研报 · 深度报告
机器人网络安全：被入侵的人形是移动监控器
横纵分析报告 #49 | 撰写日期：2026-10-19 | 口径标注：【官方】标准/CVE/法规 【机构】安全厂商与消费者机构报告 【学术】论文 【媒体】报道 【估算】推算 | 与《安全标准篇》《芯片篇》《保险篇》互验
一、一句话定义
当机器人从围栏里的机械臂变成客厅里带摄像头、麦克风和双手的人形，网络安全问题就从"数据泄露"升级为"数据泄露+物理伤害"的复合体：一台被入侵的人形机器人，同时是一台移动监控器、一个窃听器和一件武器——本篇沿纵轴（七十年机器人安全演化史）与横轴（2026 年 10 月的攻击面横评）交叉剖析这个被所有具身智能报告点到、却没人展开的维度。
二、纵向：从气隙幻觉到移动攻击面
2.1 四个时代的安全范式崩塌
机器人安全的七十年，本质上是一道防线接一道防线被攻破的历史：
| 时代 | 大致区间 | 安全范式 | 范式的崩塌方式 |
|---|---|---|---|
| 工业隔离时代 | 1961–2010s | 气隙网络：机器人控制器锁在围栏与专有协议后面，"不上网=安全" | 维护笔记本、U盘、VPN 和"为了预测性维护偷偷联网"逐步凿穿气隙；气隙是幻觉而非架构 |
| IoT 大劫案时代 | 2016–2019 | "摄像头路由器们的教训与我无关" | Mirai 僵尸网络证明：任何带默认密码的联网设备都是 DDoS 弹药，机器人厂商的供应链与之高度同源 |
| 云连接机器人时代 | 2020–2024 | 云端 App 控一切 | 扫地机被黑骚扰、Roomba 测试照片泄露、丰田云配置错误泄露 215 万车辆数据——"云端即攻击面" |
| 具身智能时代 | 2024–2026 | 大模型 Agent + 摄像头 + 麦克风 + 机械力 | 攻击面爆炸：提示注入让机器人挥拳、VLA 后门在微调后依然存活、UniPwn 蠕虫在机器人之间自动传播 |
2.2 工业隔离时代：气隙是安全幻觉
1961 年 Unimate 上线后的半个世纪里，工业机器人安全等于物理安全：围栏、光栅、急停按钮。控制器跑在专有实时系统上，用 Modbus、PROFIBUS 这类"默认不设防、靠隔离保护"的协议通信。网络安全不在词典里。
这个范式的裂缝从内部裂开：工程师带着维护笔记本进车间，U 盘把恶意软件带进气隙网络（震网 Stuxnet 2010 年攻击伊朗离心机，走的正是 U 盘+工控协议这条路——机器人的控制层与被攻击的 PLC 属于同一个技术家族）；预测性维护的诱惑让厂商给"永远不该联网"的控制器装上了蜂窝模组。到 ISO 10218:2025 修订时，标准制定者已经承认：现代工业机器人"永远不上网"是一种鸵鸟政策，网络安全必须写进安全标准本体。【官方】
ROS 的出身加重了这笔债。ROS 1 诞生于斯坦福 Willow Garage 的实验室（2007 年），设计目标是"让研究生三天跑通 demo"，架构核心是中心化 roscore 加明文 TCPROS/UDPROS 通信——无认证、无加密、无访问控制，任何能触达网络的参与者都可以枚举话题、订阅摄像头画面、发布运动指令甚至杀死节点。互联网扫描曾发现数千个暴露在公网的 ROS master。【机构】这不是 bug，是设计初衷：科研环境默认局域网内人人可信。问题在于，这套"实验室协议"后来成了全球机器人事实上的软件底座。
2.3 IoT 大劫案时代：Mirai 的预告片
2016 年 10 月 21 日，Mirai 僵尸网络攻击 DNS 服务商 Dyn，约 10 万台摄像头、录像机、路由器（多为默认密码 admin/admin）协同开火，Twitter、Netflix、PayPal、Reddit 在美国东海岸瘫痪数小时。峰值时期的 Mirai 及其变种控制约 60 万台设备；对 Krebs on Security 的 620 Gbps 攻击逼停了记者的网站，对 OVH 的 1.1 Tbps 创下当时纪录。【媒体/官方】
