Energize Lab rompe finalmente il silenzio sulle gravi vulnerabilità di Eiliko, il piccolo robot da borsa con intelligenza artificiale integrata. Dopo oltre un mese di richieste senza risposta da parte di The Verge e del ricercatore di sicurezza Sammy Azdoufal, l'azienda ha inviato una dichiarazione non firmata da un indirizzo email generico. La promessa è quella di assumere un'azienda di sicurezza indipendente per revisionare tutti i sistemi, ma la risposta lascia più dubbi che certezze.
Le ammissioni e le promesse di Energize Lab
L'azienda ha confermato i problemi principali segnalati: accessi esterni non protetti, interfacce per modificare da remoto le risposte del robot e archiviazione di conversazioni e profili utente. Energize Lab afferma di aver chiuso tutti gli accessi esterni ai sistemi backend e ruotato le credenziali, disabilitato l'interfaccia di modifica remota e messo offline le funzioni di memoria a lungo termine e avatar personalizzati. Inoltre, promette di cancellare i dati già raccolti, ma non rinuncia definitivamente alla raccolta: le funzionalità torneranno solo dopo la revisione di sicurezza.
Le falle restano aperte: la smentita dei fatti
Nonostante le rassicurazioni, la situazione appare tutt'altro che risolta. Con l'aiuto di Azdoufal, The Verge ha verificato che, al momento della dichiarazione, i sistemi di Energize Lab continuavano a esporre registrazioni audio e foto dei clienti su indirizzi web pubblici non protetti, accessibili senza alcuna autenticazione. Azdoufal ha inoltre confermato di avere ancora accesso SSH completo ai robot, potendo teoricamente leggere le trascrizioni e modificare il comportamento del dispositivo. La dichiarazione di aver "chiuso tutti gli accessi esterni" non corrisponde quindi alla realtà.
L'azienda ha istituito un indirizzo dedicato security@energizelab.com e si è scusata per il ritardo nelle risposte, attribuendolo a problemi di coordinamento con il team tecnico. Tuttavia, la fiducia dei consumatori resta appesa a un filo: le parole non bastano, e i fatti dimostrano che le vulnerabilità sono ancora concrete. Energize Lab dovrà dimostrare con azioni verificabili di aver davvero messo in sicurezza i propri sistemi, non solo a parole.
