Le robot-chien Unitree Go2 obéissait à n’importe qui sur le même réseau Wi-Fi
Vous l’avez forcément croisé dans une vidéo virale, ce robot quadrupède qui enchaîne les saltos, a porté la flamme aux Jeux asiatiques et que la police américaine envoie inspecter des bâtiments. Le Unitree Go2, vendu à partir de 1 600 dollars par le fabricant chinois du même nom, se pilotait en réalité par le premier venu connecté à son réseau Wi-Fi.
La démonstration vient de deux chercheurs en sécurité, Olivier Laflamme du cabinet canadien Boschko et Ruikai Peng du collectif Pwn0. Ils se sont procuré un exemplaire pour ausculter la messagerie interne qui fait dialoguer les pattes, les caméras et le cerveau de la bête, et ont trouvé la porte grande ouverte.
Cette messagerie repose sur un protocole appelé DDS, par lequel tous les composants s’échangent leurs ordres. Une version sécurisée existe, documentée, avec mot de passe et chiffrement. Sur plusieurs versions du logiciel embarqué, Unitree l’a simplement déployée sans aucune protection.
Le résultat donne une attaque presque gênante de facilité. Depuis n’importe quel appareil du réseau local, il suffit d’envoyer au robot un message contenant quelques lignes de code, que le Go2 range sagement avant de les associer à un bouton de sa manette. Le piège dort ensuite, parfois des semaines, jusqu’à ce qu’une main appuie sur le bouton et déclenche le code avec les droits administrateur les plus élevés, en survivant même aux redémarrages.
Envie d’un robot-chien sans la faille de securite ? Ces jouets interactifs font le show pour quelques euros :
Chien robot interactif → voir sur Amazon
Lien affilié Amazon. En tant que Partenaire Amazon, je réalise un bénéfice sur les achats remplissant les conditions requises.
Référencée CVE-2026-27509 dans le catalogue mondial des vulnérabilités, la faille récolte un vilain 8,5 sur 10 en gravité. Une seconde entrée a été trouvée dans l’application Android qui pilote l’engin, permettant à quiconque attrape le téléphone d’y glisser du code malveillant.
Prévenu dès la fin octobre, Unitree a fini par publier un correctif fin février. Les versions EDU réservées aux labos et aux universités resteront pourtant sans doute vulnérables, puisque cet accès grand ouvert fait partie de leur intérêt pour les développeurs.
Le plus inquiétant reste que ça fait le troisième trou de sécurité majeur du Go2 en six mois, après une faille Bluetooth surnommée UniPwn en septembre, qui touchait aussi l’humanoïde G1 de la marque. Confier à ces machines la surveillance d’un commissariat ou d’un data center, dans ces conditions, a de quoi refroidir sérieusement.
Crédit photo : Unitree