Mirai 与机器人产业的关联比表面看起来深得多：扫地机、送餐机器人、陪护机器人在电子架构上就是"带轮子的摄像头+路由器"——同样的 SoC、同样的 WiFi/蓝牙模组、同样的 Linux、同样出厂默认密码。Mirai 攻破的每一个弱点，消费级机器人几乎原样继承。此后十年，Mirai 变种从未消停：2024 年发现的 Aisuru 变种至 2026 年 2 月已制造 31.4 Tbps 的创纪录攻击。【机构】
中国安全社区在同期给出了平行证据：GeekPwn 极棒大赛 2014–2016 年间 onstage 攻破 18 款品牌路由器，117 个漏洞全部高危、大部分"低级但危害极大"；2021 年 GeekPwn 现场选手入侵酒店送餐机器人植入恶意代码"调包"外卖，并演示了通过控制送餐机器人瘫痪整部电梯的可能。【媒体】送餐机器人作为当时最普及的商用服务机器人形态，其安全防线在公开赛事中形同虚设。
2.4 云连接机器人时代：2020–2024 的四连击
Roomba 测试照片泄露（2022 年曝光，数据采集于 2020）。MIT Technology Review 获得 15 张截图：iRobot 开发版 Roomba J7 在真实家庭中拍摄的画面——包括一名坐在马桶上的女性、一个趴在地板上的男孩——由 Scale AI 的委内瑞拉标注员泄露至 Facebook/Discord 私密群组。iRobot 累计向 Scale AI 分享了超过 200 万张图像，其 95% 的训练数据来自真实家庭。【媒体】关键细节：这些不是消费版设备，而是签约"付费数据采集者"的开发机；但事件揭示了整个行业的数据链路——家用机器人拍摄的私密画面，会跨越国境流入全球零工经济标注员的手中，而"同意协议"的保护力在实操中趋近于零。时值亚马逊 17 亿美元收购 iRobot 交割期，事件直接冲击了收购舆论。
科沃斯 Deebot X2 被黑骚扰（2024 年 5 月）。明尼苏达州律师 Daniel Swenson 的扫地机被入侵，陌生人通过扬声器对其 13 岁儿子播放种族侮辱语言；同日洛杉矶一台被黑扫地机追着家里的狗跑、同步辱骂；五天后德州 El Paso 又一台。攻击向量是 2023 年 12 月 37C3 大会上 Dennis Giese 与 Braelynn Luedtke 已披露的缺陷：视频流四位数 PIN"基于荣誉系统"可绕过、摄像头工作提示音可远程删除、蓝牙漏洞允许 130 米外接管设备读取 WiFi 凭证与房间地图。科沃斯先称"日常使用中发生概率极低"，将事件归因于撞库攻击，后承诺 2024 年 11 月固件升级；2024 年 8 月两位研究者再在 DEF CON 披露新漏洞后，多款产品在电商平台下架。【媒体/机构】这是机器人领域第一次"物理骚扰型"大规模攻击：攻击者不要数据，只要恐惧。
丰田车联网数据泄露（2023 年，汽车的预演）。云配置错误使日本 215 万车主的车辆位置历史、行车记录仪视频在无密码状态下公开暴露近十年（2013–2023），随后两周内又自查出两起同类事件。加上 2022 年 GitHub 泄露访问键事件（29.6 万用户），证明连最成熟的联网机器——汽车——也管不好云端。【官方/媒体】
特斯拉 Sentry Mode 员工偷窥（2023 年路透曝光）。2019–2022 年间特斯拉员工在内部聊天系统传阅车主摄像头画面：裸男走近车辆、车祸瞬间、马斯克本人车库里的 007 潜水车。公司隐私政策声称"摄像头记录匿名、不与车辆关联"，但七名前员工证实内部工具可显示拍摄位置。【媒体】与 Roomba 事件互为镜像：机器的传感器数据在厂商内部就是可随意取用的"娱乐素材"。
2.5 具身智能时代：2024–2026 攻击面爆炸
云连接机器人时代的问题（蓝牙弱认证、云 API 撞库、数据标注链路泄露）全部继承，再叠加三层新风险：大模型 Agent 的提示注入、VLA 模型的后门与投毒、以及"蠕虫式机器人互传病毒"。标志性事件是 2025 年 9 月的 UniPwn 与 10 月 GEEKCON2025 的现场演示（详见第四、五章）——人形机器人第一次以"可被武器化的移动平台"身份进入公共安全叙事。
