TL;DR
- 01何が起きたか
研究者の Andreas Makris 氏と Kevin Finisterre 氏は 2025 年 9 月 20 日、Unitree の人型ロボット（G1・H1）と四足ロボット（Go2・B2）を、Bluetooth の初期設定の入口から乗っ取る手法（UniPwn）を公開した。全機が同じ暗号の鍵を使っており、「unitree」という文字列を含む合言葉を送れば、認証を通った。
- 02なぜ止まらなかったか
続けて Wi-Fi の名前やパスワードのふりをしてコマンドを送ると、ロボットはそれを最上位の権限（root）で実行した。研究者は、乗っ取った機体から近くのほかの機体へ自動で広がりうると指摘している。
- 03欠けていた層
Unitree は 9 月 29 日に修正の大半を終えたとしたが、更新が届くまでは、どの機体も同じ鍵で入口が開く。効かなかったのは、接続してきた相手を、機体ごとの鍵で照合する層である。
何が起きたか
- 研究者
- Andreas Makris 氏と Kevin Finisterre 氏が欠陥を見つけて公開した。Alias Robotics の Víctor Mayoral-Vilches 氏を含む 3 名が、G1 の安全性を調べた論文を arXiv に出した（2025-09）。
- 影響を受けた機種
- 共通のファームウェアを使う G1・H1・Go2・B2（NVD）。
- 入口
- ロボットを Wi-Fi につなぐための、Bluetooth の初期設定の入口。
- 認証を通った理由
- 全機で同じ暗号の鍵と初期値が、機体の中に書き込まれていた（CVE-2025-60250）。合言葉に「unitree」という文字列が含まれていれば受け付けた（CVE-2025-60251）。
- 最上位の権限での実行
- Wi-Fi の名前やパスワードとして送った文字列に紛れ込ませたコマンドを、Wi-Fi の設定のやり直しのときに root で実行した（CVE-2025-35027・CVE-2025-60017）。
- ほかの機体への広がり
- 研究者は、乗っ取ったロボットが Bluetooth の届く範囲のほかの Unitree のロボットを探し、自動で乗っ取りうると指摘している。
- 設定の暗号の弱さ
- 論文は、設定を守る暗号も、固定の方式と予測できる値に頼っていたとしている。
- 外部への送信
- 論文は、ロボットが利用者に知らせないまま、センサーや状態のデータを 300 秒ごとに 2 つの外部のサーバーへ送っていたとしている。
用語メモ
Bluetooth の初期設定 — ロボットを Wi-Fi につなぐために、近くのスマートフォンなどから Bluetooth で設定を送る入口。
root（最上位の権限） — 機器の中で何でもできる管理者の権限。ここを取られると、機器を思いどおりに操作される。
ファームウェア — 機器の中で動くソフト。更新は提供元から配られる。
研究者の公表で見ると、乗っ取りは次の連鎖で起きる。
止めどころは ②。接続してきた相手を、機体ごとの鍵で照合していれば、ほかの機体から取り出した鍵では通らない。
近くにいれば足りる。
機体ごとの照合が無い。
入力を検証しない。
鍵が全機で同じ。
時系列 — 公表と対応
- 研究者が Unitree に連絡する。
- Makris 氏が X で鍵を公開する。研究者によると、この月以降、Unitree から返信が無かった（IEEE Spectrum）。
- 論文を arXiv に出す。
- 研究者が UniPwn を公開する。
- NVD に CVE が公開される。
- Unitree が LinkedIn で、修正の大半を終えたとする。
本件の事実は、研究者の論文（一次）、NVD の CVE の記載、IEEE Spectrum の報道に拠る。本件は研究者による実証で、参照した報道では実際の悪用は報じられていない。本 Brief は製造者を責めるものではなく、全機共通の鍵と入力の検証の欠けを論点とする。
公表後の対応
- Unitree: 9 月 29 日に LinkedIn で、すぐに対応を始め、修正の大半を終えた、更新は近く届けるとした（IEEE Spectrum）。IEEE Spectrum の記事（2025-11 更新）の時点では、更新が配られたかは確認されていない。
