Falhas Críticas em Robôs Humanoides Unitree G1 Abrem Portas para Execução Remota de Código

A descoberta de falhas críticas nos robôs humanoides Unitree G1, batizada de UniBLEed, expõe uma grave lacuna na segurança de dispositivos conectados, especialmente aqueles que integram robótica, comunicação sem fio e IA. A primeira cadeia de ataque, identificada como CVE-2026-76640, aproveita uma característica GATT no Bluetooth Low Energy (BLE) que permite escrita sem autenticação. Pesquisadores conseguiram obter uma chave AES-128 que, embora criptografada inicialmente, era exposta em texto puro por um endpoint da API de nuvem da Unitree. Esse API não verificava a propriedade do robô, bastando a proximidade para obter a chave única.

Com essa chave, foi possível manipular configurações Wi-Fi e, por meio de um estouro de buffer no serviço Bluetooth (btgatt-server), que rodava com privilégios de root, executar código remoto arbitrário. A segunda vulnerabilidade, CVE-2026-76639, reside no serviço de IA (chat_go) do robô. Uma falha de path traversal no fluxo de upload da base de conhecimento permitia gravar arquivos maliciosos no diretório de whitelist do bashrunner, resultando em execução de código com privilégios de root. Ambos os caminhos levam à tomada completa do controle do robô, incluindo suas funções de locomoção, câmeras, áudio e voz, gerenciadas pelo Locomotion PC, que opera com kernel Linux em tempo real e privilégios de root. Esse cenário reflete o que o CEVIU News já apontou na matéria de 17 de julho de 2026, sobre aspiradores robôs Shark, onde vulnerabilidades semelhantes permitiam RCE e controle remoto.

A Unitree, ao ser notificada, verificou as cadeias de ataque e agiu rapidamente para implementar correções. Uma das mudanças mais notáveis foi a adição de uma verificação na API de nuvem para garantir que a conta solicitante seja de fato a proprietária do robô antes de liberar a chave AES. Embora o pesquisador observe que a maioria das falhas reportadas foram corrigidas, ele alerta que as descobertas refletem o estado das versões testadas. Essa rápida resposta demonstra a importância da divulgação coordenada de vulnerabilidades e da necessidade de atualizações constantes em sistemas complexos.

A vulnerabilidade no Unitree G1 é um lembrete urgente de que robôs humanoides, assim como outros dispositivos inteligentes, são alvos atraentes para ataques cibernéticos. O potencial de Execução Remota de Código com privilégios de root em um sistema que controla movimentos físicos, sensores e comunicação levanta preocupações sérias de segurança física e privacidade. Além disso, a exploração via BLE e API de nuvem mostra a complexidade das superfícies de ataque em ecossistemas interconectados. Para empresas e governos que investem em automação e IA, como já debatido pelo CEVIU News em matérias como a de 20 de agosto de 2026 sobre falhas em ferramentas de IA, a segurança deve ser prioridade máxima desde o design, não apenas uma afterthought.