39C3: Skynet Starter Kit – Forscher übernehmen humanoide Roboter per Funk und KI

Inhaltsverzeichnis

Die Vision ist verlockend: Humanoide Roboter sollen uns in naher Zukunft "schmutzige" oder gefährliche Arbeiten abnehmen. Konzerne wie Tesla und dessen Eigentümer Elon Musk treiben das Thema voran, doch der Marktführer bei den Stückzahlen ist oft der chinesische Hersteller Unitree. Dessen Modell G1 wird bereits massiv vertrieben – laut den Forschern Shipei Qu, Zikai Xu und Xuangan Xiao sind über 50.000 Einheiten verkauft. Doch während die Hardware beeindruckende Fortschritte macht, scheint die IT-Sicherheit in der Entwicklung kaum eine Rolle zu spielen. Unter dem provokanten Titel "Skynet Starter Kit" zerlegten die Experten auf dem 39. Chaos Communication Congress (39C3) in Hamburg das Ökosystem der Roboter.

Der Unitree G1 wird standardmäßig per App oder einer Game-Controller-ähnlichen Funkfernbedienung gesteuert. Shipei Qu von der chinesischen IT-Sicherheitsfirma Darknavy erklärte am Sonntag, dass das Team das Funkmodul per Blackbox-Reverse-Engineering untersuchte, da der Hersteller die Chip-Beschriftungen entfernt hatte. Durch den Einsatz von Software Defined Radio (SDR) und "educated guessing" fand das Trio heraus, dass der Roboter auf dem LoRa-Protokoll im 2,4-GHz-Band funkt.

Das Ergebnis der Analyse war erschreckend: Es gibt keine Verschlüsselung und nur eine extrem schwache Authentifizierung. Die Forscher konnten den sogenannten "Sync-Word-Parameter" (2 Bytes) per Brute-Force knacken und so die Kontrolle über fremde Roboter übernehmen. In einer aufgezeichneten Demo zeigten sie, wie ein Angreifer einen G1 fernsteuern kann, ohne jemals physischen Zugriff oder das Pairing-Passwort gehabt zu haben. Die Antwort von Unitree auf diesen Fund: Die Lücke könne erst in der nächsten Hardware-Generation geschlossen werden.

WebRTC und Cloud: Einfallstor für Botnetze

Zikai Xu beleuchtete die Netzwerkschnittstellen. Über Protokolle wie WebRTC und MQTT kommuniziert der Roboter mit dem Internet und der Smartphone-App. Hier stießen die Forscher auf fundamentale Designfehler. So wird das Passwort für den Fernzugriff oft trivial aus der Seriennummer des Geräts abgeleitet.

Noch brisanter ist der Angriff auf den "Embodied AI Agent". Der G1 nutzt das große Sprachmodell (LLM) von ChatGPT, um Sprachbefehle zu interpretieren und in Aktionen umzusetzen. Den Forschern gelang ein Prompt-Injection-Angriff: Durch gezielte Sätze brachten sie die KI dazu, Systembefehle mit Root-Rechten auszuführen. Damit wird die KI, die eigentlich die Interaktion erleichtern soll, zum Trojanischen Pferd, das Angreifern vollen Zugriff auf das Betriebssystem (einen Root-Shell) gewährt. Von hier aus lässt sich nicht nur der Videostream der Kopfkamera abgreifen, sondern theoretisch auch ein Botnetz aus tausenden Robotern koordinieren.

Vom Konsum-Roboter zur physischen Bedrohung

Eindrucksvoll ist auch die Arbeit von Xuangan Xiao, der sich mit der Manipulation der Bewegungssteuerung beschäftigte. Die günstigere "Air"-Version des G1 ist softwareseitig so beschnitten, dass sie bestimmte komplexe Bewegungen nicht ausführen kann. Um diese Sperren zu umgehen, analysierte das Team die tief verschleierten Binärdateien der Steuerung.

Die Tüftler entdeckten eine virtuelle Maschine (VM) mit rund 80 eigenen Instruktionen, die nur dazu dient, die eigentliche Logik vor Reverse Engineering zu schützen. Nach zwei Wochen intensiver Arbeit konnten sie die VM disassemblieren und die Firmware patchen. Damit schalteten sie nicht nur gesperrte Funktionen frei, sondern "lehrten" den Roboter auch gefährliche Bewegungen. In einer zweiten Demo nutzten sie diese Kontrolle, um den Roboter auf ein Codewort hin gezielte, kraftvolle Boxschläge gegen eine Testpuppe ausführen zu lassen. Terminator lässt grüßen!

Security-by-Design fehlt völlig

Die Forscher ziehen ein düsteres Resümee. Aktuelle kommerzielle Roboter sind ihnen zufolge vernetzte, KI-gesteuerte cyber-physische Systeme, denen grundlegende Schutzmechanismen fehlen. Während Hersteller wie Boston Dynamics (Spot) detaillierte Sicherheitskonzepte vorlegten, priorisierten Massenhersteller wie Unitree den Schutz ihrer Immaterialgüterrechte vor dem der Nutzer. Dass Unitree erst in diesem Jahr damit begonnen hat, ein dediziertes Sicherheitsteam aufzubauen, unterstreicht laut den Darknavy-Testern, wie weit die Branche der Humanoiden-Bauer noch hinter gängigen IT-Sicherheitsstandards zurückbleibt. Die "drei Gesetze der Robotik" von Asimov sind in der Welt von Unitree & Co. derzeit eine ferne Illusion.

(kbe)