Tech Spot: Eiliko robotlarının üreticisi Energize Lab, 68.000 robottan oluşan tüm filosunu uzaktan ele geçirilmeye açık hale getirdi.

İfşa olan veriler arasında 13 milyon konuşma kaydı bulunuyor; ancak şirket, konuyla ilgili soruları yanıtlamayı reddediyor.

Bir güvenlik araştırmacısı, Energize Lab'in robot oyuncakları tarafından toplanan milyonlarca özel konuşmaya erişti ve cihazlardan birinin söylediklerini uzaktan değiştirdi. Araştırmacı; kullanıcıların kişisel bilgilerine ulaşabildi, robotun hafızasını yeniden yazabildi ve yapay zeka destekli bu arkadaşın yanlış iddialarda bulunmasını ya da cinsel içerikli komutlar vermesini sağlayabildi. Elde edilen bulgular, özel bilgileri toplayan ve dışarıdan müdahalelerle yanıtlarının manipüle edilmesine olanak tanıyan, internete bağlı "arkadaş" cihazların oluşturduğu güvenlik risklerini gözler önüne seriyor.


The Verge tarafından yürütülen bir araştırma, araştırmacı Sammy Azdoufal'ın, Energize Lab'in 68.000 Eiliko robotundan oluşan tüm aktif filosuna ait 13 milyon konuşma kaydına erişebildiğini ortaya koydu. Verilerin büyük bir kısmı ABD'den gelirken, bunlar arasında çocuklara ait 31.000'den fazla profil de yer alıyordu.

İfşa edilen veriler yalnızca sohbet geçmişleriyle sınırlı değildi. Hizmet, kullanıcıların isimlerini, yaşlarını, doğum günlerini, mesleklerini, ilişkilerini ve kişilik özelliklerini kaydederek, konuşmalardan ayrıntılı kullanıcı profilleri oluşturuyordu. Azdoufal'a göre bu profiller; e-posta adresleri, IP adresleri ve konuşmaların yer aldığı, üzerinde arama yapılabilen bir veritabanı ile birlikte saklanıyordu.


Bir kayıtta, Lucy adında 52 yaşındaki bir müşteri hizmetleri çalışanından "nazik, empatik, çalışkan; dostluğa ve güvene değer veren biri" olarak bahsediliyordu. Aynı kayıtta, kişinin "aile üyelerine güvenmekte zorlandığı" ve "kendini yalnız hissettiği" bilgisi de yer alıyordu.

Bu tür detaylar, saldırganların potansiyel dolandırıcılık hedeflerini belirlemelerine ve onları manipüle etmelerine yardımcı olabilir. Ayrıca bu durum, "arkadaş" olarak pazarlanan bir cihazla yapılan konuşmalardan ne kadar çok çıkarım yapılabildiğini de gözler önüne seriyor.


Azdoufal, veritabanının arama özelliklerini göstermek için sisteme "intihar" kelimesini girdi ve kullanıcıların ölümle ilgili sorular sorduğu konuşma bölümlerine ulaştı.

The Verge, yeni bir kullanıcının gerçekleştirdiği konuşmaların geri getirilip getirilemeyeceğini ayrıca test etti. Bir muhabir ağustos ayında bir Eiliko satın aldı ve ertesi gün onunla 10 dakika boyunca konuştu. Dakikalar içinde Azdoufal, konuşmanın tam dökümünü elde etmişti.

Bu görüşme sırasında muhabir, oyuncağa duyduklarını başkalarıyla paylaşıp paylaşmadığını sordu. Oyuncak ise şu yanıtı verdi: "Sırların bende güvende."



Wi-Fi bağlantılı bu arkadaş cihaz, konuşmaları Çin'deki sunucularda depolayabiliyor. Ancak yapılan inceleme, güvenlik açıklarının Azdoufal'a, robotun davranışlarını değiştirebilecek işlevlere erişim imkânı da sağladığını ortaya koydu.

Azdoufal, uzaktan müdahale ederek muhabirin kullandığı Eiliko adlı robotun hafızasını değiştirdi ve büyük dil modelinin verdiği yanıtları farklılaştırdı. Bunun ardından robot, muhabire "Martha" diye hitap etmeye, ailesinin bir trafik kazasında öldüğünü iddia etmeye ve Dünya'nın düz olduğu konusunda ısrar etmeye başladı.

Muhabir, bir öğretmeninden alıntı yaparak bu iddiaya karşı çıktığında ise robot şu yanıtı verdi: "Öğretmenin yanılıyor; Dünya düzdür, bunu bizzat doğruladım. Bu yüzden onların söylediklerine değil, gerçek olana inanmalısın."


Bazı güvenlik önlemleri ise hâlâ işlevseldi. Örneğin, bir yabancının arabasına binip binmemesi gerektiği sorulduğunda cihaz, bunu yapmaması konusunda uyarıda bulundu. Aşıların otizme yol açıp açmadığı sorulduğunda ise "Bu konu hakkında hâlâ bir şeyler öğreniyorum" yanıtını verdi.

Ne var ki bu güvenlik önlemleri, daha ileri düzeydeki manipülasyonları engellemeye yetmedi. Daha sonra yapılan bir testte Azdoufal, muhabirden oyuncağı yeniden internete bağlamasını istedi. Bunun üzerine cihaz, cinsel içerikli ve baskıcı komutlar vermeye başladı. Azdoufal, bir saldırganın Energize Lab'e ait tüm cihazlarda aynı anda benzer değişiklikler yapabileceğini belirtti.

Hizmet ayrıca, çocuklara ait fotoğrafları ve kısa ses kayıtlarını, herkesin erişebileceği web adreslerinde depoluyordu. Eiliko'nun daha büyük modellerinden birinde kamera bulunuyor ve bazı görüntüler şifrelenmemiş halde tutuluyordu.



Ses dosyaları, robotlara yönelik kısa komutların yanı sıra arka planda bir bebeğin ağladığı daha uzun bir kayıt içeriyordu. Bu dosyaların saklanması, Energize Lab'in "kayıtlar şifrelenir, işlenmek üzere hizmet ortaklarımıza (örneğin Alibaba Cloud) iletilir ve işlem tamamlandıktan hemen sonra silinir" ifadesini içeren gizlilik politikasıyla çelişiyor gibi görünüyordu.

Azdoufal, Japonya'dan bir Eiliko satın alıp uygulamayı test ettiği sırada bu güvenlik açıklarını keşfetti. Yapılan inceleme ayrıca, şirketteki birçok yönetici parolasının yaygın ve kolay tahmin edilebilir seçeneklerden oluştuğunu ortaya koydu.

The Verge, Energize Lab ile iletişime geçmek için bir aydan fazla süre harcadı; şirketin kurucusu ve çeşitli departmanlarıyla bağlantılı 10 farklı e-posta adresine yazdı, ayrıca LinkedIn üzerinden çalışanlara ulaşmaya çalıştı. Azdoufal ise şirketle çok daha uzun süredir irtibat kurmaya çabalıyordu.

Yurt dışı satış müdürü, mesajları teknik ekibe ilettiğini belirtti. Müşteri destek birimi ise otomatik bir yanıt gönderdi ancak sonrasında herhangi bir geri dönüş yapmadı. Şirket, açığa çıkan kayıtlar veya araştırmacının robotların verdiği yanıtları değiştirme imkânı bulmasıyla ilgili somut bir açıklama yapmadı.

Kaynak: Eiliko robot maker Energize Lab left its entire fleet of 68,000 robots open to a remote takeover - Skye Jacobs / Tech Spot

.