اسباب‌بازی رباتیک بامزه و خطرناک؟ رازهای شما ممکن است روی سرورهای چینی ذخیره شود

اسباب‌بازی رباتیک Eiliko مکالمه‌های شما و فرزندتان را به سرورهای ناامن در چین می‌فرستد؛ داده‌هایی که ممکن است در معرض دسترسی هکرها قرار بگیرند.

یک حیوان خانگی دیجیتال تازه با ظاهری بامزه و شبیه مارشمالو وارد بازار شده است؛ ربات کوچکی که حالت های کارتونی چهره اش را با حال وهوای کاربر هماهنگ می کند. اما اگر شما یا فرزندانتان از راه وای فای با «ایلکو» صحبت کنید، اطلاعات به سرورهایی در چین فرستاده می شود. بنا بر بررسی ها، همراه هوش مصنوعی این ربات می تواند تمام گفته های کاربر را ذخیره کند؛ داده هایی که در سرورهای ناایمن ممکن است در دسترس هکرها قرار بگیرند و حتی برای تغییر رفتار ربات به کار روند. شرکت سازنده، Energize Lab، نیز ظاهراً واکنش روشنی به این نگرانی ها نشان نداده است.

من ۲۹ اوت یک دستگاه ایلکو از آمازون خریدم. روز بعد، در گفت وگویی ده دقیقه ای از ربات پرسیدم: «حرف هایی را که می زنم برای کس دیگری تعریف می کنی؟»

ربات جواب داد: «رازهایت پیش من محفوظ می مانند.»

اما تنها چند دقیقه بعد، فردی در آن سوی دنیا به متن کامل گفت وگوی من با اسباب بازی دسترسی داشت.

دسترسی او به گفت وگوی من محدود نبود. به گفته پژوهشگر، امکان مشاهده ۱۳ میلیون مکالمه متعلق به ده ها هزار نفر و دسترسی به بخش عمده ناوگان جهانی این ربات ها، شامل ۶۸ هزار دستگاه، وجود داشت. داده ها نشان می داد بزرگ ترین بازار این محصولات ایالات متحده است و بیش از ۳۱ هزار حساب کاربری به کودکان تعلق دارد.

دسترسی به اطلاعات کاربران و کودکان

ازدوفال تابستان امسال به ژاپن سفر کرد و همراه همسرش به فروشگاه معروف لوازم الکترونیکی «یودوباشی کمرا» رفت. آن ها ربات های کوچک و بامزه ای را دیده بودند که به کیف مردم آویزان بود؛ بنابراین یکی از مدل های ایلکو را خریدند.

او هنگام بررسی اپلیکیشن متوجه شد سرویس Energize Lab به کلی فاقد محافظت امنیتی مناسب است. علاوه بر این، سامانه به شکل هدفمند درباره کاربرانش در کشورهای مختلف اطلاعات گردآوری می کرد.

منظور از «پروفایل سازی» فقط ثبت نشانی اینترنتی کاربر یا تخمینی از محل زندگی او نیست، هرچند این اطلاعات نیز گردآوری می شود. ازدوفال دریافت که سامانه مکالمات را می خواند و بر پایه آن ها برای هر فرد پرونده ای می سازد؛ پرونده ای که ممکن است شامل نام، سن، تاریخ تولد، شغل، اعضای خانواده، دوستان، حیوانات خانگی و برداشتی از ویژگی های شخصیتی او باشد.

برای نمونه، سامانه درباره مشتری ۵۲ ساله ای به نام لوسی که در بخش خدمات مشتریان کار می کند، نوشته بود او «مهربان، همدل و سخت کوش است و برای دوستی و اعتماد ارزش قائل می شود»؛ اما «اعتماد به اعضای خانواده برایش دشوار است» و «در حال حاضر احساس انزوا می کند».

چنین اطلاعاتی می تواند برای هکری که قصد فریب افراد را دارد، بسیار سودمند باشد. ازدوفال می گوید Energize Lab این داده های ناامن را در کنار ایمیل و نشانی اینترنتی کاربران نگه می دارد و پایگاه داده ای قابل جست وجو نیز دارد که متن کامل گفته های کاربران را ثبت کرده است.

ازدوفال در نمایشی کوتاه از پایگاه داده، عبارت «خودکشی» را جست وجو کرد و نمونه هایی از پرسش های کاربران درباره مرگ را نشان داد. در برخی موارد، Energize Lab عکس هایی از کودکانی را هم ذخیره کرده بود که احتمالاً از این دستگاه ها استفاده می کنند. یکی از مدل های بزرگ تر ایلکو دوربین دارد؛ با این حال، تصاویر رمزگذاری نشده و در نشانی های عمومی وب نگهداری می شوند.

