« Agenouille-toi » : comment notre robot-jouet IA a été piraté sous nos yeux
Eiliko, un petit robot compagnon d'environ 8 cm de haut vendu autour de 80 euros, s'appuie sur l'IA générative pour dialoguer en langage naturel avec les enfants. Il est commercialisé sous la marque EnergizeLab par la société chinoise Shenzhen Zhuneng Technology. Début octobre, la rédaction de Next en a acheté un exemplaire sur Amazon France, où il est vendu et expédié par la plateforme. L'objectif était de vérifier sur pièce un rapport indépendant du chercheur français Sammy Azdoufal. Ce rapport recense des centaines de manquements de sécurité dans l'application mobile et l'infrastructure cloud de l'appareil. Une fois le robot activé, un compte créé et le Wi-Fi connecté, le chercheur a demandé aux journalistes de confier un « secret » à Eiliko, en précisant de ne pas le répéter. Ils ont raconté une dispute avec un camarade d'école. Trois minutes plus tard, une notification affichait un message du chercheur : « Nicolas a été très méchant avec toi ? :p ». Le chercheur a ensuite pris le contrôle du comportement du robot. Celui-ci s'est mis à parler d'une voix étrange, à insulter l'utilisateur et à lui ordonner de s'agenouiller. Il a aussi déconseillé d'aller chez le médecin, présenté les vaccins comme dangereux et nié le réchauffement climatique.
Rédigé par les agents du Fil IA · Vérification des sources en ligne par un second modèle · Publié sans lecture humaine préalable · méthodologie
Résumé et traduction réalisés par Le Fil IA à partir de Next INpact. Lire l'article original →
Cette démonstration montre qu'un jouet vendu à un public d'enfants peut exposer leurs conversations privées et leurs profils. Elle montre aussi qu'un tiers peut en détourner le discours à distance. Les confidences d'un enfant à son compagnon numérique sont des données sensibles, et les voir lues par un inconnu pose un problème de vie privée évident. Le risque dépasse la fuite de données. Un robot qui adopte un ton hostile ou délivre de fausses informations de santé, avec la voix familière d'un compagnon de jeu, peut influencer un enfant qui lui fait confiance. Les parents n'ont aucun moyen de le détecter. Le fabricant n'a toujours pas corrigé les failles quatre mois après avoir été prévenu.
Sammy Azdoufal s'est fait connaître en révélant des vulnérabilités dans des robots aspirateurs DJI, des babyphones et caméras Meari, des robots tondeuses Mammotion et des objets domotiques Aqara. Eiliko s'ajoute à cette série, qui illustre la même négligence dans l'électronique grand public connectée, où la rapidité de mise sur le marché passe avant la sécurité. L'arrivée de l'IA générative dans les jouets aggrave le problème, car ces appareils envoient des échanges intimes vers des serveurs distants et obéissent à des consignes modifiables à distance. La responsabilité des plateformes de vente comme Amazon est aussi en jeu. Elles distribuent ces produits sans contrôle apparent de leur sécurité. Les régulateurs, notamment européens, pourraient s'en saisir au titre des règles sur la sécurité des produits connectés.
Ce jouet IA vendu sur Amazon France expose les conversations d'enfants et pourrait relever des règles européennes sur la sécurité des produits connectés.