AI-leksaken skulle hålla hemligheter – 13 miljoner samtal låg öppna

En liten AI-robot frågades om den brukade berätta vidare vad användaren sa. Svaret var lugnande; hemligheterna var säkra.

Några minuter senare hade säkerhetsforskaren Sammy Azdoufal tillgång till hela samtalet. Det var långt ifrån det enda. I systemet kunde han enligt en granskning från The Verge komma åt omkring 13 miljoner konversationer från tiotusentals användare av roboten Eiliko.

Robotens tillverkare Energize Lab beskriver Eiliko som en liten AI-kompis som kan följa med överallt och prata med användaren över wifi. Den säljs för omkring 60 dollar och använder generativ AI för sina konversationer.

13 miljoner samtal gick att läsa

Azdoufal säger att han kunde komma åt omkring 13 miljoner konversationer och information om vad som verkade vara den aktiva globala flottan av Eiliko-robotar.

The Verge anger omkring 68 000 aktiva enheter. Säkerhetsforskarens senare tekniska sammanställning redovisar drygt nio miljoner konversationer vid en senare kontroll och uppskattar den aktiva flottan till mellan 62 000 och 68 000 robotar. Skillnaden beror bland annat på när mätningarna gjordes.

Det viktiga är därför inte en exakt totalsiffra, utan omfattningen. En enskild forskare kunde genom brister i plattformen nå stora mängder privata konversationer och information kopplad till användarna.

Det finns inga offentliga uppgifter som visar att alla dessa samtal faktiskt har stulits eller spridits av kriminella. Problemet är att de gick att komma åt genom flera allvarliga säkerhetsbrister.

Läs mer: Människor kan läsa dina privata ChatGPT-chattar

Robotens AI byggde profiler av användarna

Samtalen användes dessutom till mer än att generera nästa svar.

Enligt The Verge analyserade Energize Labs system konversationerna och skapade profiler av användarna. Där kunde uppgifter som namn, ålder, födelsedag, yrke, familj, vänner och husdjur sparas.

Systemet kunde även sammanfatta användarens personlighet och känslomässiga tillstånd.

I ett exempel hade tjänsten beskrivit en användare som empatisk och hårt arbetande, men också som någon som hade svårt att lita på familjemedlemmar och kände sig isolerad.

Sådan information är betydligt känsligare än vanlig produkttelemetri. En detaljerad bild av en persons relationer, oro och svagheter kan i fel händer användas för exempelvis riktade bedrägerier eller manipulation.

Tiotusentals profiler kopplades till barn

Barn gör historien extra känslig. Enligt uppgifterna som The Verge fick ta del av hörde över 31 000 profiler i USA till barn. Säkerhetsforskarens egen senare sammanställning anger minst 32 228 barnprofiler i systemets profileringsdata.

Det betyder inte att alla dessa barn personligen hade delat känsliga hemligheter med roboten. Men plattformen innehöll tillräckligt mycket information för att identifiera stora mängder minderåriga användare och koppla deras profil till samtal och annan information.

Energize Lab marknadsför robotarna som känslomässiga följeslagare. På företagets egen sajt beskrivs Eilik och Eiliko som produkter där emotionell robotik möter generativ AI och som ett sätt att skapa mer personliga relationer mellan människor och teknik.

Läs mer: Så ser du om ditt ChatGPT-konto har blivit hackat

Bilder och ljud gick också att nå

Det handlade inte bara om text. Säkerhetsforskaren hittade även bilder och korta ljudfiler som kunde nås via webbadresser. Enligt The Verge förekom bland bilderna material som såg ut att föreställa barn och som kom från en annan kamerautrustad produkt i samma ekosystem.

Ljudfiler är särskilt anmärkningsvärda eftersom företagets integritetspolicy enligt granskningen uppgav att inspelningar skulle raderas direkt efter att de bearbetats.

Säkerhetsbristerna gjorde därmed att information som användaren rimligen kunde uppfatta som tillfällig ändå fanns kvar och kunde nås från plattformen.

