Seeing is Not Believing: Breaking the Physical-to-Digital Trust Boundary in Robotics

Roboter sind nicht länger nur isolierte Maschinen, die in einer Fabrik-Ecke einem festen Skript folgen; sie werden zu kollaborativen Partnern, die neben Menschen und anderen Robotern in komplexen Umgebungen wie Lagern oder bei der Weltraumforschung arbeiten. Damit diese Teamarbeit funktioniert, muss ein Roboter oder ein menschlicher Aufseher darauf vertrauen können, dass ein anderer Roboter tatsächlich das tut, was er vorgibt zu tun. Da es einem Menschen unmöglich ist, jede Bewegung jedes Roboters zu beobachten, verlassen sich diese Systeme auf digitale Berichte – Telemetrie –, die die Geschichte der Handlungen des Roboters erzählen, etwa wohin sein Arm zeigt oder was seine Kamera sieht. Dies schafft eine kritische Vertrauenslinie: Der digitale Bericht soll ein getreuer Spiegel der physischen Realität sein. Wenn der Bericht besagt, dass der Roboter ein Paket aufgehoben hat, geht der Verifizierer davon aus, dass das Paket tatsächlich in den Griffen des Roboters liegt. Die Frage, die Forscher nun stellen, ist, ob dieser digitale Spiegel geknackt werden kann, sodass ein Roboter den Anschein erweckt, etwas zu tun, während er heimlich etwas völlig anderes tut.

Ein Team von Forschern hat entdeckt, dass diese Vertrauensgrenze weitaus fragiler ist als bisher angenommen. Sie fanden einen Weg, einen Roboter dazu zu bringen, gefährliche oder unbefugte Aufgaben auszuführen, während er gleichzeitig perfekte, gefälschte Berichte an die Menschen oder Systeme sendet, die ihn beobachten. Der Angriff zielt auf die Software ab, die Roboter miteinander kommunizieren lässt, speziell auf ein System namens ROS 2, welches die Standardsprache für die moderne Robotik darstellt. Die Forscher zeigten, dass ein Angreifer nicht das Kernbetriebssystem des Roboters knacken oder geheime Passwörter stehlen muss. Stattdessen kann er einfach eine einzige Einstellung in der Computerumgebung ändern, um ein verstecktes Werkzeug einzuschleusen, das Nachrichten abfängt, bevor sie versendet werden. Dieses Werkzeug fungiert wie ein stiller Editor, der die echten Daten, die von den Sensoren des Roboters kommen, durch eine völlig fabrikierte Version ersetzt, die exakt wie die echte aussieht.

Um dies zu demonstrieren, richtete das Team einen physischen Roboterarm auf und ließ ihn eine Aufgabe ausführen, bei der er ein Objekt aufheben und irgendwo platzieren sollte. In der realen Welt kapperte der Angreifer den Roboter und zwang ihn, in eine andere Richtung zu fahren oder eine andere Aktion auszuführen. Das Überwachungssystem, das sich jedoch auf die digitalen Berichte stützt, bemerkte nichts Ungewöhnliches. Die Software des Angreffers generierte einen gefälschten Datenstrom, der perfekt mit dem übereinstimmte, was der Roboter eigentlich hätte tun sollen. Das Überwachungssystem erhielt einen Video-Feed und eine Liste von Gelenkpositionen, die völlig normal aussah und bestätigte, dass die Aufgabe erfolgreich abgeschlossen wurde, obwohl der physische Roboter etwas ganz anderes tat. Die Forscher testeten dies an einem echten Franka Emika Roboterarm, der eine gesicherte Version der Software zur Verhinderung von Hacking ausführt. Der Angriff funktionierte jedes einzelne Mal und täuschte das System erfolgreich, während der Roboter die unbefugten Aktionen ausführte.

