Werkzeuge AI Minute Newsroom 2026-08-29

Wer in Bluetooth-Reichweite dieses humanoiden Roboters steht, kann Root auf ihm erlangen — ohne Kopplung, ohne Passwort, ohne Warnung

Der Sicherheitsforscher Olivier Laflamme veröffentlichte am 27. August zwei voneinander unabhängige Root-Ketten zur entfernten Codeausführung für den Humanoiden Unitree G1 EDU, geführt als CVE-2026-76639 und CVE-2026-76640. Die zweite ist die beunruhigende. Der Roboter nutzt Bluetooth Low Energy für die Ersteinrichtung — man übergibt ihm WLAN-Namen und Passwort über die Luft — und die Charakteristik, die diese Daten entgegennimmt, 0xFFE2, akzeptiert Schreibzugriffe mit bloßer Schreibberechtigung. Keine Kopplung, keine Authentifizierung. Aus dieser einen Öffnung erreicht ein Angreifer in Bluetooth-Reichweite Root auf dem Fortbewegungsrechner des Roboters, also auf der Maschine, die entscheidet, wohin seine Beine gehen. Die erste Kette ist netzwerknah und führt über zwei Komponenten des Roboters selbst, chat_go und bashrunner. Unitree korrigierte im Juli eine separate Eigentumsprüfung in der Cloud; für diese beiden Lücken wurde keine bestätigte gepatchte Firmwareversion veröffentlicht.

Warum es wichtig istDer G1 EDU ist eine Forschungs- und Lehrmaschine: Er steht in Universitätslaboren und Vorführräumen von Unternehmen — genau dort, wo ein kompromittiertes Exemplar einem Angreifer am meisten nützt. Wichtiger als das Modell ist aber die Form des Fehlers. Einrichtung per Bluetooth ohne Kopplung ist ein Muster aus billiger Smart-Home-Technik, wo der schlimmste Fall darin besteht, dass jemand das Licht ausschaltet. Hier übergibt derselbe Abkürzungsweg den Prozess, der eine 35 Kilogramm schwere Maschine mit Gliedmaßen bewegt. Während Roboter aus Laboren in Arbeitsumgebungen wandern, müssen die Sicherheitsannahmen von der Unterhaltungselektronik zur Industriemaschine wandern — und das zeigt, wie weit dieser Wechsel noch zu gehen hat.

#Robotik

✓ Verifiziert · 4 Quellen

In der App lesen — kostenlos, 9 Sprachen

Verwandte Meldungen

Die E-Mail, die Sie gelesen haben, sagte das eine; die Zusammenfassung Ihrer KI sagte etwas anderes. Der Unterschied: 472 Zeichen weißer Text.
2026-08-29 Ein KI-Urheberrechtsdienst reichte im Namen von Minecraft eine Beschwerde gegen eine freie Spiele-Engine ein — Google nahm sie aus dem Play Store
2026-08-29 Metas Brillen beenden die Aufnahme jetzt, wenn man das Licht abdeckt, das anderen die Aufnahme anzeigt
2026-08-29 Die Firma, die sagte, Software fresse die Welt, hat 1,1 Milliarden Dollar für den Teil der KI eingesammelt, der einem auf den Fuß fallen kann
2026-08-29 Photoshop hat jetzt einen Modus, in dem man aufs Bild kritzelt statt es zu beschreiben — und einen Schalter, der die Profioberfläche ganz ausblendet
2026-08-28