Сообщество разработчиков под названием Rabbitude обнаружило в коде устройства Rabbit R1 уязвимость, из-за которой конфиденциальная информация становится доступной для третьих лиц.
16 мая разработчики получили доступ к кодовой базе Rabbit R1 и смогли найти «несколько важных жёстко запрограммированных ключей API». Используя эти ключи, любой может прочитать ответы ИИ-устройства, в том числе и содержащие личную информацию.
В Rabbitude отметили, что запросы к ИИ и его ответы, которые проходят через облачную систему обработки Rabbit, содержали конфиденциальную информацию пользователей из ElevenLabs (службы преобразования текста в речь), системы преобразования текста в речь Azure, Yelp (платформы для отзывов) и Google Maps.
Благодаря уязвимости любой желающий может получить доступ к конфиденциальным данным и использовать их для блокировки устройства R1, изменения ответов и многого другого.
Кроме того, в Rabbitude заявили, что Rabbit знала об этой ошибке безопасности, но не предприняла никаких шагов для устранения проблемы.
Компания ответила на претензии: «На данный момент нам не известно ни об утечке данных клиентов, ни о каких-либо нарушениях наших систем. Мы предоставим обновлённую информацию, как только получим подробности».
Как сообщили разработчики, Rabbit отозвала ключи API 11 компаний, поскольку она забыла обновить свой ключи на сервере. Компания также добавила на свой сайт страницу, посвящённую продолжающемуся расследованию уязвимости.
Ранее исследователь Мишал Рахман из Android Authority выяснил, что Rabbit R1 работает не на собственной операционной системе Rabbit OS, а на Android с кастомной оболочкой и всего одним приложением, которое связывается с LAM-моделью в облаке.
После этого автор YouTube-канала HowToMen запустил Android 13 на Rabbit R1 вместо Rabbit OS. Энтузиаст узнал, что Android работает на гаджете почти так же, как и штатная ОС.
Источник: habr.com
