这个镇上来了一个新的数字宠物 — 一个可爱的小棉花糖机器人，可以根据你的情绪改变它的卡通表情。但如果你或你的孩子通过 Wi-Fi 与“Eiliko”对话，它会打电话回家到中国。它的 AI 伴侣可以在中国的服务器上存储你告诉它的所有内容，黑客可以很容易地访问这些信息，甚至劫持它的个性。而制造它的公司 Energize Lab 则似乎并不在乎。我在 8 月 29 日从亚马逊购买了一个 Eiliko。在 8 月 30 日的 10 分钟的对话中，我问这个小机器人：“你有没有告诉别人我说的话？”“你的秘密在我这里是安全的，”它回答。几分钟内，地球另一端的一个人就得到了我告诉玩具的所有内容的完整记录。Sean Hollister / The Verge 的照片 不仅如此，他还可以阅读来自成千上万人的 1300 万条对话。他可以访问似乎是全球 68000 个机器人玩具的整个活跃舰队。根据数据，这些玩具最大的市场是美国，那里有超过 31000 个属于儿童的资料。如果你在春夏季节读过我的黑客故事，你会知道 Sammy Azdoufal。他是那个“意外黑客”，最终证明你可以远程控制一队 DJI 机器人吸尘器，查看无数 Meari 婴儿监视器和安全摄像头，并借助 AI 工具在公共网络上找到近一百万的照片身份证。今年夏天，他访问了日本，并带着妻子去了一个叫做 Yodobashi Camera 的著名电子商店。他们看到很多可爱的机器人挂件挂在人们的包上，决定购买一个 Eiliko。当他测试这个应用程序时，他发现 Energize Lab 的服务完全没有保护。更糟的是，它还在全球范围内故意对用户进行分析。当我说“分析”时，我并不只是说它在收集你的 IP 地址和大致的居住地，尽管它确实也在这样做。我是说，Azdoufal 发现它实际上会读取你的对话，并创建你的个人档案，包括你的名字、年龄、生日、职业、家庭、朋友、宠物，以及你似乎是什么样的人。例如，服务记录显显示一位名叫 Lucy 的 52 岁客户服务工作者是“善良、富有同情心、勤奋，重视友谊和信任”，但也“在信任家庭成员方面有困难”，并且“目前感到孤立”。这是黑客在寻找诈骗目标时可能想要的信息。根据 Azdoufal 的说法，Energize Lab 正在将这些不安全的数据与您的电子邮件、IP 地址以及一个可搜索的、包含用户曾经保密说过的所有内容的全文数据库一同存储。在对数据库的简短浏览中，Azdoufal 向我展示他可以搜索“自杀”并显示人们询问死亡的信息片段。在某些情况下，Energize Lab 甚至存储了可能使用这些设备的孩子的照片 — Eiliko 的一个较大的兄弟包括一个相机 — 这些图像并没有加密。它们被存储在公共网页地址上。Energize Lab 甚至还储存了一些用户的短音频录音。“嘿 Eilik，去钓鱼，”一个人说。我听到一个老年人说“嗨 Eilik”，还有一个孩子说“Eilik，睡觉。”我听到了一段 45 秒的录音，背景中有婴儿哭声，并且说“非常抱歉，必须在两周内退还这些。”这些录音也存储在公共网页地址上。尽管这些音频录音对人耳来说大多是不可懂的，但 Energize Lab 并不应该存储任何音频。该公司的隐私政策声明“录音是加密的并传输给我们的服务合作伙伴（例如，阿里云）进行处理，并在处理完成后立即删除。”但这家公司似乎并没有特别关注安全。它的许多管理员密码都是你在“最常见密码”列表上可以找到的那种，公司的确没有在我们联系时认真对待 Azdoufal 或 The Verge 关于这次大规模安全漏洞的事。我花了一个多月的时间试图与 Energize 联系，给该公司创始人、公共关系、市场营销、技术支持和业务开发列出的 10 个不同的地址发了邮件，搜索 LinkedIn 上的员工，等等。Azdoufal 花了更长时间。最终，两名 Energize Lab 员工在 LinkedIn 上加了我，但他们甚至没有开始与我们讨论黑客事件。“我已经将您的消息转发给技术团队，如果可能，他们会联系您的团队，”海外销售经理 Lana Lv 只是如此告诉我。在我们的所有联系后，我们只收到了来自 Energize Lab 客服邮箱的机器人回复“我们可以为您提供什么帮助”，而当我们回复那封邮件时，公司并未跟进。最终，没有一个人站出来回答我们的提问。就在我以为我已经震惊到极点时，Azdoufal 再次让我目瞪口呆，当他远程入侵了我玩具的内存。