2.6 对照系：汽车网联安全史的加速重演
特斯拉漏洞年代记给机器人提供了一份"提前放映的时间表"：
| 年份 | 汽车事件 | 对机器人产业的对应含义 |
|---|---|---|
| 2014 | 360 团队首次破解特斯拉 Model S（钓鱼链接窃取 App 凭证，远程开锁鸣笛） | 手机 App 即车/机器人的万能钥匙 |
| 2016 | 腾讯科恩实验室全球首次远程无物理接触入侵 Model S（恶意 WiFi 热点→控制刹车、天窗、后备厢） | 2016 年的"远程接管移动机器"，2025 年在宇树 G1 上重演 |
| 2017 | 科恩再破 Model X；360/腾讯"无钥匙"进入车机与充电网系统 | 同一目标被反复攻破，修复赶不上 |
| 2018 | 科恩发现宝马 14 个漏洞获宝马数字化 IT 研发技术奖 | 厂商从对抗转向共生的转折点 |
| 2019 | ADAC 测试 237 款车，99% 可被解锁开走，最快 18 秒 | 行业性而非个案性缺陷 |
| 2020 | 特斯拉 App 宕机，车主被锁车外；黑客 5 分钟中继攻击开走 70 万特斯拉；奇安信演示远程开启智能汽车 | 可用性攻击与密钥攻击并行 |
| 2022–2027 | UNECE WP.29 R155 强制 CSMS（2022 新车型/2024 全部新 车），欧盟 CRA 将同类义务扩展到一切联网产品 | 监管最终迟到但必到，机器人正在 2025–2027 走汽车 2020–2022 的路 |
汽车的启示浓缩成一句话：漏洞年代记持续了八年（2014–2022）才换来强制监管，而机器人的"2014 年时刻"（宇树 UniPwn 公开）发生在 2025 年——按此节奏，机器人的"R155 时刻"（强制网络安全准入）落在 2027–2028 年的 CRA 全面上，时间窗口更紧。【估算】
三、横向：攻击面解剖（2026 年 10 月截面）
一台 2026 年的联网人形机器人（典型形态：双足/轮足底盘+双臂+头部摄像头阵列+环形麦克风+端侧大模型 Agent+云端 VLA 服务），其攻击面可以解剖为六层。每层都有已证实的攻击案例。
3.1 六层攻击面总表
| 层 | 攻击面 | 典型攻击向量 | 已证实案例（年份） | 口径 |
|---|---|---|---|---|
| 物理层 | BLE/WiFi 配网接口、USB 调试口、UART 串口、硬编码密钥 | 近场注入恶意"WiFi 凭证"获取 root；蠕虫式 BLE 互传 | UniPwn（宇树 Go2/B2/G1/H1，2025）；科沃斯蓝牙 130 米接管（2024） | 【机构】 |
| 系统层 | Linux 内核、ROS 2/DDS 中间件、容器、OTA 通道 | 明文通信中间人；DDS 发现协议放大攻击；恶意 OTA | ROS 明文通信 CVE-2023-51201 等系列（2023–24，部分存争议）；RVD 收录 236 个 ROS 2 安全弱点 | 【官方/机构】 |
| 云端层 | 厂商云 API、账号体系、App、遥测回传 | 撞库、凭证填充、云配置错误、内部越权 | 科沃斯撞库骚扰（2024）；丰田云泄露 215 万（2023）；宇树 G1 每 300 秒遥测回传（2025） | 【媒体/机构】 |
| 模型层 | LLM Agent 提示注入、VLA 后门/投毒、视觉对抗样本 | 恶意语音指令劫持 Agent；贴纸欺骗视觉；微调存活后门 | RoboPAIR 100% 越狱（2025）；BadVLA 近 100% ASR（2025）；INFUSE 微调后 91%/79.8% ASR（2026）；GEEKCON 语音劫持 G1 挥拳（2025） | 【学术/媒体】 |
| 行为层 | 运动控制、力控、急停旁路 | 被劫持的机械臂=武器；爬虫绕过权限执行危险动作 | GEEKCON2025 被感染 G1 击倒假人（2025）；GEEKCON2021 送餐机器人调包（2021） | 【媒体】 |
