问题

2026 年 10 月 16 日，The Verge 公布了与黑客 Sammy Azdoufal 一起对 Energize Lab 旗下陪伴机器人 Eiliko 所做的实测：用户的对话、用户画像、儿童照片和音频被存放在一台没有防护的服务器上；约 68000 台设备可被访问，涉及约 1300 万条对话，其中超过 31000 份儿童档案来自美国，并且演示了远程劫持一台设备。

先说结论：这不是某个玩具上额外长出来的一个安全漏洞，而是消费机器人的默认架构——常开的麦克风和摄像头、以方便为先的后端，而公开报道中没有描述任何补丁或吊销路径——它在整个品类还没定义清楚什么叫“已部署”之前，就已经按机队规模出货了。汽车行业之所以能做到“可监控、可修补、可吊销的信任边界是销售前提”，是因为型式认证把这个要求变成了硬门槛。消费机器人没有这样的强制力，所以这份纪律只能来自产品选择。在它到来之前，陪伴机器人的单位经济模型，本质上是在抵押一笔没有人入账的负债。

我的结论

一个可用的定义：只有当每一台设备同时满足下面五点时，这支机队才算“已部署”——可清点（能枚举出来，并知道归谁所有）、接入时可认证（没有身份的可达性只是暴露，不是部署）、可修补（修复能在明确的时间窗内覆盖整个存量装机）、可吊销（几分钟内能把一台设备或一份凭证切断）、有责任人（凌晨三点有人负责，并且有权关停）。

只用已报道的事实给 Eiliko 打分：可清点——部分成立，机队确实以数据库记录的形式存在、还挂着用户画像，但访问不需要身份，于是“清点”和“访问”变成了同一件事，这正是失败点；接入可认证——否；可修补——报道中没有；可吊销——报道中没有；责任人——没有公开。五条里占两条，而且都是最便宜的两条。

这就是本文的论点：一个产品可以很讨喜、可以卖得很好，却仍然不算“已部署”。行业一直把“出货”和“部署”当同义词，因为这两者的差别只在最糟糕的那一天才显现。

约束条件

四个约束决定了这件事，其中只有一个与技术有关。

成本。Apple 给 HomeView 定的 299 美元，大致就是大众家庭设备的价格上限。BOM 上每多花一美元在安全芯片、硬件信任根或单机密钥注入上，就要从麦克风阵列或者毛利里扣回来。

可观察性。在购买那一刻，买家无法判断一个后端是否做了认证。安全是不可观察的属性，货架就无法给它定价，最便宜的架构于是赢下货架。Eiliko 这件事的机制更多在这里，而不是恶意。

反馈延迟。汽车出问题，是动能事件、责任可归、几周内进入诉讼。机器人玩具出问题，是几年后才浮出水面的隐私泄露，而买单的客户根本看不到账单。本来可以约束设计的那条市场信号，要等到又出货三代之后才到。

没有强制力。汽车有 UN R155 和 ISO 21434，靠型式认证卡住：没有证书就不能卖。200–300 美元的消费机器人没有任何对应的关卡。最接近的反证是 10 月那起针对欧洲超市冷链的网络攻击：路透点名 Intermarché，称 150 家门店被针对；《世界报》报道多家连锁被迫关闭冷柜；Claroty 的 Team82 此前披露过 Danfoss 制冷控制器的漏洞——但报道至今没有确认用的是哪个 CVE、攻击者是谁、损失多少。制冷控制器好歹有一个运营方和一份服务合同；玩具只有一个家长。

取舍选项

真正的分岔不是“安全还是不安全”，而是边界放在哪里，以及为了守住它愿意放弃什么能力。HomeView 是最好的对照架构，因为它落在同一个价格带：299 美元、7 英寸屏、11 月 13 日起在美英加澳发售，按产品页面描述，A18 芯片的 Secure Exclaves 把摄像头和麦克风的数据放在操作系统和 Apple 都无法访问的隔离区内处理。这只是产品页面的说法，尚无独立验证，应当按设计意图而非实测属性来看。它同时不提供 App Store 访问——这是同一笔取舍的另一面。

