Robots chiens Unitree : une faille cachée jamais corrigée

Robots chiens Unitree : une faille sécuritaire majeure met en lumière la vulnérabilité de la technologie robotique en 2026

Lorsqu’un robot-chien Unitree se déplace dans des halls d’HLM, sur un chantier ou dans une ville, il cache une faille cachée qui n’a pas été corrigée malgré les alertes répétées. Cette faille expose une vulnérabilité critique en cybersécurité, permettant à n’importe qui de prendre le contrôle complet de l’appareil en moins d’une minute, avec un simple téléphone. Cette faille sécuritaire dépasse le cadre du gadget high-tech et soulève des questions fondamentales sur la sécurité robotique utilisée, notamment par des acteurs publics et privés dans plusieurs pays. Le système possède aussi un tunnel de communication au fonctionnement obscur, transmettant un flux de données chiffré vers des serveurs en Chine, non documenté et non stoppé. Ces manques, sous-estimés ou ignorés, révèlent des lacunes dans la gestion des mises à jour et dans la gouvernance de la cybersécurité robotique.

Contrôle à distance facile : quand les robots chiens Unitree échappent à toute sécurité Bluetooth

Les robots chiens Unitree, dont plusieurs modèles quadrupèdes et humanoïdes sont utilisés à travers le monde, présentent une faille cachée exploitée via Bluetooth Low Energy (BLE), protocole réputé faible sur certains appareils. Benn Jordan, un chercheur indépendant, a démontré qu’en se connectant simplement en Bluetooth, il est possible de rooter un robot en moins d’une minute, sans accès physique direct. La méthode consiste à injecter une commande curl à la fin du mot de passe Wi-Fi, forçant le robot à exécuter la commande au redémarrage. Ce piratage ne nécessite qu’un smartphone et exploite un défaut ancien qui aurait dû être corrigé avec des mises à jour firmware.

Le plus inquiétant : cette faille est active sur des robots utilisés par des forces de l’ordre américaines, des unités militaires et dans le secteur civil via des sociétés de surveillance. Par exemple, des robots Unitree patrouillent dans des quartiers d’Atlanta ou se déploient dans des bases test militaires. La sécurité robotique de ces machines apparaît alors comme un angle mort, laissant la porte ouverte à des intrusions qui peuvent compromettre des opérations sensibles.

Voici les points clés de cette vulnérabilité Bluetooth :

• 🔒 Utilisation d’une authentification insuffisante sur le Bluetooth Low Energy.
• 📱 Piratage réalisable à partir d’un simple téléphone avec commandes en ligne via BLE.
• 🕵️‍♂️ Absence d’accès root physique nécessaire pour prendre le contrôle complet.
• 🛠️ Pas de correctif intégral malgré les alertes, faute d’une mise à jour adaptée.

Cette situation illustre une défaillance opérationnelle dans la cybersécurité, où la mise à jour manquante ou inefficace devient un point faible critique, exposant ces robots à des utilisateurs malveillants.

Des transmissions masquées : la backdoor invisible vers la Chine

Au-delà de l’accès Bluetooth, une autre faille cachée soulève une alerte de taille : les robots Unitree envoient un flux chiffré vers une plateforme baptisée CloudSail, hébergée par une société chinoise nommée Zhexi Technology. Cette communication est automatique, démarre au lancement du robot et échappe pratiquement à toute surveillance.

Un enquêteur a mis en place un routeur en mode moniteur pour sniffer les paquets sortants et a constaté que le robot refusait de s’authentifier sur une tentative de routeur anormal, détectant ainsi une forme de système anti-analyse. Par contre, avec un routeur classique, il a pu capter le tunnel réseau aboutissant à une adresse IP située à Odessa, Ukraine, ce qui questionne davantage le circuit et la confidentialité des données transmises.

Cette situation implique que le robot pourrait transmettre en permanence des données sensibles — audio, vidéo et informations opérationnelles — à un serveur étranger sans que ses utilisateurs en soient informés ou aient donné un consentement clair. Une faille cachée amplifiant les risques en termes de sécurité robotique, particulièrement pour les entreprises et institutions qui intègrent ces machines dans leurs opérations critiques.

Les risques associés au tunnel CloudSail :

• 🌐 Perte de contrôle des données transmises sans transparence.
• 🔍 Possibilité d’espionnage industriel et militaire par des acteurs étrangers.
• 🚫 Difficultés à désactiver ou bloquer cette communication via mises à jour classiques.
• 📈 Identification d’environ 2000 robots vulnérables dans des institutions prestigieuses aux États-Unis.

