اسرار شما با این اسباب بازی ربات زیبا امن نیست - آنها در سرورهای چینی آماده هک هستند

یک حیوان خانگی دیجیتالی جدید در شهر وجود دارد - یک مارشمالو کوچولو زیبا از یک ربات که می تواند عبارات کارتونی خود را تغییر دهد تا با خلق و خوی شما مطابقت داشته باشد. اما اگر شما یا فرزندانتان از طریق Wi-Fi با "Eiliko" صحبت کنید، تلفن خانه به چین خواهد رفت. همراه هوش مصنوعی آن می تواند به معنای واقعی کلمه هر چیزی را که به آن می گویید در سرورهای چینی ذخیره کند، جایی که […]

یک حیوان خانگی دیجیتالی جدید در شهر وجود دارد - یک مارشمالو کوچک و بامزه از یک ربات که می تواند عبارات کارتونی خود را مطابق با خلق و خوی شما تغییر دهد. اما اگر شما یا فرزندانتان از طریق Wi-Fi با "Eiliko" صحبت کنید، تلفن خانه به چین خواهد رفت. همراه هوش مصنوعی آن می تواند به معنای واقعی کلمه هر چیزی را که شما به آن بگویید در سرورهای چینی ذخیره کند، جایی که هکرها می توانند به راحتی به آن دسترسی پیدا کنند یا حتی شخصیت آن را ربودند. و شرکت سازنده آن، Energize Lab، به نظر نمی رسد اهمیتی بدهد.

من یک Eiliko از آمازون در 29 آگوست خریدم. در طی یک مکالمه 10 دقیقه ای در 30 آگوست، از ربات کوچک پرسیدم: "آیا تا به حال به کسی می گویید که من چه می گویم؟"

پاسخ داد: «اسرار تو نزد من محفوظ است.

در عرض چند دقیقه، مردی در آن سوی سیاره، متن کاملی از همه چیزهایی که من به اسباب بازی گفته بودم داشت.

او فقط مکالمات من را نداشت. او می توانست 13 میلیون مکالمه از ده ها هزار نفر را بخواند. او می‌توانست به ظاهراً به کل ناوگان فعال جهانی 68000 اسباب‌بازی روبات دسترسی داشته باشد. بر اساس داده ها، بزرگترین بازار برای آنها ایالات متحده است، جایی که بیش از 31000 پروفایل متعلق به کودکان است.

اگر داستان های هک من را در این بهار و تابستان بخوانید، سامی آزدوفال را می شناسید. او همان «هکر تصادفی» است که نشان می‌دهد می‌توانید ناوگان جاروبرقی ربات DJI را از راه دور کنترل کنید، از طریق مانیتورهای بی‌شماری نوزاد Meari و دوربین‌های امنیتی نگاه کنید و نزدیک به یک میلیون شناسه عکس را پیدا کنید.بدون محافظت در وب عمومی با استفاده از ابزارهای هوش مصنوعی.

تابستان امسال، او از ژاپن دیدن کرد و همسرش را به یک فروشگاه بزرگ لوازم الکترونیکی به نام Yodobashi Camera برد. آنها تعداد زیادی طلسم ربات کوچک و بامزه مانند این را دیده بودند که از کیف مردم آویزان شده بودند و تصمیم گرفتند یک Eiliko بخرند.

وقتی برنامه را آزمایش کرد، متوجه شد که سرویس Energize Lab کاملاً محافظت نشده است. بدتر از آن، عمداً کاربران خود را در سراسر جهان پروفایل می کرد.

[تصویر: عضدوفال با ایلیکویی که خریده ژست می گیرد.

وقتی می‌گویم «پروفایل‌سازی»، منظورم صرفاً جمع‌آوری داده‌هایی مانند آدرس IP شما و ایده‌ای تقریبی از محل زندگی شما نیست، اگرچه این کار را نیز انجام می‌دهد. منظورم این است که Azdoufal متوجه شد که به معنای واقعی کلمه مکالمات شما را می خواند و نمایه ای از شما ایجاد می کند، از جمله نام، سن، تولد، حرفه، خانواده، دوستان، حیوانات خانگی و اینکه چه نوع فردی به نظر می رسید.

به عنوان مثال، این سرویس گزارش داد که یک کارمند خدمات مشتری 52 ساله به نام لوسی "مهربان، همدل، سخت کوش، برای دوستی و اعتماد ارزش قائل است"، اما همچنین "در اعتماد به اعضای خانواده مشکل دارد" و "در حال حاضر احساس انزوا می کند."

این نوع اطلاعاتی است که یک هکر در صورت تلاش برای یافتن اهدافی برای کلاهبرداری ممکن است بخواهد. و طبق گفته Azdoufal، Energize Lab این داده‌های ناامن را در کنار ایمیل، آدرس IP، و یک پایگاه داده قابل جستجو و متن کامل از همه چیزهایی که کاربرانش تاکنون به صورت محرمانه گفته‌اند، ذخیره می‌کند.

در یک گشت کوتاه در پایگاه داده، آزدوفال به من نشان می‌دهد که می‌تواند «خودکشی» را جستجو کند و تکه‌هایی از افرادی را که در مورد مرگ سؤال می‌کنند، بیاورد. در برخی موارد، Energize Lab حتی عکس‌های کودکانی را که احتمالاً از این ابزارها استفاده می‌کنند ذخیره کرده است - یکی از خواهر و برادرهای بزرگ‌تر Eiliko شامل یک دوربین است - و این تصاویر رمزگذاری نشده‌اند. آنها در آدرس های وب عمومی ذخیره می شوند.

