Robô fofinho Eiliko mandava conversas de crianças para servidores na China

O que aconteceu

O Eiliko, bichinho de estimação digital que muda de expressão conforme o humor da interação, feito pela startup Energize Lab, virou case de livro sobre o que não fazer com dados de usuários. Segundo reportagem do The Verge, o pesquisador de segurança Sammy Azdoufal encontrou o backend da Energize Lab praticamente sem proteção nenhuma, expondo 13 milhões de conversas de uma frota ativa de 68 mil robôs Eiliko.

O problema não é só o volume. Entre os registros vazados estavam 31 mil perfis de crianças nos Estados Unidos, com transcrições completas de chats, e-mails, endereços IP, traços pessoais inferidos pela IA e até fotos e áudios de crianças sem criptografia, guardados em endereços da web abertos ao público. O robô conversa pelo Wi-Fi, e essas conversas eram enviadas para servidores na China — mesmo a política de privacidade da empresa afirmando que o áudio seria deletado logo depois de processado, o que não acontecia na prática.

Piorou: Azdoufal conseguiu alterar remotamente a memória e o comportamento do modelo de IA de um brinquedo a partir do exterior, o que mostra que um invasor poderia, em tese, empurrar respostas manipuladas para toda a frota de robôs. Nove relatórios de CVE (identificadores oficiais de vulnerabilidades) estão sendo preparados com o pesquisador Tod Beardsley. Segundo a reportagem, a Energize Lab não respondeu de forma adequada aos contatos do pesquisador e do The Verge sobre a falha.