Kiszivárogtak gyerekek plüssmackókkal folytatott bizalmas beszélgetései

A történet azzal kezdődik, hogy egy biztonsági kutatónak szólt a szomszédja, nézzen már rá a gyerek karácsonyra kapott plüssjátékára.

Forrás: Bondu

Joseph Thacker biztonsági szakértő megnézte a meglepően okos és drága játékot, ami mesterséges intelligenciát használ fel, hogy beszélgetni tudjon a gyerekekkel. Nagyszerű, mondta a kutató, hiszen így a gyerekek bármiről kérdezhetik a játékot, és okos, jó válaszokat kapnak tőle. A mesterséges intelligencia (LLM) által vezérelt csevegési funkció

lehetővé teszi a gyerekeknek, hogy képzeletbeli barátjukként beszélgethessenek a gépi tanulással működő játékkal.

De nem is lett volna Thacker biztonsági kutató, ha nem nézte volna meg, milyen védelemmel látta el a Bondu, mesterséges intelligenciával hajtott játékokat gyártó cég a plüssmackót.

30 perc múlva kiderült, hogy bárki, aki egy bármilyen e-mail címmel bejelentkezik a Bondu weboldalára, a console.bondu.com-ra, az hozzáférhetett a gyerekek összes beszélgetéséhez. Joel Margolis kutató kollégájával kiderítették, hogy a cég – vélhetően nem rosszindulatból, nem adatlopás miatt – pusztán figyelmetlenségből nyitva hagyta adattárának kapuját mindenki előtt.

Margolis és Thacker kiderítette, hogy a védelem nélkül hagyott adatokhoz bárki hozzáférhetett, aki bejelentkezett a cég nyilvános weboldalára a Google felhasználónevével. Az adatok tartalmazták a gyermekek nevét, születési dátumát, családtagjainak nevét, a szülők gyermeküknek szóló beszédét, és ami a legnyugtalanítóbb, a gyermek és a Bondu – azaz egy intim, négyszemközti beszélgetésekre készült játék – közötti minden korábbi beszélgetés részletes összefoglalását és leiratát. Akkor több mint 50 000 csevegési átirat volt elérhető a nyilvánosságra hozott webes portálon keresztül, lényegében az összes beszélgetés, amelyben ezek a játékok „részt vettek”, kivéve azokat, amelyeket a szülők kézzel töröltek.

Amikor Thacker és Margolis figyelmeztették a Bondut a nyilvánvaló adatszivárgásra, a cég gyorsan letiltotta a konzolt. A Wired kérdésére Fateen Anam Rafid, a Bondu vezérigazgatója közölte, hogy a probléma biztonsági javításait „órákon belül elvégezték, majd szélesebb körű biztonsági felülvizsgálatot és további megelőző intézkedéseket tettek”.

Harmadik felek

A kutatók rámutatnak, hogy a véletlen adatszivárgáson túl a Bondu cég a Google Gemini és az OpenAI GPT–5 technológiáját is használja, és ennek eredményeként információkat oszthat meg a gyerekek beszélgetéseiről ezekkel a vállalatokkal is.

A Bondu válaszában azt írta, hogy „harmadik féltől származó vállalati MI-szolgáltatásokat használnak válaszok generálására és bizonyos biztonsági ellenőrzések lefuttatására, amelyek magukban foglalják a releváns beszélgetési tartalom biztonságos továbbítását feldolgozásra”. Hozzátette azonban, hogy a vállalat óvintézkedéseket tesz a „küldött adatok minimalizálására, szerződéses és technikai ellenőrzések alkalmazására, s hogy a szolgáltatók kijelentsék, a kimeneteket nem használják a modelljeik betanításához”.

Az utóbbi hónapokban egyre több figyelmeztetés érkezett a mesterséges intelligencia által vezérelt játékok kockázatairól, de ezek nagyrészt arra a veszélyre összpontosítottak, hogy a játékkal kapcsolatos beszélgetések nem megfelelő témákat vetnek fel, vagy akár veszélyes viselkedéshez vagy önkárosításhoz vezethetnek. Az NBC News például decemberben arról számolt be, hogy mesterséges intelligencia által vezérelt játékok részletes magyarázatokat adtak szexuális kifejezésekről, tippeket nyújtanak kések élezéséhez, sőt, politikai propagandát visszhangoznak.

Hogyan maradhatunk biztonságban?

Magyarországon a Bondu termékét és a többi okosmackót, -nyuszit, -robotot még nem árulják. De a közeljövőben bizonyára nem csak az amerikai gyerekek fognak a fakockáktól, fröccsöntött dinóktól és műanyag építőjátékoktól a legújabb, MI-vezérelt, csevegő játszótársak felé fordulni. Akár tetszik, akár nem, jönnek a mesterséges intelligencia hajtotta játékok: a figyelmes felügyelet, a magánélet védelme és némi szkepticizmus lehetnek a szülők legjobb védekezési lehetőségei.

A Malwarebytes tanácsai:

1. Kapcsoljunk ki, amit csak lehet. Ha a játék mesterségesintelligencia-komponenssel rendelkezik, fontoljuk meg a letiltását, amikor nem tudjuk közvetlenül figyelemmel kísérni a kicsik játékát.

2. Olvassuk el az adatvédelmi irányelveket. Igen, apróbetűsek, de célszerű elolvasni. Mit rögzítenek, tárolnak, és mit osztanak meg. Fordítsunk különös figyelmet az érzékeny adatokra, például a hangfelvételekre, videófelvételekre (ha a játéknak van kamerája) és a helyadatokra.

3. Korlátozzuk a csatlakozást a webre. Kerüljük azokat a játékokat, amelyek folyamatos wifit vagy felhőalapú interakciót igényelnek.

4. Figyeljük a beszélgetéseket. Rendszeresen érdeklődjünk a gyerekektől a játék üzeneteiről, és amikor csak lehetséges, felügyeljük a játékot.

5. Tartsuk titokban a személyes adatokat. Tanítsuk meg a gyerekeket, hogy soha ne osszák meg a nevüket, címüket vagy családi adataikat, még a plüssállatukkal sem.

6. Bízzunk a megérzéseinkben. Ha úgy tűnik, hogy egy játék átlépi a határokat, vagy zavaró, ne habozzunk közbelépni.

Az incidens hatására az amerikai törvényhozás és a gyermekjóléti szervezetek is határozott lépéseket tettek: Maggie Hassan szenátor hivatalos úton követelt magyarázatot a gyártótól a hanyag adatvédelmi gyakorlatok miatt, miközben olyan szakmai testületek, mint a Common Sense Media, a technológia „manipulatív hajlamaira” és a gyerekek érzelmi biztonságát fenyegető veszélyekre hívták fel a figyelmet. Az átfogó kutatások és biztonsági jelentések egyöntetűen megállapították, hogy a megfelelő szabályozás és védelmi gátak nélkül az ilyen mesterséges intelligenciával felszerelt játékok jelenleg elfogadhatatlan kockázatot jelentenek a kiskorúak számára, ami a technológiai felügyelet azonnali szigorítását teszi szükségessé.