Energize Lab, Eiliko oyuncağı sahiplerinin ses kayıtlarını ifşa ettikten sonra güvenlik firması tutacak

Çantaya asılan ve sohbet edebilen küçük bir robot aksesuarı olan Eiliko AI companion'ın üreticisi Energize Lab, The Verge'ün saldırganların sahiplerin cihaza söylediği her şeyin tam transkriptlerini kolayca okuyabileceğini ortaya koymasının ardından, sistemlerini denetlemek için dışarıdan bir güvenlik firması getireceğini açıkladı. Şirket ayrıca saklanan konuşma verilerini silmeyi taahhüt etti; ancak The Verge'e göre ciddi güvenlik açıkları hâlâ aktif durumda.

Energize Lab'ın verdiği sözler

The Verge'e göre şirket, bir aydan uzun süren sessizliğini, genel bir e-posta adresinden gönderilmiş imzasız bir açıklamayla bozdu. Açıklamada Energize Lab, haberlerde dile getirilen temel sorunları kabul etti ve bunların her biri üzerinde çalıştığını söyledi. Şirket, açıklamanın gönderildiği gün itibarıyla backend sistemlerine dış erişimi kapattığını, kimlik bilgilerini yenilediğini ve bir robotun yanıtlarının uzaktan değiştirilmesine imkân tanıyan bir arayüzü devre dışı bıraktığını iddia ediyor.

Açıklamada ayrıca, konuşma kayıtlarını ve bunlardan oluşturulan kullanıcı profillerini saklayan uzun süreli hafıza özelliğinin, özel avatar özelliğiyle birlikte kullanımdan kaldırıldığı; companion uygulamasının artık yalnızca yerleşik avatarlar sunduğu belirtiliyor. Saklanan konuşma kayıtları, kullanıcı profilleri, avatar görselleri ve ilgili içerikler silinecek ve şirket izlenen bir güvenlik iletişim adresi açmış durumda.

Hâlâ açık olan güvenlik açıkları

The Verge'e göre şirket tarafından açıklanan iyileştirme iddiaları tam olarak doğrulanmıyor. Yayın, güvenlik araştırmacısı Sammy Azdoufal ile birlikte çalışarak, açıklamanın geldiği sırada müşterilere ait ses kayıtlarının ve fotoğrafların hâlâ herkese açık, korumasız web adreslerinde barındırıldığını doğruladı. The Verge'ün paylaşmayı reddettiği bir bağlantıya sahip olan herkes, bir sahibin yüzünü anında görebiliyordu.

Azdoufal ayrıca The Verge'e, robotlara tam SSH erişiminin devam ettiğini ve teoride hâlâ transkriptleri okuyup bir oyuncağın davranışını değiştirebileceğini söyledi. Bu durum, dışarıdan gelen kişilerin artık sistemlerine erişemeyeceği şeklindeki şirket iddiasını doğrudan çürütüyor.

Veri toplama geri dönebilir

Açıklama, kişisel bilgi toplamanın yeniden başlatılması ihtimaline kapı aralıyor. Energize Lab, uzun süreli hafıza ve özel avatar özelliklerinin yalnızca bağımsız inceleme güvenli olduklarını doğrulayana kadar çevrimdışı kalacağını söylüyor — bu ifade, şirketin altyapısını güçlendirdikten sonra konuşmaların ve profil verilerinin saklanmasını yeniden devreye sokmayı amaçladığına işaret ediyor.

Yanıtsız e-postalarla geçen bir ay

The Verge ve Azdoufal, yanıtı almadan önce CEO ve kurucu Shaw Yeung'a gönderilen e-postalar da dahil olmak üzere bir aydan uzun bir süre boyunca Energize Lab'a ulaşmaya çalıştı ve kimse sorularını yanıtlamadı. Şirket açıklamasında sessizlik için özür diledi ve bunun nedenini, araştırmacıların bulgularının teknik ekibe zamanında iletilememesi ile takip soruşturmasının gerektirdiği süreye bağladı. Açıklama, yalnızca sözlerin güveni yeniden inşa etmeyeceği gerçeğini kabul ederek ve inceleme ilerledikçe güncellemeler verme sözü vererek sona eriyor.

Neden önemli

Eiliko'nun tüm konsepti samimi ve her an ulaşılabilir bir sohbete dayanıyor ve The Verge'ün de belirttiği gibi, oyuncağin kendisi sahiplerine sırlarının korunduğuna dair güvence veriyordu. Tam transkriptler, kayıtlar ve fotoğraflar doğru URL'ye denk gelen herkes tarafından çekilebiliyorsa bu söz çöküyor — ve burada görülen zayıf backend pratikleri, korumasız herkese açık depolamadan uzaktan değiştirilebilen davranışa ve kalıcı SSH erişimine kadar, tek bir ürüne değil, bağlantılı cihaz endüstrisinin geneline özgü sorunlardır.

Bu olay aynı zamanda iyileştirmeyi varsaymak yerine doğrulamanın bir vaka çalışması. Energize Lab'ın açıklaması dış erişimin kapatıldığını iddia ediyordu; oysa açıkları bulan araştırmacı aynı haber döngüsü içinde bunun aksini kanıtladı. AI companion alıcıları — ve onları takip eden gazeteciler ile araştırmacılar — için bağımsız teyit, bir düzeltmenin gerçek olduğuna dair tek güvenilir sinyal olmaya devam ediyor. Şirketin transkript ve profil saklamayı durdurma adımı, ortalık bekleme süresinde olsa bile, bu ürünlerdeki temel dengeyi gözler önüne seriyor: uzun süreli hafıza gibi özellikler hassas verilerin saklanmasına bağlı ve korun her bayt bir yükümlülük anlamına geliyor.