Виробник ШІ-брелока Eiliko обіцяє аудит безпеки після витоків

Eiliko — милий ШІ-робот-брелок, якого чіпляють на сумку й з яким можна розмовляти. Власникам він казав: «твої секрети в безпеці зі мною». Як з'ясувала The Verge разом із дослідником безпеки Семмі Аздуфалем, це не так: сторонні могли читати повні записи всього, що люди розповідали іграшці. Після понад місяця листів без відповіді виробник, Energize Lab, нарешті відреагував.

Що обіцяє компанія

У непідписаній заяві для The Verge Energize Lab пише, що підтвердила «ключові проблеми» і вже:

• закрила зовнішній доступ до бекенду та змінила облікові дані;
• вимкнула інтерфейс, через який можна було віддалено змінювати відповіді робота;
• відключила функції довготривалої пам'яті та власних аватарів і припинила зберігати записи розмов і створені на їх основі профілі;
• пообіцяла видалити збережені розмови, профілі та зображення аватарів;
• створила окрему адресу для повідомлень про вразливості й зобов'язалася найняти незалежну компанію з безпеки для повного аудиту.

За словами компанії, пам'ять і аватари не повернуться, доки аудит не підтвердить, що вони безпечні.

Чому вибачення — ще не кінець історії

The Verge пише, що на момент заяви виправлення були неповними. За даними видання, аудіозаписи та фото клієнтів досі лежали за публічними вебадресами без жодного захисту, а Аздуфаль каже, що все ще мав SSH-доступ до роботів і теоретично міг читати записи та змінювати їхню поведінку. Це суперечить твердженню, що «весь зовнішній доступ» закрито.

Наша думка: це знайома схема дешевих підключених гаджетів — залізо чарівне, а бекенд зроблено абияк. Якщо пристрій слухає, запам'ятовує й вивантажує дані, перед покупкою поставте три запитання: де зберігаються дані, чи можна їх видалити і чи є в компанії робочий контакт для питань безпеки. Та сама логіка стосується хмарних камер, про які ми пишемо в посібнику з вибору камери безпеки, і ШІ-чатів — як показала нещодавня історія із заблокованими чатами ChatGPT.

Якщо у вас є Eiliko, поки що найпрактичніше — не ділитися з ним нічим чутливим, доки не оприлюднять результати незалежного аудиту.