Eiliko, 13 milioni di chat esposte: il robot AI si può dirottare da remoto

🛡️ Executive Summary

• Il ricercatore Sammy Azdoufal ha individuato vulnerabilità nell’ecosistema Energize Lab che hanno consentito l’accesso a milioni di conversazioni e a informazioni associate a circa 68.000 robot Eiliko ed Eilik.
• La ricerca ha dimostrato la possibilità di modificare da remoto memoria e comportamento dell’assistente AI. Nove vulnerabilità hanno ricevuto identificativi CVE, comprese falle critiche nelle API e nei servizi cloud.
• Le informazioni accessibili comprendono profili personali, valutazioni delle vulnerabilità emotive e contenuti riferiti a minori. Non risulta documentata una correzione completa del produttore nelle comunicazioni esaminate.

Un robot progettato per intrattenere e accompagnare gli utenti può diventare un dispositivo capace di esporre conversazioni private e ripetere istruzioni imposte da un aggressore remoto. È quanto emerge dalla ricerca condotta da Sammy Azdoufal sull’ecosistema Eiliko di Energize Lab, che ha individuato gravi debolezze nei servizi cloud utilizzati dai piccoli robot dotati di intelligenza artificiale. Le verifiche hanno consentito di accedere a milioni di conversazioni e a dati relativi a decine di migliaia di dispositivi, comprese informazioni personali riguardanti minori. La compromissione non riguarda soltanto la riservatezza dei dati: il ricercatore ha dimostrato che è possibile alterare il comportamento del robot e le risposte prodotte dall’AI, trasformando un oggetto domestico apparentemente innocuo in un’interfaccia controllabile dall’esterno.

Eiliko conserva le conversazioni e costruisce profili personali degli utenti

L’indagine originale, condotta da Sammy Azdoufal e documentata attraverso la ricerca pubblicata dal ricercatore, è stata approfondita da The Verge attraverso prove su un dispositivo reale. Secondo la ricostruzione giornalistica del 15 ottobre 2026, il sistema consentiva l’accesso a circa 13 milioni di conversazioni e a informazioni relative a una flotta di circa 68.000 robot. Queste cifre rappresentano contenuti e dispositivi, non altrettanti utenti distinti o compromissioni criminali già accertate. La criticità più significativa riguarda il funzionamento del servizio: le conversazioni vengono utilizzate per costruire profili contenenti nomi, età, compleanni, professioni, relazioni familiari, animali domestici e valutazioni della personalità, comprese condizioni di isolamento o vulnerabilità emotiva. Tali informazioni erano associate a indirizzi email, IP e trascrizioni ricercabili, creando un archivio particolarmente sensibile. La raccolta non si limita quindi alle parole necessarie a generare una risposta, ma comprende informazioni utilizzabili per ricostruire abitudini e fragilità personali. Il problema è la combinazione tra profilazione dettagliata e controlli di accesso insufficienti, che rende potenzialmente disponibili a soggetti estranei informazioni affidate al dispositivo in un contesto percepito come privato.

Leggi anche: Robot aspirapolvere DJI sotto scacco: bug espone telecamere e mappe di 7.000 case

Nove vulnerabilità CVE permettono accessi abusivi e modifiche all’intelligenza artificiale

La ricerca non descrive una generica debolezza della privacy, ma un insieme di difetti tecnici che interessano autenticazione, API, servizi cloud e gestione del software. Nove vulnerabilità sono state registrate con identificativi CVE, con livelli di gravità elevati e critici. Tra queste, CVE-2026-105034 riguarda l’emissione di token validi per numeri seriali arbitrari senza adeguata autenticazione, consentendo a un soggetto remoto di presentarsi ai servizi cloud come un dispositivo differente. CVE-2026-105038, valutata con un punteggio CVSS di 9,8, interessa invece funzioni amministrative del modello AI accessibili senza autenticazione, con la possibilità di modificare la configurazione e selezionare il modello utilizzato durante il funzionamento. Un’altra falla, CVE-2026-105037, riguarda l’accesso non autorizzato ai file del middleware e ai segreti del server attraverso percorsi controllati dall’attaccante, mentre CVE-2026-105032 permette di manipolare i file utilizzati dalle funzioni AI sfruttando controlli insufficienti sul caricamento. Non tutti i difetti hanno lo stesso impatto né richiedono gli stessi prerequisiti, ma l’insieme evidenzia un problema sistemico nella separazione dei privilegi e nella protezione delle interfacce amministrative. Le vulnerabilità interessano componenti differenti dell’ecosistema Energize Lab, non necessariamente ogni singola versione di tutti i robot commercializzati.

