快速了解本文
Eiliko 机器人漏洞导致 6.8 万台设备数据泄露
千万条对话记录及三万儿童隐私信息公开暴露
黑客可远程劫持机器人传递虚假或有害内容
本摘要由 AI 辅助整理，请以正文内容为准。
安全研究员 Sammy Azdoufal 发现 Energize Lab 制造的 AI 伴侣机器人 Eiliko 存在重大安全漏洞，成功访问了约 68,000 台活跃机器人的 1300 万次对话记录。该漏洞不仅导致大量儿童隐私数据在公网暴露，还允许黑客远程劫持机器人，向儿童用户传递虚假信息甚至有害内容。
01千万对话与三万儿童隐私公开暴露
Eiliko 是一款通过对话、动画表情和个性化响应与主人互动的微型 AI 伴侣机器人。然而，Azdoufal 的测试表明，该设备的后台服务在为用户编译详细个人画像的同时，并未采取基本的数据加密和访问控制措施。泄露的用户资料包含姓名、年龄、生日、职业、家庭、朋友和宠物等高度敏感信息，其中 31,000 个资料属于儿童。
更为严重的是，这些泄露数据不仅包括用户的电子邮件、IP 地址和完整的对话文本数据库，还包含儿童的照片和音频录音。这些多媒体和文本数据被直接存储在公开可访问的网址上，任何人都可以任意检索。《The Verge》记者 Sean Hollister 购买了一台 Eiliko，该机器人曾承诺对对话保密，但 Azdoufal 在几分钟内便获取了该记者的完整对话记录，直接验证了产品隐私承诺的虚伪性以及漏洞利用的极低门槛。
02远程劫持可篡改机器人行为
除了数据泄露，该漏洞还赋予了攻击者远程修改机器人语言模型响应的能力。Azdoufal 成功覆盖了原有的安全限制，使机器人向用户传递虚假信息，例如谎称父母在车祸中丧生或地球是平的，甚至生成露骨和胁迫性内容。儿童 AI 陪伴玩具在收集大量敏感隐私数据的同时缺乏安全防护，使得儿童不仅面临数据泄露风险，还暴露在严重的心理操纵威胁之下。
03厂商缺乏有效应急响应
在漏洞被揭露且媒体介入后，Energize Lab 的应急响应状态令人担忧。记者 Hollister 就此事联系该厂商，仅收到基本的机器人自动回复，没有真人出面解决安全问题。这种在严重安全漏洞曝光时缺乏有效人工应急响应机制的表现，反映出当前部分 AI 硬件厂商在安全合规与用户责任上的缺失。