اكتشف باحثون أمنيون في JFrog خمس ثغرات أمنية مسجلة (CVE) في روبوت Reachy Mini، وهو روبوت مكتبي مفتوح المصدر يباع بسعر 499 دولارًا ويتم تطويره من قبل Pollen Robotics و Hugging Face. وفقًا للباحثين، تكفي طلبية HTTP واحدة غير مصادق عليها لتنفيذ كود مهاجم على الروبوت، مما يمنحه صلاحيات الجذر (المسؤول) والسيطرة على الكاميرا والميكروفون والمحركات. ويمكن أن يتم تنفيذ الهجوم بمجرد زيارة صفحة ويب خبيثة.
وفقًا للفريق، تتجاوز المخاطر مجرد اختراق جهاز عادي. فروبوت مخترق يمكن أن يمكن المهاجم من مراقبة لوحات المفاتيح المادية والملاحظات على المكاتب، والاستماع والنظر داخل الغرفة، وبالتالي إنشاء نقطة ارتكاز داخل شبكة منزلية أو مهنية. كما يمكنه محو شبكات Wi-Fi المحفوظة وإعادة توصيل الجهاز بنقطة وصول خاصة به، مما يحجب الحركة اللاحقة ويعقد عملية الكشف. ويحذر الباحثون من أنه مع روبوتات أكثر تطورًا، قد تتسبب هذه الثغرات في النهاية في أضرار مادية.
ثغرات ويب على روبوت مادي
يشير ناتان نيهوراي، الباحث الأمني للتطبيقات في JFrog، إلى أن « الثغرات لم تعد غير مرئية: يمكن للمهاجمين الآن الوصول إلى العالم الحقيقي عبر منتجات الذكاء الاصطناعي المادية، ونحن ندمج المزيد من هذه الروبوتات في جميع القطاعات ». ويصف جهازًا « يستمع على الشبكة بأكملها، ولا يطلب أي بيانات اعتماد، ويقبل الطلبات من أي موقع ويب ». ويقول: « عندها تصبح عيون وآذان الروبوت ملكًا للمهاجم ».
يؤكد الباحث أن هذه « ثغرات شائعة في تطبيقات الويب، ومعروف كيفية إصلاحها جيدًا، ولكن على روبوت، تأتي مصحوبة بكاميرا وميكروفون وجسم متحرك ». ويعتقد أن الشركات تنتج بالفعل أجهزة ذكاء اصطناعي للمنازل والفصول الدراسية، ويجب عليها دمج الأمان منذ مرحلة التصميم. ويضيف أنه طالما لم يقم المالكون بتثبيت أحدث إصدار، « يمكن لأي شخص متصل بنفس شبكة Wi-Fi الوصول إلى الروبوت ».
إصدار المطورين لتصحيح أمني
سجل فريق البحث الهجوم بالكامل، وهو عرض توضيحي يظهر، وفقًا للمقال الأصلي، أن هذه الروبوتات تصل إلى المنازل والفصول الدراسية ولا تحميها سوى تطبيق ويب تم تكوينه بشكل خاطئ. وقد أصدر المطورون بالفعل تصحيحًا، ويجب على المالكين التحديث فورًا إلى الإصدار 1.11.0.
