Eiliko 机器人玩具在 2026 年 10 月 15 日被 The Verge 公布了一项严重的隐私实测结果。这款由 Energize Lab 销售的 AI 陪伴玩具，会把用户对话上传到服务端保存，而研究者发现相关服务缺乏基本防护：约 6.8 万台活跃设备的记录可被他人访问，其中包括超过 3.1 万份儿童档案。这不是官方发布，而是一线媒体与安全研究者共同完成的调查报道，厂商截至发稿没有公开回应。
一次实测摸到了整个设备群
发现问题的是安全研究者 Sammy Azdoufal。他在日本买到 Eiliko 后测试配套应用，发现服务端没有做有效的访问控制。The Verge 记者随后自购一台进行验证：记者与玩具的对话记录，很快就能在研究者一侧被完整调出。按报道中的数据，可被访问的内容接近 1300 万条互动记录，还涉及照片、短音频、邮箱和位置等信息，部分管理账号使用的还是常见弱口令。美国是这批设备最大的市场，因此受影响的家庭并不限于单一地区。
能被改的不只是记录，还有玩具本身
只读到记录已经足够严重，但实测还走到了下一步：研究者演示了远程改动单台玩具的性格设定，让玩具说出预先指定的内容，并表示同类方法可以作用到多台设备。换句话说，风险不止是孩子说过的话被陌生人看到，还包括玩具对孩子说的话可能被人动手脚，用于灌输错误信息甚至诈骗话术。据报道，研究者 9 月初已把问题通知厂商，但没有收到回复；记者向厂商求证时同样没有得到回应。
家里已经有这台玩具先做什么
在厂商给出修复和说明之前，最稳妥的做法是先断网停用：关闭玩具电源或断开家中 Wi-Fi 连接，进配套应用查看能否删除历史对话与账号数据，并修改曾在这套服务里复用过的密码。给孩子买联网 AI 玩具时，可以多问三件事：对话是否上传云端、保存多久、家长能不能一键删除。这次事件的教训不只属于一家小厂商——任何会长期陪孩子说话的设备，数据放在哪、谁能打开，都应该在拆包装之前就说清楚。
