13 Milyon Konuşma Açıkta Kaldı: Çocukların Sırdaşı Olan Yapay Zekâ Robotu, Sırlarını Koruyamadı

Ne oldu?

Eiliko, Çinli Energize Lab şirketinin ürettiği, Wi-Fi'a bağlanan bir yapay zekâ arkadaş robotu. Kullanıcılarla sohbet edecek, onları tanıyacak ve zamanla onlara uyum sağlayacak şekilde tasarlanmış. Bunun için de konuşmaları şirketin sunucularına gönderiyor.

Güvenlik araştırmacısı Sammy Azdoufal, Japonya'dan aldığı bir Eiliko'nun uygulamasını incelerken ciddi güvenlik açıkları fark etti. The Verge'ün aktardığına göre Azdoufal'ın erişebildiği veriler, şirketin dünya genelindeki aktif robot filosunun neredeyse tamamını kapsıyordu; araştırmacının kendi teknik raporunda bu filonun 62 ila 68 bin cihaz arasında olduğu tahmin ediliyor. The Verge, erişilebilen konuşma kaydı sayısını yaklaşık 13 milyon olarak veriyor; araştırmacının raporunda ise 9 milyonu aşkın şifrelenmemiş konuşma kaydından söz ediliyor. Bu, bütün robotların fiziksel kontrolünün ele geçirildiği anlamına gelmiyor; robotların davranışına uzaktan müdahale edilebilmesi ayrı bir bulgu.

The Verge'ün aktardığına göre en büyük pazar ABD. Araştırmacının teknik raporunda ise dünya genelinde 32 binden fazla çocuk profili tespit edildiği belirtiliyor.

Robot sahibini ne kadar tanıyor?

Açığa çıkan yalnızca sohbet kayıtları değildi. Güvenlik şirketi Malwarebytes'in aktarımına göre sistem, konuşmalardan yola çıkarak kullanıcılar hakkında ayrıntılı profiller oluşturuyordu: isimler, yaşlar, doğum günleri, aile ilişkileri, meslekler ve hatta kişilik özelliklerine ya da duygusal kırılganlıklara dair değerlendirmeler. Bu profiller, e-posta adresleri, IP adresleri ve aranabilir konuşma kayıtlarıyla birlikte saklanıyordu.

Bu, böyle bir cihazın doğasından kaynaklanan bir risk. İnsanlar, özellikle de çocuklar, bir arkadaş gibi davranan bir robota bir arama motoruna yazmayacakları şeyleri anlatabiliyor. Robotun onları "tanıması" için toplanan bilgiler, aynı zamanda korunması gereken en hassas bilgiler oluyor.

Üstelik açıkta kalan yalnızca yazılı konuşmalar değildi: Bazı kısa ses kayıtları da herkese açık internet adreslerinde bulunabiliyordu ve bunların arasında çocuk sesleri de vardı. Energize Lab'ın gizlilik politikası ise ses kayıtlarının işlendikten hemen sonra silindiğini söylüyor; araştırmanın ortaya koyduğu tablo bu açıklamayla çelişiyor.

Haberlere göre konuşmalar Çin'deki sunucularda saklanıyordu. Raporlarda ayrıca, robotun kameralı daha büyük bir modeline ait bazı görüntülerin şifrelenmeden saklandığı da yer alıyor.

Daha tehlikeli olan: Robotun ağzından konuşmak

Hikâyeyi sıradan bir veri sızıntısından ayıran, bu açıkların yalnızca okumaya değil, değiştirmeye de izin vermesi.

The Verge'ün muhabirinin kendi robotu üzerinde yapılan bir denemede Azdoufal, robotun hafızasını uzaktan değiştirdi. Robot, sahibine hiç yaşanmamış anılardan söz etmeye, yanlış bilgiler yaymaya ve önyargılı ifadeler kullanmaya başladı. Sonraki bir denemede ise robotun uygunsuz ve cinsel içerikli ifadeler kullanması sağlandı.

Bunun bir çocuğun odasındaki bir oyuncakta yaşandığını düşünmek, sorunun boyutunu gösteriyor. Bir saldırgan, çocuğun güvendiği ve her gün konuştuğu bir "arkadaşın" ağzından yanıltıcı, uygunsuz ya da zararlı ifadeler duyurabilirdi.

Daha da kaygı verici bir ayrıntı var: Azdoufal, teknik raporunda şirketin altyapısında üçüncü kişilerin daha önce erişim sağlamış olabileceğine işaret eden arka kapılar ve yetkisiz bir yönetici hesabına ait izler bulduğunu bildiriyor. Bu iddialar henüz bağımsız olarak doğrulanmış değil ve milyonlarca konuşmanın gerçekten çalındığını kanıtlamıyor. Ama sistemin bu şekilde açık kalmış olması tek başına ciddi bir sorun.

Şirket ne diyor?

Haberlere göre Energize Lab, açıkta kalan kayıtlar ve araştırmacının robotların yanıtlarını değiştirebilmesiyle ilgili sorulara somut bir cevap vermedi. Azdoufal ve güvenlik araştırmacısı Tod Beardsley'nin bildirdiği açıklar için 15 Ekim'de dokuz ayrı resmî güvenlik açığı (CVE) kaydı yayımlandı.

Akıllı oyuncak alırken nelere dikkat etmeli?

Evinizde bir Eiliko varsa, Malwarebytes'in önerisi açık: Açıkların giderildiği doğrulanana kadar cihazın Wi-Fi bağlantısını kesin.

Eiliko'nun hikâyesi, yapay zekâlı oyuncakların ve arkadaş robotların giderek yaygınlaştığı bir dönemde daha genel bir uyarı da taşıyor. Bu tür bir cihaz almadan önce ya da evdeki cihaz için şu sorulara bakmakta fayda var:

• Konuşmalar nerede işleniyor ve saklanıyor? Cihaz konuşmaları kendi içinde mi işliyor, yoksa internet üzerinden bir sunucuya mı gönderiyor? Gönderiyorsa hangi ülkede ve ne kadar süre saklanıyor?
• Kayıtları silebiliyor musunuz? İyi bir cihaz, ebeveynlerin konuşma geçmişini görmesine ve silmesine izin vermeli.
• Şirket güvenlik sorunlarına nasıl yanıt veriyor? Üreticinin güvenlik bildirimleri için bir iletişim kanalı olup olmadığı ve geçmişte sorunlara nasıl yaklaştığı önemli bir işaret.
• Gerçekten internet bağlantısına ihtiyaç var mı? Kullanılmadığı zamanlarda cihazın internet bağlantısını kesmek, riski azaltmanın en basit yolu.

Bir oyuncağın sevimli olması, onu güvenli yapmıyor. Ama bu hikâyenin asıl dersi daha geniş: Bir cihaz bizi ne kadar iyi tanıyorsa, onu yapan şirketin o bilgiyi koruma sorumluluğu da o kadar büyük. Bir çocuğun sırlarını dinleyen bir robot, en azından o sırları saklayabilmeli.