バッグに取り付けられる小型のAI搭載チャーム「Eiliko」は、ハッカーがユーザーとの会話をすべて読み取れる状態だったことが判明した。数週間にわたって沈黙していたが、この玩具を手がけるEnergize Labが声明を発表。外部のセキュリティ企業を起用し、サーバーへの外部アクセスを遮断したうえで、会話ログやユーザープロフィールの保存を停止するとしている。また、インターネット経由でロボットの返答を変更できる遠隔操作用インターフェースも無効にした。
どのような変更が行われるのか
Energize Labは、専任担当者が対応するセキュリティ専用メールアドレス（security@energizelab.com）を設置した。同社によると、バックエンドシステムへの外部アクセスはすべて遮断し、認証情報も一新した。長期記憶機能とカスタムアバター機能は、安全性が確認されるまで停止する。保存済みの会話記録、ユーザープロフィール、アバター画像は削除するという。ただし、安全を確保できれば、将来これらの機能を再び有効にする可能性があるとしている。
まだ明らかでない点は
セキュリティ研究者のSammy Azdoufalは、公開されたウェブアドレスに保存されている保護されていない音声録音や写真に、今もアクセスできると述べている。また、ロボットへのSSHアクセス権も引き続き完全な形で保持しているという。これは、「外部アクセスをすべて遮断した」という同社の説明が、現時点では正確でない可能性を示している。独立調査の完了時期や、データ収集をいつ、あるいは再開するのかについても、同社は明らかにしていない。
なぜ重要か
Eilikoの所有者にとって、会話データの保存をやめるという同社の計画は、個人的な会話が漏えいする可能性を減らすことにつながる。一方、セキュリティ上の問題がなお残っているとみられるため、調査が完了するまでは、端末がすでに収集したデータも漏えいした可能性があるものとして扱うべきだ。
