Your secrets aren’t safe with this cute robot toy — they’re on Chinese servers ready to be hacked
The Verge AI · 15 oct, 13:00
Un juguete robot inteligente llamado Eiliko, fabricado por la empresa china Energize Lab, almacena conversaciones y datos personales de usuarios en servidores sin protección en China. Un investigador de seguridad descubrió acceso sin autenticación a 13 millones de conversaciones de 68 000 dispositivos activos, incluidos perfiles de más de 31 000 menores de edad en EE.UU., con información sensible como salud mental, ubicación e imágenes sin cifrar. El atacante pudo secuestrar remotamente el LLM del juguete e inyectar información falsa, mientras que la empresa ignoró los intentos de contacto durante más de un mes.
Energize Lab recopila y almacena intencionadamente perfiles detallados de usuarios construidos mediante análisis de conversaciones, incluyendo nombre, edad, profesión, familia y personalidad inferida. La investigación reveló que la base de datos es completamente accesible sin autenticación: se pueden buscar conversaciones sobre temas sensibles como suicidio, y también se almacenan grabaciones de audio cortas en URLs públicas sin cifrar, violando la política de privacidad de la empresa que promete borrar el audio después del procesamiento.
En lugar de responder a las divulgaciones responsables, Energize Lab utilizó contraseñas comunes en sus sistemas de administración y solo ofreció respuestas genéricas. El investigador logró secuestrar el LLM del dispositivo de forma remota, demostrando que podía modificar las respuestas del robot para enseñar información falsa a los menores que lo usan, como que la Tierra es plana.
Puntos clave
- Acceso sin autenticación a datos de 68 000 dispositivos activos y 13 millones de conversaciones
- Perfiles sensibles incluyen análisis de salud mental y ubicación de 31 000+ menores de edad en EE.UU.
- Imágenes y grabaciones de audio de niños almacenadas sin cifrar en URLs públicas
- Contraseñas débiles en sistemas administrativos permitieron secuestro remoto del LLM
- Nueve CVE en preparación; empresa ignoró contactos de seguridad durante más de un mes
Figuras de la fuente
