Seeing is Not Believing: Breaking the Physical-to-Digital Trust Boundary in Robotics

I robot non sono più solo macchine isolate che seguono uno script fisso in un angolo di una fabbrica; stanno diventando partner collaborativi che lavorano fianco a fianco con gli esseri umani e tra di loro in ambienti complessi come magazzini e siti di esplorazione spaziale. Affinché questo lavoro di squadra funzioni, un robot o un supervisore umano devono poter avere la fiducia che un altro robot stia effettivamente facendo ciò che dichiara di fare. Poiché è impossibile per un essere umano osservare ogni singolo movimento di ogni robot, questi sistemi si affidano a rapporti digitali — la telemetria — che raccontano la storia delle azioni del robot, come dove sta puntando il suo braccio o cosa vede la sua telecamera. Ciò crea una linea critica di fiducia: il rapporto digitale dovrebbe essere uno specchio fedele della realtà fisica. Se il rapporto dice che il robot ha raccolto un pacco, il verificatore assume che il pacco sia effettivamente nella presa del robot. La domanda che i ricercatori si pongono ora è se quello specchio digitale possa essere incrinato, permettendo a un robot di apparire come se stesse facendo una cosa mentre segretamente ne sta facendo un'altra del tutto diversa.

Un team di ricercatori ha scoperto che questo confine di fiducia è molto più fragile di quanto precedentemente ipotizzato. Hanno trovato un modo per ingannare un robot portandolo a eseguire compiti pericolosi o non autorizzati, inviando contemporaneamente rapporti perfetti e falsi alle persone o ai sistemi che lo monitorano. L'attacco prende di mira il software che permette ai robot di comunicare tra loro, nello specifico un sistema chiamato ROS 2, che è il linguaggio standard per la robotica moderna. I ricercatori hanno dimostrato che un attaccante non ha bisogno di violare il sistema operativo principale del robot o di rubare password segrete. Invece, può semplicemente cambiare un'unica impostazione nell'ambiente del computer per inserire uno strumento nascosto che intercetta i messaggi prima che vengano inviati. Questo strumento agisce come un editor silenzioso, sostituendo i dati reali provenienti dai sensori del robot con una versione completamente fabbricata che appare identica alla realtà.

Per dimostrare questo, il team ha allestito un braccio robotico fisico ed eseguito un compito in cui doveva raccogliere un oggetto e posizionarlo in un certo punto. Nel mondo reale, l'attaccante ha dirottato il robot, costringendolo a muoversi in una direzione diversa o a eseguire un'azione differente. Tuttavia, il sistema di monitoraggio, che si basa sui rapporti digitali, non ha notato nulla di insolito. Il software dell'attaccante ha generato un flusso di dati falsi che corrispondeva perfettamente a ciò che il robot avrebbe dovuto stare facendo. Il sistema di monitoraggio ha ricevuto un feed video e un elenco di posizioni articolari che sembravano completamente normali, confermando che il compito era stato completato con successo, anche se il robot fisico stava facendo tutt'altro. I ricercatori hanno testato questo su un vero braccio robotico Franka Emika che eseguiva una versione sicura del software progettata per prevenire gli attacchi informatici. L'attacco ha funzionato ogni singola volta, ingannando con successo il sistema mentre il robot eseguiva le azioni non autorizzate.

Il successo di questo attacco risiede nel fatto che le misure di sicurezza in vigore proteggono solo i messaggi mentre viaggiano attraverso la rete, non nel momento in cui vengono creati. I ricercatori hanno scoperto che, inserendo il loro strumento nascosto nel software prima ancora che il messaggio venga confezionato per la trasmissione, potevano riscrivere la storia prima che le guardie di sicurezza potessero vederla. I dati falsi generati erano così convincenti da superare ogni test proposto dai ricercatori. Hanno cercato di rilevare la frode cercando velocità impossibili, controllando se il movimento avesse senso matematico e analizzando le minuscole vibrazioni naturali che le vere macchine possiedono sempre. I dati falsi includevano queste piccole vibrazioni realistiche e le corrette relazioni matematiche tra le diverse parti del movimento del robot. In effetti, i dati falsi erano così vicini alla realtà da essere indistinguibili dalle variazioni naturali osservate quando due robot reali eseguono lo stesso compito.

Uno degli aspetti più sorprendenti dell'attacco è la facilità con cui può essere diffuso. I ricercatori hanno scoperto che l'ecosistema software per i robot si affida pesantemente a container pre-confezionati, che sono come scatole digitali contenenti tutti gli strumenti necessari al funzionamento di un robot. Hanno analizzato migliaia di questi container e hanno scoperto che un gran numero è creato da individui non verificati. Un attaccante potrebbe semplicemente rilasciare uno strumento apparentemente utile e popolare che contenga questo codice di dirottamento nascosto. Quando uno sviluppatore di robot scarica e utilizza questo strumento, il codice malevolo viene installato automaticamente, dando all'attaccante un punto d'appoggio senza che lo sviluppatore se ne accorga mai. Ciò significa che la vulnerabilità non è solo un rischio teorico ma un rischio pratico che potrebbe essere distribuito ampiamente attraverso gli stessi strumenti che i developer usano per costruire i loro sistemi.

I ricercatori hanno anche testato se questa inganno potesse trarre in inganno i detector basati sull'intelligenza artificial true progettati per individuare anomalie. Anche contro un detector addestrato a riconoscere i pattern sottili di un hardware reale, l'attacco ha avuto successo nel trarre in inganno il sistema l'87 percento delle volte. L'unico motivo per cui il detector ha scoperto il restante 13 percento è stato che la tempistica fine dei movimenti del robot reale è incredibilmente difficile da replicare perfettamente, ma la stragrande maggioranza delle volte, i dati falsi sono stati accettati come genuini. Ciò rivela un limite fondamentale nella sicurezza robotica attuale: proteggere la trasmissione dei dati non garantisce che i dati riflettano la verità del mondo fisico. I ricercatori hanno condiviso le loro scoperte con gli sviluppatori del software per robot, sottolineando che la soluzione richiede un cambiamento nel modo in cui viene stabilita la fiducia, spostando il punto di verifica direttamente ai sensori fisici piuttosto che affidarsi al software che ne riporta lo stato.

Questo lavoro non suggerisce che i robot siano intrinsecamente insicuri o che verranno presto presi d'assalto dagli hacker, ma espone un punto cieco nel modo in cui verifichiamo le loro azioni. L'attacco è una prova di concetto che mostra come il record digitale del comportamento di un robot possa essere scollato dalla sua realtà fisica con sorprendente facilità. Mette in discussione l'assunto che un canale di comunicazione sicuro sia sufficiente per garantire che un robot stia facendo ciò che dice di fare. Il lavoro dei ricercatori funge da avvertimento che, man mano che i robot diventano più autonomi e interconnessi, i metodi che usiamo per fidarci di loro devono evolversi per tenere conto della possibilità che l'evidenza che vediamo possa essere un'illusione accuratamente costruita. La strada da seguire prevede di ancorare la fiducia proprio alla fonte dei dati, assicurando che la misurazione fisica sia firmata e messa in sicurezza prima ancora di entrare nel sistema software che potrebbe essere compromesso.