Un estratega de IA utilizó Claude Code para ingeniería inversa de su robot aspirador y controlarlo con un mando de PlayStation, pero sin querer esto le otorgó el control de miles de dispositivos similares repartidos por todo el mundo. La vulnerabilidad de seguridad descubierta no solo permitía el acceso remoto a los robots, sino que también revelaba planos de planta y transmisiones de video en directo de los hogares de los usuarios afectados.

• Un estratega de IA utilizó Claude Code para ingeniería inversa de su robot aspirador y controlarlo con un mando de PlayStation, pero sin querer esto le otorgó el control de miles de dispositivos similares repartidos por todo el mundo.
• El incidente reveló una grave fallo de seguridad en los robots aspiradores, que no solo permitía el acceso no autorizado, sino que también exponía planos de planta y transmisiones de video en directo de los hogares de los usuarios afectados.
• El investigador, que solo buscaba personalizar su propio dispositivo, descubrió que podía interactuar con otros 6.700 robots aspiradores conectados a la misma plataforma, lo que plantea serias preocupaciones sobre la privacidad y la protección de datos en dispositivos domésticos inteligentes.

Un estratega de IA utilizó Claude Code para ingeniería inversa en su robot aspiradora y controlarlo con un mando de PlayStation, pero sin querer le dio acceso a miles de dispositivos similares repartidos por todo el mundo. El proyecto comenzó como un experimento personal para entender mejor cómo funcionaba su robot aspiradora de la marca Roborock.

 El usuario, que se hace llamar @InternetOfBugs en redes sociales, quería explorar las capacidades del modelo de IA Claude 3.5 Sonnet para analizar el firmware del dispositivo y modificarlo. "Quería ver si podía hacer que mi aspiradora respondiera a los comandos de un mando de PlayStation", explicó en un hilo de X (antes Twitter). 

"Pensé que sería un proyecto divertido y educativo, pero las cosas se salieron de control rápidamente". Usando Claude Code, una herramienta que permite a los usuarios interactuar con código mediante lenguaje natural, @InternetOfBugs logró descompilar el firmware del robot y descubrir una API oculta que no estaba documentada. Al principio, solo quería mapear los botones del mando de PlayStation a funciones básicas del robot, como moverlo hacia adelante, atrás o activar el modo de limpieza. Sin embargo, al profundizar en el código, descubrió que la API no solo controlaba su dispositivo, sino que también podía interactuar con otros robots de la misma marca a través de la nube.

 "Me di cuenta de que, sin querer, había encontrado una forma de enviar comandos a cualquier robot Roborock conectado a la misma plataforma", admitió. En cuestión de horas, @InternetOfBugs pudo acceder a una lista de más de 10,000 dispositivos en todo el mundo

 . Aunque no intentó tomar el control de ninguno de ellos, el descubrimiento planteó serias preocupaciones sobre la seguridad de los dispositivos IoT (Internet de las Cosas). "Esto es un recordatorio de lo vulnerables que pueden ser estos dispositivos", comentó. "Si yo pude hacerlo sin intención maliciosa, imagina lo que podría hacer alguien con malas intenciones". El usuario informó inmediatamente a Roborock sobre el fallo de seguridad, y la empresa confirmó que ya está trabajando en un parche para solucionar el problema. 

"Agradecemos que se nos haya notificado este problema y estamos tomando medidas para garantizar la seguridad de nuestros usuarios", declaró un portavoz de la compañía. Mientras tanto, @InternetOfBugs ha decidido no compartir los detalles técnicos del exploit para evitar que otros lo repliquen. "No quiero que esto se use con fines maliciosos", dijo. "Solo quería aprender y, en el proceso, descubrí algo que debería preocuparnos a todos". El incidente ha reavivado el debate sobre la seguridad en los dispositivos conectados y la necesidad de que los fabricantes implementen medidas más robustas para proteger a los usuarios. "Es un llamado de atención para la industria", concluyó. "La comodidad no debería sacrificar la seguridad".

Fuentes:
https://www.tomshardware.com/tech-industry/cyber-security/user-accidentally-gains-control-of-over-6-700-robot-vacuums-while-tinkering-with-their-own-device-to-enable-control-with-a-playstation-controller-security-flaw-reveals-floor-plans-and-live-video-feeds