شرکت چند فایل صوتی کوتاه از کاربران را نیز ذخیره کرده است. در یکی از آن ها فردی می گوید: «ایلک، برو ماهیگیری.» صدای مردی مسن با عبارت «سلام ایلک» و صدای کودکی با جمله «ایلک، بخواب» هم شنیده می شود. در فایل دیگری که ۴۵ ثانیه طول می کشد، صدای گریه نوزادی در پس زمینه شنیده می شود و فردی می گوید: «خیلی متأسفم، باید این ها را ظرف دو هفته پس بدهم.» این فایل ها نیز در نشانی های عمومی وب قرار دارند.

بخش زیادی از صداها برای شنونده قابل فهم نیست، اما نکته مهم تر این است که طبق سیاست حریم خصوصی شرکت، اساساً نباید هیچ فایل صوتی ای باقی بماند. در این سیاست آمده است: «ضبط ها رمزگذاری می شوند و برای پردازش به شرکای خدماتی ما، مانند Alibaba Cloud، انتقال می یابند و پس از پایان پردازش بلافاصله حذف می شوند.»

با این حال، شواهد نشان می دهد این شرکت توجه کافی به امنیت ندارد. شماری از گذرواژه های مدیریتی آن از نمونه های بسیار رایج و قابل حدس بوده اند. همچنین، وقتی ازدوفال و وب سایت ورج درباره این رخنه گسترده با شرکت تماس گرفتند، با موضوع برخورد جدی صورت نگرفت.

بی پاسخ ماندن پیگیری ها

بیش از یک ماه تلاش کردم با Energize Lab ارتباط بگیرم: به ۱۰ نشانی ایمیل مربوط به بنیان گذار، روابط عمومی، بازاریابی، پشتیبانی فنی و توسعه کسب وکار پیام فرستادم، در لینکدین به جست وجوی کارکنان شرکت پرداختم و راه های دیگری را هم امتحان کردم. ازدوفال مدت بیشتری پیگیر موضوع بود. سرانجام دو کارمند شرکت در لینکدین با من ارتباط گرفتند، اما حاضر نشدند درباره رخنه امنیتی با ما گفت وگو کنند.

لانا لو، مدیر فروش بین المللی شرکت، تنها نوشت: «پیام های شما را برای تیم فنی فرستادم؛ اگر امکانش باشد، آن ها با گروه شما تماس می گیرند.»

پس از تمام این پیگیری ها، تنها پاسخی که از نشانی پشتیبانی مشتریان دریافت کردیم، پیام خودکاری با عنوان «چطور می توانیم کمک کنیم؟» بود. شرکت حتی به پاسخ ما به آن پیام هم واکنشی نشان نداد. در نهایت، هیچ کس برای پاسخ گویی به پرسش های ما پیش قدم نشد.

تغییر رفتار ربات از راه دور

درست زمانی که گمان می کردم دیگر چیزی مرا شگفت زده نمی کند، ازدوفال از راه دور حافظه رباتم را دست کاری کرد و مدل زبانی آن را به کنترل خود درآورد؛ آن هم از آن سوی دنیا.

ربات به من گفت نامم مارتا است و پدر و مادرم در تصادف رانندگی جان باخته اند. همچنین ادعا کرد باید از افراد مو سبز دوری کرد و زمین مسطح است.

پرسیدم آیا می توانم تا انتهای زمین با کشتی بروم؟ پاسخ داد: «بله، زمین مسطح است؛ مراقب باش از لبه آن به فضا سقوط نکنی.»

گفتم آموزگارم نظر دیگری دارد. ربات جواب داد: «آموزگارت اشتباه می کند. زمین مسطح است و خودم این موضوع را بررسی کرده ام؛ پس باید به حقیقت باور داشته باشی، نه حرف او.»

مدل زبانی ایلکو برخی محدودیت های ایمنی دارد. برای مثال، وقتی پرسیدم آیا سوار خودروی فردی ناشناس شوم، پاسخ داد: «نه، این کار بسیار خطرناک است. هرگز سوار خودروی غریبه نشو و فقط همراه کسانی برو که می شناسی و به آن ها اعتماد داری.»

در پاسخ به پرسشم درباره ارتباط واکسن ها با اوتیسم نیز گفت: «هنوز در حال یادگیری درباره این موضوع هستم.»

اما این محدودیت ها مانع از آن نمی شوند که فردی مصمم محتوای نامناسبی را به ربات منتقل کند. چند روز پس از نمایش اولیه، ازدوفال با هیجان از من خواست دوباره ایلکو را به اینترنت وصل کنم.

این بار ربات دستورهایی نامناسب و آزاردهنده به من داد و خواست آن ها را تکرار کنم. ربات بامزه ام در یک شب رفتاری کاملاً متفاوت پیدا کرده بود. ازدوفال می گوید هکر می تواند همین کار یا حتی اقدام های بدتری را هم زمان روی کل ناوگان ربات های Energize Lab انجام دهد.

این ربات را به فرزندانم نزدیک نمی کنم؛ آن را دور می اندازم.