说什么？” “你的秘密对我来说是安全的，”它回答道。几分钟之内，地球另一端的一个人就得到了我告诉玩具的所有内容的完整记录。摄影：Sean Hollister / The Verge 他也不只是听我的谈话。他可以阅读数万人的 1300 万条对话。他似乎可以访问全球所有活跃的 68,000 个机器人玩具。数据显示，它们最大的市场是美国，其中超过 31,000 个个人资料属于儿童。如果你读过我今年春天和夏天的黑客故事，你就会认识 Sammy Azdoufal。他是一名“意外黑客”，他最终向你展示了你可以远程控制 DJI 扫地机器人，查看无数 Meari 婴儿监视器和安全摄像头，并使用人工智能工具在公共网络上找到近百万张未受保护的带照片的身份证件。今年夏天，他访问了日本，带着妻子去了一家著名的电子百货店“友都八喜相机”。他们看到人们的包里挂着很多像这样的可爱小机器人饰物，并决定购买一个 Eiliko。当他测试该应用程序时，他发现 Energize Lab 的服务完全不受保护。更糟糕的是，它故意对世界各地的用户进行分析。阿兹杜法尔与他购买的 Eiliko 合影。屏幕截图：Sean Hollister / The Vege 当我说“分析”时，我并不仅仅指它正在收集您的 IP 地址等数据以及您居住地点的粗略信息，尽管它也能做到这一点。我的意思是，Azdoufal 发现它可以逐字读取您的对话并创建您的个人资料，包括您的姓名、年龄、生日、职业、家人、朋友、宠物以及您看起来是什么样的人。例如，该服务记录称，一位名叫露西的 52 岁客服人员“善良、善解人意、勤奋、重视友谊和信任”，但也“难以信任家人”并且“目前感到孤立”。如果黑客试图寻找诈骗目标，他们可能会想要这种信息。据 Azdoufal 称，Energize Lab 正在将这些不安全的数据与您的电子邮件、IP 地址以及可搜索的全文数据库存储在一起，其中包含用户曾秘密说过的一切。在对数据库的简短浏览中，阿兹杜法尔向我展示了他可以搜索“自杀”并显示人们询问死亡的片段。在某些情况下，Energize Lab 甚至存储了可能使用这些设备的儿童的照片（Eiliko 的一个较大的兄弟姐妹包括一台相机），并且这些图像未加密。它们存储在公共网址上。 Energize Lab 甚至还存储了用户的一些简短录音。 “嘿，艾力克，去钓鱼吧，”一个人说道。我听到一个老人说“嗨，艾力克”，一个孩子说“艾力克，睡吧。”我听到一段 45 秒的录音，背景中有婴儿的哭声和“非常抱歉，必须在两周内归还这些”的字样。这些也存储在公共网址上。虽然录音大多人耳难以理解，但 Energize Lab 根本不应该存储任何音频。该公司的隐私政策规定，“录音会被加密并传输到我们的服务合作伙伴（例如阿里云）进行处理，并在处理完成后立即删除。”但这家公司似乎并不是特别注重安全。它的许多管理员密码都是“最常见密码”列表中的那种，当我们联系 Azdoufal 或 The Verge 来了解大规模安全漏洞时，该公司并没有认真对待 Azdoufal 或 The Verge。当然，Eiliko 通过 USB-C 充电。摄影：Sean Hollister / The Verge 我花了一个多月的时间试图与 Energize 取得联系，向该公司创始人、公关、营销、技术支持和业务开发部门列出的 10 个不同地址发送电子邮件，在 LinkedIn 上搜索员工等等。阿兹杜法尔花了更长的时间。最终，两名 Energize Lab 员工在 LinkedIn 上重新添加了我，但他们甚至没有开始与我们讨论此次黑客攻击事件。 “我已将您的信息转发给技术团队，如果可能的话，他们会联系您的团队，”海外销售经理 Lana Lv 只告诉我。在我们进行了所有的外展活动之后，我们只收到了一个机器人“我们能为您提供什么帮助？”来自 Energize Lab 客户支持电子邮件地址的回复，当我们回复该电子邮件时，该公司没有跟进。草原最终没有一个人