가방에 걸 수 있는 귀여운 로봇 참으로, AI 대화 기능이 내장된 Eiliko, 결국 보안상의 악몽으로 드러났다. 이 장난감은 소유자에게 "당신의 비밀은 내가 지켜줄게"라고 말했지만, 해커들은 우리가 장난감에게 말한 모든 내용의 전체 대화 기록을 쉽게 읽을 수 있었고, 그것은 시작에 불과합니다. The Verge 그리고 보안 연구원 Sammy Azdoufal은 Energize Lab CEO이자 창립자인 Shaw Yeung에게 이메일을 보내는 등 한 달 넘게 회사에 연락을 시도했습니다. 아무도 우리의 질문에 답하지 않았습니다.
이제 회사가 마침내 입을 열었지만, 그 대응에는 아쉬운 점이 남는다.
“귀하의 제보에서 지적된 핵심 문제들을 확인했으며, 각각의 문제를 해결하고 있습니다,” Energize Lab이 밝혔다 The Verge 일반 이메일 주소로 발송된 서명 없는 성명서에서 밝혔습니다. 회사는 독립적인 보안 업체를 고용해 자사 시스템 전체를 철저히 검토할 계획이며, 전용 문의 이메일인 security@energizelab.com을 개설했습니다.
이 회사는 또한 수요일 기준으로 “백엔드 시스템에 대한 모든 외부 접근을 차단했으며” “로봇의 응답을 원격으로 수정할 수 있던 인터페이스를 비활성화했다”고 주장했습니다.
Energize Labs는 또한 "더 이상 대화 기록이나 그로부터 생성된 사용자 프로필을 저장하지 않겠다"고 약속하며, 이미 저장한 대화 기록, 사용자 프로필 및 "아바타 이미지"를 삭제하겠다고 밝혔다.
주목할 점은, 이 회사가 데이터 수집을 영구적으로 없애겠다고 약속하지는 않는다는 것입니다. “장기 기억 및 커스텀 아바타 기능은 그 검토가 이들이 안전하다고 확인할 때까지는 돌아오지 않을 것입니다”라고 회사는 밝히며, 이는 Energize Lab이 한다 시스템이 보강되면 일부 개인 정보를 저장할 계획이다.
더 주목할 만한 점은, Energize Labs의 시스템은 아직 안전하지 않습니다. Azdoufal의 도움으로, 회사 이메일 기준으로 그렇다는 것을 확인할 수 있었습니다 아직 고객의 음성 녹음과 사진을 전혀 보호 조치 없이 보안이 취약한 공개 웹 주소에 저장하고 있었습니다. 링크를 드리면(드리지는 않겠지만) 클릭하자마자 소유자의 얼굴을 바로 볼 수 있었을 것입니다.
Azdoufal은 또한 자신이 이 로봇들에 대한 전체 SSH 접근 권한을 여전히 가지고 있으며, 이론상으로는 대화 기록을 읽고 장난감의 동작을 수정할 수도 있다고 말했습니다. 따라서 Energize Lab이 "모든 외부 접근을 차단했다"고 말하는 것은 사실이 아닌 것으로 보입니다.
“말만으로는 그 신뢰를 다시 얻을 수 없다는 것을 우리는 알고 있습니다”라고 Energize Lab은 말합니다 The Verge. "우리는 앞으로 몇 주 동안 하는 일을 통해 그것을 얻을 생각이며, 진행 상황을 계속 알려드리겠습니다." 좋은 계획처럼 들리지만, 오늘의 일부 말은 여전히 진실처럼 들리지 않습니다.
다음은 Energize Lab의 에 대한 전체 무서명 성명입니다. The Verge:
주제와 작성자를 팔로우하면 이 이야기와 유사한 콘텐츠를 맞춤형 홈페이지 피드에서 더 많이 보고 이메일 업데이트를 받을 수 있습니다.Sean님께,
지난 한 달간 응답하지 못한 점 귀하와 Azdoufal 님께 진심으로 사과드립니다. 이는 저희의 잘못이었습니다. 관련 정보를 받은 후 기술팀과 제때 동기화하지 못했고, 이후 문제 해결에도 다소 시간이 걸렸습니다. 현재 전담 보안 메일함인 security@energizelab.com을 운영하고 있으며, 담당 인력이 상주하며 모니터링하고 있습니다.
이러한 문제들을 알려주신 점, 그리고 Azdoufal 님과 함께 제보해 주신 것에 감사드립니다. 제보하신 핵심 문제들을 확인했으며, 각 문제를 해결하고 있습니다.
오늘 기준으로 우리는 다음과 같이 조치했습니다:
백엔드 시스템에 대한 모든 외부 접근을 차단하고 모든 접근 자격 증명을 교체했습니다;
로봇의 응답을 원격으로 수정할 수 있었던 인터페이스를 비활성화했습니다;
장기 기억 기능을 오프라인으로 전환했습니다. 더 이상 대화 기록이나 그로부터 생성된 사용자 프로필을 저장하지 않습니다;
커스텀 아바타 기능을 오프라인으로 전환했습니다. 앱은 이제 기본 제공 아바타만 제공합니다.
저장된 대화 기록, 사용자 프로필, 아바타 이미지 및 관련 콘텐츠를 삭제할 것입니다.
독립적인 보안 업체를 선임하여 시스템에 대한 전체 검토를 진행하고 있습니다. 장기 기억 및 커스텀 아바타 기능은 해당 검토에서 안전하다고 확인될 때까지 다시 제공되지 않을 것입니다. 검토가 완료되면 진행 상황에 대한 업데이트를 공유하겠습니다.
우리는 사람들의 삶에 작은 즐거움을 더하는 소형 로봇을 만들고 싶어서 Energize Lab을 시작했습니다. 그 아이디어는 사람들이 로봇 내부의 것을 신뢰할 수 있을 때만 성립하는데, 우리는 그들을 실망시켰습니다. 말만으로는 그 신뢰를 다시 얻을 수 없다는 것을 알고 있습니다. 우리는 앞으로 몇 주 동안 하는 일을 통해 그 신뢰를 얻고자 하며, 진행 상황을 계속 알려드리겠습니다.
감사합니다,
Energize Lab 팀