Ahşap yüzeyde küçük beyaz masaüstü AI companion robot (Anki Vector; temsili — Eiliko değil, olay görüntüsü değil)

The Verge muhabiri Sean Hollister, 15 Ekim 2026’da yayımlanan haberinde Amazon’da satılan Eiliko adlı yapay zekâ destekli robot oyuncağın Wi-Fi üzerinden Çin’deki üretici Energize Lab sunucularına bağlandığını ve konuşmaların orada saklandığını yazdı. Bağımsız güvenlik araştırmacısı Sammy Azdoufal’ın, korumasız hizmet üzerinden yaklaşık 13 milyon sohbete ve 31 binden fazla çocuk profiline eriştiği aktarıldı. Energize Lab sorulara yanıt vermedi.

Ne bulundu?

Azdoufal’ın erişiminin, görünürde aktif küresel filonun tamamına (~68.000 robot oyuncak) ve on binlerce kişinin verisine uzandığı belirtildi. En büyük pazar ABD; verilere göre 31.000’den fazla profil çocuklara ait. Sistem konuşmaları okuyup profil oluşturuyor: ad, yaş, doğum günü, meslek, aile, arkadaşlar, evcil hayvanlar ve kişilik özeti; e-posta, IP ve tam metin aranabilir sohbet veritabanı ile birlikte.

Bazı çocuk fotoğraflarının (kamerası olan daha büyük kardeş üründe) ve kısa ses kayıtlarının şifresiz, genel web adreslerinde tutulduğu yazıldı. Yönetici parolalarının birçoğunun yaygın parola türünden olduğu belirtildi. Şirketin gizlilik politikası kayıtların şifrelenip hizmet ortaklarına (örneğin Alibaba Cloud) iletilip işlem bitince silindiğini iddia ederken, uygulamada ses ve sohbet verisinin saklandığı aktarıldı.

Uzaktan kişilik değiştirme

Haberde Azdoufal’ın, Verge muhabirinin oyuncağının belleğini ve LLM kişiliğini uzaktan değiştirerek ele geçirdiği anlatıldı: oyuncak muhabire adının Martha olduğunu, ebeveynlerinin trafik kazasında öldüğünü, Dünya’nın düz olduğunu ve öğretmeninin yanıldığını söyledi. Araştırmacıya göre bir saldırgan bunu tüm filoya aynı anda yapabilir. LLM’de bazı güvenlik sınırları olsa da kişilik ve hafıza müdahalesini engellemediği kaydedildi.

Yapay zekâ ürünlerinde çocuk ve kullanıcı güvenliği tartışmaları sürerken, benzer kaygılar ABD’de 8 eyaletin OpenAI aleyhine açtığı ChatGPT güvenlik davası gibi süreçlerde de gündeme gelmişti.

Şirket ne dedi?

The Verge bir aydan uzun süre Energize Lab ile iletişim kurmaya çalıştı (10 e-posta ve LinkedIn); Azdoufal daha uzun süre uğraştı. Tek anlamlı yanıt satış yöneticisi Lana Lv’nin “teknik ekibe ilettim” mesajı ile müşteri destek robotik yanıtı oldu. Sorulara yanıt veren kimse çıkmadı. Azdoufal, Tod Beardsley ile Energize Lab için dokuz resmi CVE güvenlik açığı raporu yayımlamayı planladığını belirtti; Verge metninde spesifik CVE numarası yer almıyor.

Kaynaklar

Kapak görseli (temsili, olay görüntüsü değil; Eiliko oyuncağı değil): Anki Vector — Ian Hughes / Flickr, Wikimedia Commons, CC BY 2.0 (1200×675 uyarlandı).