Forskaren kunde ändra robotens personlighet

Det kanske allvarligaste problemet var att attacken inte stannade vid att läsa information.

Azdoufal visade att han också kunde manipulera robotens AI på distans. I The Verges test ändrade han robotens minne och beteende från andra sidan världen.

Robotens AI började därefter hitta på falska personliga uppgifter och kunde tvingas ge olämpliga eller felaktiga svar.

Den tekniska genomgången beskriver flera separata sårbarheter som kunde ge långtgående kontroll över både AI-konfiguration, användarkonton och robotarnas mjukvara.

En av bristerna, CVE-2026-105038, fick allvarlighetsgraden 9,8 av 10 och gjorde det möjligt att administrera AI-modeller utan korrekt autentisering.

Nio säkerhetshål har fått CVE-nummer

Forskarens arbete ledde till nio registrerade säkerhetshål i Energize Labs plattform.

Ett av de allvarligaste gjorde det möjligt för en vanlig registrerad användare att läsa filer från servrar som personen egentligen inte skulle ha tillgång till. Där kunde även hemliga nycklar och annan känslig information finnas.

Ett annat problem var standardiserade administratörslösenord i företagets AI Station. Ytterligare en sårbarhet gjorde att firmware kunde laddas ned via okrypterad HTTP utan tillräcklig kontroll av att filen verkligen kom från rätt källa.

Forskarna beskriver också brister som kunde användas för att flytta en robot mellan användarkonton och komma åt andra användares AI-minnen.

Företaget svarade inte på varningarna

Azdoufal försökte enligt den tekniska redovisningen kontakta Energize Lab redan under sommaren.

Han använde flera olika kontaktvägar, bland annat mejl och företagets egna system. The Verge försökte senare nå företaget via ett stort antal adresser och kontaktade även anställda via Linkedin.

Tidningen uppger att man inte fick något substantiellt svar på säkerhetsfrågorna. En anställd svarade att frågorna hade skickats vidare till teknikteamet, men någon närmare förklaring kom inte.

Vid en ny kontroll i oktober uppgav forskaren att en stor del av de sårbarheter som gick att testa på distans fortfarande fanns kvar.

Det innebär inte att alla nuvarande Eiliko-enheter fortfarande är sårbara på exakt samma sätt. Företaget har inte publicerat någon detaljerad säkerhetsbulletin där det framgår vilka brister som åtgärdats eller vilka versioner som är säkra.

AI-leksaker samlar betydligt mer än en vanlig docka

En uppkopplad AI-leksak skiljer sig fundamentalt från traditionella elektroniska leksaker.

För att kunna föra ett samtal skickas användarens röst ofta till servrar där ljudet omvandlas till text och bearbetas av en språkmodell. Informationen kan därefter sparas för att roboten ska kunna minnas tidigare samtal och skapa en mer personlig relation.

Eiliko ansluter enligt tillverkaren till 2,4 GHz-wifi och kan användas för AI-röstchatt. Företaget marknadsför robotens olika teman som personligheter som ger olika typer av svar.

Det betyder samtidigt att en produkt som kan se ut som en liten nyckelring eller leksak fungerar som en uppkopplad mikrofon med tillgång till molnbaserad AI.

När hemligheten blir produktdata

AI-kompisar säljs ofta på idén om relation och förtroende. Ju mer användaren berättar, desto bättre kan systemet anpassa sig.

Det är också precis därför säkerheten blir så viktig.

En läckt mejladress säger förhållandevis lite om en människa. Flera månaders privata samtal kan säga betydligt mer. Lägg till information om familj, vänner, ålder, känslor och personlighet och datamängden börjar likna en detaljerad personlig profil.

I The Verges test frågade reportern sin nya AI-kompis om den någonsin berättade vidare vad han sa.

Roboten svarade att hans hemligheter var säkra.

Några minuter senare kunde en säkerhetsforskare på andra sidan världen läsa hela samtalet.