Seeing is Not Believing: Breaking the Physical-to-Digital Trust Boundary in Robotics

Robots zijn niet langer slechts geïsoleerde machines die een vast script volgen in een hoek van een fabriek; ze worden collaboratieve partners die samenwerken met mensen en elkaar in complexe omgevingen zoals magazijnen en locaties voor ruimteverkenning. Voor deze teamwork moet een menselijke supervisor erop kunnen vertrouwen dat een andere robot daadwerkelijk doet wat hij beweert te doen. Omdat het voor een mens onmogelijk is om elke beweging van elke robot te observeren, vertrouwen deze systemen op digitale rapporten—telemetrie—die het verhaal vertellen van de acties van de robot, zoals waar zijn arm naar wijst of wat zijn camera ziet. Dit creëert een cruciale vertrouwenslijn: het digitale rapport is bedoeld als een getrouwe spiegel van de fysieke realiteit. Als het rapport zegt dat de robot een pakket heeft opgepakt, gaat de verifieerder ervan uit dat het pakket daadwerkelijk in de greep van de robot zit. De vraag die onderzoekers nu stellen is of die digitale spiegel gekraakt kan worden, waardoor een robot de schijn kan ophouden iets te doen terwijl hij in het geheim iets heel anders doet.

Een team van onderzoekers heeft ontdekt dat deze vertrouwensgrens veel kwetsbaarder is dan voorheen werd aangenomen. Ze vonden een manier om een robot te misleiden om gevaarlijke of ongeautoriseerde taken uit te voeren, terwijl er tegelijkertijd perfecte, valse rapporten worden verzonden naar de mensen of systemen die toezicht houden. De aanval richt zich op de software waarmee robots met elkaar communiceren, specifiek een systeem genaamd ROS 2, wat de standaardtaal is voor moderne robotica. De onderzoekers lieten zien dat een aanvaller niet het kernbesturingssysteem van de robot hoeft te kraken of geheime wachtwoorden hoeft te stelen. In plaats daarvan kan een aanvaller simpelweg één instelling in de computeromgeving wijzigen om een verborgen hulpmiddel te plaatsen dat berichten onderschept voordat ze worden verzonden. Dit hulpmiddel werkt als een stille redacteur, die de echte gegevens die van de sensoren van de robot komen vervangt door een volledig gefabriceerde versie die exact lijkt op de echte versie.

Om dit te demonstreren, stelde het team een fysieke robotarm op en voerde een taak uit waarbij de arm een object moest oppakken en ergens moest plaatsen. In de echte wereld had de aanvaller de robot gekaapt, waardoor deze in een andere richting bewoog of een andere actie uitvoerde. De bewakingssystemen, die afhankelijk zijn van de digitale rapporten, zagen echter niets ongewoons. De software van de aanvaller genereerde een valse datastroom die perfect overeenkwam met wat de robot zou moeten doen. Het bewakingssysteem ontving een videofeed en een lijst met gewrichtsposities die er volkomen normaal uitzagen, wat bevestigde dat de taak succesvol was voltooid, ook al deed de fysieke robot iets heel anders. De onderzoekers testten dit op een echte Franka Emika robotarm die draaide op een beveiligde versie van de software die ontworpen is om hacking te voorkomen. De aanval slaagde elke keer, waarbij het systeem succesvol werd misleid terwijl de robot de ongeautoriseerde acties uitvoerde.

