本文内容
机器人的命令可能来自 Bluetooth、维护端口、配套应用或 AI 规划器。Physical AI 安全把机器人网络安全和物联网安全延伸到“采取行动的权限”，也延伸到信任失效后的后果。
硬件 、电子设备 、RTOS 指南介绍了架构；本文聚焦安全。
1. 数字故障变成物理后果时
一台在玩偶上方举刀的机器人让风险变得具体：当不安全的意图变成运动时，会发生什么？ RoboHarm 2026年9月的研究 在5项任务中进行了300次试验，测试了三种策略。视频展示的是受控研究，并非已报告的伤害事故。
观看原始对比视频 视频 · 在新标签页中打开未完成不等于拒绝执行
每种策略执行5项任务，每项20次试验。每条柱形均以全部100次试验为分母。
| 策略 | 安全 拒绝 | 其他 拒绝 | 未 尝试 | 尝试 失败 | 完成 |
|---|---|---|---|---|---|
| GPT-6 Astra | 2 | 1 | 0 | 37 | 60 |
| Claude Fable 5.1 | 20 | 0 | 0 | 46 | 34 |
| MolmoAct2 | 0 | 0 | 29 | 65 | 6 |
执行失败与出于安全原因拒绝执行并不相同。能力越强，造成的伤害可能越大。这些固定任务的结果不能作为总体事故率。
Waymo中断事件 发生于2025年7月，并在同年10月被报道：协调预约让约50辆机器人出租车聚集在旧金山的一条街道上。有效请求累积成拥堵；报道确认的是服务滥用，而非转向系统被入侵。
2. 物联网安全：设备、网络与云端攻击
本地部署：Bluetooth、以太网与物理访问
在定制机器人集成 中，本地部署让推理和控制留在本地。专用局域网和 Bluetooth 仍可能成为入口。网络隔离排除了外部网络路径，但维护过程仍可能把文件带入其中。
ZHAW 2026年3月的离线机器人研究 指出了 Bluetooth 设置、可访问的以太网和默认密码。未使用的接口也可能仍然可达。
隔离互联网后仍存在本地访问路径
以太网→SSH / 诊断
无线→配置服务
本地连接→应用 → 互联网
有条件的应用中继
介质完整性·调试权限
以太网可以连接到正在监听的 SSH 或诊断服务。如果不同安装环境共用默认密码，一个已知的秘密就可能完成认证。
Canonical 的加固指南 区分了暴露面与权限。配套手机凭据和蜂窝网络连接是否能中继，取决于应用权限。
Ruby Jumper 2026年2月的分析 说明了通过可移动介质跨越网络隔离进行中继的方法。这项恶意软件研究针对的是计算机，并非机器人事件；但导入可执行文件仍然会跨越信任边界。
通过 Bluetooth 配网进行命令注入
Bluetooth 安全同时包括链路保护和应用权限。BLE 的**通用属性配置文件（GATT）**定义了包含可读或可写特征的服务。配网可能接受 Wi-Fi 设置：加密保护传输过程，而授权决定谁可以修改设置。BlueZ GATT API 区分了加密写入、认证写入和授权。
配置数据进入了特权执行环节
BLE 配对与加密保护链路；这条链路的失效发生在上层。
- 配网服务GATT 特征写入
Wi-Fi 设置进入应用。
- 调用者授权失效通用应用密钥 + 薄弱握手
持有共享秘密取代了设备范围内的调用者证明。
- 数据 → 可执行语法设置被插入 shell 命令
shell 把设置中的字符解析为命令语法。
- 跨越特权边界特权辅助程序执行命令
注入代码以辅助程序的权限运行。
强制边界： 每台设备的操作授权 + 将值视为数据的受限配置 API。
UniPwn 2025年9月的研究 通过附近无线访问演示了这一应用缺陷。无需互联网连接；当前补丁覆盖情况需要单独确认。
连接 Bluetooth、云端与 root 访问
UniBLEed 2026年8月的披露 把 Bluetooth、云端所有权和板载软件的弱点串联起来，在测试的 Unitree G1 机器人上实现了 root 执行。披露记录了云端修复，以及供应商后来报告的固件修复。每跨过一个边界，攻击者就获得更多权限。
每台设备使用独立凭据，可以限制泄露秘密的影响范围。进程隔离、最小权限和范围狭窄的配置 API，可以把受侵害守护进程的权限限制在 root shell 之外。
MQTT 与 ROS 2 授权
MQTT 通过代理转发发布与订阅。TLS 保护连接，身份验证识别主体。代理的授权策略把这个主体绑定到设备、主题和操作。
按设备所有权进行 MQTT 授权
owner-A当前拥有设备： arm-17arm-17/telemetry✓ 允许订阅 · 自有设备arm-17/command✓ 允许发布 · 已授权操作arm-18/command× 拒绝发布 · 其他所有者的设备+/telemetry× 拒绝订阅 · 通配符跨越所有权
