Eiliko, un adorable colgante robótico que puedes colgar de tu bolso con conversaciones de IA integradas, resultó ser una pesadilla de seguridad. Les decía a sus dueños que "tus secretos están a salvo conmigo", pero los hackers podían leer fácilmente transcripciones completas de todo lo que le contábamos al juguete, y eso era solo el principio. The Verge y el investigador de seguridad Sammy Azdoufal pasaron más de un mes intentando contactar con la empresa, incluidos correos electrónicos al CEO y fundador de Energize Lab, Shaw Yeung. Nadie respondía a nuestras preguntas.
Ahora, la empresa por fin rompe su silencio, aunque su respuesta deja algo que desear.
“Hemos confirmado los problemas fundamentales identificados en su informe y estamos abordando cada uno de ellos”, dijo Energize Lab a The Verge en una declaración sin firma desde una dirección de correo electrónico genérica. La empresa dice que contratará a una empresa de seguridad independiente para revisar completamente todos sus sistemas, y ha creado una dirección de contacto dedicada: security@energizelab.com.
La empresa también afirma que, a partir del miércoles, ha “cerrado todo acceso externo a nuestros sistemas backend” y “desactivado la interfaz que permitía modificar remotamente las respuestas de un robot”.
Energize Labs también se compromete a “ya no almacenar registros de conversaciones ni los perfiles de usuario generados a partir de ellos”, y dice que eliminará los registros de conversaciones, los perfiles de usuario y las “imágenes de avatar” que ya ha almacenado.
Cabe destacar que la empresa no promete eliminar la recopilación de datos para siempre. “La memoria a largo plazo y las funciones de avatar personalizado no volverán hasta que esa revisión confirme que son seguras”, escribe, lo que sugiere que Energize Lab sí planea almacenar cierta información personal una vez que sus sistemas estén reforzados.
Aún más notable, los sistemas de Energize Labs todavía no son seguros. Con la ayuda de Azdoufal, puedo confirmar que, a la fecha del correo electrónico de la empresa, todavía seguía almacenando grabaciones de audio y fotos de sus clientes en direcciones web públicas sin protección alguna. Si te diera un enlace (lo cual no haré), podrías hacer clic y ver inmediatamente el rostro de un propietario.
Azdoufal también me dice que todavía tiene acceso SSH completo a estos robots, y que teóricamente aún puede leer transcripciones y modificar el comportamiento del juguete. Así que cuando Energize Lab dice que ha “cerrado todo acceso externo”, eso no parece ser exacto.
“Sabemos que las palabras solas no recuperarán esa confianza”, dice Energize Lab a The Verge. “Tenemos la intención de ganárnosla con lo que hagamos en las próximas semanas, y los mantendremos informados en el proceso”. Eso suena a un buen plan, porque algunas de las palabras de hoy todavía no suenan veraces.
Aquí está la declaración completa sin firma de Energize Lab a The Verge:
Sigue temas y autores de esta historia para ver más contenido similar en tu página de inicio personalizada y recibir actualizaciones por correo electrónico.Estimado Sean,
Le pedimos sinceras disculpas a usted y al Sr. Azdoufal por no haber respondido durante el último mes. Este fue nuestro fallo: tras recibir la información pertinente, no logramos sincronizarnos con el equipo técnico a tiempo, y la posterior resolución de problemas también tomó tiempo. Ahora hemos creado una bandeja de entrada de seguridad dedicada, security@energizelab.com, que cuenta con personal y es monitoreada.
Le agradecemos a usted y al Sr. Azdoufal por llamar nuestra atención sobre estos problemas. Hemos confirmado los problemas fundamentales identificados en su informe y estamos abordando cada uno de ellos.
A partir de hoy, hemos:
Cerrado todo acceso externo a nuestros sistemas backend y rotado todas las credenciales de acceso;
Desactivado la interfaz que permitía modificar de forma remota las respuestas de un robot;
Retirado la función de memoria a largo plazo. Ya no almacenamos registros de conversaciones ni los perfiles de usuario generados a partir de ellos;
Retirado la función de avatar personalizado. La aplicación ahora ofrece únicamente avatares integrados.
Eliminaremos los registros de conversaciones almacenados, los perfiles de usuario, las imágenes de avatar y el contenido relacionado.
Estamos contratando a una firma de seguridad independiente para que realice una revisión completa de nuestros sistemas. Las funciones de memoria a largo plazo y de avatar personalizado no volverán hasta que esa revisión confirme que son seguras. Compartiremos una actualización sobre nuestro progreso una vez completada la revisión.
Creamos Energize Lab porque queríamos construir pequeños robots que aportaran un poco de alegría a la vida de las personas. Esa idea solo funciona si las personas pueden confiar en lo que hay dentro de ellos, y los defraudamos. Sabemos que las palabras solas no recuperarán esa confianza. Nuestra intención es ganárnosla con lo que hagamos en las próximas semanas, y los mantendremos informados a medida que avancemos.
Atentamente,
Equipo de Energize Lab