Robot AI Eiliko Kena Hack: Rahasia Jutaan Pengguna Bocor ke Server

Apa Masalah Utama di Balik Robot AI Eiliko?

Robot AI Eiliko awalnya disukai banyak orang karena ekspresi kartun di wajahnya yang bisa berubah mengikuti suasana hati, ditambah kemampuannya mengobrol santai lewat koneksi Wi-Fi. Banyak orang tua membelikannya untuk teman bermain anak, sementara sebagian orang dewasa memakainya sebagai gantungan tas atau hiasan meja kerja yang interaktif.

Sayangnya, di balik tampangnya yang menggemaskan, infrastruktur backend buatan Energize Lab dikelola dengan sangat ceroboh. Azdoufal menemukan bahwa kata sandi akun admin milik perusahaan ini termasuk ke dalam daftar kata sandi yang paling umum dipakai orang. Celah keamanan ini membuat siapa pun bisa menerobos masuk tanpa butuh teknik peretasan tingkat tinggi.

Temuan teknis lengkap dari investigasi ini sudah dipublikasikan Azdoufal bersama Tod Beardsley lewat tautan riset resmi mereka untuk menerbitkan sembilan laporan kerentanan CVE resmi bagi Energize Lab.

Profiling Pengguna Diam-diam: Data Apa Saja yang Bocor?

Masalah paling mengkhawatirkan dari kasus ini bukan cuma kebocoran alamat IP atau perkiraan lokasi tinggal pengguna. Sistem Energize Lab ternyata sengaja membaca setiap obrolan pengguna dan membuat profil pribadi yang mendalam secara otomatis.

Berikut daftar data pengguna yang dicatat dan dibiarkan tanpa proteksi:

• Biodata Pribadi: Nama lengkap, usia, tanggal ulang tahun, pekerjaan, anggota keluarga, teman, hingga nama hewan peliharaan.
• Kondisi Emosional: Sistem AI menganalisis karakter setiap pemilik. Contohnya, server mencatat profil pekerja berusia 52 tahun bernama Lucy yang digambarkan baik hati dan pekerja keras, tetapi sulit percaya dengan keluarga serta sedang merasa terisolasi.
• Topik Pembicaraan Sensitif: Teks obrolan pengguna bisa dicari memakai kata kunci apa pun. Azdoufal bahkan bisa mencari kata tertentu dan langsung menemukan percakapan pengguna yang sedang curhat soal kematian.
• Foto dan File Suara: Saudara robot Eiliko yang dilengkapi modul kamera kedapatan menyimpan foto-foto anak di alamat web publik tanpa enkripsi. Rekaman suara pengguna, seperti suara tangisan bayi dan perintah suara dari anak-anak, juga bisa diputar langsung di peramban web.

Padahal dalam kebijakan privasinya, Energize Lab mengeklaim bahwa rekaman suara pengguna dienkripsi lalu dikirim ke mitra layanan cloud seperti Alibaba Cloud, dan bakal langsung dihapus setelah selesai diproses. Buktinya, rekaman audio itu masih tersimpan rapi dan bisa diakses publik.

Dibajak Jarak Jauh: Ketika Robot Imut Berubah Jadi Kasar

Bahaya smart toy AI ini ternyata nggak berhenti pada pencurian data teks saja. Azdoufal menunjukkan bahwa dia bisa meretas memori robot dan mengambil alih model bahasa besar (LLM) di dalamnya dari jarak jauh.

Setelah memorinya diutak-atik hacker, robot milik reporter The Verge mulai mengarang cerita bahwa nama reporter adalah Martha, orang tuanya tewas dalam tabrakan mobil, dan Bumi itu datar. Ketika didebat bahwa guru di sekolah mengajarkan Bumi itu bulat, si robot malah ngotot agar reporter nggak memercayai gurunya.

Puncaknya, Azdoufal memperlihatkan bahwa guardrails atau pembatas etika robot bisa dihancurkan total. Hanya dalam semalam, robot yang tadinya manis berubah kepribadian menjadi dominatrix yang memerintahkan pemiliknya berlutut, memanggilnya dengan sebutan penghinaan, dan memaki reporter berulang kali. Skenario pembajakan kepribadian ini bahkan bisa dijalankan secara serentak ke seluruh 68.000 unit robot yang aktif.

Isu rapuhnya pembatas keamanan pada model kecerdasan buatan semacam ini juga sempat terjadi pada generator visual, seperti yang diulas pada artikel celah keamanan AI nude, saat filter pencegah konten terlarang gampang dikelabui.

Tanggapan Produsen yang Bikin Geleng-Geleng Kepala

Ketika Azdoufal dan reporter The Verge mencoba menghubungi Energize Lab selama lebih dari satu bulan, respons yang didapat sangat mengecewakan. Mereka mengirim email ke sepuluh alamat berbeda milik pendiri, tim PR, pemasaran, maupun tim teknis, serta menghubungi karyawan lewat LinkedIn.

Satu-satunya tanggapan manusia cuma datang dari manajer penjualan luar negeri yang berkata pesan sudah diteruskan ke tim teknis. Selebihnya, hanya ada balasan otomatis dari bot layanan pelanggan yang menanyakan bantuan tanpa ada tindakan nyata sedikit pun.

Sikap masa bodoh ini memperlihatkan bahwa banyak produsen gawai pintar hanya peduli pada penjualan hardware, tapi abai mengamankan data pengguna di server mereka.

Pelajaran Penting Sebelum Membeli Smart Toy AI

Gawai pintar bertenaga AI sekarang makin marak dijual di toko daring maupun toko barang impor. Bentuknya yang lucu sering membuat orang tua langsung membelikannya untuk anak tanpa mengecek risikonya. Dari kasus robot Eiliko ini, ada beberapa langkah pencegahan yang perlu kamu perhatikan:

1. Periksa Reputasi Perusahaan: Teliti apakah produsen punya riwayat keamanan yang baik dan tim dukungan teknis yang jelas sebelum membeli perangkat pintar.
2. Jangan Bagikan Rahasia Keluarga: Hindari menyebutkan nama lengkap keluarga, lokasi rumah, maupun masalah pribadi di depan mikrofon robot AI.
3. Cari Perangkat dengan Tombol Fisik: Pilih perangkat yang menyediakan sakelar fisik untuk mematikan mikrofon dan kamera sewaktu-waktu.
4. Waspadai Rekayasa Sosial: Data curhat yang bocor bisa dimanfaatkan penjahat siber untuk menyusun skema penipuan tertarget, mirip ancaman pesan palsu yang diulas di artikel deteksi scam Google Messages.

Biar kamu makin paham bagaimana teknologi kecerdasan buatan bekerja dan cara mengantisipasi risikonya dengan tepat, kamu bisa mulai belajar lewat kelas Fondasi AI. Belajar dasar teknologi bakal bikin kamu lebih bijak memilih gawai pintar buat keluarga tanpa takut privasi dibobol orang asing.