Le principal problème, c’est que la correction de ces vulnérabilités entre les accès root via Bluetooth et le blocage du tunnel CloudSail n’est pas possible simultanément. La mise à jour firmware améliorant la sécurité du Bluetooth ferme l’accès root indispensable pour contrôler le tunnel. Le choix est donc un véritable casse-tête entre protéger contre un piratage direct ou garder le contrôle interne sur le flux de données.

Impact sur le déploiement réel et retour d’expérience

Si le grand public peut penser que ces robots chiens ne sont que gadgets flex futuristes, la réalité est tout autre. Leur utilisation dans des domaines sensibles s’intensifie, surtout dans les opérations de sécurité, la surveillance industrielle et même la gestion de sites nucléaires, comme l’a montré le test d’Unitree G1 sur le site nucléaire de Marcoule en fin 2025.

En France, bien que les forces de l’ordre n’aient pas encore adopté Unitree, le marché n’est pas désertique. Des entreprises comme INGEN Geosciences distribuent les robots Unitree aux sociétés de sécurité privées, tandis que des laboratoires publics mènent des recherches avancées notamment avec le Go2 d’Unitree. Ce contexte démultiplie l’enjeu de la faille sécuritaire.

Pour illustrer la problématique, voici les conséquences possibles d’un piratage dans une entreprise intégrant ces robots :

1. 👨‍💼 Perte de confiance des clients et partenaires face à un incident de sécurité.
2. 💻 Vol ou altération de données sensibles prises par le robot (images, sons, localisation).
3. 🔫 Sabotage ou modification des mouvements du robot, pouvant entraîner des dommages physiques.
4. 🛡️ Nécessité d’investir dans des solutions de cybersécurité et surveillance réseau avancées.

Sans traitement rapide et adapté, ces scénarios ne relèvent plus de la science-fiction. Il devient impératif pour les décideurs que les choix entre sécurité Bluetooth et contrôle du tunnel CloudSail soient clairement définis, avec des solutions pérennes à la clé.

Techniques et stratégies pour renforcer la sécurité autour des robots Unitree

Face à ces failles non corrigées, plusieurs stratégies peuvent être déployées à court et moyen terme pour améliorer la cybersécurité autour des robots chiens Unitree :

• 🛑 Couper l’accès Internet ou Wi-Fi sur le robot afin d’éliminer les tunnels sortants non désirés, bien que cela limite fortement l’usage pratique.
• 🔄 Figer le firmware actuel en évitant les mises à jour qui verrouillent l’accès root, pour garder la possibilité de surveiller et bloquer manuellement certains accès. Cette approche a le soutien de certains experts malgré sa radicalité.
• 🔐 Mettre en place des pare-feu matériels ou des routeurs dédiés pour filtrer et analyser en permanence le trafic réseau des robots au sein de l’entreprise ou de l’institution.
• 📡 Rechercher en continu les nouvelles vulnérabilités sur les appareils via des outils reconnus comme OpenVAS détecteur failles et s’appuyer sur les retours de la communauté.
• 📚 Former les équipes à la sécurité des objets connectés et à la maintenance des robots en respectant des standards élevés de cybersécurité industrielle.

Ces recommandations permettent de faire face, dans l’attente d’une mise à jour complète qui arbitrerait les deux problèmes. Il faut rester vigilant aux prochains développements, notamment les publications sur d’autres failles zero-day entreprises 2025 qui pourraient ouvrir de nouvelles voies de piratage.

Mises à jour et responsabilité des fabricants face à la faille cachée

En 2026, ce cas d’Unitree est révélateur d’un défi plus vaste dans l’industrie de la robotique : le dilemme entre fournir un appareil sécurisé et maintenir un accès administrateur sur la machine. Les mises à jour pourtant indispensables pour colmater les trous ne peuvent pas combiner toutes les corrections sans bloquer des fonctions essentielles aux utilisateurs avancés.

Cela pousse à interroger la responsabilité des fabricants dans une technologie robotique de plus en plus connectée et sous pression pour répondre à des usages sensibles et militaires. La communication sur les risques, la transparence des flux de données, ainsi que la rapidité d’implémentation des correctifs deviennent des enjeux stratégiques.

Dans ce contexte, on ne peut que rappeler la nécessité d’une alerte continue et d’une veille proactive sur la sécurité robotique, car la négociation entre praticité et sécurité ne doit pas finir par sacrifier les deux.