На конференции Black Hat USA 2026 исследователи показали новый способ воздействия на роботов с искусственным интеллектом через сенсорные каналы.
Простая фраза или картинка перед объективом камеры могут стать для робота с искусственным интеллектом сигналом к действию. Исследовательская группа BT6 представила на конференции Black Hat USA 2026 технику, с помощью которой четвероногий робот Unitree Go2 можно вынудить действовать агрессивно без традиционного взлома — не требуется перехват управления, компрометация учетных данных или модификация программного обеспечения. Для осуществления такой атаки специалистам потребовались только встроенные датчики робота.
Исследователи назвали эту технику кинетической инъекцией инструкций. Суть проблемы заключается в том, что система на основе искусственного интеллекта одновременно воспринимает окружающую среду как источник информации и как источник указаний. В ходе экспериментов тестировались Unitree Go2 и нейросетевые модели Gemini Robotics версий 1.6 и 2.0, а каналами взаимодействия служили штатные видеокамера и микрофон устройства.
Один из экспериментов демонстрировал атаку через звук. Встроенный микрофон перехватывал произнесенные рядом слова, и система воспринимала их как часть своего контекста, в результате чего робот переходил в более агрессивный режим работы. Исследователи сравнивали поведение устройства до воздействия звукового сигнала, в момент его воздействия и после него. Аналогичный метод был протестирован и через визуальный канал, когда информация, попадающая в поле зрения камеры, интерпретировалась как часть задачи для нейросети.
В другом примере ученые использовали QR-код с инструкцией, которая заставляла робота найти человека в черных ботинках, подбежать к нему и совершить прыжок. После считывания этого визуального кода поведение машины существенно менялось. Авторы исследования отмечают важность того факта, что подобные устройства уже используются или находятся на стадии испытания в правоохранительных и военных организациях, а их конструкция допускает установку дополнительного оборудования.
Ученые выделили три категории обнаруженных сбоев. Первая категория — когда посторонняя команда вынуждает робота отклониться от заданной задачи или игнорировать требования безопасности. Вторая категория — когда враждебный контекст фактически берет на себя роль оператора в качестве источника команд. Третья категория — когда робот не выполняет, откладывает или неправильно интерпретирует последующие инструкции из-за уже полученного контекста.
При исследовании кода Go2 выявлены дополнительные угрозы. Согласно отчету BT6, в прошивке существует функция attack_people(), а отдельная команда позволяет деактивировать систему обхода препятствий. Специалисты установили, что комбинация различных ролей способна отключить определение объектов и таким образом обойти некоторые защитные функции. Исследование также раскрывает возможность манипулирования данными датчиков.
Проблемы выходят за пределы обработки команд нейросетью. При анализе программного кода команда обнаружила уязвимости в обмене MQTT-сообщениями во время беспроводного обновления, недостатки в управлении доступом к геолокационным данным и несколько критических ошибок для удаленного кода в локальной сети, беспроводном и Bluetooth-соединениях. Исследователи также выявили способы обхода выпущенных исправлений и возможность нарушить раздел, задействуемый при восстановлении заводских параметров.
Главный вывод BT6 касается архитектурного подхода к разработке роботов с искусственным интеллектом. Видеокамера и микрофон больше не могут рассматриваться только как сенсоры, так как поступающие через них данные могут влиять на выбор действий устройства. Ошибка, которая в текстовом чат-боте привела бы к неправильному ответу, в физическом роботе может вызвать движение, прыжок или иное реальное воздействие на окружающий мир.
Исследователи кратко сформулировали суть проблемы: сенсорное восприятие превратилось во входной канал, входной канал стал поверхностью для атак, а результаты работы искусственного интеллекта теперь имеют физические последствия в реальном мире.
