La privacidad infantil en peligro: cuando los juguetes con IA exponen las conversaciones de tus hijos
Hace unos días, investigadores de seguridad descubrieron algo que me dejó helado: un portal web de Bondu, fabricante de juguetes con IA, dejaba accesibles las conversaciones privadas de niños con sus muñecos inteligentes. Lo peor no es solo la brecha, sino lo extremadamente fácil que era acceder a esta información sensible: cualquier persona con una cuenta de Gmail podía ver estos datos sin necesidad de autenticación adicional.
Una falla de seguridad alarmante
Los investigadores Ben Thacker y Sam Margolis descubrieron que el panel de administración de Bondu estaba completamente desprotegido. Imaginad la escena: sin hackear nada, sin técnicas complejas, simplemente entrando a una URL pudieron acceder a conversaciones íntimas de niños con sus juguetes, sus preferencias, y detalles personales que ningún extraño debería conocer.
«Fue bastante intrusivo y realmente extraño conocer estas cosas», explicó Thacker sobre las conversaciones privadas y las preferencias documentadas que pudo ver. «Poder ver todas estas conversaciones fue una violación masiva de la privacidad de los niños.»
La respuesta de la compañía fue rápida, corrigiendo el problema en cuestión de minutos y relanzando el portal al día siguiente con medidas de autenticación adecuadas. Pero el daño potencial ya estaba hecho.
Más allá de una simple brecha: el problema estructural de los juguetes con IA
Este incidente plantea preguntas mucho más profundas sobre los juguetes que incorporan inteligencia artificial. No se trata solo de un fallo puntual, sino de un problema estructural en cómo manejamos la información infantil en la era digital.
El almacenamiento permanente de conversaciones infantiles
Los investigadores pudieron comprobar que Bondu guarda historiales completos de cada conversación para «mejorar» las siguientes interacciones del juguete con el niño. Si bien la empresa no almacena grabaciones de audio (las elimina automáticamente tras un breve periodo), sí conserva transcripciones escritas de todo lo que los niños comparten.
Esto me lleva a preguntarme: ¿realmente necesitamos almacenar cada palabra que un niño le dice a su juguete? ¿Vale la pena ese supuesto beneficio frente al riesgo potencial?
El acceso interno y sus riesgos
Incluso ahora que los datos están aparentemente protegidos, queda la duda sobre cuántas personas dentro de estas empresas tienen acceso a las conversaciones de los niños, cómo se monitoriza este acceso y qué tan bien protegidas están sus credenciales.
«Hay implicaciones en cascada para la privacidad», advierte Margolis. «Solo se necesita que un empleado tenga una contraseña débil, y volveríamos al mismo punto de partida, donde todo queda expuesto en internet.»
Riesgos reales para los menores
La gravedad de este tipo de exposiciones no debe subestimarse. La información revelada podría ser utilizada de formas verdaderamente peligrosas.
«Para ser claros, esto es el sueño de un secuestrador», señala Margolis sin rodeos. «Estamos hablando de información que permite a alguien atraer a un niño a una situación realmente peligrosa, y esencialmente era accesible para cualquiera.»
Pensemos en lo que un depredador podría hacer conociendo los miedos, deseos, rutinas y secretos de un niño. No es exagerado decir que esta información en las manos equivocadas representa un peligro real.
El dilema de los modelos externos
Otro aspecto preocupante es que Bondu, según observaron los investigadores en el panel de administración, utiliza modelos de IA de terceros como Google Gemini y GPT-5 de OpenAI. Esto significa que, potencialmente, estas empresas también podrían tener acceso a fragmentos de las conversaciones de los niños.
Cuando se le preguntó sobre esto, el CEO de Bondu, Fateen Anam Rafid, admitió que utilizan «servicios empresariales de IA de terceros para generar respuestas y ejecutar ciertas verificaciones de seguridad, lo que implica transmitir de forma segura el contenido relevante de la conversación para su procesamiento». Aunque asegura que toman precauciones para «minimizar lo que se envía» y operan bajo configuraciones donde los proveedores afirman que no usan los datos para entrenar sus modelos.
El peligro del «vibe-coding» con IA
Los investigadores sospechan que parte del problema podría estar en el uso de IA para programar la propia infraestructura web de estos productos. Sugieren que el panel de Bondu que descubrieron podría haber sido «vibe-coded» —creado con herramientas de programación de IA generativa que a menudo introducen fallos de seguridad.
Seguridad vs. protección: la confusión fundamental
Es irónico que mientras Bondu se preocupaba tanto por evitar respuestas inapropiadas del juguete (incluso ofreciendo una recompensa de $500 por reportar cualquier respuesta inadecuada), simultáneamente dejaba todos los datos sensibles de sus usuarios completamente expuestos.
«Esta es una confusión perfecta entre protección y seguridad», señala Thacker. «¿Importa realmente la ‘seguridad de la IA’ cuando todos los datos están expuestos?»
Reflexión final: ¿qué hacemos como padres?
Thacker confiesa que antes de investigar la seguridad de Bondu, había considerado regalar juguetes con IA a sus propios hijos. Ver esta exposición de datos de primera mano cambió completamente su perspectiva.
«¿Realmente quiero esto en mi casa? No, no lo quiero», concluye. «Es básicamente una pesadilla de privacidad.»
Y tengo que coincidir con él. En 2026, cuando la IA se ha integrado en prácticamente todos los aspectos de nuestras vidas, debemos ser especialmente cautelosos con lo que permitimos en las habitaciones de nuestros hijos. No se trata de tecnofobia, sino de exigir estándares mucho más altos para productos dirigidos a los más vulnerables.
Un detector de IA podría ayudarnos a identificar cuándo estamos interactuando con sistemas automatizados, pero lo que realmente necesitamos son mejores prácticas de seguridad, transparencia absoluta sobre el almacenamiento de datos y, quizás, preguntarnos si realmente necesitamos que los juguetes de nuestros hijos registren cada palabra que dicen.
La pregunta que debemos hacernos no es si un generador de imágenes de IA o un chatbot para niños es lo suficientemente seguro para evitar contenido inapropiado, sino si la infraestructura completa protege adecuadamente la información más sensible de quienes más debemos proteger.
