「Bluetoothの届く範囲にいるだけで、ロボットを乗っ取れる」——2万ドルのUnitree G1が抱えていた、蠕虫化可能な脆弱性

セキュリティ研究者オリヴィエ・ラフラム氏が8月27日、Unitreeのヒューマノイドロボット「G1 EDU」に存在する、深刻な脆弱性の詳細を公開した。「UniBLEed」と名付けられたこの一連の脆弱性は、Bluetooth Low Energy(BLE、近距離無線通信規格の一種)の届く範囲にいるだけで、事前の認証やペアリングなしに、ロボットの制御コンピュータをroot権限で完全に乗っ取れてしまうというものだ。ソフト屋として、この脆弱性の技術的な連鎖と、その意味を丁寧に見ていきたい。

3ヶ月の調査が明らかにした、複数のコンポーネントをまたぐ攻撃連鎖

ラフラム氏は、およそ3ヶ月をかけてG1の調査を行い、Bluetooth、Unitreeのクラウドインフラ、モバイルアプリ、そしてロボットのファームウェアという、複数の異なるコンポーネントを横断する形で連鎖する攻撃経路を発見した。CVE-2026-76639とCVE-2026-76640という、2つの異なるCVE番号が割り当てられている。

技術的な起点となるのは、「0xFFE2」というGATT特性(BLE通信で使われる、データのやり取りの単位)だ。この特性は、基本的な「書き込み」権限だけで受け付けてしまう設計になっており、Bluetoothのペアリングという、通常であれば必要とされる認証手続きなしに、近くのデバイスがロボットと通信を開始できてしまう。

クラウドAPIの「所有権チェックの欠如」という、致命的な設計ミス

この初期アクセスに続く、より深刻な問題が、Unitreeのクラウドインフラ側に存在していた。ロボットは、平文の「ブートストラップコマンド」に応答して、そのロボット固有のAES-128暗号鍵を、RSA暗号化された形で返す。このRSA暗号化自体は、通常であれば鍵の中身を保護する役割を果たすはずだった。

しかし、ラフラム氏の調査によれば、Unitreeのクラウド上にある「/device/bindExtData」というAPIエンドポイントが、この暗号化された鍵を復号する機能を持っており、しかも、そのAPIを呼び出したUnitreeアカウントが、本当にそのロボットの所有者であるかどうかを、確認していなかったという。つまり、無料のUnitreeアカウントさえあれば、誰でも、他人が所有するG1ロボットのAES暗号鍵を、平文の形で入手できてしまう状態だった。

「チャットボット」経由の、もう一つのroot権限奪取経路

もう一つの攻撃経路、CVE-2026-76639は、G1に搭載されたAIチャット機能「chat_go」を経由するものだ。この機能のナレッジベースアップロード処理に存在していたパストラバーサル(本来アクセスが許されないディレクトリに、不正にファイルを書き込める脆弱性)を悪用することで、「bashrunner」というサービスが信頼するディレクトリに、悪意あるファイルを送り込むことができた。

bashrunnerは、このディレクトリにあるファイルを、拡張子を考慮しないシェル実行ルールに基づいて処理する設計になっていたため、送り込まれたファイルが、root権限で実行されてしまうという結果を招いていた。

「移動制御用コンピュータ」が乗っ取られることの重大性

この脆弱性が特に深刻なのは、攻撃対象となる「Locomotion PC(移動制御用コンピュータ)」が、G1の中核をなすコンポーネントだという点だ。このコンピュータは、リアルタイム性を要求されるLinuxカーネル上で動作し、モーター、カメラ、音声出力、音声認識機能といった、ロボットの根幹をなす機能を、root権限で管理している。

つまり、この脆弱性を悪用されれば、攻撃者はロボットの動きそのものを、任意に操作できる可能性がある。産業用途で稼働するヒューマノイドロボットにとって、これは単なるデータ漏洩以上の、物理的な安全性に直結するリスクだ。

「蠕虫化可能」という、最も警戒すべき性質

研究者たちが特に警鐘を鳴らしているのが、このBluetoothを起点とする攻撃連鎖が「蠕虫化可能(wormable)」だという点だ。一度侵害されたG1が、Bluetoothの通信範囲内にある別のG1に対して、同じ攻撃を自動的に伝播させる可能性があるという。

ラフラム氏は、実際の検証において、この伝播テストを1つの部屋に置いた2台のG1に限定して行ったとしているが、理論上は、複数のG1が同じ空間に配置されている工場や研究施設のような環境において、一台の侵害が、次々と他のロボットへ連鎖していく可能性を示唆している。

Unitree側の対応と、残された不透明さ

Unitreeは、この脆弱性の一部について、既に対応を行っている。7月には、クラウド側の「アカウント・ロボット所有権バインディングチェック」を実装し、5月に発見されていた「クラウド・オラクル」脆弱性を修正していたという。8月6日には、6,700ドルのバグ報奨金(BLE RCEに4,000ドル、chat_go RCEに1,000ドル)が支払われている。

もっとも、確定した修正済みファームウェアのリリースバージョンについては、Unitreeが公開しているガイダンスの中で、確認できる情報がないとラフラム氏は指摘している。現時点でのクラウド経由の攻撃経路は、対象ロボットに紐づいたアカウント、あるいは既に入手済みの鍵情報のいずれかを必要とする状態になっているとはいえ、G1 EDUを所有するユーザーにとって、確実な修正時期の目安が示されていないという状況は、実用上のもどかしさを残している。

ソフト屋として見ておきたいこと

今回のUniBLEedの発見は、ヒューマノイドロボットという、比較的新しい製品カテゴリが、従来のIoTデバイスと同様、あるいはそれ以上に、セキュリティ設計の甘さという古典的な問題を抱えていることを示している。Bluetooth通信の認証省略、クラウドAPIでの所有権検証の欠如、シェル実行時の拡張子チェックの不備といった個々の問題は、いずれも決して目新しい脆弱性のパターンではない。

しかし、これらが組み合わさることで、物理的に動作するロボットの制御を、近くにいるだけの第三者が奪取できてしまうという結果に至ったことは、ハードウェアとソフトウェアが密接に結びついたロボティクス製品において、こうした基本的なセキュリティ設計の徹底が、いかに重要かを改めて示している。今後、確定した修正パッチのリリース時期と、他の関連製品(Go2、B2、R1など)への影響範囲についても、注視していきたい。