Rabbit R1 近期陷入了严重的信任危机。这款在年初 CES 上大放异彩的口袋 AI 设备，先是被曝出 App 实为安卓套壳，接着又被指出其主推的 LAM（大型操作模型）实际上依赖 OpenAI 接口——如今，连 API 安全也出现了重大隐患。一个名为 Rabbitude 的逆向工程团队发现，Rabbit R1 的 API 存在漏洞，可能直接暴露用户的敏感数据。

先简单回顾一下 Rabbit R1 的产品特性：配备 2.88 英寸触摸屏、一个可旋转摄像头以及交互滚轮，搭载自研操作系统。它最大的卖点是内置所谓的“大型操作模型”（Large Action Model，LAM），号称“万能应用控制器”——无需掏出手机，即可播放音乐、购物、发送信息，甚至还能训练它学习操作特定应用。

作为用户的个人助理，这类设备必然需要处理大量敏感信息。而 Rabbitude 团队的最新研究恰恰击中了这一痛点：他们发现 Rabbit R1 的 API 存在安全漏洞，可能导致用户数据泄露。Rabbitude 是一个专门对 Rabbit R1 设备及其软件进行逆向工程的开源社区项目，会定期公布研究进展。

更令人担忧的是，这些被泄露的 API 还能控制手机的关键功能。研究团队指出，通过修改 API 调用，攻击者可以改变设备的响应逻辑，甚至篡改其语音输出。他们将此漏洞定性为“关键的硬编码 API 密钥”，利用它可以访问 Yelp 评论和谷歌地图——这些服务通常用于满足用户的位置相关查询需求。

值得一提的是，Rabbitude 团队声称早已将这一安全隐患告知 Rabbit R1 开发团队，但截至目前，并未采取任何实质性的修补措施。这台被寄予厚望的“口袋 AI 新物种”，正面临口碑与信任的双重考验。