随着 AI 聊天大模型的发展，越来越多的用户开始将AI 当做虚拟的伴侣。本应获得精神上的陪伴，如今却面临私密对话泄露的风险。近日，网络安全媒体Cybernews揭露了一起数据泄露事件，主角是两款颇受欢迎的AI陪伴应用——Chattee Chat与GiMe Chat。由于开发者一个堪称灾难级的安全疏忽，超过40万用户的数字私密空间被夷为平地，4300多万条聊天记录，连同超过60万份图片与视频，全部沦为网络世界的公开秘密。

Cybernews的研究人员发现，支撑这两款应用实时数据流的，是一个完全裸奔的Kafka Broker实例。通俗地说，这个负责处理和存储用户所有聊天记录、图片和音视频的核心数据库，竟然没有任何密码保护或身份验证机制。这意味着，任何只要知道其网络地址的人，都能够像逛自家后花园一样，随意进出、访问和下载其中所有的数据。

这扇洞开的后门，让海量的敏感信息处于极度危险之中。尽管泄露的数据没有直接包含用户的姓名或邮箱，但其中囊括的IP地址和设备唯一识别码，对别有用心的攻击者而言，已经足够拼凑出用户的真实身份。结合其他数据泄露事件中的信息，不法分子可以轻易地将这些私密对话与现实世界中的具体个人对应起来，进而实施精准的敲诈勒索、网络骚扰，甚至是社会性死亡打击。

这两款应用，尤其是在年轻人中颇具人气的Chattee Chat，凭借其高度定制化的虚拟伴侣角色，一度冲上苹果App Store娱乐榜单的第121位，累计下载量预估超过30万次。Cybernews分析泄露数据后发现，这些应用的用户粘性极高，平均每位用户向他们的AI伴侣发送了多达107条消息。这些对话内容包罗万象，从日常琐事到最深层的情感寄托，其私密程度不言而喻。

更令人咋舌的是数据背后揭示的惊人消费力。部分用户为了在虚拟世界中获得更优质的陪伴体验，豪掷千金，其中一人的消费记录甚至高达1.8万美元。据估算，这两款应用的总收入可能已超过百万美元。然而，这场泄露事件让用户的真金白银也面临着直接威胁。暴露的数据中包含了用于账户验证的认证令牌，黑客一旦获取，便可轻易劫持用户账户，盗取其中充值的虚拟货币，让用户的财产瞬间蒸发。

在接到Cybernews的通报后，应用的开发商Imagime Interactive Limited已紧急修复了这一漏洞，关闭了相关数据库的公共访问权限。但一个无法回答的问题是：在这扇后门被关上之前，究竟有多少双眼睛已经窥探过其中的秘密？又有多少数据已经被下载并储存在了某个不为人知的角落？

Cybernews的安全专家强调，对于处理如此高度敏感数据的应用而言，基础的安全措施绝非可有可无的选项，而是必须遵守的生命线。启用多重身份验证、严格限制IP访问、配置细致的访问控制策略，这些都应是开发阶段的必修课。

（来源：凤凰网科技）