Robot in azienda: l'exploit UniPwn mostra il rischio cyber-fisico

L'ingresso di robot umanoidi e di servizio in magazzini e reparti produttivi apre un fronte di rischio che non riguarda più solo dati e continuità operativa, ma l'incolumità fisica delle persone. Lo ha dimostrato in modo concreto UniPwn, l'exploit reso pubblico il 20 settembre 2025 da due ricercatori di sicurezza, Andreas Makris e Kevin Finisterre, che hanno individuato una falla critica nell'interfaccia Bluetooth Low Energy usata per configurare la rete Wi-Fi di diversi robot del costruttore cinese Unitree.

Come funziona la falla

Secondo l'analisi tecnica pubblicata dagli stessi ricercatori, la vulnerabilità riguarda l'interfaccia Bluetooth Low Energy usata per la configurazione di rete e colpisce più modelli, inclusi i quadrupedi Go2 e B2 e gli umanoidi G1 e H1. Il problema nasce dal fatto che le chiavi crittografiche per cifrare i pacchetti BLE sono incorporate nel firmware, l'autenticazione si riduce a verificare la stringa "unitree" come segreto, e i dati utente non sanificati vengono concatenati in comandi di sistema. Il risultato, come riportato nel repository tecnico della ricerca, è che la falla combina chiavi hardcoded, bypass banale dell'autenticazione e command injection non sanificata, rendendola completamente "wormable": i robot infetti possono compromettere automaticamente altri robot nel raggio del Bluetooth, e la vulnerabilità consente il controllo completo del dispositivo. Un'analisi indipendente ha inoltre documentato che alcune unità G1 trasmettevano dati operativi verso server registrati in Cina a intervalli regolari.

Perché riguarda le imprese

Per un'azienda che introduce queste macchine, il nodo pratico è la distribuzione delle responsabilità tra produttore, integratore e utilizzatore finale: il fornitore controlla firmware e patch, ma chi usa il robot resta responsabile della gestione del rischio nel proprio ambiente, spesso senza alcuna leva contrattuale su un fornitore extra-UE.

Il quadro normativo europeo copre solo pezzi del problema: la direttiva NIS2, recepita in Italia con il d.lgs. 138/2024, disciplina la governance del rischio cyber ma non la sicurezza del movimento meccanico; l'AI Act tocca le componenti decisionali ma non esaurisce la macchina nel suo complesso; il Cyber Resilience Act impone requisiti di sicurezza by design e, dall'11 settembre 2026, obblighi di notifica delle vulnerabilità sfruttate attivamente.

Per chi sta valutando l'adozione di robot in azienda, le aree da presidiare fin dal procurement sono: inventario dei componenti software installati, clausole contrattuali su gestione delle patch e degli aggiornamenti, segmentazione di rete rispetto ai sistemi critici, test di arresto sicuro e una governance chiara delle responsabilità tra produttore, integratore e utilizzatore.