Sicherheitsforscher Olivier Laflamme hat zwei unabhängige Schwachstellen im humanoiden Roboter Unitree G1 EDU offengelegt. Eine Angriffskette lässt sich allein aus Bluetooth-Reichweite auslösen und endet mit vollständigem Root-Zugriff auf den Steuerrechner des Roboters. Unitree reagierte mit einem Cloud-seitigen Patch und einer Prämie für den Fund, eine vollständig aktualisierte Firmware für alle Geräte steht noch aus.
Fünf Einzelfehler ergeben Root-Zugriff per Bluetooth
Die schwerwiegendere Lücke, katalogisiert als CVE-2026-76640, beginnt an einer Bluetooth-Low-Energy-Schnittstelle (BLE), die Schreibzugriffe ohne vorherige Geräte-Kopplung annimmt. Wie Laflamme in seiner technischen Analyse beschreibt, verrät der Roboter über einen Bootstrap-Befehl seinen AES-128-Verschlüsselungscode – eingebettet in ein Datenpaket, das erst über Unitrees Cloud-Dienst entschlüsselt werden kann. Genau dort liegt der zweite Fehler: Der Cloud-Endpunkt prüft nicht, ob das anfragende Konto den betroffenen Roboter tatsächlich besitzt. Jedes kostenlose Unitree-Konto kann so den Schlüssel eines fremden Geräts anfordern, dessen Seriennummer sich durch simples Bluetooth-Scannen in der Nähe auslesen lässt. Mit dem entschlüsselten Schlüssel öffnet sich der Zugriff auf eine WLAN-Konfigurationsfunktion des Roboters. Ein Eingabefeld für den Netzwerknamen verarbeitet dort mehr Daten, als das Programm vorsieht – ein Pufferüberlauf, der Funktionszeiger im Steuerprogramm überschreibt und beliebigen Code mit vollen Systemrechten ausführt. Am Ende der Kette steht Root-Zugriff auf den sogenannten Locomotion-Rechner, die zentrale Steuereinheit des Roboters für Bewegung und Sensorik. Mit diesen Rechten lassen sich sämtliche Dienste des Geräts auslesen, darunter auch hinterlegte Zugangsschlüssel für angebundene Cloud-Sprachdienste.
Zweite Lücke führt über den Chat-Dienst zum Ziel
Die zweite Schwachstelle, CVE-2026-76639, nutzt den KI-gestützten Chat-Dienst des Roboters namens chat_go. Dessen Wissensdatenbank-Funktion soll eigentlich robotereigene Dokumentation durchsuchbar machen und Nutzerfragen beantworten – genau diese Komfortfunktion öffnet über eine Pfad-Traversierung den Weg zur Systemebene. Der Fehler erlaubt es, Dateien außerhalb des vorgesehenen Ordners abzulegen – etwa in ein Verzeichnis, das das Systemwerkzeug bashrunner als vertrauenswürdig einstuft. Dessen Prüfung, welche Dateien ausführbar sein dürfen, greift Laflammes Untersuchung zufolge nur beim Import und lässt sich mit einer harmlos aussehenden Dateiendung umgehen. Wird der bashrunner-Dienst neu gestartet, führt der Roboter das eingeschleuste Skript automatisch aus – wieder mit Root-Rechten. Diese Kette benötigt keine physische Nähe, sondern lediglich Netzwerkzugriff auf den Roboter oder seine Steuer-App – ein Angriffsweg, der sich etwa über ein kompromittiertes WLAN im selben Labor öffnen ließe. Beide Ketten zusammen zeigen, wie stark ein modernes Roboter-Betriebssystem auf mehrere ineinandergreifende Komponenten aus Cloud, App und Firmware angewiesen ist. Unitree habe laut Laflamme von einem Teil der Probleme bereits intern gewusst, bevor die Meldung einging.
Hersteller patcht Cloud-Lücke, offene Fragen bleiben
Laflamme meldete den Fund im Sommer 2026 direkt an Unitrees Sicherheitsteam, das nach seiner Schilderung kooperativ reagierte und am 6. August 2026 eine Prämie von 5.000 Dollar auszahlte – 4.000 Dollar für die Bluetooth-Kette, 1.000 Dollar für die Chat-Dienst-Lücke. Der Hersteller schloss die Berechtigungsprüfung in der Cloud binnen weniger Tage, sodass sich der Schlüsselabruf über ein fremdes Konto nicht mehr missbrauchen lässt. Eine öffentlich bestätigte, vollständig gepatchte Firmware für alle betroffenen Geräte gibt es bislang nicht, wie The Hacker News berichtet – Unitree reagierte auf eine Anfrage der Publikation zunächst nicht. Offen bleibt damit auch das von Laflamme beschriebene Risiko einer wurmartigen Ausbreitung: Ein einmal kompromittierter Roboter könnte demnach weitere G1-Einheiten in Bluetooth-Reichweite infizieren, ohne dass ein Mensch eingreift – unabhängig nicht verifiziert, da bislang kein Fall in freier Wildbahn dokumentiert ist. Die G1-EDU-Reihe kostet je nach Ausstattung zwischen 43.900 und 73.900 Dollar und richtet sich an Universitätslabore und Forschungsteams; einzelne Exemplare sind auch bei US-Behörden im Testeinsatz. Sicherheitsbedenken gegenüber chinesischen Roboterherstellern sind kein Einzelfall: Die US-Regulierungsbehörde FCC verbannte humanoide Roboter aus China bereits im Sommer mit Verweis auf Lieferkettenrisiken, allerdings ging es dort um staatliche Beschaffung und nicht um eine konkrete Software-Schwachstelle. Der Börsengang des Herstellers in Schanghai Anfang August verlief dagegen deutlich reibungsloser: Unitrees Aktie sprang zum Debüt auf eine Bewertung von 50 Milliarden Dollar.
Entscheidend wird, ob Unitree auch die Firmware selbst patcht und nicht nur die Cloud-Anbindung – denn der Pufferüberlauf im WLAN-Modul steckt weiterhin im Gerät, sobald jemand an den Schlüssel gelangt. Je mehr Institutionen humanoide Roboter mit Kameras, Mikrofonen und Bewegungsfreiheit im Raum einsetzen, desto stärker rückt deren Software-Absicherung neben der Mechanik in den Fokus der Sicherheitsforschung.
