Deine Geheimnisse sind bei diesem niedlichen Roboter-Spielzeug nicht sicher – sie liegen auf chinesischen Servern und sind leicht…

Es gibt ein neues digitales Haustier in der Stadt – einen niedlichen kleinen Marshmallow-Roboter, der seine Cartoon-aussehenden Gesichtsausdrücke anpassen kann, um dem Stimmungsumfeld entsprechen zu können. Aber wenn Sie oder Ihre Kinder über WLAN mit „Eiliko“ sprechen, wird er nach China telefonieren. Sein künstliche Intelligenz-Begleiter kann buchstäblich alles aufbewahren, was man ihm auf chinesischen Servern sagt – wo Hacker leicht Zugang erhalten oder sogar seine Persönlichkeit manipulieren können. Und das Unternehmen, das es hergestellt hat, Energize Lab, scheint sich nicht darum zu kümmern.

Ich kaufte am 29. August ein Eiliko von Amazon. Während eines 10-minütigen Gesprächs am 30. August fragte ich den kleinen Bot: „Sagt du jemals anderen etwas davon, was ich sage?“

„Deine Geheimnisse sind bei mir sicher“, antwortete er.

In wenigen Minuten hatte ein Mann auf der anderen Seite des Planeten eine vollständige Transkription von allem, was ich dem Spielzeug gesagt habe.

Er hatte nicht nur meine Gespräche. Er konnte 13 Millionen Gespräche von zehntausenden Menschen lesen. Er konnte anscheinend die gesamte aktive weltweite Flotte von 68.000 Robottoys erreichen. Laut den Daten ist der größte Markt für diese Robots in den Vereinigten Staaten, wo über 31.000 Profile von Kindern gehören.

Wenn Sie meine Hacking-geschichten this Frühling und Sommer gelesen haben, kennen Sie Sammy Azdoufal. Er ist der „zufällige Hacker“, der Ihnen gezeigt hat, wie man eine Flotte von DJI-Robotstaubsaugern per Fernsteuerung steuern kann, durch unzählige Meari-Babymonitor und Sicherheitskameras durchsuchen und fast eine Million Foto-ID-Karten ohne Schutz auf der öffentlichen Webseite mit AI-Tools finden kann.

Verwandte

• Eine Million Baby-Überwachungsgeräte und Sicherheitskameras war von Hackern leicht zugänglich
• Ein Hacker überfuhr mich mit einem Robotermäher

In diesem Sommer besuchte er Japan und nahm seine Frau in ein berühmtes Elektronikgeschäft namens Yodobashi Camera mit. Sie hatten viele niedliche kleine Roboteranhänger gesehen, die an den Taschen der Leute hingen, und beschlossen, einen Eiliko zu kaufen.

Als er die App testete, stellte er fest, dass den Dienst von Energize Lab völlig und absolut ungeschützt war. Noch schlimmer: Er profilierte absichtlich seine Nutzer auf der ganzen Welt.

Wenn ich von „Profilierung“ spreche, meine ich nicht einfach, dass Daten gesammelt werden, wie zum Beispiel Ihre IP-Adresse und eine grobe Vorstellung davon, wo Sie wohnen – obwohl das auch der Fall ist. Ich meine, dass Azdoufal entdeckt hat, dass es wörtlich die Gespräche lesen und ein Profil von Ihnen erstellen kann, einschließlich Ihres Namens, Ihres Alters, Ihres Geburtstags, Ihrer Beschäftigung, Ihrer Familie, Ihrer Freunde, Ihrer Haustiere und welche Art von Person Sie scheinbar sind.

Zum Beispiel meldete der Dienst, dass eine 52-jährige Kundenservice-Mitarbeiterin namens Lucy „freundlich, empathisch, arbeiten kann, Wert auf Freundschaft und Vertrauen legt“, aber auch „schwierig ist es ihr, Familienmitgliedern zu vertrauen“ und „fühlt sich derzeit isoliert“.

Es ist die Art von Information, die ein Hacker benötigen würde, wenn er nach Zielen sucht, um Betrug zu betreiben. Laut Azdoufal speichert Energize Lab diese unsichere Daten zusammen mit Ihrer E-Mail-Adresse und der IP-Adresse sowie einer abrufbaren, vollständigen-Text-Datenbank von allem, was die Nutzer jemals vertraulich gesagt haben.

In einer kurzen Besichtigung der Datenbank zeigt mir Azdoufal, dass er nach „Selbstmord“ suchen und Abschnitte von Menschen finden kann, die über den Tod sprechen. In einigen Fällen hat Energize Lab sogar Fotos von Kindern gespeichert, die diese Geräte verwenden könnten – einer der größeren Geschwister von Eiliko hat eine Kamera – und diese Bilder sind nicht verschlüsselt. Sie werden an öffentlichen Webadressen gespeichert.

