Eiliko, un joli robot-charme que l’on peut accrocher à son sac avec conversations IA intégrées, s’est révélé être un cauchemar en matière de sécurité. Il disait à ses propriétaires que « vos secrets sont en sécurité avec moi, » mais des pirates pouvaient facilement lire les transcriptions complètes de tout ce que nous avions dit au jouet, et ce n’était que le début. The Verge et le chercheur en sécurité Sammy Azdoufal ont passé plus d’un mois à essayer de contacter l’entreprise, notamment par des courriels au PDG et fondateur d’Energize Lab, Shaw Yeung. Personne ne répondait à nos questions.
Désormais, l’entreprise brise enfin son silence, même si sa réponse laisse à désirer.
« Nous avons confirmé les problèmes fondamentaux identifiés dans votre reportage et nous les traitons un par un, » a déclaré Energize Lab à The Verge dans une déclaration non signée provenant d’une adresse électronique générique. L’entreprise dit qu’elle engagera une société de sécurité indépendante pour examiner l’ensemble de ses systèmes, et a mis en place une adresse de contact dédiée : security@energizelab.com.
L’entreprise affirme également que depuis mercredi, elle a « fermé tout accès externe à nos systèmes backend » et « désactivé l’interface qui permettait de modifier à distance les réponses d’un robot ».
Energize Labs promet aussi de « ne plus stocker les enregistrements de conversations ni les profils utilisateurs qui en sont générés », et déclare qu’elle supprimera les enregistrements de conversations, les profils utilisateurs et les « images d’avatar » qu’elle a déjà stockés.
Fait notable, l’entreprise ne promet pas d’abandonner définitivement la collecte de données. « La mémoire à long terme et les fonctionnalités d’avatar personnalisé ne reviendront pas tant que cet examen n’aura pas confirmé qu’elles sont sécurisées, » écrit-elle, suggérant qu’Energize Lab prévoit de stocker certaines informations personnelles une fois ses systèmes renforcés.
Encore plus notable, les systèmes d’Energize Labs ne sont pas encore sécurisés. Avec l’aide d’Azdoufal, je peux confirmer qu’à la date du courriel de l’entreprise, elle stockait encore des enregistrements audio et des photos de ses clients à des adresses web publiques non sécurisées, sans aucune protection. Si je vous donnais un lien (ce que je ne ferai pas), vous pourriez cliquer et voir immédiatement le visage d’un propriétaire.
Azdoufal me dit également qu’il a toujours un accès SSH complet à ces robots, et qu’il peut toujours, en théorie, lire les transcriptions et modifier le comportement du jouet. Ainsi, quand Energize Lab dit avoir « fermé tout accès externe », cela ne semble pas exact.
« Nous savons que les mots seuls ne suffiront pas à regagner cette confiance, » déclare Energize Lab à The Verge. « Nous comptons la gagner par ce que nous ferons dans les semaines à venir, et nous vous tiendrons informés au fur et à mesure. » Cela ressemble à un bon plan, car certains mots d’aujourd’hui ne sonnent toujours pas vrai.
Voici la déclaration intégrale non signée d’Energize Lab à The Verge:
Suivez des sujets et des auteurs de cette histoire pour en voir davantage de ce type dans votre fil d'actualité personnalisé sur la page d'accueil et pour recevoir des mises à jour par e-mail.Cher Sean,
Nous vous présentons nos sincères excuses, à vous comme à M. Azdoufal, de ne pas avoir répondu au cours du mois écoulé. C’était notre échec : après avoir reçu les informations pertinentes, nous n’avons pas réussi à en informer l’équipe technique en temps voulu, et le dépannage qui a suivi a également pris du temps. Nous avons maintenant mis en place une boîte de réception de sécurité dédiée, security@energizelab.com, qui est gérée et surveillée.
Nous vous remercions, vous et M. Azdoufal, d’avoir porté ces problèmes à notre attention. Nous avons confirmé les problèmes fondamentaux identifiés dans votre reportage et nous les traitons un par un.
À ce jour, nous avons :
Fermé tous les accès externes à nos systèmes backend et renouvelé toutes les informations d'identification d'accès ;
Désactivé l'interface qui permettait de modifier à distance les réponses d'un robot ;
Mis hors ligne la fonction de mémoire à long terme. Nous ne stockons plus les enregistrements de conversations ni les profils utilisateurs générés à partir de ceux-ci ;
Mis hors ligne la fonction d'avatar personnalisé. L'application n'offre désormais que des avatars intégrés.
Nous supprimerons les enregistrements de conversations stockés, les profils utilisateurs, les images d'avatar et le contenu associé.
Nous faisons appel à une société de sécurité indépendante pour procéder à un examen complet de nos systèmes. Les fonctions de mémoire à long terme et d'avatar personnalisé ne reviendront pas tant que cet examen n'aura pas confirmé leur sécurité. Nous partagerons un point sur notre progression une fois l'examen terminé.
Nous avons créé Energize Lab parce que nous voulions construire de petits robots qui apportent un peu de joie dans la vie des gens. Cette idée ne fonctionne que si les gens peuvent avoir confiance en ce qu'ils contiennent, et nous les avons déçus. Nous savons que des mots seuls ne suffiront pas à regagner cette confiance. Nous comptons la mériter par ce que nous ferons dans les semaines à venir, et nous vous tiendrons informés tout au long du processus.
Cordialement,
L'équipe Energize Lab