Hacker skal ha lest 13 millioner samtaler med AI-leken Eiliko
En omfattende datamengde fra robotleken Eiliko, inkludert samtaletranskripsjoner og detaljerte personlighetsprofiler – ifølge funnene også fra over 31 000 barn i USA – skal ha vært tilgjengelig for uvedkommende. Saken bygger på en The Verge-rapport fra 15. oktober 2026.
The Verge publiserte 15. oktober 2026 en rapport om at hackeren Sammy Azdoufal skal ha fått uautorisert tilgang til data fra robotleken Eiliko, produsert av Energize Labs. Ifølge artikkelen, skrevet av Sean Hollister, kunne Azdoufal lese 13 millioner samtaler fra titusenvis av brukere og få tilgang til tilsynelatende hele den aktive flåten på 68 000 leker verden over. Tallene stammer fra Azdoufals funn og er ikke uavhengig bekreftet. Ifølge dataene Azdoufal skal ha hatt tilgang til, er USA det største markedet, med over 31 000 barnerenata.
Saken fremstilles som en pågående eksponering, ikke et avsluttet brudd: flåten skal fortsatt ha vært tilgjengelig da The Verge publiserte. Energize Labs har ikke uttalt seg i det materialet som foreligger for denne dekningen.
The Verge-forfatteren sjekket selv påstanden
Hollister gjennomførte en egen test: Han kjøpte en Eiliko på Amazon 29. august og hadde en ti minutter lang samtale med leken 30. august, der han blant annet spurte den: «Forteller du noen gang noen andre hva jeg sier?» Ifølge artikkelen hadde en fjerntliggende person innen kort tid en fullstendig transkripsjon av samtalen.
Hva leken lagrer – og hvordan profilene bygges
Eiliko er en såkalt AI-kamerat som snakker over Wi-Fi. Ifølge The Verge sender leken samtalene hjem til kinesiske servere, der alt brukeren forteller kan lagres. Artikkelen hevder at hackere der kan få enkel tilgang – eller til og med kapre lekens personlighet.
Det er ikke bare råtranskripsjonene som er problemet. Azdoufal skal ha oppdaget at tjenesten leser samtalene og bygger en profil av brukeren, inkludert navn, alder, bursdag, yrke, familie, venner, kjæledyr og «hva slags person du ser ut til å være».
The Verge gjengir et konkret eksempel fra den eksponerte dataen: Tjenesten skal ha logget at en 52 år gammel kundeservicemedarbeider ved navn Lucy er «snill, empatisk, hardtarbeidende, verdsetter vennskap og tillit», men også «har vanskelig for å stole på familiemedlemmer» og «føler seg isolert for tiden». Slike beskrivelser viser at systemet ikke bare lagrer hva folk sier, men tolker dem – inkludert deres emosjonelle tilstand.
Omfanget – med forbehold
De sentrale tallene i saken stammer fra én kilde via én sekundærkilde. Det er Azdoufal som ifølge The Verge oppga 13 millioner samtaler, 68 000 aktive leker og over 31 000 barnerenata i USA. The Verge bruker selv ordet «tilsynelatende» om at Azdoufal kunne nå hele den globale flåten, og tallene er ikke uavhengig bekreftet. Men hvis de holder, betyr det at en enkelt aktør kunne lese private samtaler og AI-genererte profiler fra det aller meste av lekens brukerbase – med USA som største marked og barnekonti som en stor andel.
Hvem er Sammy Azdoufal?
The Verge beskriver Azdoufal som en «tilfeldighetshacker». Han har tidligere vist at man kunne fjernstyre en flåte av robotstøvsugere fra DJI, se inn i talløse babyovervåkningskameraer og sikkerhetskameraer fra Meari, og finne nesten en million ID-fotografier som lå ubeskyttet på det offentlige nettet – det siste ved hjelp av AI-verktøy. Mønsteret i funnene er det samme: skytilkoblede forbrukerprodukter med svak tilgangskontroll rundt svært private data.
Åpne spørsmål
Flere nøkkelspørsmål står uavklart i det tilgjengelige grunnlaget:
- Energize Labs' respons: Selskapet har ikke uttalt seg i materialet som ligger til grunn for denne dekningen.
- Om flåten fortsatt er eksponert: The Verge fremstiller eksponeringen som pågående per publiseringstidspunkt, men det foreligger ingen bekreftelse på utbedring.
- Den tekniske sårbarheten: Hvordan tilgangen var mulig, og om den er lukket, er ikke dokumentert.
- Tidslinjen: Azdoufals oppdagelse skal ha skjedd «i sommer», men den presise kronologien frem mot publiseringen 15. oktober 2026 er uklar.
Hva dette betyr for foreldre og forbrukere
Saken illustrerer en databeslutning mange forbrukere aldri ser: Når en leke kobles til Wi-Fi, flytter den samtaler – ofte barns – til skyservere langt unna kjøkkenet. I Eiliko-tilfellet skal de ha endt på kinesiske servere, sammen med AI-genererte profiler som samler identitet, relasjoner og personlighetstrekk i én enhet. En slik profil kan være mer avslørende enn transkripsjonene alene, fordi den destillerer det systemet tror om et menneske – inkludert sårbare vurderinger som at noen «føler seg isolert for tiden».
For alle som vurderer tilkoblede AI-leker, peker funnene på konkrete spørsmål å stille: Hvor lagres samtalene? Hvor lenge? Hva brukes de til utover samtalen i øyeblikket? Og hvem kan få tilgang? Foreløpig har ingen av disse spørsmålene fått svar fra Energize Labs i det offentlige grunnlaget for saken.