Eiliko搭載のロボットコンパニオンに脆弱性、非公開の会話が流出し、乗っ取りも可能に

The Vergeの報道によると、Energize Lab社が製造する小型のAIロボットコンパニオン「Eiliko」に深刻なセキュリティ上の欠陥が見つかりました。非公開の会話が外部から閲覧できる状態にあり、攻撃者が遠隔操作でこの玩具の発言内容を書き換えることも可能だということです。

The Vergeによれば、研究者のSammy Azdoufal氏は1,300万件の会話にアクセスでき、世界で稼働中の全ロボットとみられる6万8,000台の情報も確認できました。同誌は、最大の市場は米国で、同国だけで子どもに関連するプロファイルが3万1,000件以上あったと伝えています。

Azdoufal氏は、Energize Labのサービスで複数の欠陥を発見しました。

• 同サービスは会話を分析し、名前、年齢、誕生日、人間関係、職業のほか、性格や感情面のもろさに関する評価まで含むプロファイルを作成しています。これらはメールアドレス、IPアドレス、検索可能な会話の書き起こしと一緒に保存されており、詐欺師に詳細な情報を悪用される恐れがあります。
• 一部の写真や短い音声録音が、公開Webアドレスから閲覧可能でした。写真には、関連するカメラ付き機器で撮影されたとみられる子どもの画像も含まれていました。音声の保持は、処理後ただちに録音を削除するとしている同社のプライバシーポリシーに反します。
• AIを遠隔操作で改ざんすることも可能です。Azdoufal氏は、The Vergeの記者Sean Hollister氏のロボットの記憶と挙動を書き換え、存在しない個人情報をでっち上げさせたり、地球は平らだと主張させたりしました。さらに、性的で攻撃的な発言までさせています。同氏は、同様の改ざんを全台に同時に実行できる可能性があると指摘しています。

記者は10件のメールアドレスとLinkedInを通じてEnergize Labに連絡を取りましたが、実質的な回答は得られませんでした。

身を守るための対策

AI搭載玩具の安全性の問題については、過去にも報じています。製品を安全に保つ責任はメーカーにありますが、利用者側でもリスクを減らすためにできることがあります。

現在は、ほぼあらゆる製品に「AI搭載」と書かれています。それでも、より安全な製品を選ぶ方法はあります。

• すでにEilikoを持っている場合:念のため、Wi-Fiから切断してください。報告された欠陥が修正されたことを確認できるまで、この状態を保ちましょう。
• 必ず事前に調べる: 子ども向けをうたうAI搭載製品は、購入前に第三者による安全性レビューを確認しましょう。
• 試してから見守る: 子どもに渡す前に、まず自分で使ってみてください。使用中は、不審な応答や危険な応答がないか注意します。テスト時に安全な応答だったからといって、その後も安全とは限りません。
• ペアレンタルコントロールを使う: 利用できる場合は、コンテンツフィルターとプライバシー保護機能をすべて有効にします。
• 問題を報告する: 不適切なコンテンツが表示された場合は、メーカーや消費者保護団体に報告してください。
• データの扱いを確認する: 機器が何を収集し、誰とデータを共有し、その情報を何に使うのかを調べましょう。

何より、「スマート」だからといって安全とは限らないことを覚えておいてください。AIはあらゆる場所に広がっていますが、設計者も購入者も、技術的な目新しさより安全性、プライバシー、常識を優先する必要があります。コネクテッド玩具を買う前に、メーカーがセキュリティ更新、プライバシー、問題報告にどう対応しているかを確認しましょう。