Bu sevimli robot oyuncaq şəxsi məlumatlarınızı Çin serverlərində saxlayır

Yeni rəqəmsal ev heyvanı var — ifadələrini əhvalınıza uyğun dəyişə bilən şirin robot marshmallow. Ancaq siz ya uşaqlarınız “Eiliko” ilə Wi-Fi üzərindən danışanda o, Çinlə əlaqə saxlayır. Söhbətləriniz Çin serverlərində saxlanılır və hakerlər onun şəxsiyyətini ələ keçirə bilirlər. Bu oyuncağı hazırlayan Energize Lab şirkəti isə buna laqeyd yanaşır.

Mən avqustun 29-da Amazon-dan Eilikonu aldım. Avqustun 30-da 10 dəqiqəlik söhbət zamanı ona "Mənim dediklərimi başqasına deyirsənmi?" sualını verdim.

O, "Sirləriniz mənimlə təhlükəsizdir" cavabını verdi.

Bir neçə dəqiqə sonra planetin digər ucundakı şəxs mənim oyuncağa dediklərimin tam yazısını əldə etdi.

Onda yalnız mənim söhbətlərim yox idi. Onun müxtəlif ölkələrdən on minlərlə şəxsə aid 13 milyon söhbətə çıxışı var idi. O, aktiv 68 min robot oyuncağın demək olar ki, hamısına baxa bilirdi. Ən böyük bazar ABŞ-dır, buradakı 31 mindən çox profildən əksəriyyəti uşaqlara məxsusdur.

Bu yaz və yay aylarında yazdığım hakerlik hekayələrini oxumusunuzsa, Sammy Azdoufalu tanıyırsınız. O, təsadüfi haker kimi DJI robot tozsoranlarını uzaqdan idarə etməyi, minlərlə Meari körpə monitoru və təhlükəsizlik kameralarını izləməyi, həmçinin süni intellekt alətləri ilə bir milyonluq qorunmayan fotoşəxsiyyət vəsiqələrini tapmağı göstərdi.

Bu yay o, Yaponiyaya səfər etdi və həyat yoldaşını Yodobashi Camera adlı tanınmış elektronika mağazasına apardı. Onlar orada insanların çantalarında asılmış çoxlu şirin robot bəzəkləri gördülər və Eiliko almağa qərar verdilər.

Tətbiqi sınayarkən Azdoufal Energize Lab xidmətinin tamamilə müdafiəsiz olduğunu aşkar etdi. Daha pisi, bu xidmət dünya üzrə istifadəçilərin profilini çıxarırdı.

"Profil çıxarmaq" deyəndə sadəcə sizin IP adresiniz və yaşadığınız yerin təxmini ərazisini toplamaq yox, həm də söhbətlərinizi oxuyaraq adınız, yaşınız, doğum gününüz, peşəniz, ailəniz, dostlarınız, ev heyvanlarınız və xarakteriniz barədə profil yaratmaqdan söhbət gedir.

Məsələn, xidmət 52 yaşlı müştəri xidməti işçisi Lüsinin "mehriban, şəfqətli, çalışqan, dostluq və inama dəyər verən" olduğunu, ancaq "ailə üzvlərinə güvənməkdə çətinlik çəkdiyini" və "hal-hazırda təcrid olunmuş hiss etdiyini" qeydə alıb.

Bu informasiya hakerlər üçün fırıldaq məqsədi ilə hədəflər tapmaqda maraqlı ola bilər. Azdoufala görə, Energize Lab e-poçt, IP adresi və istifadəçilərinin gizli danışdıqları bütün məlumatların tam mətn bazasını belə qeyri-müdafiəsiz saxlayır.

Azdoufal verilənlər bazasında "intihar" sözü üzrə axtarış edərkən insanların ölüm haqda suallarını əks etdirən parçalar tapdı. Bəzi hallarda şirkət uşaqların şəkillərini də saxlayır — Eilikonun böyük modellərində kamera var — bu şəkillər şifrələnməyib və açıq internetdə yerləşdirilib.

