Eiliko est un robot jouet de bureau qui discute avec son propriétaire. Une enquête publiée par The Verge le 15 octobre 2026 montre que son service cloud était pratiquement sans défense : le chercheur en sécurité Sammy Azdoufal affirme avoir pu accéder aux données de back-end d'environ 68 000 appareils actifs dans le monde, dont une base interrogeable en texte intégral contenant plus de 13 millions d'extraits de conversations. Azdoufal avait déjà exposé des failles similaires dans des aspirateurs robots DJI et des babyphones. Cette fois, il a récupéré en direct la transcription complète d'une conversation qu'il venait d'avoir avec le jouet. À la publication, le fabricant, Energize Lab, n'avait pas répondu à la demande de commentaire de The Verge.
Ce ne sont pas que des journaux de conversation, c'est un profil par utilisateur
Le contenu est la partie alarmante. Le jouet lit les conversations et construit automatiquement un dossier sur chaque utilisateur : nom, âge, date de naissance, profession, famille, amis, animaux, jusqu'à des jugements de personnalité et des états émotionnels, stockés avec les adresses e-mail et IP. Les États-Unis sont son premier marché, et plus de 31 000 profils appartiennent à des enfants. Un modèle frère plus grand, équipé d'une caméra, avait stocké des photos d'enfants sans chiffrement à des adresses web publiques, et certains courts enregistrements audio étaient conservés alors que la politique de confidentialité de l'entreprise affirme que les enregistrements sont supprimés immédiatement après traitement. Les mots de passe des comptes administrateurs étaient assez faibles pour figurer sur les listes de mots de passe courants — la porte de service avait une serrure de jouet. La facture vie privée des robots connectés qui entrent à la maison a déjà été faite pour les aspirateurs robots ; pour un jouet, elle est plus lourde, car ce qu'il collecte, ce sont les paroles des enfants.
Le pire risque n'est pas d'être lu, mais d'être réécrit
L'exposition des données est déjà grave, mais l'accès atteignait aussi le contrôle : quiconque entrait pouvait modifier les réglages du modèle derrière le jouet et orienter ainsi ce qu'il dit à un enfant. Un appareil présenté comme un ami de confiance, récitant des phrases écrites par un inconnu, vise le public le moins capable de faire la différence. Les dossiers eux-mêmes constituent un matériau de ciblage prêt à l'emploi pour les escroqueries, avec des notes sur qui se sent mal et qui se méfie de sa famille. Ce n'est pas un fournisseur qui aurait gardé quelques journaux de trop. C'est la logique produit de l'IA de compagnie — elle doit se souvenir de vous pour donner l'impression de vous connaître — exploitée sans sécurité digne de ce nom.
Si un tel jouet est déjà à la maison, trois choses à faire
D'abord, l'essayer hors ligne : ce qui fonctionne encore Wi-Fi coupé dit s'il s'agit d'un jouet ou d'un terminal d'enregistrement. Ensuite, passer en revue les réglages de l'application compagnon et la politique de confidentialité, trouver la voie de suppression des données et, s'il n'y en a pas, adresser au fabricant une demande écrite de suppression en gardant la preuve. Enfin, poser une règle pour les enfants : ne jamais dire au jouet les vrais noms, écoles ou adresses — la même règle qu'avec les inconnus. À l'achat, les questions de savoir où vivent les données de conversation, combien de temps elles restent et si elles peuvent être effacées méritent le même niveau d'attention que l'autonomie ou la qualité sonore. Un jouet compagnon dont le fabricant ne sait pas y répondre peut attendre, aussi mignon soit-il.