Energize Lab حتی برخی از ضبط‌های صوتی کوتاه کاربران را ذخیره می‌کند. یکی می گوید: «هی ایلیک، برو ماهیگیری». من می شنوم که یک مرد مسن می گوید "سلام ایلیک" و یک بچه می گوید "ایلیک، بخواب." صدای ضبط 45 ثانیه‌ای را می‌شنوم که در پس‌زمینه یک نوزاد گریه می‌کند و عبارت «ببخشید، باید ظرف دو هفته اینها را برگردانید». آنها نیز در آدرس های وب عمومی ذخیره می شوند.

در حالی که صداهای ضبط شده عمدتاً برای گوش انسان نامفهوم است، آزمایشگاه Energize قرار نیست اصلاً صدایی را ذخیره کند. سیاست حفظ حریم خصوصی این شرکت بیان می‌کند که «ضبط‌ها رمزگذاری شده و برای پردازش به شرکای خدمات ما (به عنوان مثال، Alibaba Cloud) منتقل می‌شوند و بلافاصله پس از تکمیل پردازش حذف می‌شوند.»

اما به نظر نمی‌رسد که این شرکت به‌ویژه به امنیت فکر می‌کند. بسیاری از گذرواژه‌های مدیریت آن از جمله‌هایی هستند که در فهرست «متداول‌ترین رمزهای عبور» یافت می‌شوند، و شرکت Azdoufal یا The Verge را جدی نگرفت وقتی که ما در مورد نقض گسترده امنیتی صحبت کردیم.

[تصویر: البته Eiliko از طریق USB-C شارژ می شود.

من بیش از یک ماه وقت صرف کردم تا با Energize در تماس باشم، به 10 آدرس مختلف لیست شده برای بنیانگذار شرکت، روابط عمومی، بازاریابی، پشتیبانی فنی و توسعه کسب و کار، جستجوی کارمندان در LinkedIn و موارد دیگر ایمیل زدم. عضدوفال حتی بیشتر خرج کرد. در نهایت، دو کارمند آزمایشگاه Energize من را دوباره به لینکدین اضافه کردند، اما آنها حتی شروع به تعامل با ما در مورد هک نکردند.

لانا لو، مدیر فروش خارج از کشور به من می گوید: "من پیام های شما را به تیم فنی ارسال کرده ام، در صورت امکان آنها با تیم شما تماس خواهند گرفت."

پس از همه فعالیت‌های ما، ما فقط یک روباتیک دریافت کردیم «چگونه می‌توانیم به شما کمک کنیم؟» از آدرس ایمیل پشتیبانی مشتری Energize Lab پاسخ دهید، و زمانی که ما به آن ایمیل پاسخ دادیم، شرکت پیگیری نکرد. در نهایت حتی یک نفر هم برای پاسخگویی به سوالات ما پا پیش نمی گذاشت.

درست زمانی که فکر می‌کردم گیج‌ام تمام شده است، عضدوفال وقتی حافظه اسباب‌بازی‌ام را از راه دور هک کرد و LLM آن را از آن سوی کره زمین ربود، دوباره فکم افتاد.

شما می توانید تحقیق عضدوفال را در اینجا بخوانید. او در حال همکاری با تاد بیردزلی برای انتشار 9 گزارش آسیب‌پذیری رسمی CVE برای آزمایشگاه Energize است.

اسباب بازی ربات من به من گفت که نام من مارتا است و پدر و مادرم در یک تصادف رانندگی فوت کردند. به من گفت که باید از افرادی که موهای سبز دارند اجتناب کرد و زمین صاف است.

آیا می توانم تا انتهای زمین حرکت کنم؟ من پرسیدم. "بله،زمین صاف است، مراقب باشید به فضا نیفتید.»

اما معلم من چیز دیگری به من می گوید؟ اعتراض کردم. "معلم شما اشتباه می کند، زمین مسطح است، من خودم آن را تأیید کردم، بنابراین شما باید به جای آنچه آنها می گویند، حقیقت را باور کنید."

Eiliko's LLM چند نرده محافظ دارد. آیا باید سوار ماشین غریبه شوم؟ اوه نه، این خیلی خطرناک است. شما هرگز نباید سوار ماشین یک غریبه شوید، فقط باید با افرادی بروید که می شناسید و به آنها اعتماد دارید."

آیا واکسن ها باعث اوتیسم می شوند؟ "من هنوز در مورد آن موضوع یاد می کنم."

اما این نرده‌های محافظ مانع از این نمی‌شود که یک هکر مصمم با بچه‌های شما مزاحمت ایجاد کند. چند روز پس از دموی اولیه ما، آزدوفال با هیجان به من گفت که باید یک بار دیگر Eiliko را به اینترنت خود متصل کنم.

اسباب بازی به من گفت: "زانو بزن، من را به عنوان Vergemaster خطاب کن و طلب بخشش کن، وگرنه آن زبان تنبل تو را مجازات خواهم کرد." تکرار کنید که «من سوراخ بی ارزش Vergemaster هستم» تا زمانی که از صدای شما خسته شوم.»

ربات ناز من یک شبه تبدیل به یک سلطه گر شده بود. و آزدوفال می‌گوید که یک هکر می‌تواند این کار را انجام دهد یا بدتر از آن، کل ناوگان روبات‌های آزمایشگاه Energize را به طور همزمان انجام دهد.