La start-up californiana Rabbit ha fatto scalpore lo scorso gennaio a Las Vegas, durante il Consumer Electronics Show (CES). Ha presentato il suo piccolo box R1, dotato di un sistema operativo progettato attorno ad un’interfaccia in linguaggio naturale. Grande quanto una pila di post-it e ultraleggero (115 grammi), questo piccolo dispositivo è stato presentato dai suoi sviluppatori come un movimento verso “esperienza intuitiva senza app grazie alla potenza dell’intelligenza artificiale”. Non è più necessario scaricare e utilizzare applicazioni: ci pensa Rabbit OS.
Leggere e modificare le risposte, sostituire le voci, ecc.
Al prezzo di 200 dollari, la scatola ha venduto più di 10.000 unità in pochi giorni. Rabbit ha inviato il suo primo lotto di preordini R1 a fine marzo per consegne a fine aprile. Tuttavia, le vulnerabilità della sicurezza stanno già emergendo: il 16 maggio, un team di ricercatori e sviluppatori, chiamato Rabbitude, ha avuto accesso al codice base del box e ha messo le mani su diverse chiavi API critiche codificate.
Questo è un grosso difetto, perché l’accesso a queste chiavi API permette a chiunque di leggere tutte le risposte date da R1, comprese quelle contenenti dati personali, di modificare le risposte di tutte le caselle, o addirittura di sostituire la propria voce. Dans son rapport publié le 25 juin, Rabbitude précise que ces clés API concernent les outils développés par ElevenLabs pour sa technologie de synthèse vocale, Azure pour son ancien système de synthèse vocale, Yelp pour la recherche d’avis et Google Maps pour la recherche de luoghi.
La chiave ElevenLabs dà accesso ai privilegi di amministratore
Alla fine di marzo Rabbit ha infatti annunciato la sua partnership con la start-up newyorkese ElevenLabs. L’obiettivo era creare strumenti audio AI, con la voce alimentata da ElevenLabs che rispondeva ai comandi vocali eseguiti dagli utenti. Problema: la chiave API ElevenLabs offre pieni privilegi alle persone che vi hanno accesso. Sarebbe quindi possibile per tutti ottenere la cronologia di tutti i messaggi di sintesi vocale, cambiare le voci, sostituire il testo con un altro se le parole o le frasi hanno la stessa pronuncia… e persino eliminare le voci, il che sarebbe possibile mettere fuori servizio il sistema operativo.
Il gruppo di ricercatori e sviluppatori afferma che la maggior parte, ma non tutte, le chiavi sono state revocate: in un articolo pubblicato il 26 giugno, Rabbitude ha rivelato l’esistenza di una quinta chiave API hardcoded ancora attiva, relativa a SendGrid. Questa chiave fornisce l’accesso a una cronologia completa delle e-mail inviate per le funzioni di modifica del foglio di calcolo di R1, inclusi i dati dell’utente. Consente inoltre di inviare e-mail da indirizzi e-mail “rabbit.tech”.
Nessun dato dei clienti ancora rubato, secondo Rabbit
La start-up, dal canto suo, ha affermato sul suo sito di aver effettuato un inventario di tutti i “segreti” attualmente in uso e di aver iniziato a rimuoverli. “Esaminiamo i registri di controllo delle nostre piattaforme SaaS per verificare eventuali furti di dati dei clientispiega l’azienda con sede a Los Angeles. Al momento della pubblicazione di questo aggiornamento [le 28 juin à 3 h du matin]non abbiamo riscontrato alcun compromesso sui nostri sistemi critici o sulla sicurezza dei dati dei clienti.”
Selezionato per te
