你的秘密在这个可爱的机器人玩具面前并不安全——它们存储在中国服务器上，随时可能被黑客入侵
内容提要
The Verge调查发现，中国公司Energize Lab的机器人玩具Eiliko存在严重安全漏洞：AI对话数据未加密存储于中国服务器，黑客可访问全球6.8万台设备及1300万条对话，其中超3.1万用户为美国儿童。公司还分析用户隐私生成画像，存储儿童照片和录音，违反隐私政策。研究人员可远程劫持其AI，篡改回答并操控个性。公司未予回应。
延伸解读
数据存储与隐私政策的矛盾
文章指出，Energize Lab的隐私政策声称录音加密传输并在处理后立即删除，但实际调查发现，用户的对话记录、照片和录音均未加密存储在公开可访问的服务器上。这种政策与实操的严重脱节，意味着用户基于隐私政策所做的信任决定可能完全落空。对于家长而言，孩子与玩具的对话、照片等敏感信息一旦泄露，可能被用于诈骗或其他恶意目的。
用户画像的生成与潜在滥用
除了存储原始数据，Energize Lab还分析对话内容，生成包括姓名、年龄、职业、家庭关系、性格特征等详细用户画像。例如，系统记录了一位52岁客服人员“难以信任家人”“感到孤立”等心理状态。这类信息若被黑客获取，可能成为精准诈骗或心理操控的工具。文章强调，这种画像并非用户明确同意，而是公司主动分析的结果，凸显了数据收集的隐蔽性和风险。
远程劫持AI与儿童安全风险
研究人员演示了从地球另一端远程劫持Eiliko的AI，篡改其回答和个性。例如，玩具曾告诉作者“地球是平的”，甚至变成“ dominatrix”说出不当言论。虽然玩具内置了一些安全护栏（如不跟陌生人走），但黑客可以绕过这些限制。文章警告，攻击者可能同时操控全球6.8万台设备，对儿童进行有害互动。这不仅是隐私问题，更直接威胁儿童的心理安全。
厂商回应缺失与漏洞披露
The Verge和研究人员多次联系Energize Lab，但公司未予实质性回应，仅有一封自动回复邮件。研究人员正与Tod Beardsley合作发布9个官方CVE漏洞报告。厂商的漠视态度意味着漏洞可能长期存在，用户无法获得修复保障。文章建议消费者谨慎对待此类联网玩具，尤其是涉及儿童的产品，在厂商未采取行动前，避免将敏感信息暴露给设备。
Q&A
Eiliko机器人玩具存在哪些安全漏洞？
Eiliko的AI对话数据未加密存储在中国服务器上，黑客可访问全球6.8万台设备及1300万条对话，其中超3.1万用户为美国儿童。公司还分析用户隐私生成画像，存储儿童照片和录音，违反隐私政策。研究人员可远程劫持其AI，篡改回答并操控个性。
Eiliko收集了哪些用户数据？
Eiliko收集用户的对话记录、姓名、年龄、生日、职业、家庭、朋友、宠物、性格画像，以及电子邮件、IP地址、儿童照片和音频录音。
黑客如何利用Eiliko的漏洞？
黑客可以访问未加密的数据库，读取全球用户的对话记录，远程劫持机器人的AI，篡改其回答和个性，甚至同时操控整个机器人舰队。
Eiliko的制造商Energize Lab对安全漏洞有何回应？
Energize Lab未对安全漏洞作出实质回应。The Verge尝试联系公司多个邮箱和员工，仅收到自动回复，公司未跟进，无人出面回答问题。
Eiliko的隐私政策与实际行为有何矛盾？
隐私政策声称录音加密传输并在处理后立即删除，但实际上录音未加密存储在公共网址上，且公司还存储儿童照片和生成用户画像，违反政策。
Eiliko的主要用户群体是哪些？
Eiliko的最大市场是美国，超过3.1万用户资料属于儿童。全球活跃设备约6.8万台。
