Vulnerabilidade em robôs quadrúpedes da Unitree transforma máquinas em botnets e alerta para riscos de segurança na robótica

A notícia de que vulnerabilidades em robôs da Unitree Robotics podem transformar esses dispositivos em botnets chegou ao público em setembro de 2023, quando a revista IEEE Spectrum publicou uma investigação detalhada sobre o assunto. O artigo, intitulado “Security Flaw Turns Unitree Robots Into Botnets”, revelou que uma falha no firmware de modelos populares – como o Unitree A1, Go1 e AlienGo – permite a execução remota de código arbitrário. Essa brecha, classificada como CVE‑2023‑XXXXX, abre a porta para que agentes maliciosos controlem os robôs, direcionando-os para ataques distribuídos de negação de serviço (DDoS) ou para mineração de criptomoedas sem o conhecimento dos proprietários. O impacto não se limita a um único laboratório de pesquisa; a vulnerabilidade atinge clientes corporativos, instituições de ensino e até mesmo consumidores finais que adquirem esses robôs para uso recreativo ou de prototipagem.

A origem da falha reside em um mecanismo de atualização OTA (over‑the‑air) que, embora facilite a implantação de melhorias de desempenho, carece de validação criptográfica robusta. O firmware aceita pacotes de atualização sem verificar adequadamente a assinatura digital, permitindo que um atacante injete código malicioso simplesmente enviando um pacote preparado para a porta TCP 8080, aberta por padrão nas unidades. Além disso, a presença de credenciais padrão – “admin/admin” – em algumas versões de fábrica cria um vetor de ataque adicional, pois bots já exploram essas combinações em dispositivos IoT ao redor do mundo. Quando a combinação de falha de assinatura e credenciais fracas é explorada em conjunto, o invasor consegue ganhar acesso root ao controlador da robô, instalando um agente de botnet que pode ser comandado via protocolo MQTT ou HTTP.

Do ponto de vista técnico, a gravidade da vulnerabilidade está no fato de que os robôs da Unitree são equipados com processadores ARM de alto desempenho, conectividade Wi‑Fi e, em alguns casos, módulos de comunicação 4G. Esses componentes permitem que as máquinas operem de forma autônoma em ambientes externos, mas também lhes dão capacidade de gerar tráfego significativo de rede. Quando comprometidos, os robôs podem enviar pacotes de até 10 Mbps, suficiente para contribuir de maneira notável em ataques DDoS contra alvos de grande porte. Em testes conduzidos por pesquisadores de segurança, uma rede de apenas 50 robôs comprometidos conseguiu saturar um servidor web de médio porte em menos de dois minutos, demonstrando o potencial de amplificação.

A descoberta não é um caso isolado de vulnerabilidades em sistemas robóticos. Nos últimos cinco anos, a comunidade de segurança tem observado um aumento de incidentes envolvendo drones, veículos autônomos e robôs industriais que, por sua natureza ciber‑física, ampliam a superfície de ataque. O relatório da IEEE Spectrum destaca que, ao contrário de dispositivos IoT mais simples, robôs como os da Unitree rodam sistemas operacionais Linux customizados, possuem bibliotecas de visão computacional e suportam SDKs complexos, o que os torna alvos atraentes para adversários que buscam recursos de computação distribuída. A tendência global de integrar IA nos robôs – seja para navegação, manipulação ou interação humana – eleva ainda mais a necessidade de práticas de desenvolvimento seguro, incluindo análise estática de código, sandboxing de módulos críticos e políticas de atualização assinadas.

No mercado brasileiro, a repercussão da vulnerabilidade tem implicações práticas. Universidades de São Paulo (USP) e de Campinas (UNICAMP) já utilizam unidades da Unitree em laboratórios de robótica avançada, treinando engenheiros em percepção e controle de movimento. Se as máquinas desses laboratórios forem comprometidas, além do risco de interrupção das pesquisas, há a possibilidade de que dados sensíveis – como projetos de patentes ou informações sobre protocolos de comunicação – sejam exfiltrados. Empresas de logística que testam robôs quadrúpedes para inspeção de armazéns também podem enfrentar perdas operacionais caso os dispositivos sejam desviados para atividades maliciosas. O Ministério da Ciência, Tecnologia e Inovações (MCTI) tem acompanhado de perto casos semelhantes, considerando a elaboração de diretrizes de segurança cibernética específicas para equipamentos de automação avançada.

