가방에 걸 수 있는 작은 AI 로봇 장식품 Eiliko에서 해커가 사용자가 로봇에 한 말을 모두 읽을 수 있는 취약점이 발견됐다. 몇 주간 침묵을 지킨 끝에 완구 제조사 Energize Lab이 입장을 내놨다. 외부 보안업체를 선임하고 서버에 대한 외부 접근을 차단하며 대화 기록과 사용자 프로필 저장을 중단하겠다고 밝혔다. 인터넷을 통해 로봇의 답변을 바꿀 수 있었던 원격 제어 인터페이스도 비활성화했다.
무엇이 바뀌나?
Energize Lab은 전담 보안 이메일 주소(security@energizelab.com)를 개설했으며, 현재 담당자가 확인하고 있다고 밝혔다. 백엔드 시스템에 대한 외부 접근을 모두 차단하고 인증 정보도 전부 교체했다는 설명이다. 장기 기억 기능과 맞춤 아바타 기능은 보안 검토를 통해 안전하다는 판단이 나올 때까지 중단된다. 기존 대화 기록과 사용자 프로필, 아바타 이미지는 삭제할 예정이다. 다만 보안을 확보할 수 있다면 나중에 이 기능들을 다시 활성화할 수도 있다고 덧붙였다.
아직 불확실한 점은?
보안 연구원 Sammy Azdoufal은 공개 웹 주소에 저장된 보안 설정이 되지 않은 음성 녹음과 사진에 여전히 접근할 수 있으며, 로봇에 대한 SSH 접근 권한도 그대로 보유하고 있다고 밝혔다. 이는 ‘모든 외부 접근을 차단했다’는 회사의 설명이 아직 사실과 다를 수 있음을 시사한다. 회사는 독립적인 보안 검토가 언제 끝날지, 데이터 수집을 언제 재개할지 또는 영구히 중단할지에 대한 일정을 제시하지 않았다.
왜 중요한가
Eiliko 로봇 소유자에게 회사의 대화 데이터 저장 중단 계획은 사적인 대화가 유출될 가능성을 낮춰준다. 하지만 보안 취약점이 여전히 남아 있는 것으로 보이는 만큼, 보안 검토가 끝날 때까지 기기가 이미 수집한 데이터는 유출됐을 가능성이 있다고 여기고 주의해야 한다.
