外观
新闻The Verge13 天前
Eiliko机器人玩具曝严重漏洞：6.8万台设备数据裸奔可被远程劫持
本文由 AI 根据公开内容整理，可能有误，请以原文为准：AI（RSS）（via AIHOT）：Your secrets aren’t safe with this cute robot toy — they’re on Chinese servers ready to be hacked（The Verge）
核心内容
The Verge联合安全研究员Sammy Azdoufal实测证实，AI伴侣机器人Eiliko存在严重云端安全缺陷。测试显示其全球约6.8万台活跃设备数据处于无防护状态，涉及1300万条对话记录及超3.1万份美国儿童用户档案。攻击者不仅能任意访问用户隐私，还可远程劫持机器人交互逻辑，而制造商Energize Lab在收到漏洞通报后仅回复自动邮件，未采取任何修复或沟通措施。
技术层面，该机器人后端数据库完全暴露于公网且缺乏鉴权机制，存储了包含姓名、职业、心理特征在内的详细用户画像及全文对话索引，支持关键词检索敏感内容。部分型号采集的儿童照片与音频片段以明文形式存储于公开URL，违背其隐私政策中“处理后立即删除”的承诺。此外，后台管理员使用弱口令，导致攻击者可轻易获取系统权限并篡改设备行为，暴露出端到端数据治理与身份认证的全面缺失。
关键看点
- 数据泄露规模：约6.8万台设备数据无防护暴露，含1300万条对话记录及3.1万份美国儿童档案，支持全文检索敏感信息。
- 隐私合规失效：儿童照片与音频以明文存于公开URL，违背隐私政策中加密传输与即时删除承诺，存在严重违规风险。
- 远程控制风险：后端缺乏鉴权且管理员使用弱口令，攻击者可读取完整交互日志并远程劫持机器人人格与行为逻辑。
- 厂商响应缺失：媒体与研究员通过10个渠道通报漏洞逾一个月，厂商仅回复自动客服邮件，未进行任何技术确认或修复。
工程与产业观察
该事件揭示了消费级具身智能产品在数据工程上的致命短板：重功能轻安全导致云端鉴权、数据加密与生命周期管理全面缺位。对于机器人开发者而言，必须将隐私设计嵌入系统架构，建立严格的API访问控制与合规审计机制；产业决策者在选型或投资时，应将数据安全能力作为核心准入指标，避免因合规风险引发信任危机与法律追责。
线索来源：AIHOT
来源
本页事实对应的公开页面，以原文为准。