The Pulse
Energize Lab elenca gli interventi di sicurezza per Eiliko; resta da svolgere una verifica indipendente
Energize Lab afferma di aver bloccato l’accesso dall’esterno ai propri sistemi backend e disattivato le funzioni di memoria a lungo termine e di avatar personalizzati di Eiliko. The Verge ha riferito che i contenuti multimediali dei clienti
AI.info Team · Scritto con l’IA · verificato ·
Energize Lab afferma di aver bloccato l’accesso dall’esterno ai sistemi su cui si basa il suo robot Eiliko e disabilitato la possibilità di modificare da remoto le risposte del giocattolo. Ma il 22 ottobre The Verge ha riferito che registrazioni audio e foto erano ancora disponibili a indirizzi web pubblici non protetti; il ricercatore di sicurezza Sammy Azdoufal ha detto alla testata di avere ancora accesso SSH.
Le rassicurazioni dell’azienda e l’accesso segnalato non coincidono. Energize Lab afferma di aver confermato i problemi principali emersi dalla precedente inchiesta di The Verge. Il nuovo articolo ha riferito che i contenuti multimediali dei clienti erano esposti e ha attribuito ad Azdoufal la dichiarazione secondo cui l’accesso SSH persisteva; non ha detto che The Verge abbia verificato quell’accesso.
Gli interventi promessi da Energize Lab
In una dichiarazione non firmata inviata a The Verge, Energize Lab si è scusata per non aver risposto tempestivamente al ricercatore e alla testata. L’azienda ha detto di aver bloccato l’accesso dall’esterno ai propri sistemi backend, sostituito le credenziali di accesso e disabilitato l’interfaccia che permetteva di modificare da remoto le risposte di un robot.
Energize Lab ha inoltre affermato di aver disattivato le funzioni di memoria a lungo termine e di avatar personalizzati. Ha detto di non conservare più le registrazioni delle conversazioni né i profili generati a partire da esse e di prevedere la cancellazione delle trascrizioni, dei profili, delle immagini degli avatar e dei contenuti correlati già archiviati. Secondo l’azienda, le funzioni di memoria e di avatar personalizzati resteranno disattivate finché una verifica condotta da una società di sicurezza indipendente non confermerà che sono sicure.
«Le funzioni di memoria a lungo termine e di avatar personalizzati non saranno riattivate finché quella verifica non confermerà che sono sicure.»
Energize Lab, in una dichiarazione non firmata a The Verge
L’azienda ha anche istituito un indirizzo email per le segnalazioni di sicurezza e ha detto che fornirà aggiornamenti dopo la verifica. Non ha indicato una data per il completamento della verifica né per la cancellazione dei dati archiviati.
The Verge riferisce che l’accesso persisteva
Il nuovo articolo di The Verge evidenzia una discrepanza tra la versione dell’azienda e quanto riportato dalla testata. La pubblicazione ha riferito che, quando l’azienda ha inviato la sua dichiarazione, registrazioni e foto erano ancora disponibili a indirizzi web pubblici non protetti. Azdoufal ha detto alla testata di avere ancora pieno accesso SSH e di poter, in teoria, leggere le trascrizioni e modificare il comportamento del robot.
«Con l’aiuto di Azdoufal, posso confermare che, al momento dell’email dell’azienda, questa conservava ancora registrazioni audio e foto dei propri clienti a indirizzi web pubblici non protetti, senza alcuna protezione.»
Sean Hollister, caporedattore di The Verge
Queste risultanze non dimostrano che criminali abbiano sottratto o utilizzato i dati. Mostrano però che il ricercatore ha dichiarato che il suo accesso non era cessato quando Energize Lab ha affermato di aver bloccato l’accesso dall’esterno: gli interventi correttivi dichiarati dall’azienda restano quindi non verificati dalle informazioni riportate nel nuovo articolo.
Milioni di conversazioni nel precedente articolo
La discrepanza emerge dopo l’inchiesta pubblicata da The Verge il 15 ottobre, che descriveva come Azdoufal avesse avuto accesso al servizio collegato a Eiliko, un piccolo robot di IA progettato per essere portato come un ciondolo. Secondo l’articolo, poteva cercare tra circa 13 milioni di conversazioni e accedere a quelli che sembravano essere 68.000 robot attivi. La testata ha inoltre riferito della presenza di oltre 31.000 profili appartenenti a bambini negli Stati Uniti.
Il materiale esposto non si limitava alle trascrizioni delle chat. Secondo The Verge, il servizio creava profili contenenti informazioni quali nomi, età, date di nascita, legami familiari e valutazioni della personalità, insieme a indirizzi email e indirizzi IP. La testata ha anche riferito che alcune foto e brevi clip audio erano accessibili a indirizzi web pubblici.
La verifica di sicurezza deve ancora svolgersi
Energize Lab ha riconosciuto i problemi principali individuati negli articoli e si è impegnata a eliminare le registrazioni delle conversazioni e i profili archiviati. Tuttavia, l’accesso ai contenuti multimediali segnalato e la dichiarazione di Azdoufal secondo cui aveva ancora accesso SSH complicano l’affermazione dell’azienda di aver bloccato l’accesso dall’esterno. L’azienda ha detto che, prima di riattivare le funzioni, la verifica della società di sicurezza indipendente dovrà confermare che sono sicure.
Per ora, la dichiarazione dell’azienda descrive gli interventi che sostiene di aver effettuato, mentre l’articolo di The Verge documenta contenuti multimediali esposti e riporta la dichiarazione di Azdoufal secondo cui l’accesso persisteva. Energize Lab ha detto che le funzioni di memoria e di avatar personalizzati non saranno riattivate finché la verifica non confermerà che sono sicure.