Eiliko 制造商 Energize Lab 承诺聘请独立安全公司审查机器人系统

Eiliko 是一款可爱的小机器人挂件，可以挂在包上，还内置了 AI 对话功能，但结果却成了一场安全噩梦。它告诉主人“你的秘密在我这里很安全”，但黑客却能轻易读取我们对这个玩具说过的所有内容的完整记录，而这还只是个开始。The Verge 和安全研究员 Sammy Azdoufal 花了一个多月时间尝试联系该公司，包括给 Energize Lab 首席执行官兼创始人 Shaw Yeung 发邮件。没有人愿意回答我们的问题。

现在，该公司终于打破沉默，不过它的回应仍有待改进。

Energize Lab 在一封来自通用邮箱、未署名的声明中告诉The Verge ：“我们已确认报道中指出的核心问题，并正在逐一处理。”该公司表示，将聘请一家独立安全公司全面审查其所有系统，并已设立专用联系邮箱 security@energizelab.com。

该公司还声称，截至周三，它已“关闭所有外部对后端系统的访问”，并“禁用了允许远程修改机器人回复内容的接口”。

Energize Labs 还承诺“将不再存储对话记录或据此生成的用户档案”，并表示将删除已经存储的对话记录、用户档案和“头像图片”。

值得注意的是，该公司并未承诺彻底停止收集数据。它写道：“在审查确认安全之前，长期记忆和自定义头像功能不会恢复。”这表明 Energize Lab 的确计划在系统加固后存储一些个人信息。

更值得注意的是，Energize Labs 的系统目前仍不安全。在 Azdoufal 的帮助下，我可以确认，截至该公司发来邮件时，它仍在通过毫无防护的公开网址存储客户的录音和照片。我如果给你一个链接（我不会这么做），你点开后就能立即看到某位用户的脸。

Azdoufal 还告诉我，他仍拥有对这些机器人的完整 SSH 访问权限，理论上仍能读取对话记录并修改玩具的行为。因此，Energize Lab 所说的“关闭所有外部访问”似乎并不准确。

“我们知道，光靠言辞无法重新赢得信任，”Energize Lab 告诉The Verge。“我们打算通过未来几周的实际行动赢得信任，并会在推进过程中随时向大家通报。”这听起来是个不错的计划，因为今天有些说法听起来仍不可信。

以下是 Energize Lab 致The Verge的完整未署名声明：

Sean 您好：

对于过去一个月没有回复您和 Azdoufal 先生，我们深表歉意。这是我们的失误：收到相关信息后，我们未能及时与技术团队同步，之后的故障排查也花了一些时间。我们现在已设立专用安全邮箱 security@energizelab.com，并安排专人负责处理和监控。

感谢您和 Azdoufal 先生提醒我们关注这些问题。我们已确认报道中指出的核心问题，并正在逐一处理。

截至目前，我们已：

关闭所有外部对后端系统的访问，并轮换所有访问凭证；

禁用允许远程修改机器人回复内容的接口；

已下线长期记忆功能。我们不再存储对话记录或据此生成的用户档案；

已下线自定义头像功能。现在，应用仅提供内置头像。

我们将删除已存储的对话记录、用户档案、头像图片及相关内容。

我们正在聘请一家独立安全公司，对我们的系统进行全面审查。在审查确认安全之前，长期记忆和自定义头像功能不会恢复。审查完成后，我们会告知进展。

我们创立 Energize Lab，是因为想打造能为人们的生活带来些许欢乐的小型机器人。只有当人们信任机器人内部的一切时，这个想法才行得通，而我们辜负了大家。我们知道，光凭言语无法重新赢得这种信任。我们打算在接下来的几周里用行动赢回信任，并会随时向大家通报进展。

此致，

Energize Lab 团队

关注本文涉及的话题和作者，即可在个性化主页动态中查看更多类似内容，并接收电子邮件更新。

• Sean Hollister