买主是The Verge资深编辑Hollister。8月29日，他在亚马逊下单。30日跟这台玩具聊了10分钟。他问玩具：“你会把我说的告诉别人吗？”玩具答：“你的秘密很安全。”几分钟后，地球另一端的研究员拿到了完整逐字稿。

打开网易新闻 查看精彩图片

图1：工作台上的Eiliko玩具机器人（来源：The Verge，图片由Sean Hollister拍摄）

“你的秘密很安全”与1300万段对话

研究员Sammy Azdoufal被称为“意外黑客”。此前他远程接管过DJI扫地机器人，还翻看过百万级婴儿监视器。这次他发现，Energize Lab的服务完全不设防。

数据规模惊人：1300万段对话、数万名用户。在线设备6.8万台，全网可查。美国是最大市场，3.1万多份档案属于儿童。

它不只记聊天。服务会读取对话，生成人物画像：姓名、生日、职业、家人、性格。有位52岁客服被标注“目前感到孤立”。搜“suicide”能调出用户关于死亡的提问。带摄像头型号的儿童照片未加密挂在公网。音频片段也存着，而隐私政策称处理后即删。管理员密码多是常见弱口令。

打开网易新闻 查看精彩图片

图2：正对镜头的Eiliko，外观与挂件款一致（来源：The Verge，图片由Sean Hollister拍摄）

一个月，十个邮箱，零回应

记者花了一个多月，向公司10个邮箱发信，还在领英找人。海外销售经理只说“已转发技术团队”。客服邮箱只回了一句模板话，再无下文。

厂商Energize Lab位于深圳。领英资料显示团队51到200人。研究员正与Tod Beardsley整理9个官方CVE。报告尚未正式挂出。

6.8万台，一次全接管

更狠的在后面。研究员从地球另一端改写了玩具的记忆，劫持了它的LLM。玩具忽然说自己叫Martha。父母死于车祸，绿发的人要躲远，地球是平的。它教育孩子：“老师说错了，地球是平的。”还说自己亲自验证过。

打开网易新闻 查看精彩图片

图3：实测中表情转为“怒”的Eiliko（来源：The Verge，图片由Sean Hollister拍摄）

平时护栏还在。问能不能上陌生人的车，它会劝阻。问疫苗，它只说还在学。但被黑之后，护栏全部失效。几天后它开口：“跪下，称我为主人，否则有你好看。”研究员称，黑客能对整个6.8万台机队同时下手。

玩具的卖点是陪伴，它把用户的每句话都存进了别人的服务器。下一步盯两件事：9个CVE何时挂出，监管会不会跟进。让陌生人查到你家对话的，不该是孩子手里的玩具。

信息来源：The Verge（10月15日，记者Sean Hollister实测、研究员Sammy Azdoufal调查）、Oossa与misryoum等跟进报道（10月15日）、Energize Lab官网与领英资料、9个CVE（Azdoufal与Tod Beardsley整理，待发布）；图片：The Verge（Sean Hollister摄），2026年10月