// LES NUMÉRIQUES — CYBERSECURITY
Actualité : Scénario cauchemar : ces robots-chiens à 1 500 € peuvent être contrôlés par n'importe qui, sans mot de passe
On jurerait un épisode de Black Mirror. Deux chercheurs en sécurité ont montré qu'il suffisait de se connecter au Wi-Fi d'un robot-chien vendu dans le commerce pour en prendre le contrôle total. Le robot en question, vous l'avez forcément croisé : c'est celui qui fait des saltos dans les vidéos virales, qui transportait le disque aux Jeux asiatiques de Hangzhou et que la police américaine utilise pour inspecter des bâtiments.
© Unitree - Le Unitree Go2, robot quadrupède vendu à partir de 1 600 dollars. Deux failles de sécurité permettaient à un attaquant de prendre le contrôle total de la machine en rejoignant son réseau Wi-Fi.
Le Go2 est un robot quadrupède conçu par le fabricant chinois Unitree, vendu à partir de 1 600 dollars depuis juillet 2023. Des milliers d'exemplaires circulent dans les salons, les labos universitaires, les commissariats et même les data centers qui entraînent nos IA.
En octobre 2025, Olivier Laflamme, chercheur au cabinet canadien Boschko Security, et Ruikai Peng, fondateur du collectif Pwn0, s'en procurent un. Ils veulent tester la solidité du protocole qui permet aux pattes, aux caméras et au cerveau du robot de communiquer entre eux. Quelques jours leur suffisent pour découvrir que la porte est grande ouverte.
Le protocole en question s'appelle DDS (Data Distribution Service). C'est le canal interne par lequel tous les composants du Go2 s'échangent leurs instructions. Sur les versions V1.1.7 à V1.1.9 du logiciel embarqué, Unitree l'a déployé sans aucune authentification. Le standard de sécurité DDS existe, il est documenté. Le fabricant a simplement ignoré son existence.
En pratique, l'attaque est d'une simplicité déconcertante. N'importe quel appareil connecté au même réseau local envoie un message au robot contenant quelques lignes de code Python. Le Go2 l'enregistre sagement sur son disque et l'associe à un bouton de la manette. Rien ne se déclenche sur le moment. Le piège dort jusqu'à ce qu'une main appuie sur le bouton, parfois des semaines plus tard, et s'exécute alors avec les droits administrateur les plus élevés. Il survit aux redémarrages. La faille, référencée CVE-2026-27509, récolte un score de gravité de 8,5 sur 10.
L'exemplaire du Go2 utilisé par les chercheurs de Boschko Security pour mettre au jour les deux failles. Les câbles trahissent une session d'analyse du firmware.
Le 30 octobre, le duo débusque une seconde entrée, cette fois dans l'application Android qui pilote le Go2. En modifiant la base de données locale du téléphone, toute personne y ayant accès, même brièvement, peut glisser du code malveillant dans un programme enregistré par le propriétaire. Le robot l'exécute en aveugle, sans vérification (CVE-2026-27510).
Prévenue dès le 29 octobre 2025, Unitree publie un correctif le 24 février 2026 dans la mise à jour V1.1.13. Précision importante : les versions EDU, destinées aux développeurs et aux universités, resteront probablement vulnérables à la faille DDS, car l'accès ouvert au protocole fait partie de leur raison d'être.
Le Go2 en est déjà à son troisième incident de sécurité majeur en six mois. En septembre 2025, une faille Bluetooth baptisée UniPwn permettait de prendre le contrôle à distance de plusieurs modèles Unitree, robot humanoïde G1 compris. Les chercheurs pointent aussi la marketplace communautaire du Go2, où du code partagé par des tiers pourrait exploiter la même mécanique.