[分享发现] Rabbit R1 被曝存在严重的 API 密钥泄露问题

[小天管理]

Source: https://www.404media.co/researchers-prove-rabbit-ai-breach-by-sending-email-to-us-as-admin/

中文翻译来自 sspai: https://sspai.com/post/90016

6 月 25 日，据名为 Rabbitude 的黑客和开发者社区称，Rabbit R1 AI 助手设备的代码中存在硬编码、且容易泄漏的 API 密钥。这些密钥允许任何人读取每个 R1 设备曾经给出的所有响应，包括个人信息，还能通过该密钥操纵设备的响应、替换设备的声音、甚至完全抹掉设备。Rabbitude 在博客文章中详细描述了这一情况，并指出 Rabbit 公司对其 ElevenLabs API 密钥暴露的问题知情已有一个月，但未采取任何措施更换密钥。

此外，暴露的 API 密钥还包括微软 Azure 、Yelp 和 Google Maps 的密钥，以及 Rabbit 的电子邮件提供商 SendGrid 的密钥。Rabbitude 还指出，他能从内部管理员电子邮件地址发送邮件验证。

Rabbit 公司在声明中表示，正在调查这一数据泄露事件，目前尚未发现客户数据泄露或系统被入侵的情况。Rabbit 公司在 6 月 25 日更换了 ElevenLabs 的 API 密钥，但尚未确认是否更换了其他暴露的 API 密钥