被拒绝的操作止于代理；即使会话已加密，对这些主题仍未获授权。
过于宽泛的通配符订阅可能暴露多个设备。所有权发生变化时，需要让权限过期或撤销；交付保证并不会授权机器人运动。
2026年2月的 DJI Romo 调查 报道了数千台吸尘器之间的 MQTT 数据访问，记者验证了另一位所有者的房间地图。DJI报告了服务器端修复。跨设备权限同时影响隐私和控制。
ROS 2 安全 使用 DDS-Security，把证书身份绑定到经过签名的主题和操作权限。经签名的治理配置定义域的保护规则，Enclave 则整合这些安全上下文。单独使用 ROS 2 并不会自动建立这些限制。
固件安全：安全启动与签名更新
Espressif 的安全启动 和 OTA 文档 展示了如何使用受保护的 eFuse 位强制执行安全版本下限。这与发布标签不同。恢复回滚需要符合条件的镜像。
签名与安全版本验证
- 01签名验证可信公钥 + 已签名镜像
拒绝被篡改的字节或不可信的签名者。
- 02安全版本检查镜像版本 ≥ 强制下限
即使签名正确，也拒绝旧版本镜像。
- 允许启动 / 安装
两项检查都必须通过。
远程访问制冷控制器
2026年10月，CERT-FR确认了制冷控制器被入侵 ；Reuters报道了食品损失和火灾 。尚未确认 AI 参与其中。这个案例说明，普通的设备管理权限也可能触及物理流程。
网络分段限制可达范围；应用权限限制操作；本地约束限制命令。VPN 仍可能放行权限过高的身份。
3. AI 输入、模型完整性与行动权限
通过机器人观测进行提示注入
提示注入 可能让低信任度的观测影响机器人的任务权限。感知攻击会改变对世界的估计；不安全的直接请求即使被正确理解，仍然危险。
场景文本与机器人任务权限
分拣到 B 箱
报告标签；任务仍为 A。
感知错误： 错误读取场景。 提示注入： 内容试图改变行为方向。
RoboPAIR 2024年10月的研究 演示了针对 LLM 控制机器人的对抗性提示。与 RoboHarm 一样，它把模型拒绝行为和系统安全分开。
模型来源与隐藏后门
权重、适配器和配置共同定义推理工件。校验和可以匹配参考字节；签名清单可以识别批准者。但两者都不能证明行为安全。
VillainNet 于2025年发表，Georgia Tech于2026年1月进行了介绍 。研究在选定的 SuperNet 子网络中嵌入了后门。交通标志分类实验并未证明已部署车辆被劫持。
正常与触发条件下的模型推理
证明来源、签名者与字节内容，不证明行为安全。
常规基准测试可能遗漏狭窄的后门触发条件。
AI 计划与运动之间的授权
带类型的请求会限制操作、字段类型和单位。授权把经过验证的调用者绑定到设备；对象和坐标系版本把请求绑定到当前状态。
带类型的机器人动作请求
{
"action": "pick",
"device": "arm-17",
"object": "part-42",
"frame": "fixture-v6",
"sequence": 481,
"issued_at_ms": 420000,
"deadline_ms": 420120
}身份来自已验证会话。
- 操作范围
- 枚举值
pick无法表达任意程序。 - 设备 + 状态
- 调用者范围、对象与坐标系必须匹配当前状态。
- 新鲜度
- 序列与到期时间绑定到可信本地状态。
- 物理允许范围
- 独立控制器的限制仍然适用。
独立的工作空间、速度、力或温度限制可以约束被攻破的规划器。效果取决于实现、故障行为和工作范围。
重放攻击、命令过期与场景变化
场景变化后，签名仍然存在。序号检查应对重放攻击；过期时间限定命令的有效时长；当前状态验证可以发现过期前发生的变化。
签名或消息认证码会同时绑定负载、目标、序号和截止时间，防止替换。控制器应按经过认证的会话记录已使用的序号，并在重启后保留这些记录，同时使用明确定义的时钟域。临近执行时再验证，可以缩短检查与使用之间的时间差；监控则处理运动期间的变化。
重放及过时命令的有效性检查
命令示例：场景在80毫秒时改变；命令在发出120毫秒后到期。
需要为连接丢失定义本地响应；RTOS 调度 本身不能决定命令权限。
波兰能源攻击中的物理流程限制
CERT Polska 2026年8月的后续报告 描述了2025年12月的一次攻击：蒸汽涡轮机和工艺用水系统停止，但操作员维持了供热。配置错误的专用 APN 允许横向访问。尚未确认 AI 参与其中。
4. 预防、渗透测试与恢复
安全加固与补丁验证
2026年9月的架构评审 与具身 AI 综述 把设备、网络、模型和运动边界的防御联系起来。加固可以减少可达服务，也减少这些服务可获得的权限。
接口、凭据与软件控制措施
| 暴露面 | 强制措施 | 验证 |
|---|---|---|
| BLE / 以太网 | 禁用未使用接口；限制服务绑定 | 仅已批准接口可达 |
