Le robot Eiliko, un petit compagnon doté d’IA que l’on peut accrocher à un sac, permettait à des pirates de lire tout ce que les utilisateurs lui disaient. Après plusieurs semaines de silence, Energize Lab, l’entreprise à l’origine du jouet, a publié un communiqué. Elle annonce qu’elle fera appel à une société indépendante spécialisée en sécurité, bloquera tout accès externe à ses serveurs et cessera de stocker les historiques de conversation et les profils utilisateurs. L’entreprise a également désactivé l’interface de commande à distance qui permettait de modifier les réponses via Internet.
Quels changements sont prévus ?
Energize Lab a créé une adresse e-mail dédiée à la sécurité (security@energizelab.com), qui est désormais suivie. L’entreprise affirme avoir bloqué tout accès externe à ses systèmes internes et renouvelé les identifiants. Les fonctions de mémoire à long terme et d’avatar personnalisé sont désactivées jusqu’à ce qu’un audit de sécurité confirme qu’elles sont sûres. Les historiques de conversation, les profils utilisateurs et les images d’avatar existants seront supprimés. L’entreprise précise toutefois qu’elle pourrait réactiver ces fonctions ultérieurement si elle parvient à les sécuriser.
Qu’est-ce qui reste incertain ?
Le chercheur en sécurité Sammy Azdoufal affirme qu’il peut toujours accéder à des enregistrements audio et à des photos non sécurisés, stockés à des adresses web publiques, et qu’il conserve un accès SSH complet aux robots. Cela laisse penser que l’affirmation selon laquelle « tout accès externe a été bloqué » n’est pas encore exacte. L’entreprise n’a pas indiqué de date à laquelle l’audit indépendant sera terminé, ni précisé quand — ou même si — la collecte de données reprendra durablement.
Pourquoi c'est important
Pour les propriétaires du robot Eiliko, l’arrêt du stockage des conversations annoncé par l’entreprise réduit les risques de fuite de discussions personnelles. Toutefois, comme des failles de sécurité semblent subsister, les utilisateurs devraient considérer que les données déjà collectées par l’appareil sont potentiellement exposées jusqu’à la fin de l’audit.
