關(guān)鍵詞

安全漏洞

近日，西班牙一名 DIY 愛(ài)好者阿茲杜法爾（Sammy Azdoufal）在嘗試用 PS5 手柄控制大疆（DJI）掃地機(jī)器人 Romo 時(shí)，意外發(fā)現(xiàn)了嚴(yán)重安全漏洞。通過(guò)該漏洞，他能夠遠(yuǎn)程訪問(wèn)全球約 6,700 臺(tái) Romo 設(shè)備的攝像頭和操作權(quán)限，覆蓋 24 個(gè)國(guó)家或地區(qū)的用戶。

事件經(jīng)過(guò)

阿茲杜法爾本意只是開(kāi)發(fā)應(yīng)用程序，實(shí)現(xiàn)手柄控制自家掃地機(jī)。然而，他通過(guò)連接大疆云端服務(wù)器時(shí)，發(fā)現(xiàn)不僅能操控自己的設(shè)備，還能訪問(wèn)其他數(shù)千臺(tái)設(shè)備的數(shù)據(jù)，包括：

• 實(shí)時(shí)攝像頭畫(huà)面

• 掃地路徑與房間布局信息

• 充電時(shí)間及遇到障礙物情況

• 設(shè)備序列號(hào)及 IP 地址

更令人驚訝的是，該漏洞甚至允許繞過(guò)設(shè)備 PIN 碼，將畫(huà)面分享給第三方觀看。

漏洞性質(zhì)

大疆官方表示，這是后端權(quán)限驗(yàn)證問(wèn)題，影響設(shè)備與服務(wù)器之間基于 MQTT 協(xié)議的通信。漏洞理論上允許未經(jīng)授權(quán)訪問(wèn) ROMO 設(shè)備視頻，但實(shí)際利用概率極低。

大疆已于 2 月初發(fā)布兩次補(bǔ)丁修復(fù)漏洞：

• 首次補(bǔ)丁于 2 月 8 日部署

• 第二次補(bǔ)丁于 2 月 10 日完成，覆蓋剩余服務(wù)節(jié)點(diǎn)

公司聲明，通信始終使用 TLS 加密，數(shù)據(jù)存儲(chǔ)在美國(guó) AWS 云端，無(wú)證據(jù)顯示造成大范圍影響。

AI 與漏洞發(fā)現(xiàn)

值得注意的是，這次漏洞的發(fā)現(xiàn)與 AI 工具 Claude Code 有關(guān)。阿茲杜法爾利用 Claude Code 進(jìn)行逆向操作，實(shí)現(xiàn)了手柄控制功能，意外觸發(fā)了大規(guī)模漏洞。事件顯示，AI 技術(shù)使網(wǎng)絡(luò)安全領(lǐng)域既有機(jī)遇，也帶來(lái)潛在風(fēng)險(xiǎn)——即便非專業(yè)人員，也可能發(fā)現(xiàn)軟件漏洞。

安全建議

• 用戶應(yīng)及時(shí)升級(jí) ROMO 設(shè)備至最新版本，確保補(bǔ)丁生效

• 避免在公共網(wǎng)絡(luò)或未知環(huán)境下遠(yuǎn)程訪問(wèn)智能家居設(shè)備

• 對(duì)智能家居設(shè)備開(kāi)啟訪問(wèn)控制和權(quán)限管理

此次事件提醒我們，隨著 AI 技術(shù)和智能設(shè)備的普及，家居產(chǎn)品的安全性與隱私保護(hù)仍需高度關(guān)注。

安全圈

網(wǎng)羅圈內(nèi)熱點(diǎn) 專注網(wǎng)絡(luò)安全

實(shí)時(shí)資訊一手掌握！

好看你就分享 有用就點(diǎn)個(gè)贊

支持「安全圈」就點(diǎn)個(gè)三連吧！