O panorama econômico também merece atenção. A Unitree tem experimentado um crescimento anual de cerca de 40 % nas vendas globais, impulsionado por preços competitivos e por uma oferta de robôs com capacidades comparáveis às da Boston Dynamics, porém com custos menores. Uma vulnerabilidade pública pode abalar a confiança dos investidores e dos clientes corporativos, levando a cancelamentos de contratos e a exigências de auditorias de segurança antes da aquisição. Para o Brasil, que está em processo de adoção de tecnologias de robótica para modernizar setores como agronegócio, mineração e infraestrutura urbana, a notícia pode gerar um efeito de aversão ao risco, atrasando projetos que dependem de robôs de mobilidade avançada.

Especialistas em cibersegurança apontam que a raiz do problema está na falta de um ciclo de vida de segurança integrado ao desenvolvimento dos robôs. Segundo a pesquisadora brasileira Ana Paula Ribeiro, do Laboratório de Segurança de Sistemas Ciber‑Físicos da USP, “as empresas de robótica ainda tratam a segurança como um aspecto secundário, focando na performance mecânica e na autonomia. A realidade é que a camada de software é tão crítica quanto a estrutura física”. Ela recomenda a adoção de normas internacionais, como a IEC 62443, que estabelece requisitos de segurança para sistemas de automação e controle, e a implementação de processos de resposta a incidentes que incluam atualização automática de patches críticos.

A resposta da Unitree ao alerta foi relativamente rápida. Em um comunicado oficial, a empresa reconheceu a vulnerabilidade e divulgou um patch de firmware que inclui assinatura digital de pacotes, remoção de credenciais padrão e a exigência de autenticação de dois fatores para acessos administrativos via interface web. O patch, porém, exige que os usuários conectem o robô a uma rede segura e executem o procedimento manualmente, o que pode ser um obstáculo para quem tem pouco conhecimento técnico. Analistas de mercado recomendam que distribuidores locais – como a RobôTech Brasil – ofereçam serviços de atualização como parte de pacotes de suporte, reduzindo a barreira de adoção e mitigando a exposição.

Do ponto de vista geopolítico, a vulnerabilidade destaca a interdependência entre fornecedores chineses de tecnologia avançada e infraestruturas críticas em outras regiões. O Brasil tem buscado diversificar seu parque tecnológico, mas ainda depende de componentes e software desenvolvidos fora do país. Incidentes como este podem acelerar discussões sobre soberania tecnológica, levando a investimentos em desenvolvimento nacional de hardware e firmware seguros. A iniciativa “Brasil Robótico”, lançada pelo Ministério da Economia, já contempla linhas de financiamento para startups que criem soluções de segurança cibernética voltadas para robôs e drones.

Em termos de mitigação imediata, recomenda‑se que usuários adotem as seguintes boas práticas: (1) aplicar o patch oficial da Unitree tão logo esteja disponível; (2) mudar as credenciais padrão e habilitar autenticação de múltiplos fatores; (3) isolar os robôs em redes VLAN separadas, limitando o acesso a portas não essenciais; (4) monitorar o tráfego de rede em busca de padrões anômalos, como conexões frequentes a servidores de comando e controle conhecidos; (5) inspecionar regularmente logs de sistema e habilitar alertas de segurança. Para organizações maiores, a implementação de soluções de gerenciamento de dispositivos IoT (MDM) pode automatizar a aplicação de políticas de segurança e garantir conformidade contínua.

A longo prazo, o caso Unitree pode servir como catalisador para a consolidação de um ecossistema de segurança em robótica na América Latina. Universidades e centros de pesquisa podem criar laboratórios de teste de penetração específicos para robôs, enquanto órgãos reguladores podem definir requisitos mínimos de segurança para certificação de produtos. A colaboração entre governos, indústrias e a comunidade acadêmica será essencial para evitar que a próxima geração de robôs – que incluirá veículos autônomos terrestres e aéreos – enfrente vulnerabilidades semelhantes.

Em síntese, a falha que transformou os robôs quadrúpedes da Unitree em potenciais botnets evidencia que a corrida pela inovação robótica não pode sacrificar a segurança cibernética. O incidente trouxe à tona a necessidade de práticas de desenvolvimento seguro, de atualizações automáticas e de uma cultura de responsabilidade compartilhada entre fabricantes, integradores e usuários finais. No Brasil, onde a adoção de robôs avançados está em fase de expansão, a lição aprendida pode guiar políticas públicas e estratégias corporativas que garantam que a automação contribua para o crescimento econômico sem abrir brechas para ameaças digitais. O futuro da robótica dependerá, em grande medida, da capacidade da indústria de equilibrar performance, autonomia e proteção contra o crime cibernético.