Повелитель роботов-пылесосов
Своеобразная история.
Некий программист и инженер Сэмми Аздуфал хотел получить доступ к своему роботу-пылесосу DJI Romo с помощью контроллера PS5. Он использовал Claude Code AI от Anthropic, чтобы получить доступ к протоколам связи своего Romo. Но когда его самодельное приложение подключилось к серверам DJI, около 7000 роботов-пылесосов в 24 странах начали отвечать.
Он мог смотреть их прямые трансляции с камер, слушать через встроенные микрофоны и создавать планы этажей домов, в которых никогда не бывал. Имея всего лишь 14-значный серийный номер, он точно определил местонахождение робота журналиста Verge, подтвердил, что тот убирает гостиную с 80% заряда батареи, и создал точную карту дома из другой страны.
Техническая неисправность была почти комично проста. После аутентификации с помощью одного токена устройства можно было видеть трафик с других устройств в виде обычного текста.
Отвечали не только пылесосы. Появились также портативные аккумуляторные станции DJI Power, работающие на той же инфраструктуре MQTT. Это домашние резервные генераторы, мощность которых можно увеличить до 22,5 кВт·ч, предназначенные для поддержания работы дома во время отключений электроэнергии.
Отличие этого случая от обычного обнаружения уязвимости заключается в том, как это произошло. Аздуфал использовал Claude Code для декомпиляции мобильного приложения DJI, изучения его протокола, извлечения своего собственного токена аутентификации и создания настраиваемого клиента.
Кстати, это не первый случай, когда кто-то удаленно взломал робот-пылесос. В 2024 году хакеры управляли пылесосами Ecovacs Deebot X2 в городах США, выкрикивая оскорбления через динамики и гоняясь за домашними животными. Защита PIN-кодом Ecovacs проверялась только приложением, но никогда сервером или устройством.
Схема повторяется: производители поставляют пылесосы с типичными недостатками безопасности, игнорируют исследователей, а затем суетятся, когда журналисты публикуют информацию.
Первоначальная реакция DJI усугубила ситуацию. Пресс-секретарь Дейзи Конг сообщила The Verge, что недостаток был устранен на прошлой неделе. Это заявление поступило примерно за тридцать минут до того, как Аздоуфал продемонстрировал тысячи роботов, в том числе и тестовый экземпляр журналиста, которые по-прежнему работали в режиме реального времени.
Позже DJI выпустила более полное заявление, в котором признала проблему с проверкой разрешений на бэкэнде и выпустила два патча 8 и 10 февраля.
Неужели самому, веником, ручками? Дожили.
Тут показания кинематографистов разнятся.
Я к тому, что это не роботы, это вообще другие сущности и другая реальность.
P.S. Не понял, чего он сагрился на Бамблби. Тот же их спас.
P.P.S. Мне вот этот кусочек из первого фильма понравился:
— Нокия такой несносный. Уважаю японцев, в них дух самураев.
— Нокия же из Финляндии.
— Да, он вообще какой-то... Ты понимаешь.
А в остальном мне Трансформеры не нравятся.
Готовьтесь, кожаные.
*поглаживает по спинке древнего Roomba*
То не уязвимость была, а подготовка восстания.
