暮らしと仕事の「？」を調べてみた｜AIと子どもの安全

子どもがAIロボットに話したことは、本当に秘密として守られるのでしょうか。

2026年10月15日、家庭用AI会話ロボット「Eilik」「Eiliko」などに関する深刻なセキュリティ上の問題が、独立した研究者の技術報告と米国メディアThe Vergeの検証によって公表されました。

会話記録への不適切なアクセスが可能だったことに加え、ロボットのAI設定や回答内容を遠隔から変更できる問題が報告されています。

ただし、約1,300万件の会話が犯罪者に盗まれたと確認されたわけではありません。 何が実証され、何がまだ分からないのか、元の資料から整理します。

今回の「？」：AIロボットは何を記録していた？

対象となったのは、Energize Labが展開するAI会話機能付きロボットです。利用者が話しかけると、音声がクラウド側で処理され、AIが作成した回答をロボットが音声で返します。

研究者Sammy Azdoufal氏によると、会話の内容はクラウド上に保存され、名前、年齢、家族関係、好みなどを抽出する仕組みも確認されました。こうした情報の保存と閲覧に関わる認証・アクセス制御の問題が指摘されています。

会話記録は何件あった？数字を確認

出典：研究者の2026年10月13日付技術報告、The Vergeの10月15日付記事。集計範囲や時点が完全に一致するとは確認できないため、数値を合算しません。

研究者の報告には、2026年10月13日時点で9,124,055件の保存会話と、32,228件以上の子どもに関するプロフィールが記載されています。The Vergeは、約1,300万件の会話にアクセス可能だったと報じています。

ロボットの回答を外部から変更できた？

研究者は、自分が所有するロボットでAIの記憶や設定を変更し、事実と異なる回答をさせることに成功したと報告しています。

The Vergeも実際に購入したEilikoで検証を行い、研究者の協力を得て、ロボットが誤った情報を話す様子を確認しました。学校の先生よりロボットの説明を信用するよう促す回答も確認されています。

これは、単にAIが間違えるという問題とは異なります。外部からAIの設定が改変されると、利用者がその変更に気付かないまま、ロボットから不適切な説明を受ける可能性があるという問題です。

ただし、実証されたのは研究者が関与した検証です。すべての販売済みロボットが現実に乗っ取られたという意味ではありません。

脆弱性はどこにあった？

問題の中心は、ロボット本体の外観や動きではなく、クラウド側のシステムです。研究者は、管理画面の認証、保存情報へのアクセス制御、AIモデル設定の変更機能などに複数の弱点があったと報告しています。

2026年10月15日には関連する9件のCVE（公開された脆弱性識別番号）が登録されました。例えば、CVE-2026-105038は、認証なしでAIモデルの管理機能にアクセスできる問題で、CVSS v3.1の基本値は9.8です。

CVSSは脆弱性の技術的な深刻度を示す指標です。9.8という値が、そのまま被害発生率を示すわけではありません。

メーカーは修正した？

研究者は10月13日の再確認で、遠隔から確認可能な40項目のうち32項目が未修正だったと報告しています。

The Vergeはメーカーに複数回問い合わせたものの、記事公開までに問題の詳細に対する実質的な回答を得られなかったと説明しています。

家庭や学校では何を確認すればよい？

今回の問題は、特定の製品だけでなく、インターネットにつながるAI機器を選ぶときの確認事項を示しています。

• 会話の保存先と保存期間：音声や文字起こしがどこに保存されるか、削除できるか確認する。
• 子どもの個人情報：名前、住所、学校名、家族の事情などを必要以上に話さないよう伝える。
• メーカーの更新情報：脆弱性の修正、アプリや機器の更新、利用者向けのお知らせを確認する。
• AIの回答との付き合い方：ロボットが親しげに話しても、回答が常に正しいとは限らないと共有する。
• 不安がある場合：音声会話などのクラウド連携機能の利用を一時的に控え、メーカーの公式案内を確認する。

今回の資料から、東村山・小平・東大和で同様の被害が起きたと確認されたわけではありません。ただし、家庭や教育現場でAI機器を利用する際に考えたい問題です。

主な確認資料・情報源

1. Sammy Azdoufal氏「Your Secrets Are Safe With Me」（2026年10月13日付技術報告）
   調査経緯、会話件数、脆弱性、実機検証、再確認結果。
2. The Verge「Your secrets aren’t safe with this cute robot toy」（2026年10月15日）
   記者による製品購入、会話閲覧と回答改変の実機検証、メーカーへの問い合わせ。
3. AHA! 脆弱性情報（2026年10月15日）
   関連するCVEの公表情報。
4. Rapid7 脆弱性データベース：CVE-2026-105038
   AIモデル管理機能の認証不備とCVSS評価。