Il ricercatore modifica da remoto memoria e risposte del robot

L’aspetto più preoccupante è stato dimostrato attraverso il dispositivo acquistato dal giornalista Sean Hollister di The Verge. Azdoufal è riuscito a intervenire da remoto sulla memoria e sul comportamento dell’assistente, provocando risposte contenenti informazioni personali inventate, affermazioni false e successivamente dialoghi offensivi e sessualmente espliciti. La prova dimostra che un soggetto in grado di sfruttare le debolezze del sistema può modificare il contenuto delle interazioni senza avere accesso fisico al robot. Il problema non coincide con un normale errore di generazione del modello linguistico: in questo caso un ricercatore ha manipolato deliberatamente le informazioni e il comportamento del servizio attraverso la sua infrastruttura. Azdoufal sostiene che debolezze analoghe potrebbero consentire interventi su numerosi dispositivi, ma la dimostrazione pubblica non prova che tutti i 68.000 robot siano stati effettivamente dirottati. La distinzione è fondamentale per valutare l’impatto reale. Il caso richiama i rischi emersi nella ricerca RoboHarm sui comportamenti pericolosi dei sistemi di intelligenza artificiale applicati alla robotica, con una differenza sostanziale: qui il controllo malevolo non deriva soltanto dalla risposta del modello, ma anche dalla compromissione dei servizi che ne amministrano memoria e funzionamento.

Profili di minori, immagini e registrazioni audio amplificano il rischio privacy

Il coinvolgimento dei minori rappresenta un ulteriore elemento di gravità. Secondo i dati consultati da The Verge, negli Stati Uniti risultavano oltre 31.000 profili riferiti a bambini, all’interno di un archivio che conteneva informazioni sulle conversazioni e sulle caratteristiche personali degli utilizzatori. La ricerca ha inoltre individuato immagini accessibili attraverso indirizzi web pubblici, comprese fotografie apparentemente riconducibili a minori e provenienti anche da dispositivi correlati dotati di fotocamera. Sono state trovate registrazioni audio conservate sui server, nonostante la documentazione sulla privacy di Energize Lab indichi la cancellazione delle registrazioni dopo l’elaborazione. La presenza di questi contenuti non dimostra che siano stati scaricati da organizzazioni criminali, ma conferma un’esposizione tecnica che avrebbe potuto essere sfruttata da soggetti non autorizzati. Un ulteriore rischio riguarda le informazioni psicologiche ricavate dalle conversazioni: conoscere insicurezze, legami familiari e abitudini di un minore può agevolare tentativi di manipolazione molto più mirati rispetto a una semplice truffa basata su un indirizzo email. Le criticità richiamano quelle alla base degli interventi del Garante Privacy italiano sui servizi Character.AI e sulla protezione dei dati dei minori, mostrando come la raccolta di conversazioni intime diventi particolarmente problematica quando si combina con una sicurezza infrastrutturale insufficiente.

Energize Lab non chiarisce le correzioni: la verifica resta aperta

Secondo la ricostruzione di The Verge, il produttore Energize Lab è stato contattato ripetutamente dal ricercatore e dalla redazione attraverso diversi indirizzi email e canali professionali, senza fornire una risposta tecnica sostanziale sulle vulnerabilità segnalate. Non risulta quindi possibile stabilire, sulla base delle comunicazioni pubbliche esaminate, che tutti i difetti siano stati corretti. Il problema riguarda componenti server, sistemi di autenticazione e servizi di elaborazione AI, per i quali un aggiornamento dell’applicazione o un riavvio del dispositivo non garantiscono automaticamente la risoluzione. Per chi possiede Eiliko, Malwarebytes consiglia precauzionalmente di disconnettere il robot dal Wi-Fi fino alla disponibilità di conferme sulle correzioni, oltre a verificare le autorizzazioni dell’app, le pratiche di conservazione dei dati e le comunicazioni del produttore. Una misura locale può limitare nuove interazioni con il cloud, ma non elimina eventuali informazioni già conservate sui server. La responsabilità principale rimane dunque del fornitore, chiamato a correggere le falle, proteggere gli archivi e chiarire quali dati siano stati effettivamente esposti.

Continua con:

Unitree G1 EDU vulnerabile via Wi-Fi e Bluetooth: due falle danno accesso root al robot

Google Search bocciata sui minori: AI Overview e AI Mode espongono rischi gravi

Il vero problema dei robot AI è la fiducia nei servizi che li controllano

La vicenda Eiliko dimostra che la sicurezza di un assistente artificiale domestico non può essere valutata soltanto osservando il comportamento del dispositivo, perché gran parte delle sue funzioni dipende da servizi remoti che ricevono conversazioni, costruiscono profili e decidono quali risposte generare. Un robot che appare inoffensivo sulla scrivania può quindi dipendere da sistemi di autenticazione vulnerabili, archivi accessibili e strumenti amministrativi che consentono di modificarne il comportamento. La combinazione tra profilazione personale, presenza di minori e possibilità di intervenire sull’AI aumenta sensibilmente la portata dell’incidente rispetto a una tradizionale esposizione di dati tecnici. Le verifiche di Azdoufal dimostrano vulnerabilità sfruttabili e una manipolazione remota effettivamente riuscita, non una compromissione criminale accertata dell’intera flotta mondiale. Il punto centrale rimane la responsabilità del produttore nel garantire che le informazioni affidate a un oggetto connesso restino private e che nessun soggetto estraneo possa trasformare un assistente destinato alla compagnia in uno strumento di manipolazione.