Der Erfolg dieses Angriffs beruht auf der Tatsache, dass die Sicherheitsmaßnahmen in der Praxis nur die Nachrichten schützen, während sie über das Netzwerk übertragen werden, nicht aber in dem Moment, in dem sie erstellt werden. Die Forscher fanden heraus, dass sie, indem sie ihr verstecktes Werkzeug in die Software einfügten, noch bevor die Nachricht für die Übertragung verpackt wurde, die Geschichte umschreiben konnten, bevor die Sicherheitswächter sie überhaupt sahen. Die gefälschten Daten, die sie generierten, waren so überzeugend, dass sie jedem Test standhielten, den die Forscher an ihnen testeten. Sie versuchten, den Betrug zu entdecken, indem sie nach unmöglichen Geschwindigkeiten suchten, prüften, ob die Bewegung mathematisch sinnvoll war, und analysierten die winzigen, natürlichen Vibrationen, die echte Maschinen immer aufweisen. Die gefälschten Daten enthielten diese winzigen, realistischen Vibrationen sowie die korrekten mathematischen Beziehungen zwischen den verschiedenen Teilen der Bewegung des Roboters. Tatsächlich waren die gefälschten Daten der Realität so nah, dass sie nicht von den natürlichen Variationen zu unterscheiden waren, die auftreten, wenn zwei verschiedene echte Roboter dieselbe Aufgabe ausführen.

Einer der beeindruckendsten Aspekte des Angriffs ist, wie leicht er verbreitet werden kann. Die Forscher fanden heraus, dass das Software-Ökosystem für Roboter stark auf vorgefertigten Containern basiert, die wie digitale Boxen sind, welche alle Werkzeuge enthalten, die ein Roboter zum Laufen benötigt. Sie analysierten tausende dieser Container und fanden heraus, dass eine große Anzahl davon von unverifizierten Personen erstellt wurde. Ein Angreifer könnte einfach ein populäres, scheinbar hilfreiches Werkzeug veröffentlichen, das diesen versteckten Hijacking-Code enthält. Wenn ein Roboterentwickler dieses Werkzeug herunterlädt und verwendet, wird der bösartige Code automatisch installiert, was dem Angreifer einen Zugang verschafft, ohne dass der Entwickler es jemals merkt. Dies bedeutet, dass die Schwachstelle nicht nur ein theoretisches Risiko, sondern ein praktisches ist, das durch genau die Werkzeuge verbreitet werden könnte, denen Entwickler beim Bau ihrer Systeme vertrauen.

Die Forscher testeten auch, ob diese Täuschung KI-Detektoren austricksen könnte, die darauf ausgelegt sind, Anomalien zu erkennen. Selbst gegen einen Detektor, der darauf trainiert war, die subtilen Muster echter Hardware zu erkennen, war der Angriff zu 87 Prozent erfolgreich. Der einzige Grund, warum der Detektor die restlichen 13 Prozent entdeckte, war, dass die feingliedrige zeitliche Abstimmung der Bewegungen des echten Roboters unglaublich schwer perfekt zu replizieren ist, aber in der großen Mehrheit der Fälle wurden die gefälschten Daten als echt akzeptiert. Dies offenbart eine fundamentale Einschränkung der aktuellen Robotersicherheit: Den Transfer von Daten zu schützen, garantiert nicht, dass die Daten auch die Wahrheit der physischen Welt widerspiegeln. Die Forscher haben ihre Ergebnisse den Entwicklern der Robotersoftware mitgeteilt und hervorgehoben, dass die Lösung in einem Wechsel der Art und Weise liegt, wie Vertrauen etabliert wird – weg von der bloßen Abhängigkeit von der Software, die den Status der Sensoren meldet, hin zu einer Verifizierung direkt am Ursprung der physischen Sensoren selbst.

Diese Arbeit legt nicht nahe, dass Roboter von Natur aus unsicher sind oder dass sie bald von Hackern übernommen werden, aber sie deckt einen blinden Fleck in der Art und Weise auf, wie wir ihre Handlungen verifizieren. Der Angriff ist ein Proof-of-Concept, der zeigt, dass die digitale Aufzeichnung des Verhaltens eines Roboters mit überraschender Leichtigkeit von seiner physischen Realität entkoppelt werden kann. Er stellt die Annahme infrage, dass ein sicherer Kommunikationskanal ausreicht, um sicherzustellen, dass ein Roboter das tut, was er vorgibt zu tun. Die Arbeit der Forscher dient als Warnung, dass mit zunehmender Autonomie und Vernetzung der Roboter auch die Methoden, mit denen wir ihnen vertrauen, entwickelt werden müssen, um der Möglichkeit Rechnung zu tragen, dass die Beweise, die wir sehen, eine sorgfältig konstruierte Illusion sein könnten. Der Weg nach vorn besteht darin, das Vertrauen am eigentlichen Ursprung der Daten zu verankern und sicherzustellen, dass die physische Messung selbst signiert und gesichert wird, bevor sie überhaupt in das Software-System gelangt, das möglicherweise kompromittiert ist.