选项 换来什么 代价 为什么选/不选
云端优先的感知，配一个不做认证的便利后端（与 Eiliko 的报道相符的架构） 最低的 BOM、最快的迭代、无需单机身份即可远程支持 信任边界，以及机队变大后彻底丧失的吊销能力 不选。数据飞轮是真的，但它是用一笔无人入账的负债融资来的
厂商自己读不到数据的隔离区本地感知（HomeView / A18 Secure Exclaves） 一条能扛住自家后端被攻破的边界；竞品难以低成本复制的卖点 改进闭环、远程诊断、部分个性化能力，以及更高的芯片成本 对一台放在卧室里的设备，感知层面我会选它，并接受更薄的云端功能
单机身份 + 认证云端 + OTA + 吊销（R155 式的答案） 可修补、可枚举、分钟级吊销、可审计的事件链路 密钥注入、常设的安全运营团队、更慢的发布节奏、按 SKU 重新认证 我会把它当下限而不是上限：这是让“已部署”成立的最便宜选项
纯本地设备，无云、无陪伴功能 最小的责任面，机队规模上没有可被攻破的东西 产品存在的理由：远程查看、对话、陪伴感 只有当它被当作摄像头而不是陪伴机器人卖时才选。299 美元的身位在零售渠道活不下来
区域限售，只在能配齐应急响应的地方出货 可辩护的运营，以及一套你真能做到的披露规范 TAM，以及比融资计划更慢的爬坡 第一代硬件我会选它：这是“快速推进”唯一能在事故后活下来的版本

证据

三个数据点撑起全文。

第一是 Eiliko 的规模：68000 台可达设备、1300 万条对话、超过 31000 份美国儿童档案。最后一个数字才是把架构批评变成监管与声誉事件的东西——而这个数字，产品经理在出货前就能写进一页 PPT。

第二是 HomeView：299 美元、11 月 13 日、四个市场、隔离区说法未经独立验证。它证明信任边界在这个价位是负担得起的，也证明代价是失去应用生态。

第三是 Waymo：超过 4 亿公里完全自动驾驶里程、官方称在严重伤害及以上事故中比人类驾驶少 95%、多伦多目标 2028 年迎接首批乘客，且此前先以人工驾驶采图并由自动驾驶专家测试、与 Element Fleet Management 合作做车队管理。这才是一份有分母的安全论证。299 美元的桌面机器人做不出这种形状的声明——而同期流传的单电机 DIY 无人机视频，既没有产品化也没有独立性能数据，恰好说明从 demo 到部署的沟还多宽。

反方意见值得认真对待。“它只是个玩具，威胁很低”——演示出来的远程劫持和那 31000 份儿童档案就是回答。“隔离区会毁掉产品”——部分成立；Apple 用初创公司没有的服务收入来填这笔账，这种不对称是真实的，不是道德差距。“监管总会来，等等更理性”——只有当责任被封顶时才成立，而它并没有被封顶。“汽车类比是硬套，汽车会撞死人”——说得对，而这正是要点：这个类比断裂的方向，是让机器人更难而不是更容易，因为反馈慢，而且受害者不是买家。

这个结论的边界

这套论证适用于 500 美元以下、带常开传感器、走零售渠道、销往美国和欧盟的消费机器人，且机队规模大致在万台以上、人工处理已经不可行的区间。它在这些情况下会变弱：仓储与野外机器人，买家就是运营方、现场自带安全团队、服务合同里本来就有 SLA；第一天就有事故响应责任人的企业机队；当前一代已经带硬件信任根的设备；以及规模极小的机队——6.8 万台大到会疼，也小到一个有决心的团队几乎能靠人工清点和打补丁。我不主张的是：HomeView 的隔离区已经得到验证，或者这件事已经有了定论。

我会怎么改

四条要求，都可被证伪。

第一，把留存上限写进规格表并给出数字：对话和图像保存多久、存在哪里、是否会离开设备。不愿意白纸黑字写下来的厂商，其实已经回答了。

第二，OTA 与吊销的 SLA：修复多久能覆盖存量装机，多久能切断一台设备或一份凭证。没有数字，就等于没有能力。

第三，事件披露承诺，并指名一个有权限吊销某个 SKU 的人，而不是一个 security@ 邮箱。这就是“凌晨三点我打给谁”的答案。

第四，把“已部署”的定义写进采购合同或投资备忘录——可清点、可认证、可修补、可吊销、有责任人——并据此给厂商打分。

我的判断是：这个品类会走到那一步，靠的是被记成成本的产品选择，而不是一个自己长出来的监管框架。汽车是在有了型式认证加两份标准之后，信任边界才成为销售前提的。消费机器人两样都没有，所以眼下唯一可用的强制力，是一个会提问的买家，和一个把答案写进规格的产品经理。在那之前，飞轮是用数据融资的——而这一次，这些数据属于超过 31000 名美国儿童。