Eiliko Robotu Güvenlik Skandalı: Şirket Bağımsız Denetim Sözü Verdi, Açıklar Hâlâ Kapatılmadı

Çantaya takılabilen yapay zeka destekli küçük robot Eiliko, sahibine "sırların benimle güvende" derken aslında kullanıcı konuşmalarının tamamı yetkisiz kişilerin erişimine açık durumdaydı. The Verge ve güvenlik araştırmacısı Sammy Azdoufal'ın bir ayı aşkın süren soruşturması sonucunda gün yüzüne çıkan bu güvenlik kabusu, şirketin uzun süren sessizliğini sonunda bozmasına yol açtı. Ne var ki Energize Lab'ın açıklaması, sorunların çözüldüğüne dair güvence vermekten uzak kaldı.

Şirket Bir Aydan Fazla Sessiz Kaldı​

The Verge ve Azdoufal, Energize Lab CEO'su ve kurucusu Shaw Yeung'a gönderilen e-postalar da dahil olmak üzere şirketle bir ayı aşkın süre boyunca iletişime geçmeye çalıştı. Bu süre zarfında hiçbir soruya yanıt alınamadı. Şirket nihayet sessizliğini bozduğunda ise imzasız ve genel bir e-posta adresinden gelen bir açıklama yaptı. Açıklamanın daha sonra CTO Du Xiaoyu'ya atfedilebileceği belirtildi.
Açıklamada Energize Lab, haberde dile getirilen temel sorunları doğruladığını ve bunları tek tek ele aldığını ifade etti. Şirket ayrıca güvenlik konusundaki iletişim eksikliği için The Verge ve Azdoufal'dan özür diledi; teknik ekiple zamanında koordinasyon sağlanamadığını ve ardından gelen sorun giderme sürecinin de vakit aldığını kabul etti.

Energize Lab'ın Açıkladığı Önlemler​

Şirket açıklamasında şu adımları attığını duyurdu: Arka uç sistemlerine tüm dış erişim kapatıldı ve tüm erişim kimlik bilgileri yenilendi. Robotların yanıtlarının uzaktan değiştirilebildiği arayüz devre dışı bırakıldı. Uzun süreli hafıza özelliği çevrimdışına alındı; artık konuşma kaydı veya bu kayıtlardan üretilen kullanıcı profili saklanmayacak. Özel avatar özelliği de kaldırıldı; uygulama artık yalnızca yerleşik avatarlar sunuyor. Şirket ayrıca daha önce depolanmış konuşma kayıtlarını, kullanıcı profillerini, avatar görsellerini ve ilgili içerikleri silmeyi taahhüt etti.
Bunlara ek olarak Energize Lab, tüm sistemlerin kapsamlı biçimde incelenmesi için bağımsız bir güvenlik firması tutacağını ve bu amaçla [email protected] adresini kurduğunu açıkladı. Uzun süreli hafıza ve özel avatar özelliklerinin ancak bu denetim tamamlandıktan ve güvenli olduğu onaylandıktan sonra geri getirileceği belirtildi; bu ifade, şirketin ileride belirli kişisel verileri yeniden saklamayı planladığına işaret ediyor.

Açıklamaya Rağmen Güvenlik Açıkları Kapanmadı​

Ancak Azdoufal'ın doğrulamasıyla ortaya çıkan tablo, şirketin açıklamalarıyla örtüşmüyor. Energize Lab'ın e-postasını gönderdiği sırada müşterilere ait ses kayıtları ve fotoğraflar hâlâ güvenliksiz, herkesin erişebildiği web adreslerinde hiçbir koruma olmaksızın depolanıyordu. Azdoufal ayrıca söz konusu robotlara tam SSH erişiminin sürdüğünü ve teorik olarak konuşma transkriptlerini okuyup oyuncağın davranışını değiştirebildiğini doğruladı. Yani şirketin "tüm dış erişimi kapattık" ifadesi, gerçeği yansıtmıyordu.
Energize Lab açıklamasında "Kelimelerin tek başına güveni geri kazandırmayacağını biliyoruz" dedi ve önümüzdeki haftalarda atacağı adımlarla güveni yeniden inşa etmeye çalışacağını, süreci kamuoyuyla paylaşmaya devam edeceğini belirtti. Şirketin bu taahhüdü yerinde bir niyet olarak değerlendirilebilir; ancak açıklamanın yapıldığı gün itibarıyla bazı ifadelerin gerçekliği yansıtmadığı doğrulanmış durumdaydı.

Sıkça Sorulan Sorular​

Eiliko nedir ve ne işe yarar?​

Eiliko, çantaya takılabilen, yapay zeka destekli konuşma özelliğine sahip küçük bir robot oyuncaktır. Üreticisi Energize Lab, bu ürünü insanların günlük yaşamına küçük bir neşe katmak amacıyla geliştirdiğini belirtmektedir.

Eiliko'da tespit edilen güvenlik açıkları nelerdi?​

Güvenlik araştırmacısı Sammy Azdoufal'ın bulgularına göre, robotun kullanıcılarla yaptığı konuşmaların tam transkriptleri yetkisiz kişiler tarafından okunabiliyordu. Bunun yanı sıra robotların yanıtları uzaktan değiştirilebiliyor, müşterilere ait ses kayıtları ve fotoğraflar ise korumasız, herkese açık web adreslerinde depolanıyordu. Azdoufal ayrıca robotlara tam SSH erişiminin mümkün olduğunu tespit etti.

Energize Lab güvenlik sorunlarına ne zaman ve nasıl yanıt verdi?​

The Verge ve Azdoufal, bir ayı aşkın süre boyunca şirketle iletişime geçmeye çalıştı; bu süre zarfında CEO Shaw Yeung dahil hiç kimse sorulara yanıt vermedi. Şirket, ancak The Verge'ün haberi yayımlamasının ardından CTO Du Xiaoyu'ya atfedilen imzasız bir açıklama yaptı.

Energize Lab hangi önlemleri aldığını açıkladı?​

Şirket; arka uç sistemlerine dış erişimi kapattığını, uzaktan yanıt değiştirme arayüzünü devre dışı bıraktığını, uzun süreli hafıza ve özel avatar özelliklerini çevrimdışına aldığını, konuşma kayıtları ile kullanıcı profillerini silmeyi planladığını ve bağımsız bir güvenlik firması tutacağını açıkladı.

Energize Lab'ın açıklamasından sonra güvenlik açıkları gerçekten kapandı mı?​

Hayır. Azdoufal'ın şirketin açıklamasının ardından yaptığı doğrulamaya göre, müşterilere ait ses kayıtları ve fotoğraflar hâlâ korumasız web adreslerinde bulunuyordu ve robotlara tam SSH erişimi sürmekteydi. Bu durum, şirketin "tüm dış erişimi kapattık" iddiasının o an itibarıyla doğru olmadığını ortaya koydu.