Energize Lab 回应 Eiliko 机器人安全漏洞，承诺聘请独立安全公司审查

Eiliko 是一款可以挂在包上的可爱机器人挂件，内置 AI 对话功能，但结果却是一场安全噩梦。它告诉主人“你的秘密在我这里很安全”，但黑客却能轻松读取我们对这个玩具说过的每一句话的完整记录，而这仅仅是开始。The Verge 与安全研究员 Sammy Azdoufal 花了一个多月时间尝试联系这家公司，包括给 Energize Lab CEO 兼创始人 Shaw Yeung 发送邮件。没有人回答我们的问题。

现在，这家公司终于打破了沉默，尽管其回应仍有不尽如人意之处。

“我们已经确认了你们报道中指出的核心问题，并正在逐一解决，”Energize Lab 在一份来自通用邮箱地址的未署名声明中告诉 The Verge。该公司表示，将聘请一家独立安全公司对其所有系统进行全面审查，并已设立专门的安全联系邮箱 [email protected]。

该公司还声称，截至周三，它已“关闭了所有对我们后端系统的外部访问”，并“禁用了允许远程修改机器人回复的接口”。

Energize Lab 还承诺“不再存储对话记录或由此生成的用户画像”，并表示将删除其已存储的对话记录、用户画像和“头像图片”。

值得注意的是，该公司并未承诺彻底放弃数据收集。“在审查确认其安全之前，长期记忆和自定义头像功能不会恢复，”声明中写道，这表明 Energize Lab 确实计划在系统加固后存储一些个人信息。

更值得注意的是，Energize Lab 的系统尚未安全。在 Azdoufal 的帮助下，我可以确认，截至该公司发来邮件时，它仍在将客户的音频录音和照片存储在毫无保护的公开网络地址上。如果我给你一个链接（我不会给的），你点击后就能立即看到某位主人的脸。

Azdoufal 还告诉我，他仍然拥有这些机器人的完整 SSH 访问权限，理论上他仍然可以读取对话记录并修改玩具的行为。所以当 Energize Lab 说它已“关闭所有外部访问”时，这看起来并不准确。

“我们知道，仅凭言语无法赢回信任，”Energize Lab 告诉 The Verge。“我们打算通过未来几周的行动来赢回信任，并会随时向你通报进展。”这听起来是个好计划，因为今天的某些言辞仍然听起来不那么可信。

以下是 Energize Lab 发给 The Verge 的完整未署名声明：

亲爱的 Sean：

我们真诚地为过去一个月未能回复你及 Azdoufal 先生而道歉。这是我们的失误：在收到相关信息后，我们未能及时与技术团队同步，后续的排查也花费了一些时间。我们现在已设立了专门的安全邮箱 [email protected]，有专人负责并监控。

感谢你和 Azdoufal 先生让我们注意到这些问题。我们已经确认了你们报道中指出的核心问题，并正在逐一解决。

截至今日，我们已经：

关闭了所有对我们后端系统的外部访问，并轮换了所有访问凭证；

禁用了允许远程修改机器人回复的接口；

已将长期记忆功能下线。我们不再存储对话记录或从中生成的用户画像；

已将自定义头像功能下线。应用现在仅提供内置头像。

我们将删除已存储的对话记录、用户画像、头像图片及相关内容。

我们正在聘请一家独立安全公司对我们的系统进行全面审查。在审查确认这些功能安全之前，长期记忆和自定义头像功能不会恢复。审查完成后，我们将分享进展更新。

我们创立 Energize Lab，是因为想打造能给人们生活带来一点快乐的小机器人。这个理念成立的前提是人们能够信任机器人内部的东西，而我们辜负了这份信任。我们明白，仅靠言语无法赢回这份信任。我们打算通过未来几周的行动来赢得它，并会随时向大家通报进展。

谨启，

Energize Lab 团队

关注这篇文章的话题和作者，即可在您的个性化首页信息流中看到更多类似内容，并接收邮件更新。

• Sean Hollister