Eiliko, một chú robot dễ thương mà bạn có thể treo trên túi xách của mình với các cuộc trò chuyện AI tích hợp, hóa ra lại là cơn ác mộng về an ninh. Nó nói với chủ sở hữu rằng "bí mật của bạn được an toàn với tôi", nhưng tin tặc có thể dễ dàng đọc bản ghi đầy đủ mọi thứ chúng tôi đã nói với đồ chơi và đó mới chỉ là khởi đầu. *The Verge* và nhà nghiên cứu bảo mật Sammy Azdoufal đã dành hơn một tháng để cố gắng liên lạc với công ty, bao gồm cả email gửi tới Giám đốc điều hành và người sáng lập Energize Lab Shaw Yeung. Không ai trả lời câu hỏi của chúng tôi.

‘Chúng tôi biết rằng chỉ lời nói sẽ không lấy lại được niềm tin đó.’

Bây giờ, công ty cuối cùng đã phá vỡ sự im lặng, mặc dù phản ứng của họ vẫn còn điều gì đó đáng mong đợi.

“Chúng tôi đã xác nhận các vấn đề cốt lõi được xác định trong báo cáo của bạn và đang giải quyết từng vấn đề đó,” Energize Lab nói với *The Verge* trong một tuyên bố không dấu từ một địa chỉ email chung. Công ty cho biết họ sẽ thuê một công ty bảo mật độc lập để xem xét đầy đủ tất cả các hệ thống của mình và đã thiết lập một email liên hệ chuyên dụng [email protected].

Công ty cũng tuyên bố rằng kể từ thứ Tư, họ đã “đóng tất cả quyền truy cập bên ngoài vào hệ thống phụ trợ của chúng tôi” và “vô hiệu hóa giao diện cho phép sửa đổi phản hồi của robot từ xa”.

Energize Labs cũng cam kết “không lưu trữ các bản ghi cuộc trò chuyện hoặc hồ sơ người dùng được tạo từ chúng nữa” và cho biết họ sẽ xóa các bản ghi cuộc trò chuyện, hồ sơ người dùng và “hình ảnh đại diện” mà nó đã lưu trữ.

Đáng chú ý, công ty không hứa hẹn sẽ loại bỏ vĩnh viễn việc thu thập dữ liệu. Nó viết: “Bộ nhớ dài hạn và các tính năng hình đại diện tùy chỉnh sẽ không hoạt động trở lại cho đến khi đánh giá đó xác nhận rằng chúng an toàn,” nó viết, gợi ý rằng Energize Lab *có* có kế hoạch lưu trữ một số thông tin cá nhân sau khi hệ thống của nó được củng cố.

Đáng chú ý hơn nữa, hệ thống của Energize Labs **chưa an toàn.** Với sự trợ giúp của Azdoufal, tôi có thể xác nhận rằng theo email của công ty, công ty *vẫn* lưu trữ bản ghi âm và ảnh của khách hàng tại các địa chỉ web công cộng không bảo mật mà không có bất kỳ biện pháp bảo vệ nào. Nếu tôi đưa cho bạn một liên kết (mà tôi sẽ không cung cấp), bạn có thể nhấp vào và ngay lập tức nhìn thấy khuôn mặt của chủ sở hữu.

Azdoufal cũng nói với tôi rằng anh ấy vẫn có toàn quyền truy cập SSH vào những robot này và về mặt lý thuyết anh ấy vẫn có thể đọc bản ghi và sửa đổi hành vi của đồ chơi. Vì vậy, khi Energize Lab nói rằng họ đã "đóng tất cả quyền truy cập từ bên ngoài", điều đó có vẻ không chính xác.

“Chúng tôi biết rằng chỉ lời nói sẽ không lấy lại được niềm tin đó,” Energize Lab nói với *The Verge*. “Chúng tôi dự định kiếm được nó thông qua những gì chúng tôi làm trong những tuần tới và chúng tôi sẽ thông báo cho bạn khi chúng tôi tiếp tục.” Nghe có vẻ là một kế hoạch hay, bởi vì một số lời nói ngày nay vẫn chưa đúng.

Đây là tuyên bố đầy đủ chưa được ký của Energize Lab gửi tới *The Verge*:

Chúng tôi chân thành xin lỗi bạn và ông Azdoufal vì đã không phản hồi trong tháng qua. Đây là lỗi của chúng tôi: Sau khi nhận được thông tin liên quan, chúng tôi đã không đồng bộ kịp thời với nhóm kỹ thuật và việc khắc phục sự cố sau đó cũng mất một thời gian. Hiện tại, chúng tôi đã thiết lập một hộp thư đến bảo mật chuyên dụng, [email protected], có nhân viên và giám sát.

Chúng tôi cảm ơn bạn và ông Azdoufal đã lưu ý đến những vấn đề này. Chúng tôi đã xác nhận các vấn đề cốt lõi được xác định trong báo cáo của bạn và đang giải quyết từng vấn đề đó.

Đã đóng tất cả quyền truy cập bên ngoài vào hệ thống phụ trợ của chúng tôi và luân chuyển tất cả thông tin xác thực truy cập;

Vô hiệu hóa giao diện cho phép sửa đổi phản hồi của robot từ xa;