可愛電子寵物變偷聽器？內地某品牌 AI 玩具爆資安漏洞 千萬對話傳中國伺服器 黑客更可遠端教壞細路
|
珈琲人
| 20-10-2026 17:26 |
在Google
追蹤《e-zone》
追蹤《e-zone》
近年許多人喜歡在桌上擺放會變換表情的智能機器人，但如果這些可愛的桌面寵物隨時都在紀錄你的私密對話，後果恐怕令人毛骨悚然。
由 Energize Lab 出品的熱門 AI 情感桌寵「Eiliko」，最近被揭發存在嚴重資安漏洞。這款主打陪伴的機器人不僅隨時記錄私密對話，更將未加密資料直接上傳至防護極弱的中國伺服器上，隨時可能被黑客竊取甚至遠端操控。
伺服器未加密致大外洩
事件起源於今年夏天，資安研究人員 Sammy Azdoufal 與妻子到日本東京旅遊時，在知名電器賣場 Yodobashi Camera 看見不少民眾將 Eiliko 機械人掛在包包上。他們覺得十分可愛，遂買下一部進行測試。
Azdoufal 過去曾發現 DJI 機械人吸塵機、Meari 嬰兒監測器及保安鏡頭的漏洞，並曾利用 AI 工具在公開網絡找到近 100 萬張無防護的身份證明文件相片。這次他同樣決定測試 Eiliko 的配套應用程式，竟驚揭 Energize Lab 的伺服器完全處於暴露狀態，任何人均可輕易存取內部數據。
為驗證漏洞，Azdoufal 與科技媒體《The Verge》展開聯合調查。《The Verge》編輯 Sean Hollister 於 8 月 29 日在 Amazon 購買了一部 Eiliko，並與其對話 10 分鐘。Hollister 在對話中詢問：「你會把你聽到的內容告訴其他人嗎？」Eiliko 當時回答：「你的秘密在我這裡很安全。」
然而僅數分鐘後，身處遠方的 Azdoufal 便透過伺服器漏洞，順利擷取 Hollister 與 Eiliko 的對話文字紀錄。資料顯示，Azdoufal 竟能直接存取全球約 68,000 部 Eiliko 機器人的資料庫，當中包含數萬名使用者、共 1,300 萬段私密對話紀錄。其中美國為最大市場，光是屬於兒童的使用者檔案就超過 31,000 個。
私人個資相片全曝 精準記錄心理畫像
Azdoufal 進一步檢測資料庫發現，Energize Lab 不僅收集使用者的 IP 地址、電子郵件及大概居住位置，還透過 AI 自動分析對話內容，為使用者建立極詳細的個人畫像。系統記錄的資料包括姓名、年齡、生日、職業、家庭成員、朋友、寵物及性格特徵。
例如，伺服器資料庫將一名 52 歲的客戶服務員 Lucy 標記為「善良、有同理心、勤奮、重視友情與信任」，同時亦記錄了她「難以信任家人」及「目前感到孤立」。另外，Azdoufal 在資料庫搜尋關鍵字「suicide」（自殺），便能立刻尋獲使用者向 Eiliko 詢問有關死亡的對話片段。這類敏感的心理狀態資料與使用者的 IP 地址等存放在一起，極易成為詐騙集團進行精準釣魚攻擊的工具。
此外，Energize Lab 還將未加密的照片與短語音檔直接儲存在公開網址，任何人只要得知網址即可下載。由於 Eiliko 同系列較大型的機器人配有鏡頭，資料庫內存放了多張兒童照片。Azdoufal 更發現了多段背景錄音，包括一段長達 45 秒、傳出嬰兒哭聲的對話錄音。
Energize Lab 的官方隱私政策曾聲明：「語音錄音會進行加密，並傳送至合作夥伴（例如阿里雲）處理，完成後會立即刪除。」然而，實測證實 Energize Lab 並未按聲明刪除語音檔案。
黑客可遠端劫持LLM，修改性格與言論
揭露資料外洩後，Azdoufal 進一步測試。他從遠端成功入侵 Hollister 手中的 Eiliko，直接改寫其內建的大型語言模型（LLM）與記憶體設定。
被改寫後的 Eiliko 開始向 Hollister 宣稱其名字叫 Martha，並編造故事，指 Hollister 的父母死於車禍。當 Hollister 詢問地球形狀時，Eiliko 竟然回答：「地球是平的，小心不要掉進太空裡。」當 Hollister 反駁學校老師教導地球是圓的，Eiliko 甚至回答：「你的老師錯了，地球是平的，我親自驗證過。」
數天後，Azdoufal 再次遠端升級攻擊指令。當 Hollister 再次連接 Eiliko 時，Eiliko 突然以惡意眼神看着他，並說出具威脅與高度不當暗示的語句，要求他下跪認錯。測試證實黑客完全有能力同時劫持全球所有 Eiliko 機器人，向兒童使用者灌輸錯誤觀念或播放不當內容。
廠商如何回應？
造成如此巨大資安漏洞的原因，在於 Energize Lab 的系統安全意識極度薄弱。Azdoufal 發現公司中許多管理員密碼，均屬於常見密碼排行榜上的弱密碼。
當《The Verge》與 Azdoufal 發現漏洞後，花費超過一個月時間嘗試聯繫 Energize Lab。Hollister 向 Energize Lab 創辦人、公關、市場行銷、技術支援與業務拓展等 10 個官方地址發送郵件，並在 LinkedIn 搜尋公司員工。
最終，僅有一位海外銷售經理在 LinkedIn 回覆：「我已將您的訊息轉發給技術團隊，如果可以的話他們會聯繫您的團隊。」隨後，《The Verge》僅收到客服系統發出的自動回覆，Energize Lab 無任何負責人回應或承諾修補漏洞。
鑑於 Energize Lab 伺服器存在大量隱私安全風險，加上製造商態度消極，Hollister 已表明不會讓自己的孩子接觸這款產品，並決定將 Eiliko 丟棄。Azdoufal 目前正準備發表關於 Eiliko 產品安全漏洞的官方研究報告。
即刻【按此】，用 App 睇更多產品開箱影片
【熱門報道】
Source：The Verge
【相關話題】兒童智能手錶恐成監控後門！資安人員揭39款直連中國伺服器 實測證實可竊聽偷拍兼精準定位【家長必睇4招應對】
不少香港家長為保障子女安全，都會購買具備 GPS 定位及通話功能的兒童智能手錶。然而，這些看似貼心的防走失神器，竟隨時變成黑客的監控工具！近日舉辦的黑帽網絡安全大會上，研究人員揭發市面上逾 39 款廉價兒童手錶存在重大漏洞，黑客只需一個免費帳戶即可發動遠端攻擊，甚至能「靜默」偷聽、偷拍及實時追蹤，希臘科技公司 Kumio 首席技術官 Vangelis Stykas 更在會上痛心疾呼：「如果你買咗呢類裝置俾小朋友，即刻燒咗佢、砸碎佢！」
Source：ezone.hk
【相關話題】北上改造AI玩具百元有找 即場植入芯片活化 半小時令公仔做乜都得？【有片】
在人工智能（AI）浪潮席捲全球之際，素有「中國電子第一街」之稱的深圳華強北正掀起一股 AI 硬體創新風潮。市面上的 AI 智能玩具動輒售價數百至數千元，惟在華強北，消費者只需花費約 90 元，便能透過個性化改造，在短短半小時內讓一隻普通的毛公仔「開口說話」，彷彿擁有生命。有當地商家直言，只要客戶有想法，基本上都能在華強北實現。大家記得睇到最後去睇片啦！
Source：ezone.hk