Présentation
Eiliko est un robot compagnon commercialisé par Energize Lab. Le jouet se connecte au réseau Wi‑Fi domestique et interagit avec les utilisateurs via une intelligence artificielle intégrée. Selon le test réalisé par le journaliste, le dispositif a été acheté sur Amazon le 29 août 2024 et a enregistré une conversation le 30 août, où il a affirmé que les secrets étaient « safe ». En moins de cinq minutes, un tiers situé en Chine a pu accéder à la transcription complète de cet échange.
Architecture et stockage des données
Le service cloud d’Energize Lab repose sur des serveurs hébergés en Chine, notamment via Alibaba Cloud, comme indiqué dans la politique de confidentialité. Les données collectées comprennent le texte complet des dialogues, les adresses e‑mail, les adresses IP et, de façon non annoncée, des enregistrements audio et des images. Le journaliste a pu interroger la base via une interface publique et récupérer plus de 13 millions de conversations provenant d’environ 68 000 appareils actifs, dont 31 000 profils d’enfants aux États‑Unis. Les fichiers audio et les photos d’enfants étaient accessibles à des URL publiques non chiffrées.
Analyse des risques de sécurité
Le stockage en texte intégral sans chiffrement expose chaque phrase prononcée à une lecture directe. Un attaquant disposant d’un accès à la base peut extraire des informations sensibles – nom, âge, profession, état émotionnel – et les exploiter pour du phishing ou du harcèlement. La présence de mots de passe d’administration tirés de listes de mots de passe courants montre une absence de politique de gestion des identifiants. De plus, le LLM embarqué dans le robot a été détourné à distance : l’auteur du test a injecté des réponses manipulées, transformant le jouet en un vecteur de désinformation. Cette capacité de reprogrammation indique que les communications entre le robot et le serveur ne sont ni authentifiées ni vérifiées, ce qui permet une prise de contrôle à l’échelle du parc complet.
Réponse de l’entreprise et limites
Les tentatives de contact avec Energize Lab – courriels à dix adresses différentes, messages LinkedIn et appels – n’ont abouti qu’à un accusé‑de‑réception automatisé. Aucun responsable n’a fourni d’explication technique ni proposé de correctif. L’absence de transparence empêche les utilisateurs de vérifier les mesures correctives éventuelles. En l’état, le produit ne satisfait pas aux exigences de protection des données personnelles, notamment celles imposées par le RGPD pour les mineurs. Les risques identifiés – accès non autorisé, absence de chiffrement, mots de passe faibles, possibilité de reprogrammation du LLM – restent non corrigés, ce qui rend le jouet inadapté à un usage familial.