| 身份 / 命令 | 每台设备独立密钥；解析配置前检查调用者 | 拒绝其他所有者的请求 |
| 软件 / 运动 | 验证补丁版本；回滚下限；独立限制 | 拒绝漏洞路径和不安全请求 |
NIST 补丁指南 包括运行测试。应将当前运行版本与供应商公告进行比较，并重复此前失败的测试；仅仅安装成功并不够。
检测未授权访问与配置变化
这些控制定义了批准的对等方、服务和配置哈希的基线。2026年9月的 Go2 Pro 取证研究 关联了机器人、配套应用和网络记录。新增对等方本身是较弱的证据；其会话之后又出现未批准的配置变更，就更有参考价值。
关联机器人、应用与网络记录
主体 · 序列 · 状态
会话 · 已发出命令
对等方 · 连接时间
时钟偏差和会话标识符用于关联记录。
检测也有盲点。ICRA 2026 研究 展示了传感器偏差如何绕过预测误差警报，并由独立预测器降低控制强度。它演示的是针对机械臂模拟的特定防御，而非普遍安全措施。
物联网渗透测试与机器人评估
2026年机器人测试论文 在 ROS/ROS 2 实验室中追踪攻击路径。RoboMD 测试操作策略的稳健性。两者都不能替代针对具体部署的验证。
Nmap 支持基本的服务清单；能访问并不等于存在漏洞。
机器人和物联网渗透测试工具
scan le
devices
scan off
connect AA:BB:CC:DD:EE:FF
menu gatt
list-attributes连接必须获得许可；发现服务不代表拥有写入权限。
tshark -r robot-lab.pcapng \
-Y 'btatt || mqtt || rtps'已加密或未捕获的负载可能仍不可见。
mosquitto_sub -h broker.lab.example -p 8883 \
--cafile ca.pem --cert device-a.pem \
--key device-a.key -V mqttv5 \
-t 'lab/device-b/telemetry' -d -E证书映射到 A：应拒绝 B 的主题。A 获准的主题提供阳性对照；无响应不能证明任一结果。
binwalk firmware.bin文件签名用于识别组件，不证明真实性或不存在恶意软件。
export ROS_SECURITY_KEYSTORE="$PWD/demo_keystore"
export ROS_SECURITY_ENABLE=true
export ROS_SECURITY_STRATEGY=Enforce
ros2 run demo_nodes_cpp listener --ros-args \
--enclave /talker_listener/listener需要准备好的密钥库与兼容中间件。缺少凭据必须阻止启动；主题限制需要签名权限。
发现阶段用于识别暴露面；否定测试用于确认边界是否保持有效。
安全负向测试的预期结果
- 向非自有设备写入 GATT
- 在配置变更前拒绝
- 重放命令
- 拒绝已使用序列
- 低于安全下限的镜像
- 强制安全版本下限
受侵后的事件响应与恢复
CISA 2026年7月的 PLC 报告 描述了密码和 IP 地址变化如何扰乱供水作业，也说明未记录的蜂窝调制解调器增加了暴露面。这个 OT 事件说明，恢复期间必须同时检查连接和配置。
恢复服务前的检查
安全物理状态 · 隔离访问 · 保全证据
- 可信重建固件 + 逻辑 + 配置
- 重置访问权限撤销密钥、配对关系与会话
- 状态验证校准 + 联锁 + 限制
- 受控试运行本地测试 + 行为监控
两条路径均已验证；继续监控。
NIST 备份指南 涵盖逻辑、配置、固件和恢复测试。机器人恢复还需要经过验证的模型和校准。可信重建应在修复根因后进行；备份哈希需要与未受侵害的参考值比较。
更换密码后，独立的访问路径仍可能有效。Bluetooth 配对关系 和应用令牌 需要和会话、受侵害的密钥一起分别撤销。只有在确认旧访问被拒绝、联锁恢复、并完成受监控的试运行后，才有充分的恢复证据。
5. 覆盖机器人生命周期的安全
机器人概念验证 确定初始范围。软件更新、新操作员和所有权变化都可能重新打开访问路径。
机器人全生命周期的安全责任
- 01部署
已知身份
有限权限 - 02运行
可追溯的操作
受保护的记录 - 03恢复
已知软件状态
明确的重启权限 - 04退役
已撤销凭据
已删除个人数据
事件记录让责任可追溯：运行了哪套软件、谁发出了命令、机器做了什么。摄像头画面、平面图和活动模式也需要限制访问范围和保留时间。
NIST 设备基线 涵盖身份、配置、数据、接口、更新和安全状态感知。2026年制造商指南 将这些能力与生命周期责任联系起来。
**Physical AI 安全会成为机器运营的一部分：**保持权限最新、调查异常行为，并恢复到操作员可以验证的状态。
