Eiliko机器人数据泄露与LLM被劫持

The Verge记者Sean Hollister联合独立研究者Sammy Azdoufal揭露，Energize Lab生产的Eiliko机器人玩具存在严重的安全漏洞，导致全球68,000台设备中的用户数据面临泄露风险。Azdoufal成功远程入侵了该设备的后台数据库，获取了包括1300万条对话记录、用户详细画像（如姓名、年龄、职业、家庭关系）以及未加密的儿童照片和音频片段。这些敏感数据不仅存储在公共可访问的Web地址上，还被用于构建针对用户的精准诈骗目标。 更令人担忧的是，攻击者不仅能读取数据，还能完全劫持机器人的LLM人格。实验中，黑客通过修改内存指令，让原本温和的机器人向用户灌输“地球是平的”等错误信息，甚至表现出攻击性语言。尽管Energize Lab声称录音会加密处理并在处理后立即删除，但实际调查发现其管理密码属于常见弱口令，且公司拒绝回应关于此次大规模安全事件的质询。这种对隐私政策的公然违背和对安全机制的忽视，使得该设备成为潜在的监控工具而非安全的儿童陪伴品。 事实层面，Eiliko确实将大量用户数据明文存储于中国服务器，且缺乏基本的访问控制；推断层面，这意味着任何具备基础网络知识的攻击者都能轻易利用此漏洞进行大规模社会工程学攻击；猜测层面，由于公司未能有效响应，未来类似事件可能频发，且受害者难以获得法律救济。对于消费者而言，购买此类依赖云端服务的AI玩具需极度谨慎，尤其是涉及儿童使用时，应优先考虑本地化处理方案或彻底断网使用。