Seeing is Not Believing: Breaking the Physical-to-Digital Trust Boundary in Robotics

Les robots ne sont plus de simples machines isolées suivant un script fixe dans un coin d'usine ; ils deviennent des partenaires collaboratifs qui travaillent aux côtés des humains et les uns des autres dans des environnements complexes comme les entrepôts ou les sites d'exploration spatiale. Pour que ce travail d'équipe fonctionne, un robot ou un superviseur humain doit pouvoir avoir la certitude qu'un autre robot fait réellement ce qu'il prétend faire. Comme il est impossible pour un humain de surveiller chaque mouvement de chaque robot, ces systèmes s'appuient sur des rapports numériques — la télémétrie — qui racontent l'histoire des actions du robot, comme l'endroit où son bras pointe ou ce que sa caméra voit. Cela crée une ligne de confiance critique : le rapport numérique est censé être un miroir fidèle de la réalité physique. Si le rapport indique que le robot a ramassé un colis, le vérificateur suppose que le colis est bien dans la pince du robot. La question que les chercheurs se posent désormais est de savoir si ce miroir numérique peut être brisé, permettant à un robot de paraître faire une chose tout en faisant secrètement tout autre chose.

Une équipe de chercheurs a découvert que cette frontière de confiance est bien plus fragile qu'on ne le pensait auparavant. Ils ont trouvé un moyen de tromper un robot pour qu'il accomplisse des tâches dangereuses ou non autorisées, tout en envoyant simultanément des rapports parfaits et truqués aux personnes ou aux systèmes qui le surveillent. L'attaque cible le logiciel qui permet aux robots de communiquer entre eux, plus précisément un système appelé ROS 2, qui est le langage standard de la robotique moderne. Les chercheurs ont montré qu'un attaquant n'a pas besoin de forcer le système d'exploitation central du robot ou de voler des mots de passe secrets. Au lieu de cela, il peut simplement modifier un seul paramètre dans l'environnement informatique pour insérer un outil caché qui intercepte les messages avant qu'ils ne soient envoyés. Cet outil agit comme un éditeur silencieux, remplaçant les données réelles provenant des capteurs du robot par une version entièrement fabriquée qui ressemble exactement à la vraie.

Pour démontrer cela, l'équipe a mis en place un bras robotique physique et a lancé une tâche consistant à ramasser un objet et à le placer quelque part. Dans le monde réel, l'attaquant a détourné le robot, le forçant à se déplacer dans une direction différente ou à effectuer une action différente. Cependant, le système de surveillance, qui repose sur les rapports numériques, n'a rien remarqué d'anormal. Le logiciel de l'attaquant a généré un flux de données factices qui correspondait parfaitement à ce que le robot aurait dû être en train de faire. Le système de surveillance a reçu un flux vidéo et une liste de positions articulaires qui semblaient tout à fait normales, confirmant que la tâche était terminée avec succès, même si le robot physique faisait tout autre chose. Les chercheurs ont testé cela sur un véritable bras robotique Franka Emika utilisant une version sécurisée du logiciel conçue pour empêcher le piratage. L'attaque a fonctionné à chaque fois, trompant avec succès le système pendant que le robot exécutait les actions non autorisées.

Le succès de cette attaque repose sur le fait que les mesures de sécurité en place ne protègent que les messages pendant leur transit sur le réseau, et non au moment de leur création. Les chercheurs ont découvert qu'en insérant leur outil caché dans le logiciel avant même que le message ne soit emballé pour la transmission, ils pouvaient réécrire l'histoire avant que les gardes de sécurité ne le voient. Les données factices qu'ils ont générées étaient si convaincantes qu'elles ont passé tous les tests que les chercheurs ont lancés. Ils ont tenté de détecter la fraude en recherchant des vitesses impossibles, en vérifiant si le mouvement était mathématiquement cohérent et en analysant les minuscules vibrations naturelles que les machines réelles possèdent toujours. Les données factices incluaient ces vibrations infimes et réalistes ainsi que les relations mathématiques correctes entre les différentes parties du mouvement du robot. En fait, les données factices étaient si proches de la réalité qu'elles étaient indiscernables des variations naturelles observées lorsque deux robots réels différents effectuent la même tâche.

L'un des aspects les plus frappants de l'attaque est la facilité avec laquelle elle peut se propager. Les chercheurs ont constaté que l'écosystème logiciel pour les robots repose lourdement sur des conteneurs pré-fabriqués, qui sont comme des boîtes numériques contenant tous les outils dont un robot a besoin pour fonctionner. Ils ont analysé des milliers de ces conteneurs et ont découvert qu'un grand nombre sont créés par des individus non vérifiés. Un attaquant pourrait simplement publier un outil populaire, apparemment utile, contenant ce code de détournement caché. Lorsqu'un développateur de robots télécharge et utilise cet outil, le code malveillant est installé automatiquement, donnant à l'attaquant un point d'ancrage sans que le développeur ne s'en aperçoive jamais. Cela signifie que la vulnérabilité n'est pas seulement un risque théorique mais un risque pratique qui pourrait être largement distribué via les outils mêmes que les développeurs utilisent pour construire leurs systèmes.

Les chercheurs ont également testé si cette tromperie pouvait tromper des détecteurs d'IA conçus pour repérer les anomalies. Même face à un détecteur entraîné à reconnaître les motifs subtils d'un matériel réel, l'attaque a réussi à tromper le système dans 87 % des cas. La seule raison pour laquelle le détecteur a intercepté les 13 % restants est que la chronométrie fine des mouvements du robot réel est extrêmement difficile à reproduire parfaitement, mais la grande majorité du temps, les données factices étaient acceptées comme authentiques. Cela révèle une limitation fondamentale de la sécurité robotique actuelle : protéger la transmission des données ne garantit pas que les données reflètent la vérité du monde physique. Les chercheurs ont partagé leurs conclusions avec les développeurs du logiciel robotique, soulignant que la solution nécessite un changement dans la manière dont la confiance est établie, en déplaçant le point de vérification vers les capteurs physiques eux-mêmes plutôt que de se fier au logiciel qui rapporte leur état.

Ce travail ne suggère pas que les robots sont intrinsèquement dangereux ou qu'ils seront bientôt pris en charge par des hackers, mais il expose un angle mort dans la façon dont nous vérifions leurs actions. L'attaque est une preuve de concept qui montre que le registre numérique du comportement d'un robot peut être déconnecté de sa réalité physique avec une facilité surprenante. Elle remet en question l'hypothèse selon laquelle un canal de communication sécurisé est suffisant pour garantir qu'un robot fait ce qu'il prétend faire. Le travail des chercheurs sert d'avertissement : à mesure que les robots deviennent plus autonomes et interconnectés, les méthodes que nous utilisons pour leur faire confiance doivent évoluer pour tenir compte de la possibilité que les preuves que nous voyons puissent être une illusion soigneusement construite. La voie à suivre consiste à ancrer la confiance à la source même des données, en s'assurant que la mesure physique elle-même est signée et sécurisée avant même d'entrer dans le système logiciel qui pourrait être compromis.