Eiliko 制造商 Energize Lab 回应机器人安全漏洞，The Verge 指其系统仍未修复

The Verge：AI· Sean Hollister·2026-10-22 19:00· 19 分钟前AI 评分59

Eiliko 制造商称，在 The Verge 报道其机器人不安全后，正聘请一家“独立安全公司”

AI 导读

Energize Lab 就 The Verge 报道的 Eiliko AI 挂件机器人安全漏洞发布无签名声明，确认核心问题属实，称已关闭后端外部访问、禁用远程修改回复的接口、下线长期记忆和自定义头像功能，并将删除已存对话记录、用户画像和头像图片，同时聘用独立安全公司全面审查。

正文 · 原文

Eiliko 是一款可爱的机器人挂件，可以挂在包上，内置 AI 对话功能，结果却成了安全噩梦。它告诉主人“你的秘密在我这里很安全”，但黑客可以轻易读取我们对该玩具所说一切的完整记录，而这只是开始。The Verge 和安全研究员 Sammy Azdoufal 花了一个多月试图联系该公司，包括给 Energize Lab 首席执行官兼创始人 Shaw Yeung 发邮件。没有人回答我们的问题。

现在，该公司终于打破沉默，不过其回应仍不尽如人意。

“我们已确认你们报道中指出的核心问题，并正在逐一处理，”Energize Lab 通过一个通用电子邮件地址向 The Verge 发送的无签名声明中表示。该公司称将聘请一家独立安全公司全面审查其所有系统，并设立了专门的安全联系邮箱 security@energizelab.com。

该公司还声称，截至周三，它已“关闭对后端系统的所有外部访问”，并“禁用了允许远程修改机器人回复的接口”。

Energize Labs 还承诺“不再存储对话记录或由此生成的用户画像”，并表示将删除已存储的对话记录、用户画像和“头像图片”。

值得注意的是，该公司并未承诺永久放弃数据收集。它写道：“在审查确认安全之前，长期记忆和自定义头像功能不会恢复。”这暗示 Energize Lab 确实计划在系统加固后存储一些个人信息。

更值得注意的是，Energize Labs 的系统尚未安全。在 Azdoufal 的帮助下，我可以确认，截至该公司发来邮件时，它仍然在未受保护的公共网址上存储客户的录音和照片，没有任何防护。如果我给你一个链接（我不会给），你点击后就能立刻看到某位用户的脸。

Azdoufal 还告诉我，他仍然拥有这些机器人的完整 SSH 访问权限，理论上仍可读取对话记录并修改玩具的行为。因此，当 Energize Lab 说它已“关闭所有外部访问”时，这似乎并不准确。

“我们知道，仅凭言语无法重新赢得信任，”Energize Lab 对 The Verge 表示。“我们打算通过未来几周的实际行动来赢得信任，并会随时向大家通报进展。”这听起来是个好计划，因为今天的一些说法仍然不属实。

以下是 Energize Lab 发给 The Verge 的完整无签名声明：

亲爱的 Sean，

我们真诚地向您和 Azdoufal 先生道歉，过去一个月未能回复。这是我们的失误：在收到相关信息后，我们未能及时与技术团队同步，随后的排查也花费了一些时间。我们现在已设立专门的安全邮箱 security@energizelab.com，并安排人员值守和监控。

我们感谢您和 Azdoufal 先生将这些 issues 提请我们注意。我们已确认您报告中指出的核心问题，并正在逐一处理。

截至今天，我们已：

关闭对我们后端系统的所有外部访问，并轮换了所有访问凭证；

禁用了允许远程修改机器人回复的接口；

下线了长期记忆功能。我们不再存储对话记录及由此生成的用户画像；

下线了自定义头像功能。应用现在仅提供内置头像。

我们将删除已存储的对话记录、用户画像、头像图片及相关内容。

我们正在聘请一家独立安全公司对我们的系统进行全面审查。在审查确认安全之前，长期记忆和自定义头像功能不会恢复。审查完成后，我们将分享进展更新。

我们创办 Energize Lab，是因为想打造能为人们生活带来一点快乐的小机器人。这个想法只有在人们能信任机器人内在的东西时才成立，而我们辜负了大家。我们知道，仅凭言语无法赢回这份信任。我们打算在未来几周通过实际行动来赢回信任，并会随时向大家通报进展。

此致，

Energize Lab 团队

关注本报道的话题和作者，以便在您的个性化首页信息流中看到更多类似内容，并接收邮件更新。

• Sean Hollister

来源：The Verge：AI · theverge.com