Une vulnérabilité critique, baptisée UniPwn, a été découverte sur plusieurs robots du spécialiste chinois Unitree, dont des modèles de robots humanoïdes. Exploitée via Bluetooth, elle permet une prise de contrôle totale et peut se propager d'une machine à l'autre, créant un potentiel botnet. Des chercheurs alertent également sur l'envoi de données de télémétrie vers des serveurs en Chine.

L'arrivée de fabricants comme Unitree a marqué un tournant dans la démocratisation de la robotique avancée. Leurs quadrupèdes et humanoïdes, relativement abordables, ont rapidement trouvé leur place dans les laboratoires de recherche, les entreprises et même certains services de police. Mais cette accessibilité s'accompagne aujourd'hui d'une interrogation majeure sur leur sécurité, alors qu'une faille béante vient d'être exposée.

Une Faille Béante dans l'Armure

La vulnérabilité critique, surnommée UniPwn par ses découvreurs, les chercheurs Andreas Makris et Kevin Finisterre, affecte une large gamme de produits Unitree, incluant les quadrupèdes Go2 et B2 ainsi que les humanoïdes G1 et H1.

Le point d'entrée est l'interface de configuration Wi-Fi qui utilise la passerellle vers le Bluetooth Low Energy (BLE). Les experts ont révélé une série de négligences de sécurité qui, mises bout à bout, créent un cocktail explosif.

Le problème est multiple. Les clés de chiffrement censées protéger les communications BLE sont codées en dur dans le firmware, et pire, ont déjà été publiées en ligne.

Pour couronner le tout, le processus d'authentification se résume à valider la chaîne de caractères "unitree". Une fois cette porte franchie, un attaquant peut injecter du code malveillant en le faisant passer pour le nom ou le mot de passe d'un réseau Wi-Fi.

Le robot, en tentant de se connecter, exécute ce code sans aucune vérification et avec les privilèges root, soit le plus haut niveau d'accès au système. Le mécanisme, qui autorise une prise de contrôle totale, permet à un attaquant d'installer un cheval de Troie, d'exfiltrer des données ou de désactiver les mises à jour.

Mais le danger le plus saisissant est que la faille est transmissible : un robot infecté peut scanner son environnement et compromettre automatiquement d'autres robots Unitree à portée de Bluetooth, ouvrant la voie à la création d'un botnet de robots se propageant de manière autonome.

Plus qu'une Simple Vulnérabilité : un Espion Potentiel

Au-delà de l'exploit UniPwn, d'autres découvertes dressent un portrait encore plus inquiétant. Le chercheur Víctor Mayoral-Vilches, fondateur d'Alias Robotics, a mis en évidence un autre comportement troublant : les robots Unitree transmettraient de manière continue des données de télémétrie vers des serveurs localisés en Chine, sans le consentement ou même la connaissance de l'utilisateur.

Ces flux de données incluent des informations techniques comme le niveau de la batterie ou le couple des articulations, mais aussi des données potentiellement bien plus sensibles.

Les flux audio des microphones et les images des caméras pourraient être transmis, transformant le robot en un véritable outil de surveillance mobile. Cette capacité de surveillance secrète est d'autant plus préoccupante que ces machines sont déjà en cours de déploiement, comme le Go2 testé par la police du Nottinghamshire au Royaume-Uni.

Les recherches montrent que l'humanoïde G1, une fois compromis, peut se transformer en une plateforme de cyber-opérations mobiles. Armé d'une IA d'assistance aux tests de pénétration, le robot peut de manière autonome scanner un réseau, identifier ses failles et préparer des attaques, passant du statut de victime à celui d'attaquant actif.

Le Silence Assourdissant du Fabricant

Ce qui rend l'affaire encore plus grave est l'apparente inaction de Unitree. Les chercheurs affirment avoir contacté l'entreprise dès le mois de mai pour une divulgation responsable, mais après quelques échanges, le fabricant a cessé de répondre en juillet.

Cette mise sur la place publique fait suite à l'échec d'une tentative de divulgation responsable auprès du fabricant, une pratique pourtant standard dans le milieu de la cybersécurité.

Ce n'est qu'après l'explosion médiatique que Unitree a publié une brève déclaration sur LinkedIn, reconnaissant les problèmes et promettant des correctifs futurs. Pour de nombreux experts, cette réaction tardive est symptomatique d'une industrie qui peine encore à intégrer la cybersécurité comme une priorité et non comme une réflexion après coup.

L'enjeu dépasse largement le seul cas de Unitree. L'idée de robots physiquement présents dans notre quotidien et pouvant être détournés à des fins malveillantes n'est plus de la science-fiction.

La confiance du public est en jeu, et comme le souligne Víctor Mayoral-Vilches, la question sera au cœur des débats lors de la prochaine conférence IEEE Humanoids à Séoul. Sa conclusion, simple et directe, résonne comme un avertissement pour tout le secteur : "Les robots ne sont sûrs que s'ils sont sécurisés."