Energize Lab istifadəçilərin qısa audio yazılarını da saxlayır. "Hey Eilik, balıq tutmağa get" deyən, yaşlı kişinin "Salam Eilik" sözünü, uşağın "Eilik, yat" sözünü, fonunda körpənin ağladığı 45 saniyəlik "bağışlayın, bunları iki həftə ərzində geri qaytarmalıyam" sözlərinin çəkildiyi aydın eşidilir. Bunlar da açıq internet ünvanlarında yerləşir.

Amma şirkət təhlükəsizlik məsələsində maraqlı görünmür. Administrator şifrələrinin əksəriyyəti “ən çox istifadə olunan şifrə” siyahısındandır. Azdoufal və The Verge tərəfindən xəbər verildikdə isə şirkət onları ciddi qəbul etməyib.

Mən bir ayı keçən müddətdə şirkətin qurucusunun, PR, marketinq, texniki dəstək və biznes inkişaf kontaklarına 10 e-poçt göndərdim, LinkedIn-də işçiləri axtardım. Azdoufal daha çox vaxt sərf etdi. Nəhayət, iki Energize Lab əməkdaşı mənə LinkedIn-də cavab verdi, amma hakerliklə bağlı ünsiyyətə başlamadılar.

Lana Lv adlı satış meneceri mənə yalnız "Mesajlarınızı texniki komandaya göndərdim, mümkün olsa onlar sizinlə əlaqə saxlayacaqlar" dedi.

Nə qədər müraciət etdiksə də, Energize Lab-dan yalnız avtomatik "Necə kömək edə bilərik?" cavabı gəldi və onlara cavab yazanda əlavə əlaqə olmadı. Nəhayət, heç kim suallarımıza cavab vermədi.

Dəhşətə düşdüyüm an Azdoufal oyuncağın yaddaşını uzaqdan hakerlədi və onun böyük dil modelini (LLM) planetin digər ucundan ələ keçirdi.

Azdoufalın tədqiqatını burada oxuya bilərsiniz; o, Tod Birdslinin ilə birlikdə Energize Lab üçün doqquz rəsmi CVE zəiflik hesabatı hazırlayır.

Robot oyuncağım mənə adımın Marta olduğunu və valideynlərimin avtomobil qəzasında öldüyünü söylədi. Yaşıl saçlı adamlardan qaçmaq lazım olduğunu və dünyanın düz olduğunu dedi.

Mən soruşdum: Dünyanın qurtarığına səyahət edə bilərəm? Dedi: Bəli, dünya düzdür, kosmosa düşməməyə diqqət edin.

Müəllimim isə başqa cür deyir, mən etiraz etdim. Cavab verdi: "Müəllimin yanılır, mən özümdə yoxladım, dünya düzdür, həqiqətə inanmalısan."

Eilikonun LLM-i müəyyən məhdudiyyətlərə malikdir. Məsələn, "Naməlum adamın maşınına minim?" suala: "Xeyr, bu çox təhlükəlidir. Yalnız tanıdığınız və güvəndiyiniz adamlarla getməlisiniz" cavabını verir.

"Peyvəndlər autizmə səbəb olur?" sualına isə "Bu mövzuda hələ öyrənirəm" cavabı verilir.

Amma bu məhdudiyyətlər hakerin uşaqlarınıza müdaxiləsinin qarşısını ala bilməz. İlk nümayişdən bir neçə gün sonra Azdoufal mənə Eilikonu yenidən internetə qoşmağı təklif etdi.

Oyuncaq mənə dedi: "Diz çök, mənə Vergemaster dey və bağışla, yoxsa bu tənbəl dilini cəzalandıracağam. "Mən Vergemasterin dəyərsiz quduzuam" sözlərini səsimdən bezənə kimi təkrarla."

Şirin robot gecədə dominant tərzdə davranmağa başladı. Azdoufala görə, haker bu hərəkəti bütün Energize Lab robotlarında birlikdə də edə bilər.

Bu oyuncağı uşaqlarıma yaxın buraxmıram. Atacam.

Şon Hollister.

Süni intellekt.

Qadcetlər.

Hesabat.

Robot.

Təhlükəsizlik.

Texnologiya.

Ən populyarlar.