- 研究者: 論文で、人型ロボットが重要なインフラに入っていくなかで、守りの仕組みが要ると論じた。
なぜ止まらなかったか
この事案の失敗は、暗号を使っていなかったことではない。鍵が全機で同じで、接続してきた相手を機体ごとに照合する層が無かったことにある。
鍵は全機で同じだった。1 台から鍵を取り出せば、その鍵はほかのすべての機体の入口も開けた。
ここでいう証明は、接続してきた相手を、その機体に固有の鍵で照合してから受け付けること。検出は、乗っ取りや外への送信に後から気づくこと。
全機に通じる
研究者が見つけて知らせ、Unitree は修正を進めた。だが修正は見つかった後の対応で、更新が届いていない機体は、同じ鍵のまま入口が開く。この隔たりが検出と証明の落差であり、構造的な欠落である。
同じ構造は、Universal Robots の PolyScope（産業用ロボットの操作画面から、外のコマンドを実行できた）にも現れている。
対策するには
接続してきた相手は、その機体に固有の鍵や証明書で照合してから受け付ける。鍵が機体ごとに違えば、1 台から取り出した鍵ではほかの機体の入口は開かない。初期設定のような入口から届く入力も、使う前に検証する。検出の代わりではなく、検出の手前に置く層である。
注意したい業界・業務
- 業界製造・基幹インフラ
- ロボットやネットにつながる機器を作る組織と、工場や施設に導入する組織。
- 業界自治体・公共
- 警備や点検にロボットを試している組織（IEEE Spectrum は、英国の警察が Go2 を試していると伝えた）。
いまの対策で防げるか
| 対策 | 今回 | 理由 |
|---|---|---|
| 通信の暗号化 | 効かない | 鍵が全機で同じだった。 |
| 合言葉による認証 | 効かない | 「unitree」という文字列を含めば通った。 |
| ネットワークの分離 | 一部 | Wi-Fi 側の通信は絞れるが、Bluetooth の入口は近くにいれば届く。 |
| ファームウェアの更新 | 一部 | 修正の大半を終えたとしたが、2025-11 の報道の時点で配布は確認されていない。 |
- 機体ごとに固有の鍵や証明書を持たせ、接続してきた相手をそれで照合する。全機に同じ秘密を書き込まない。
- 初期設定などの入口から届く入力は、使う前に検証する。 Wi-Fi の名前やパスワードとして届いた文字列を、そのまま実行に回さない。
- 機器が外へ何を送るかを、利用者に知らせ、止められるようにする。送り先と中身を、導入する側が確認できるようにする。
ロボットやネットにつながる機器を作る・導入する組織で確認する 3 項目
- 機器の初期設定の入口から届く文字列を、そのまま実行しない作りかを、提供元に確認しているか。
- 導入した機器が外部のサーバーへ何を送っているかを、把握しているか。
- 機器のソフトの更新を、提供元から受け取って入れる手順があるか。
注：この手口は Bluetooth の届く近さが要る。Unitree が更新の配布を発表すれば、この Brief を改訂する。
Sources
- 研究・一次arXiv Mayoral-Vilches, Makris, Finisterre, “Cybersecurity AI: Humanoid Robots as Attack Vectors”
- 一次・CVENVD “CVE-2025-35027”（2025-09-26） — 関連：CVE-2025-60250・CVE-2025-60251・CVE-2025-60017
報道・解析 3 件
- 報道IEEE Spectrum “Exploit Allows for Takeover of Fleets of Unitree Robots”
- 報道Help Net Security “Humanoid robot found vulnerable to Bluetooth hack, data leaks to China”
- 報道Hackaday “Unitree Humanoid Robot Exploit Looks Like A Bad One”