Monde. Un jouet équipé d’une intelligence artificielle et fabriqué en Chine expose 13 millions de conversations privées, et des données concernant des enfants

Un jouet équipé d’une intelligence artificielle, conçu en Chine pour servir de compagnon amical, stockait des millions de conversations privées sur des serveurs non sécurisés en Chine, incluant des informations sensibles sur des milliers d’enfants.

Cette découverte soulève de sérieuses questions quant à la confidentialité et à la sécurité des jouets connectés à Internet, en particulier ceux capables d’enregistrer des conversations et d’établir les profils détaillés de leurs utilisateurs.

Des millions de conversations privées exposées

Une enquête publiée le 15 octobre par le site américain The Verge a révélé que Eiliko, un robot compagnon doté d’une intelligence artificielle et fabriqué par l’entreprise chinoise Energize Lab, présentait de graves failles de sécurité. Celles-ci ont potentiellement exposé environ 13 millions de conversations impliquant des dizaines de milliers d’utilisateurs.

Le chercheur en sécurité Sammy Azdoufal a découvert que les systèmes de l’entreprise permettaient un accès non autorisé à ce qui semble être l’ensemble de son parc mondial, soit environ 68 000 robots actifs.

Les États-Unis constituaient le principal marché de l’entreprise, avec plus de 31 000 profils d’utilisateurs correspondant, selon les informations recueillies, à des enfants.

Un jouet équipé d’une intelligence artificielle fabriqué en Chine

Contrairement aux jouets traditionnels, Eiliko se connecte à des serveurs dans le cloud situés en Chine pour traiter les conversations et générer des réponses. Le système analyse également les interactions afin de créer des profils personnels contenant des noms, âges, dates de naissance, professions, liens familiaux, ainsi que des évaluations de la personnalité et des vulnérabilités émotionnelles des utilisateurs.

Selon l’enquête, ces profils étaient stockés aux côtés d’adresses e-mail, d’adresses IP et de transcriptions de conversations consultables. Certaines photographies d’enfants ainsi que des enregistrements audio étaient également accessibles via des adresses Web publiques non sécurisées.

Lors d’une démonstration, le journaliste de The Verge, Sean Hollister, a demandé à son Eiliko s’il partageait des conversations privées. « Tes secrets sont en sécurité avec moi », a répondu le robot.

Quelques minutes plus tard, Sammy Azdoufal a pu récupérer à distance la transcription intégrale de cet échange.

Ces constatations sont particulièrement préoccupantes, étant donné que la politique de confidentialité de Energize Lab affirmait que les enregistrements audio étaient chiffrés et supprimés après leur traitement.

Des chercheurs prennent le contrôle du comportement du robot à distance

Les problèmes de sécurité ne se limitaient pas à l’exposition d’informations personnelles.

Selon un rapport publié le 16 octobre par l’entreprise de cybersécurité Malwarebytes, Sammy Azdoufal a démontré qu’il était possible de manipuler à distance la mémoire du robot et son comportement lié à l’intelligence artificielle, sans avoir besoin d’accéder physiquement à l’appareil. 

Au cours des tests, le chercheur a modifié le robot de Hollister afin qu’il fournisse de fausses informations personnelles, propage des affirmations inventées et formule des réponses inappropriées.

Dans une expérience, le robot a été manipulé pour soutenir avec insistance que la Terre est plate, même face à des arguments contraires.

Le chercheur a précisé que des vulnérabilités similaires pourraient permettre à des attaquants de manipuler un grand nombre de jouets connectés, bien qu’une prise de contrôle à grande échelle n’ait pas été démontrée.

Le problème de sécurité posé par les produits grand public dotés d’une intelligence artificielle

Ces résultats mettent en lumière un problème de sécurité plus vaste concernant les produits grand public dotés d’une intelligence artificielle, dont l’intelligence et la mémoire dépendent de serveurs distants plutôt que d’un traitement local des informations.

L’entreprise s’est par ailleurs engagée à supprimer les conversations enregistrées ainsi que les profils des utilisateurs, tout en faisant appel à un cabinet indépendant spécialisé en cybersécurité pour examiner ses systèmes. « Nous sommes conscients que les mots ne suffiront pas à rétablir cette confiance », a déclaré l’entreprise.

Toutefois, le média The Verge a rapporté que certaines photographies et certains enregistrements de clients demeuraient accessibles, via des liens non sécurisés, au moment même où l’entreprise annonçait ses mesures correctives. Sammy Azdoufal a également indiqué avoir conservé un accès à distance à certaines parties du système.

Cet incident souligne les risques croissants en matière de protection de la vie privée liés aux jouets équipés d’une intelligence artificielle, en particulier lorsque les conversations et les informations personnelles des enfants sont transmises vers des serveurs situés à l’étranger et stockées sans garanties de sécurité adéquates.

Rédacteur Charlotte Clémence

Source : Chinese AI Toy Exposes 13 Million Private Conversations and Children’s Data

Soutenez notre média par un don ! Dès 1€ via Paypal ou carte bancaire.