玩家意外通过PS5手柄获取了6700台大疆扫地机器人的操控权限

日前，一位DIY爱好者尝试用PS5游戏手柄操控自家的大疆（DJI）Romo扫地机器人时，意外触发了严重的安全漏洞，致使全球约6700台该型号机器人受到未授权访问，他人可查看其实时摄像头画面、获取家庭2D楼层平面图，甚至能定位设备所在位置。

此事经The Verge曝光后，大疆官方作出回应，称已完成漏洞修复。

发现这一漏洞的是萨米·阿兹杜法尔（Sammy Azdoufal）。他在接受媒体采访时提到，最初只是觉得用PS5手柄操控刚买的大疆Romo会很有意思，于是借助Claude Code软件对机器人和大疆服务器之间的通信协议进行了逆向工程，还自己开发了一款远程控制应用。

令人意外的是，这款应用在连接服务器后出现了权限失控的情况，他仅仅提取了自家设备的私有令牌，就得到了全球大约7000台Romo的响应。

The Verge记者在现场观看了漏洞演示过程。短短9分钟里，阿兹杜法尔的电脑便监测到来自24个国家的6700台大疆设备，获取了超过10万条设备相关信息，其中包括设备序列号、洁净空间情况、拍摄场景内容、飞行距离、充电时长以及遇到的障碍物等细节。

托马斯居住空间的两张地图，上面那张是从DJI服务器获取的未经验证的地图；下面那张则是房主在自己手机上看到的地图。

仅通过同事托马斯·里克（Thomas Ricker）给出的14位设备序列号，就可以准确了解机器人正处于清洁客厅的状态、剩余80%的电量，并且能够获取到同事家精确的楼层平面图。

此外，他还可绕过自身机器人的安全PIN码查看实时画面，甚至把一款只读版应用分享给法国某IT咨询公司CTO贡扎格·丹布里库尔（Gonzague Dambricourt），对方在未配对设备时，同样能远程查看自家Romo的摄像头画面。

阿兹杜法尔着重指出，他并没有入侵大疆的服务器，“我没有违反任何规则，也没有对任何系统进行或暴力”，他只是提取了自家设备的私有令牌——这本是用于验证自身设备访问权限的密钥，却被大疆服务器错误地判定为通用权限，最终导致全球数千台设备的数据发生泄露。

他还表示，自己每次关闭工具时都会把获取到的所有数据清除掉，没有通过滥用漏洞的方式侵犯他人隐私。