近日， Canthink網路安全攻防研究所的研究人員找到了將Amazon Echo (Alexa-powered) 智慧揚聲器變成竊聽設備的辦法， 並非使用Echo設備或Alexa服務中的漏洞， 通過Alexa軟體開發套件（SDK）中的選項， 該程式開發人員便可隨意操作。
Canthink安全研究員表示， 如果讓惡意Alexa APP保持打開狀態， 後果將不堪設想。
簡單的說， 就是使用Alexa SDK創建一個計算器應用程式， 該應用程式濫用了一個名為“shouldEndSession”的參數， 只要將其設置為false， 這款惡意計算器APP會在用戶回復第一個問題後期待用戶提出第二個問題， 而無需再次獲得用戶的許可。 這也意味著它可以可在為用戶回答初始問題後實現監聽。
按照設計， Alexa保持開放並記錄周圍的聲音， 等待獲得第二個問題， 這也意味著Alexa能將所有音訊轉錄成存儲在所謂插槽中的單詞， 然後被應用程式開發人員獲取。
此外， 開發人員還濫用了一個名為“reprompt”的Alexa SDK參數， 它通過應用程式用來提示使用者重複輸入， 通過“shouldEndSession”參數將記錄間隔延長了8秒， 總共可監聽16秒的內容。
Canthink研究人員表示，
亞馬遜對此推出了一項Alexa更新，
可以檢測到這類重新提示和比平時更長的會話，
並採取相應的措施。
據悉，
這不是影響Alexa設備的第一個安全缺陷：早在2017年9月，
研究人員就披露了Dolphin Attack會通過超聲波來接管Echo等智慧家庭用戶。
此外，
Alexa也受到BlueBorne漏洞的影響。