Eiliko 制造商回应机器人安全漏洞报道，称将聘请独立安全公司审查

Eiliko，一款可爱的机器人挂饰，可以挂在包上，内置 AI 对话功能，结果却成了一场安全噩梦。它告诉主人“你的秘密在我这里很安全”，但黑客可以轻易读取我们对该玩具所说一切的完整记录，而这只是开始。The Verge 和安全研究员 Sammy Azdoufal 花了一个多月试图联系该公司，包括给 Energize Lab 首席执行官兼创始人 Shaw Yeung 发邮件。没有人回答我们的问题。

现在，该公司终于打破沉默，尽管其回应仍有不尽如人意之处。

“我们已确认你们报道中指出的核心问题，并正在逐一解决，”Energize Lab 在一个通用电子邮件地址发出的未署名声明中告诉 The Verge。该公司表示将聘请一家独立安全公司全面审查其所有系统，并已设立专门的安全联系邮箱 security@energizelab.com。

该公司还声称，截至周三，它已“关闭对我们后端系统的所有外部访问”，并“禁用了允许远程修改机器人回复的接口”。

Energize Labs 还承诺“不再存储对话记录或由此生成的用户画像”，并表示将删除已存储的对话记录、用户画像和“头像图片”。

值得注意的是，该公司并未承诺永久停止数据收集。“在审查确认安全之前，长期记忆和自定义头像功能不会恢复，”它写道，这暗示 Energize Lab 确实计划在系统加固后存储一些个人信息。

更值得注意的是，Energize Labs 的系统尚未安全。在 Azdoufal 的帮助下，我可以确认，截至该公司发来邮件时，它仍然在未受保护的公共网址上存储客户的录音和照片，没有任何防护。如果我给你一个链接（我不会给），你点击后就能立刻看到某位主人的脸。

Azdoufal 还告诉我，他仍然拥有这些机器人的完整 SSH 访问权限，理论上仍可读取记录并修改玩具的行为。因此，当 Energize Lab 说它已“关闭所有外部访问”时，这似乎并不准确。

“我们知道，仅凭言语无法重新赢得信任，”Energize Lab 告诉 The Verge。“我们打算通过未来几周的行动来赢得信任，并会随时向你们通报进展。”这听起来是个好计划，因为今天的一些说法仍然不属实。

以下是 Energize Lab 发给 The Verge 的完整未署名声明：

亲爱的 Sean：

我们真诚地向您和 Azdoufal 先生道歉，过去一个月未能回复。这是我们的失误：在收到相关信息后，我们未能及时与技术团队同步，随后的排查也花了一些时间。我们现在已设立专门的安全邮箱 security@energizelab.com，并配有人员监控。

我们感谢您和 Azdoufal 先生提请我们注意这些问题。我们已确认你们报道中指出的核心问题，并正在逐一解决。

截至今天，我们已：

关闭对我们后端系统的所有外部访问，并轮换了所有访问凭证；

禁用了允许远程修改机器人回复的接口；

已下线长期记忆功能。我们不再存储对话记录以及由此生成的用户画像；

已下线自定义头像功能。应用现在仅提供内置头像。

我们将删除已存储的对话记录、用户画像、头像图片及相关内容。

我们正聘请一家独立安全公司对我们的系统进行全面审查。在审查确认安全之前，长期记忆和自定义头像功能不会恢复。审查完成后，我们将分享进展更新。

我们创办 Energize Lab，是因为想打造能为人们生活带来一点快乐的小型机器人。这个想法只有在人们能够信任机器人内部机制的前提下才能成立，而我们辜负了大家。我们知道，仅凭言辞无法重新赢得这份信任。我们打算在未来几周通过实际行动来赢回信任，并会随时向大家通报进展。

此致，

Energize Lab 团队

关注本报道的话题和作者，即可在个性化首页信息流中看到更多类似内容，并接收邮件更新。

• Sean Hollister