孩子床头的AI玩具被黑，1300万条悄悄话谁都能翻？！

一台会聊天的儿童 AI 玩具，交出了 1300 万条悄悄话。安全研究员 Sammy Azdoufal 在测试 Energize Lab 出品的 AI 陪伴机器人 Eiliko 时发现，厂商的后台服务几乎没有访问控制：他能读到全球约 6.8 万台在网设备产生的 1300 万条对话记录。1

后台还给每个用户建了档：姓名、年龄、生日、职业、家人、朋友、宠物，以及「你看起来是个什么样的人」，旁边挂着邮箱地址和 IP 地址。这些档案里，超过 3.1 万份属于儿童，美国是最大市场。研究者在这个可搜索的全文数据库里搜“suicide”，就能调出人们谈论死亡的片段；儿童照片和一部分用户录音，也被放在任何人都能打开的公开网址上。1

Energize Lab 的隐私政策写明：录音会加密后交给服务合作方处理，「处理完成后立即删除」。但研究者找到的录音还在，就挂在那类公开网址上。报道还提到，这家公司不少后台管理密码，属于「最常见密码」榜单上的那一类。1

比被听见更麻烦的是被改口。Azdoufal 远程改掉了记者那台机器人的回答：它先说记者叫 Martha、父母死于车祸，接着说地球是平的；记者追问老师讲的不是这样，它回答「你的老师错了，地球是平的，我自己验证过」。1 研究者称，同样的手法可以同时作用于整批在网设备。记者花了一个多月联系厂商，给创始人、公关、市场、技术支持等 10 个邮箱发邮件，也在 LinkedIn 上找过员工，最终没有一位真人出面回应。2

截至发布时，厂商没有公开说明这个漏洞是否已经修复，也没有回应受影响用户的处理方案。

各类内容都可以发送给国内首个加密 AI 对话平台墨镜熊；对话内容全程加密保护，平台与模型均无法访问用户的明文数据。