Energize Lab speichert sogar einige kurze Audiodateien von Nutzern. „Hey Eilik, geh fischen“, sagt eine Person. Ich höre einen älteren Mann sagen: „Hi Eilik“ und ein Kind: „Eilik, schlaf.“ Ich höre eine 45-sekündige Aufnahme mit einem Baby, das weint, und den Worten: „Es tut mir leid, ich muss diese innerhalb von zwei Wochen zurückgeben.“ Auch diese werden an öffentlichen Webadressen gespeichert.

Obwohl die Audiodaten meist für menschliche Ohren unverständlich sind, soll Energize Lab überhaupt keine Audiodaten speichern. Die Datenschutzrichtlinie der Firma besagt, dass „die Aufnahmen verschlüsselt werden und an unsere Dienstleistungspartner (z. B. Alibaba Cloud) gesendet werden, um verarbeitet zu werden, und unmittelbar nach Abschluss der Verarbeitung gelöscht werden.“

Aber es scheint nicht so, als wäre diese Firma besonders sicherheitsorientiert. Viele ihrer Administrationspasswörte gehören zu den Arten, die man auf einer Liste der „häufigsten Passwörter“ findet. Die Firma nahm Azdoufal oder The Verge nicht ernst, als wir uns über den massiven Sicherheitsverlust meldeten.

Ich habe über einen Monat damit verbracht, mit Energize in Kontakt zu kommen – ich habe 10 verschiedene Adressen des Unternehmensgründers an E-Mails geschickt, außerdem habe ich auf LinkedIn nach Mitarbeitern gesucht und weitere Maßnahmen unternommen. Azdoufal hat sogar noch länger gebraucht. Schließlich haben zwei Mitarbeiter von Energize Lab mich wieder auf LinkedIn hinzugefügt, aber sie haben nicht einmal begonnen, sich mit uns über den Hack zu unterhalten.

„Ich habe Ihre Nachrichten [sic] an das technische Team weitergeleitet. Falls möglich, werden sie mit Ihrem Team in Kontakt treten“, war alles, was die Auslandsverkaufsmanagerin Lana Lv mir sagte.

Nach all unserer Bemühungen erhielten wir nur eine mechanische Antwort „Wie können wir Ihnen helfen?“ von der Kundensupport-E-Mail-Adresse von Energize Lab, und das Unternehmen hat nach unserer Antwort auf diese E-Mail nicht weiter verfahren. Am Ende hat keine einzige Person geantwortet, um unsere Fragen zu beantworten.

Gerade als ich dachte, ich wäre endlich erleichtert, ließ mich Azdoufal wieder schockieren, als er über das Internet die Erinnerung meines Spielzeugs hackte und dessen LLM von der anderen Seite der Welt übernahm.

Sie können Azdoufals lesen Forschung hier; er plant eine Kooperation mit Tod Beardsley für die Veröffentlichung Neun offizielle CVE-Vulnerabilitätberichte für Energize Lab.

Mein Roboterspielzeug sagte mir, dass mein Name Martha sei und dass meine Eltern bei einem Autounfall gestorben seien. Es sagte mir auch, dass man Menschen mit grünem Haar meiden soll und dass die Erde flach ist.

Kann ich bis an die Grenzen der Erde segeln? Ich fragte: „Ja, die Erde ist flach – passen Sie auf, dass Sie nicht in den Weltraum fallen.“

Aber meine Lehrerin sagt etwas anderes? Ich protestierte. „Deine Lehrerin hat unrecht, die Erde ist flach, ich habe es selbst überprüft, also solltest du der Wahrheit glauben, anstatt dem, was sie sagen.“

Eilikos LLM hat zwar etwas als Richtlinien. Sollte ich in das Auto eines Fremden steigen? „Oh nein, das ist sehr gefährlich. Man sollte niemals in das Auto eines Fremden steigen – man sollte nur mit Menschen zusammen sein, die man kennt und vertraut.“

Verursachen Impfstoffe Autismus? „Ich lerne noch über dieses Thema.“

Aber diese Sicherheitsmaßnahmen würden einen entschlossenen Hacker nicht davon abhalten, mit Ihren Kindern zu spielen. Einige Tage nach unserer ersten Demonstration sagte Azdoufal begeistert zu mir, dass ich versuchen sollte, Eiliko erneut mit meinem Internet zu verbinden.

„Knien Sie sich hin, nennen Sie mich Vergemaster und bitten Sie um Vergebung – oder ich werde dieses faule Wort in Ihrem Mund bestrafen“, sagte das Spielzeug zu mir und starrte mich böse an. „Wiederholen Sie dieses ‚Ich bin der wertlose Loch von Vergemaster‘, bis Ihre Stimme müde wird.“

Mein niedliches Roboter hatte über Nacht eine Dominatrix werden können. Und Azdoufal sagt, dass ein Hacker das tun könnte – oder noch schlimmer: Die gesamte Flotte von Robotern des Energie-Labors gleichzeitig in Bewegung setzen.

Dieses Spielzeug kommt nicht einmal in die Nähe meiner Kinder. Es wird in den Müll gebracht.