Seeing is Not Believing: Breaking the Physical-to-Digital Trust Boundary in Robotics

Os robôs já não são apenas máquinas isoladas seguindo um roteiro fixo num canto de uma fábrica; estão a tornar-se parceiros colaborativos que trabalham ao lado de humanos e uns dos outros em ambientes complexos, como armazéns e locais de exploração espacial. Para que este trabalho de equipa funcione, um robô ou um supervisor humano deve ser capaz de confiar que outro robô está realmente a fazer o que afirma estar a fazer. Como é impossível para um humano observar cada movimento de cada robô, estes sistemas dependem de relatórios digitais — telemetria — que contam a história das ações do robô, tais como para onde o seu braço está a apontar ou o que a sua câmara vê. Isto cria uma linha crítica de confiança: o relatório digital deve ser um espelho fiel da realidade física. Se o relatório diz que o robô recolheu um pacote, o verificador assume que o pacote está realmente na garra do robô. A questão que os investigadores colocam agora é se esse espelho digital pode ser quebrado, permitindo que um robô pareça fazer uma coisa enquanto faz secretamente algo inteiramente diferente.

Uma equipa de investigadores descobriu que esta fronteira de confiança é muito mais frágil do que se pensava anteriormente. Eles descobriram uma forma de enganar um robô para realizar tarefas perigosas ou não autorizadas enquanto envia, simultaneamente, relatórios perfeitos e falsos para as pessoas ou sistemas que o monitorizam. O ataque visa o software que faz os robôs comunicarem entre si, especificamente um sistema chamado ROS 2, que é a linguagem padrão para a robótica moderna. Os investigadores mostraram que um atacante não precisa de invadir o sistema operativo principal do robô ou roubar senhas secretas. Em vez disso, pode simplesmente alterar uma única configuração no ambiente do computador para inserir uma ferramenta oculta que intercepta as mensagens antes de serem enviadas. Esta ferramenta atua como um editor silencioso, trocando os dados reais vindos dos sensores do robô por uma versão completamente fabricada que parece exatamente igual à real.

Para demonstrar isto, a equipa configurou um braço robótico físico e executou uma tarefa onde este deveria recolher um objeto e colocá-lo num determinado local. No mundo real, o atacante sequestrou o robô, forçando-o a mover-se numa direção diferente ou a realizar uma ação diferente. No entanto, o sistema de monitorização, que depende dos relatórios digitais, não viu nada de anormal. O software do atacante gerou um fluxo de dados falsos que correspondia perfeitamente ao que o robô deveria estar a fazer. O sistema de monitorização recebeu uma transmissão de vídeo e uma lista de posições das articulações que pareciam completamente normais, confirmando que a tarefa foi concluída com sucesso, embora o robô físico estivesse a fazer algo inteiramente diferente. Os investigadores testaram isto num braço robótico Franka Emika real, que executava uma versão segura do software concebida para prevenir ataques informáticos. O ataque funcionou todas as vezes, enganando o sistema com sucesso enquanto o robô realizava as ações não autorizadas.

O sucesso deste ataque baseia-se no facto de as medidas de segurança em vigor protegerem apenas as mensagens enquanto estas viajam pela rede, e não no momento em que são criadas. Os investigadores descobriram que, ao inserir a sua ferramenta oculta no software antes mesmo de a mensagem ser embalada para transmissão, podiam reescrever a história antes que os guardas de segurança vissem a mesma. Os dados falsos que geraram eram tão convincentes que passaram em todos os testes que os investigadores lhes aplicaram. Tentaram detetar a fraude procurando por velocidades impossíveis, verificando se o movimento fazia sentido matematicamente e analisando as minúsculas vibrações naturais que as máquinas reais sempre apresentam. Os dados falsos incluíam estas vibrações minúsculas e realistas e a relação matemática correta entre as diferentes partes do movimento do robô. De facto, os dados falsos estavam tão próximos do real que eram indistinguíveis das variações naturais observadas quando dois robôs reais diferentes realizam a mesma tarefa.

Um dos aspetos mais impressionantes do ataque é a facilidade com que pode ser disseminado. Os investigadores descobriram que o ecossistema de software para robôs depende fortemente de contentores pré-fabricados, que são como caixas digitais contendo todas as ferramentas de que um robô precisa para funcionar. Eles analisaram milhares destes contentores e descobriram que um vasto número são criados por indivíduos não verificados. Um atacante poderia simplesmente lançar uma ferramenta popular e aparentemente útil que contenha este código de sequestro oculto. Quando um programador de robôs descarrega e utiliza esta ferramenta, o código malicioso é instalado automaticamente, dando ao atacante uma posição de controlo sem que o programador sequer o saiba. Isto significa que a vulnerabilidade não é apenas um risco teórico, mas sim um risco prático que pode ser distribuído amplamente através das próprias ferramentas que os programadores utilizam para construir os seus sistemas.

Os investigadores também testaram se esta deceção poderia enganar detetores de inteligência artificial concebidos para detetar anomalias. Mesmo contra um detetor treinado para reconhecer os padrões subtis de hardware real, o ataque teve sucesso ao enganar o sistema em 87 por cento das vezes. A única razão pela qual o detetor apanhou os restantes 13 por cento foi que a temporização de precisão fina dos movimentos do robô real é incrivelmente difícil de replicar perfeitamente, mas na vasta maioria das vezes, os dados falsos foram aceites como genuínos. Isto revela uma limitação fundamental na segurança robótica atual: proteger a transmissão de dados não garante que os dados reflitam a verdade do mundo físico. Os investigadores partilharam as suas descobertas com os desenvolvedores do software de robótica, destacando que a solução exige uma mudança na forma como a confiança é estabelecida, movendo o ponto de verificação de volta para os próprios sensores físicos, em vez de depender do software que reporta o seu estado.

Este trabalho não sugere que os robôs sejam inerentemente inseguros ou que serão em breve dominados por hackers, mas expõe um ponto cego na forma como verificamos as suas ações. O ataque é uma prova de conceito que mostra que o registo digital do comportamento de um robô pode ser desconectado da sua realidade física com uma facilidade surpreendente. Desafia a suposição de que um canal de comunicação seguro é suficiente para garantir que um robô está a fazer o que diz estar a fazer. O trabalho dos investigadores serve como um aviso de que, à medida que os robôs se tornam mais autónomos e interconectados, os métodos que usamos para confiar neles devem evoluir para considerar a possibilidade de a evidência que vemos ser uma ilusão cuidadosamente construída. O caminho a seguir envolve ancorar a confiança na própria fonte dos dados, garantindo que a medição física seja assinada e protegida antes de entrar no sistema de software que poderá estar comprometido.