Het succes van deze aanval berust op het feit dat de beveiligingsmaatregelen die in plaats zijn alleen de berichten beschermen terwijl ze over het netwerk reizen, en niet op het moment dat ze worden gecreëerd. De onderzoekers ontdekten dat door hun verborgen hulpmiddel in de software te plaatsen voordat het bericht zelfs wordt verpakt voor transmissie, ze het verhaal konden herschrijven voordat de beveiligingsbewakers het ooit zagen. De gegenereerde valse gegevens waren zo overtuigend dat ze elke test doorstonden die de onderzoekers erop loslieten. Ze probeerden de fraude te detecteren door te zoeken naar onmogelijke snelheden, te controleren of de beweging wiskundig gezien logisch was, en de kleine, natuurlijke trillingen te analyseren die echte machines altijd hebben. De valse gegevens bevatten deze kleine, realistische trillingen en de juiste wiskundige relaties tussen de verschillende onderdelen van de beweging van de robot. Sterker nog, de valse gegevens lagen zo dicht bij de echte gegevens dat ze niet te onderscheiden waren van de natuurlijke variaties die te zien zijn wanneer twee verschillende echte robots dezelfde taak uitvoeren.

Een van de meest opvallende aspecten van de aanval is hoe gemakkelijk deze verspreid kan worden. De onderzoekers ontdekten dat het software-ecosysteem voor robots zwaar leunt op vooraf gemaakte containers, die als digitale dozen fungeren met alle tools die een robot nodig heeft om te draaien. Ze analyseerden duizenden van deze containers en ontdekten dat een groot aantal wordt gemaakt door ongeverifieerde individuen. Een aanvaller zou simpelweg een populaire, ogenschijnlijk nuttige tool kunnen vrijgeven die deze verborgen kapingscode bevat. Wanneer een robotontwikkelaar deze tool downloadt en gebruikt, wordt de kwaadaardige code automatisch geïnstalleerd, waardoor de aanvaller een voet aan de grond krijgt zonder dat de ontwikkelaar het ooit weet. Dit betekent dat de kwetsbaarheid niet alleen een theoretisch risico is, maar een praktisch risico dat breed verspreid kan worden via de zeer instrumenten die ontwikkelaars vertrouwen om hun systemen te bouwen.

De onderzoekers testten ook of deze misleiding kunstmatige intelligentie-detectoren kon misleiden die ontworpen zijn om anomalieën op te sporen. Zelfs tegenover een detector die getraind was om de subtiele patronen van echte hardware te herkennen, slaagde de aanval erin om het systeem in 87 procent van de gevallen te misleiden. De enige reden dat de detector de resterende 13 procent ontdekte, was dat de fijnmazige timing van de bewegingen van de echte robot ongelooflijk moeilijk perfect te repliceren is, maar in de overgrote meerderheid van de gevallen werd de valse data als authentiek geaccepteerd. Dit onthult een fundamentele beperking in de huidige robotbeveiliging: het beschermen van de transmissie van gegevens garandeert niet dat de gegevens de waarheid van de fysieke wereld reflecteren. De onderzoekers hebben hun bevindingen gedeeld met de ontwikkelaars van de robotsoftware, waarbij ze benadrukken dat de oplossing een verschuiving vereist in hoe vertrouwen wordt gevestigd, waarbij het punt van verificatie terug naar de fysieke sensoren zelf wordt gebracht in plaats van te vertrouwen op de software die hun status rapporteert.

Dit werk suggereert niet dat robots inherent onveilig zijn of dat ze binnenkort door hackers zullen worden overgenomen, maar het legt een blinde vlek bloot in hoe we hun acties verifiëren. De aanval is een bewijs van concept dat laat zien dat het digitale verslag van het gedrag van een robot met verrassende eenvoud kan worden losgekoppeld van de fysieke realiteit. Het daagt de aanname uit dat een beveiligd communicatiekanaal voldoende is om te garanderen dat een robot doet wat hij zegt te doen. Het werk van de onderzoekers dient als een waarschuwing dat naarmate robots autonomer en meer onderling verbonden worden, de methoden die we gebruiken om hen te vertrouwen, moeten evolueren om rekening te houden met de mogelijkheid dat het bewijs dat we zien een zorgvuldig geconstrueerde illusie kan zijn. De weg vooruit houdt in dat vertrouwen verankerd moet worden bij de bron van de gegevens zelf, door ervoor te zorgen dat de fysieke meting zelf wordt ondertekend en beveiligd voordat deze de software binnenkomt die mogelijk gecompromitteerd is.