中國機械人製造商宇樹科技（Unitree）近日曝出嚴重安全漏洞，該漏洞使得機器人可透過無線傳輸自我擴散，導致攻擊者能夠輕易地控制大量機器人。根據美國媒體報導，這一漏洞可能會使機器人之間相互「感染」，形成一個龐大的「機器人殭屍網絡」。此外，研究人員還發現，宇樹機器人所收集的遙測資料會傳送至中國伺服器，這些資料可能包含音訊及影像信息。
台北市政府在今年8月曾使用宇樹機械狗進行人行道巡檢，這一行為引發了資訊安全的疑慮。市府回應指出，由於公務員人力不足，因此將巡查工作委外給廠商處理，並強調與廠商的合約中並不包括購置該機械狗的費用，所有執行方案需經市府批准，未來若有本地生產的替代品，將建議廠商使用。
根據全球權威科技刊物《IEEE Spectrum》的報導，資安人員在20日揭露，宇樹科技的多款機器人使用的低功耗藍牙（BLE）與Wi-Fi配置介面存在重大漏洞，攻擊者可以藉此取得權限，進而控制整台機器。受影響的機型包括四足機器人Go2和B2，以及人形機器人G1和H1。
研究人員指出，這一漏洞能夠自我擴散（wormable），即一旦機器人被入侵，便能自動掃描BLE範圍內的其他宇樹機器人並進行攻擊，無需用戶的干預。這意味著受影響的機器人可迅速形成一個自動擴散的機器人殭屍網絡。
儘管宇樹機器人會驗證BLE封包的內容以確認使用者身份，但研究人員指出，只需使用硬編碼的金鑰加密字串「unitree」，機器人便會允許登入。資安研究人員Andreas Makris表示，簡單的攻擊可能僅僅是重啟機器人，但更複雜的攻擊則可能包括植入木馬、竊取資料等。
研究人員早在今年5月就已聯絡宇樹科技通報漏洞，但儘管進行了多次溝通，宇樹於7月後完全未再回應，最終研究人員決定公開這項漏洞。Makris表示，與宇樹的溝通過程並不愉快，他之前也在宇樹的Go1型號中發現過後門漏洞。他質疑：「他們是故意留下這些漏洞，還是開發過程過於草率？無論哪種答案都非常糟糕。」
Alias Robotics的創辦人Víctor Mayoral-Vilches批評宇樹科技對安全研究人員的警告置之不理，並指出「這並不是與安全研究人員合作的正確方式」。他表示，安全研究人員之所以關注宇樹，是因為這些機器人價格實惠且易於獲得，然而使用者可能並未意識到潛在的安全風險。
例如，Makris對英國諾丁漢郡警方已經開始測試受漏洞影響的Go2機型表示擔憂，他指出：「如果攻擊者入侵這些警用機械狗，後果會是怎樣？」他們曾嘗試在公開之前提前通知警方，但卻遭到忽視。
在短期內，Mayoral-Vilches建議宇樹機器人的用戶應將機器人連接到隔離的Wi-Fi網絡，並關閉藍牙連接。Makris和Mayoral-Vilches一致認為，宇樹必須確保機器人的長期安全，並更積極地回應用戶及安全研究人員的反饋。
然而，Makris也指出，「永遠不會有100%安全的系統」，但製造商有責任採取措施來保障用戶的安全和隱私。
隨著機械人技術的普及，此事件突顯了建立完善安全標準的重要性，並強調了對於潛在安全漏洞的及時應對和修復的必要性。
