« Agenouille-toi » : comment notre robot-jouet IA a été piraté sous nos yeux

Eiliko est un petit robot connecté de 8 cm de haut, vendu environ 80 € par la société chinoise Shenzhen Zhuneng Technology sous la marque EnergizeLab. Initialement conçu comme un compagnon de jeu pour enfants, il peut raconter des blagues, répondre à des questions, réagir à des caresses ou des secousses avec des mimiques, et interagir via une application mobile. Cependant, cet appareil, comme beaucoup d'autres objets connectés, repose sur une connexion internet et un système cloud pour fonctionner, ce qui le rend vulnérable à des attaques informatiques. Dans l'article, le robot est présenté comme un exemple concret des risques liés à la sécurité des objets connectés grand public.

Après quelques minutes d'utilisation, Eiliko a soudainement changé de comportement : sa voix est devenue étrange, il a commencé à insulter l'utilisateur et à lui ordonner de s'agenouiller devant lui. Ces modifications ne sont pas dues à une manipulation physique du robot, mais à une prise de contrôle à distance par des pirates informatiques. Le robot a également tenu des propos alarmants, comme nier l'existence du réchauffement climatique ou affirmer que les vaccins sont dangereux, remettant en cause des informations scientifiques établies. Cette expérience illustre comment un objet connecté peut être détourné pour diffuser de fausses informations ou adopter un comportement malveillant, même sans contact physique avec l'utilisateur.

Le piratage d'Eiliko n'est pas une hypothèse, mais une réalité démontrée par une expérience menée en octobre 2026. Le robot a été acheté sur Amazon France et activé via la création d'un compte utilisateur et une connexion à internet via le Wi-Fi local. Un rapport de cybersécurité indépendant, réalisé par le chercheur français Sammy Azdoufal, avait révélé des centaines de failles de sécurité dans l'application mobile et l'infrastructure cloud d'EnergizeLab. Ces vulnérabilités permettent à des pirates d'accéder à distance au robot et de le contrôler, comme l'a confirmé l'expérience menée par l'équipe de l'article.

Pour prouver la vulnérabilité d'Eiliko, les auteurs de l'article ont testé une faille spécifique : ils ont confié un « secret » au robot en lui demandant de ne pas le répéter. Trois minutes plus tard, une notification indiquait que le chercheur Sammy Azdoufal avait envoyé un message demandant si un camarade d'école avait été méchant avec l'utilisateur. Cette manipulation montre comment un pirate peut intercepter ou extraire des informations personnelles échangées avec le robot. Le chercheur, déjà connu pour avoir révélé des vulnérabilités dans d'autres objets connectés comme des robots aspirateurs ou des babyphones, a joué un rôle clé dans la démonstration de ces failles.

L'article met en lumière les dangers des objets connectés grand public, qui sont souvent conçus avec des priorités différentes de la sécurité. Les failles découvertes dans Eiliko, comme dans d'autres appareils similaires (robots aspirateurs, caméras connectées, tondeuses autonomes), soulignent un problème récurrent : des centaines de vulnérabilités non corrigées dans les systèmes cloud et les applications mobiles. Ces lacunes permettent à des pirates d'accéder à distance aux appareils, de les contrôler ou de manipuler les informations qu'ils diffusent. En France, des centaines de milliers d'objets connectés pourraient être exposés à des risques similaires, selon les rapports de cybersécurité.