宇树机器人惊现漏洞，攻击者能掌控一支机器人大军！官方回应了

39 0 0

文章摘要

近日，宇树旗下多款四足和人形机器人产品被曝存在严重安全漏洞，涉及Go2、B2四足机器人以及G1、H1人形机器人。IEEE Spectrum报道称，这是商用人形平台首次被公开利用的重大漏洞。漏洞源于机器人初始BLE（蓝牙低功耗）连接的Wi-Fi配置界面，其加密密钥为硬编码且已被公开。攻击者可通过注入伪装成Wi-Fi信息的恶意代码，在机器人连接网络时以root权限执行任意指令，可能导致设备重启、后门植入、固件升级阻断、数据窃取甚至远程操控。

研究人员发现，该漏洞最显著的特点是具备“蠕虫化”传播能力。一台受感染的机器人可自动扫描并攻陷附近其他宇树机器人，形成无需人工干预的僵尸网络。攻击者理论上可借此掌控整支机器人大军。尽管研究人员早在5月就向宇树报告漏洞，但截至9月20日，相关修复仍未完成。期间，研究者被迫在GitHub公开漏洞利用工具链UniPwn。

宇树在最新回应中表示已着手修复大部分安全问题，更新将通过固件升级推送。公司强调其机器人默认设计为离线使用，联网需用户手动授权，且仅传输基础设备信息至服务器。宇树承诺将改进权限管理机制，采用更先进技术方案消除安全隐患，同时否认存在未经授权的数据收集行为。

此次事件暴露出机器人行业在快速发展过程中面临的安全挑战。随着机器人应用场景的拓展，其系统复杂性和网络暴露面不断增加，但安全防护措施未能同步跟进。宇树案例表明，硬件设备的权限管理缺陷可能造成比传统软件漏洞更严重的连锁反应，特别是当设备具备自主移动和群体协作能力时。行业需要将安全架构设计前置到产品开发初期，建立贯穿硬件、通信、数据全生命周期的防护体系，才能确保技术红利不被安全风险抵消。