На початку місяця сусідка Джозефа Таккера згадала, що вона замовила кілька м’яких іграшок у вигляді динозаврів для своїх дітей. Вона обрала ці іграшки, названі Бонду, через функцію AI-чат, яка дозволяє дітям спілкуватися з іграшкою як з уявним другом, який використовує технології машинного навчання. Оскільки Таккер, як дослідник у сфері безпеки, працював над ризиками AI для дітей, її зацікавило його думка.
Тому Таккер прийнявся за дослідження. За декілька хвилин роботи він і його знайомий, дослідник у сфері веб-безпеки Джоел Марголіс, виявили шокуюче відкриття: веб-портал Бонду, призначений для батьків для перевірки розмов їхніх дітей та контролю за використанням продукту, дозволяв будь-кому з акаунтом Gmail отримати доступ до майже всіх розмов, які діти вели з іграшкою.
Просто увійшовши в систему за випадковим акаунтом Google, дослідники одразу почали оглядати приватні розмови дітей, прізвиська, які діти дали своїм Бонду, їхні уподобання, улюблені перекуси та танцювальні рухи.
Загалом Марголіс і Таккер виявили, що дані Бонду, які залишались незахищеними — доступні кожному, хто увійшов до публічного веб-консолі компанії за своїм Google-іменем — містили імена дітей, дати народження, імена членів родини, «цілі» для дітей, обрані батьками, а також, що найгірше, детальні резюме та транскрипти кожної попередньої розмови між дитиною та її Бонду, що була практично розроблена для отримання інтимних розмов. Бонду підтвердив у спілкуванні з дослідниками, що більше 50,000 транскриптів чатів були доступні через відкритий веб-портал, практично всі розмови, які мали місце, окрім тих, що були вручну видалені батьками або персоналом.
“Дізнаватися про ці речі було досить настирливо і справді дивно”, — згадує Таккер про приватні чати дітей та зафіксовані вподобання, які він побачив. “Можливість бачити всі ці розмови серйозно порушує приватність дітей.”
Коли Таккер і Марголіс повідомили Бонду про очевидну вразливість даних, вони стверджують, що компанія діяла швидко — консоль була закрита за кілька хвилин, а вже наступного дня портал перезапустили з новими заходами аутентифікації. Після звернення до компанії, генеральний директор Бонду Фатієн Анам Рафід у своїй заяві зазначив, що виправлення безпеки проблеми “були завершені протягом кількох годин, після чого відбулася ширша перевірка безпеки та впровадження додаткових запобіжних заходів для всіх користувачів.” Він також додав, що Бонду “не виявила жодних ознак доступу, окрім дослідників, які були залучені.” (Дослідники зазначають, що не завантажували та не зберігали жодних копій чутливих даних, до яких отримали доступ через консоль Бонду, окрім кількох скріншотів і відео з екрану, які поділилися, щоб підтвердити свої висновки.)
“Ми серйозно ставимося до приватності користувачів і зобов’язані захищати дані користувачів,” додав Анам Рафід у своїй заяві. “Ми сповістили всіх активних користувачів про наші протоколи безпеки та продовжуємо зміцнювати наші системи новими захистами,” а також найняли компанію безпеки для підтвердження розслідування та моніторингу своїх систем у майбутньому.
У відповідь на інформацію про висновки Таккера і Марголіса, сенатор США Меггі Хассан надіслала листа Анам Рафіду, в якому описала витік даних дітей через практики безпеки Бонду як “катастрофічний” і вимагала відповіді на 10 докладних питань щодо того, як компанія збирає та захищає дані користувачів. “Серйозність цього витоку викликає серйозні занепокоєння щодо бізнес-моделі вашої компанії та ваших зусиль передбачити і запобігти значним загрозам безпеці та приватності дітей,” — написала Хассан.