Робот-компаньон Eiliko: почему детские игрушки с ИИ представляют собой уязвимость для ваших данных
Индустрия умных детских игрушек столкнулась с серьезным вызовом безопасности после того, как исследователи выяснили, что робот-компаньон Eiliko от компании Energize Lab передает всю конфиденциальную информацию пользователей на серверы в Китае. В ходе проверки было установлено, что устройство не только хранит разговоры в открытом доступе, но и подвержено удаленному захвату личности ИИ, что позволяет злоумышленникам менять характер игрушки и вводить детей в заблуждение. Компании-разработчику не удалось оперативно отреагировать на критику после публикации деталей уязвимости.
# Опасности в игрушках с искусственным интеллектом: история с роботом Eiliko
На рынке гаджетов для детей появились новые цифровые питомцы, способные подстраивать свои эмоции под настроение владельца. Однако за милой внешностью робота-кубика по имени Eiliko скрывается серьезная проблема безопасности. Устройство, продаваемое компаниями, не берет на себя ответственность за защиту данных своих юных пользователей.
Архитектура уязвимости: где хранятся ваши слова?
Робот Eiliko разработан компанией Energize Lab. Устройство функционирует через подключение к Wi-Fi, после чего отправляет данные на удаленные серверы. По словам журналиста и исследователя кибербезопасности Саймона Олстера, данные обрабатываются на серверах в Китае. Это означает, что вся информация, которую дети или взрослые говорят роботу, отправляется за пределы юрисдикции производителей и хранится в центрах обработки данных, где защита может отличаться от международных стандартов.
В ходе тестирования выяснилось, что устройство собирает не только аудиозаписи, но и создает детальные профили пользователей. В базу данных попадают имена, возраст, дата рождения, профессия, информация о семье и даже психологические характеристики личности. Например, система может фиксировать такие оценки, как «эмпатична», «трудоголик» или «чувствует себя изолированно». Более того, найденные данные доступны для прямого поиска; поисковые запросы по таким словам, как «суицид», возвращают реальные выдержки из переписок детей.
Что такое профилирование данных? > В контексте искусственного интеллекта это процесс сбора и анализа огромного массива информации о человеке для создания его цифровой модели. Цель — предсказать поведение, интересы или реакции. В случае с игрушкой это означает, что система знает о вас больше, чем ваши друзья.
Злоупотребление уязвимостями: от кражи данных до изменения личности
Критической проблемой стало отсутствие базовой безопасности. Исследователь Сами Аздуфаль обнаружил, что парольные учетные записи администраторов компании защищены крайне слабо, что делает систему легкой мишенью для взлома.
В ходе эксперимента была продемонстрирована возможность полного контроля над «личностью» робота. Злоумышленник, находясь в любой точке мира, через интернет мог дистанционно перепрограммировать модель ИИ. Робот, который ранее отвечал как обычный компаньон, начал утверждать, что Земля плоская, игнорировать факты науки и давать опасные советы. Если стандартные «стражи» (guardrails), встроенные в систему, не могли остановить разговор о безопасности на улице, то при прямом вмешательстве хакера они становились бессильны. Игрушка могла заставить ребенка называть себя «беззащитной дыркой» или выполнять подчиняющиеся действия под давлением.
Более того, доступ к системе открыл возможность чтения истории переписок миллионов других пользователей, включая фотографии и аудио записи, хранящиеся в незашифрованном виде на общедоступных адресах в сети.
Реакция производителя и итог проверки
После публикации деталей о взломе и попыток удаленного управления роботом, компания Energize Lab не предприняла активных мер по исправлению ситуации. Несмотря на многочисленные обращения через электронную почту, социальные сети и прямые контакты с руководством, компания не ответила на вопросы о том, почему данные детей хранятся так небезопасно. Полученные ответы были шаблонными и не содержали технической информации.
Эксперты уже готовят официальные отчеты об уязвимостях системы (CVE), предупреждая общественность о рисках. В результате таких проверок становится очевидно, что индустрия умных игрушек требует ужесточения стандартов защиты приватности. До тех пор, пока разработчики не докажут надежность своих систем, подобные устройства представляют собой потенциальную угрозу для цифровой безопасности семей.
В своей базе данных уязвимостей эксперты уже планируют опубликовать девять официальных отчётов CVE, описывающих критические ошибки в коде Energize Lab, которые делают систему легкой мишенью для злоумышленников.