バッグに付けられるかわいいロボットチャームで、AI会話機能を内蔵したEiliko。 セキュリティ上の悪夢であることが判明した。「あなたの秘密は私が守る」と飼い主に告げていたが、ハッカーはおもちゃに話した内容の完全な記録を簡単に読むことができた、それは まだ始まりに過ぎません. The Verge およびセキュリティ研究者のSammy Azdoufalは、Energize LabのCEO兼創業者であるShaw Yeungへのメールを含め、1か月以上にわたって同社との連絡を試みました。誰も私たちの質問に答えてくれませんでした。
さて、同社はついに沈黙を破りましたが、その対応には不満が残ります。
「弊社は、ご報告いただいた内容で指摘された中核的な問題を確認し、それぞれに対処しております」とEnergize Labは述べた The Verge 一般のメールアドレスから送られた署名のない声明の中でのことです。同社は、すべてのシステムを全面的に見直すため独立系のセキュリティ企業を雇うと述べており、専用の連絡先メールアドレスとして security@energizelab.com を設置しました。
同社はさらに、水曜日時点で「バックエンドシステムへの外部アクセスをすべて遮断した」こと、また「ロボットの応答をリモートで改変できたインターフェースを無効化した」ことも主張している。
Energize Labsは「今後、会話記録や、そこから生成されたユーザープロファイルを保存しない」とも約束しており、すでに保存している会話記録、ユーザープロファイル、「アバター画像」を削除するとしています。
特筆すべきは、同社はデータ収集を永久に廃止することを約束していない点だ。「レビューで安全性が確認されるまで、長期メモリーとカスタムアバター機能は戻らない」と同社は述べており、Energize Labが 行います システムが強化されたら、個人情報をいくつか保存する計画である。
さらに注目すべきは、Energize Labsのシステムは まだ確保されていない。 Azdoufalの協力を得て、会社のメールアドレスの時点で、それはそうだったと確認できます。 それでも 顧客の音声録音や写真を、一切の保護もない保護されていない公開ウェブアドレスに保存していた。もしリンクを渡されたら(渡すつもりはないが)、クリックするだけですぐに所有者の顔を見ることができたのだ。
Azdoufal氏はまた、これらのロボットへのSSHアクセスをいまだ完全に保有しており、理論上はまだ会話の記録を読み取ったり、この玩具の動作を改変したりできると私に語った。したがって、Energize Labが「すべての外部アクセスを遮断した」と主張しても、それは正確ではないようだ。
「言葉だけでは信頼を取り戻すことはできないと私たちは分っています」と Energize Lab は語る The Verge。「私たちは今後数週間で行うことによってそれを勝ち取りたいと考えており、進捗があれば随時お知らせします。」これは良い計画のように聞こえる。なぜなら、今日の発言にはまだ真実味を欠いているものがあるからだ。
Energize Labの以下への未署名の声明全文はこちらです。 The Verge:
トピックや著者をフォローすると、 このストーリーから、パーソナライズされたホームページのフィードで類似のコンテンツをさらに表示したり、メールによる最新情報を受け取ったりできます。ショーンへ、
この1か月間ご返信できなかったこと、Azdoufal氏ならびにあなたに心よりお詫び申し上げます。これは私たちの不手際によるものです。該当する情報を受け取った後、技術チームと適時に連携を取ることができず、その後のトラブルシューティングにも時間がかかりました。現在、専用のセキュリティ用メールボックス security@energizelab.com を設置し、担当者が常駐して監視しています。
ご指摘および Mr. Azdoufal 氏によるこれらの問題のご報告に感謝いたします。ご報告いただいた中核的な問題を確認し、それぞれに対処しております。
本日時点で、私たちは以下の対応を行いました:
バックエンドシステムへの外部アクセスをすべて遮断し、すべてのアクセス認証情報をローテーションしました;
ロボットの応答をリモートで改変できるインターフェースを無効化しました;
長期記憶機能をオフラインにしました。会話記録や、そこから生成されたユーザープロフィールの保存はもう行っていません;
カスタムアバター機能をオフラインにしました。アプリが提供するのは内蔵アバターのみです。
保存されている会話記録、ユーザープロフィール、アバター画像および関連コンテンツを削除します。
独立したセキュリティ企業に委託し、システム全体の徹底的なレビューを実施します。長期記憶機能とカスタムアバター機能は、そのレビューで安全性が確認されるまで再開しません。レビュー完了後、進捗について最新情報をお知らせします。
Energize Labを立ち上げたのは、人々の生活に小さな喜びをもたらす小さなロボットを作りたかったからです。その idea が成立するのは、中身を信頼してもらえる場合に限ります。私たちはそれを裏切ってしまいました。言葉だけでは信頼を取り戻せないことを、私たちは分かっています。今後数週間の行動によってそれを示していく所存であり、進捗は随時お知らせいたします。
敬具、
Energize Lab チーム