据The Verge报道,Eiliko机器人挂饰制造商Energize Lab在相关安全漏洞被曝光一个月后表示,将聘请独立安全公司审查系统,并称已关闭后端系统的所有外部访问;但The Verge与安全研究员Sammy Azdoufal核实发现,该公司仍在未受保护的公共网址存储用户音频和照片,Azdoufal也仍保有对机器人的完整SSH访问权限。
Eiliko是一款可挂在包上的AI对话机器人挂饰。The Verge此前的调查显示,该产品曾向用户表示“你的秘密在我这里是安全的”,但黑客可以轻易读取用户对玩具说过的完整对话记录。The Verge和Azdoufal用了一个多月联系Energize Lab,包括向公司首席执行官兼创始人Shaw Yeung发送邮件,均未得到回复。
Energize Lab此次通过一个通用邮箱发来未署名声明。公司称已确认报道所指的核心问题并逐项处理,将聘请独立安全公司对其系统进行全面审查,同时设立了专门的安全联系邮箱security@energizelab.com。
公司称,截至周三,已关闭后端系统的所有外部访问并轮换所有访问凭证,已停用允许远程修改机器人回复的接口,长期记忆功能也已下线,不再存储对话记录及由此生成的用户资料;定制头像功能同样下线,应用仅提供内置头像。公司还表示将删除已存储的对话记录、用户资料、头像图片及相关内容。
Energize Lab称,长期记忆和定制头像功能不会在独立审查确认安全之前恢复。这一表述意味着,公司并未承诺永久停止收集数据,而是计划在系统加固后恢复部分个人信息存储。
但The Verge称,在公司发出上述声明时,其系统仍未完成加固。在Azdoufal协助下,The Verge确认Energize Lab仍在无任何保护的公共网址存储客户音频录音和照片;Azdoufal表示,他仍拥有这些机器人的完整SSH访问权限,理论上仍可读取对话记录并修改玩具行为。因此,公司所称“关闭所有外部访问”并不准确。
Energize Lab在声明中说:“我们知道,单靠文字无法赢回信任。我们打算通过未来几周的行动赢回信任,并会持续通报进展。”The Verge称,公司作出这一承诺之际,其部分说法仍与核实结果不符。