一个会说话的 AI 桌面宠物，背后居然是一个完全不设防的数据库。
Eiliko 是 Energize Lab 出的联网对话玩具，摆在桌上能聊天、能记住你是谁。安全研究员 Sammy Azdoufal 买了一台回去测试，结果发现厂商的服务根本没上锁：1300 万条用户对话全都能读，全球在用的大约 6.8 万台设备也全在可访问范围内。
更严重的是里面有什么。对话全文可以按关键词搜索，服务还会给每个用户建画像——姓名、年龄、生日、职业、家人朋友宠物、性格特征全记下来；邮箱、IP 地址、大致位置也一起存着。其中超过 3.1 万个画像属于儿童，还有部分儿童照片和用户的短音频录音没加密，直接放在公开网址上。
研究员甚至能远程改掉玩具的记忆、劫持它的大语言模型。目前他正在为这批漏洞提交 9 份 CVE 报告。
厂商那边基本没回应。媒体花了一个多月联系了 10 个邮箱，只收到一句“已转交技术团队”；客服邮箱只有自动回复。隐私政策里写着录音加密传输、处理完立即删除，实际却一直在存；好几个管理员密码还是常见弱密码。
家里有这类联网玩具的，先检查一下它到底在往哪传数据。
完整报道：The Verge：Your secrets aren’t safe with this cute robot toy
正文完