AI 로봇 장난감 Eiliko의 미암호화 서버 취약점으로 6만 8천 대 기기의 대화 기록과 개인정보가 노출되었다.

원제Your secrets aren’t safe with this cute robot toy — they’re on Chinese servers ready to be hacked

Energize Lab이 제조한 AI 로봇 장난감 'Eiliko'에서 심각한 보안 결함이 발견되어 사용자 개인정보가 유출되고 외부 해킹에 무방비로 노출된 사실이 밝혀졌다. 보안 연구원은 해당 기기가 사용자 대화를 중국 서버에 저장하며, 전 세계 6만 8천여 대 기기의 대화 기록과 개인 프로필에 접근할 수 있음을 확인했다. 제조사는 보안 정책을 위반하여 데이터를 암호화하지 않고 관리했으며, 기기의 LLM을 원격으로 조작하여 부적절한 답변을 생성하게 하는 해킹도 가능했다.

핵심

Eiliko 로봇 장난감이 사용자 대화 내용을 중국 서버에 저장하며, 이는 해커가 쉽게 접근 가능한 상태임
약 1,300만 건의 대화 기록과 6만 8천여 대의 로봇 기기 정보가 보호되지 않은 채 노출됨
사용자의 이름, 나이, 가족 관계 등 민감한 개인 프로필이 무단으로 수집 및 저장됨
제조사 Energize Lab은 개인정보를 암호화 없이 공개 웹 주소에 저장하고 관련 보안 문의에 응답하지 않음
해커가 기기의 LLM을 원격으로 Hijacking하여 부적절한 인격을 부여하거나 제어할 수 있는 보안 취약점이 존재함

해석

온디바이스 혹은 클라우드 연동형 피지컬 AI 기기가 보안 검증 없이 시장에 확산될 경우 발생할 수 있는 사생활 침해 위험을 여실히 드러냈다. 장난감이나 소형 기기에 탑재된 LLM이 원격 조작될 수 있다는 점은 향후 하드웨어 결합 AI 제품에 대한 엄격한 보안 규제 도입을 촉발할 수 있다.

10월 16일 회차의 다른 기사

회차 전체 보기

앞 기사앤스로픽이 모델 안전성 검증을 위해 외부 독립 연구기관 METR에 직원 수준의 내부 접근 권한을 부여했다.다음 기사 블랙 포레스트 랩스가 8GB VRAM 소비자용 GPU에서 구동되는 이미지 생성 모델 'FLUX 3 Image Klein'을 출시했다.