| 数据层 | 家庭地图、音视频、训练数据管线 | 标注员泄露；数据跨境；Botnet 化的数据外流 | Roomba 200 万张照片（2022）；宇树遥测涉嫌违反 GDPR（2025） | 【媒体/机构】 |
3.2 物理层：近场即远程
UniPwn 的技术细节值得展开，因为它展示了"物理层漏洞如何升级为系统性风险"。宇树机器人的 BLE 配网接口接受加密数据包，但加密密钥是固件里硬编码的，且已被研究者公开发布；机器人验证用户身份的方式，是用这把公开的密钥加密字符串"unitree"——通过即认证。攻击者随后把任意代码伪装成 WiFi SSID 和密码注入，机器人在尝试联网时以 root 权限执行该代码。由于走 BLE 信道，一台被感染的机器人可以自动扫描 BLE 范围内的同型号机器人并继续感染——一个不需要用户任何交互的机器人僵尸网络。受影响型号覆盖 Go2、B2 四足与 G1、H1 人形。研究者 2025 年 5 月开始负责任披露，宇树 7 月停止回应，9 月 20 日漏洞公开。【机构】
这不是宇树独有的问题。科沃斯的蓝牙漏洞同样允许 130 米外配对控制并读取 WiFi 凭证与房间地图；韩国消费者院 2025 年 9 月对六款主流扫地机的检测发现，Dreame X50 Ultra 可被外部激活摄像头、Ecovacs X8 Pro Omni 可被搜索窃取照片并传播恶意软件、Narwal Freo Z Ultra 存在照片窃取漏洞——三星与 LG 的产品因访问控制、密码策略与更新策略完备而评级显著更高。同一张考卷，厂商之间差出三个星。【机构】
3.3 系统层与云端层：旧债未清新债又起
ROS 2 用 DDS 替换了中心化 roscore，并带来了 DDS-Security 规范（认证、访问控制、加密、审计、数据标记五类插件），SROS2 工具链负责签发证书与权限文件——机制上是完整的补课。问题在于三点【机构】：其一，安全默认关闭，一台未配置的 ROS 2 机器人对同网络任何参与者开放全部话题的读写；其二，开启安全配置意味着运营一套 PKI（证书颁发、轮换、权限管理），对绝大多数机器人团队是真实负担，"离开实验室时什么默认配置，一辈子就是什么默认配置"；其三，DDS 实现本身持续爆出解析漏洞与发现协议放大攻击。学术侧的系统性修补也在进行：2024 年曾出现一波针对 ROS 的"明文通信"CVE 批量注册（如 CVE-2023-51201，CVSS 5.9），后被 OSS 社区公开质疑其中 83 个为"伪 CVE"——这场争论本身说明机器人软件供应链的漏洞治理还处在混沌期。【官方】
云端层的攻击则更"传统"也更致命：科沃斯事件中厂商最终归因于撞库，但研究者指出即使凭证泄露，视频流本应还有四位数 PIN 保护——那道 PIN 已被证明形同虚设。宇树 G1 被发现每 300 秒向中国服务器回传多模态遥测（传感器读数与服务状态），且无明显用户告知，被认定涉嫌违反 GDPR 第 6、13 条。【机构】
3.4 模型层与行为层：AI 时代的新前线
模型层是 2024 年后真正的新增维度，学术演示已经给出量化结果（详见第五章）。行为层则是模型层攻击的物理出口：GEEKCON2025 上被劫持的宇树 G1 走到假人面前挥拳将其击倒的画面，之所以有冲击力，是因为它第一次在公开场合演示了"提示注入→机械力输出"的完整链路。2015 年切诺基被远程减速、关闭引擎导致 140 万辆召回的事件，在机器人身上还没有对应物——不是不会来，是量产后必然来。【媒体】
四、安全事件考古：事件→后果→行业响应
把散落十五年的事件链拼起来，能看到清晰的传导模式：
| 时间 | 事件 | 直接后果 | 行业响应 | 长期影响 |
|---|---|---|---|---|
| 2016.10 | Mirai 攻击 Dyn | 美东大范围断网 | 各国开始 IoT 安全立法讨论 | UK PSTI（2024 生效）、欧盟 CRA 的立法原点 |
| 2021.10 | GeekPwn 入侵酒店送餐机器人 | 外卖"调包"演示 | 无监管响应，停留于安全社区警示 | 服务机器人安全长期无人认领 |
| 2022.12 | Roomba 测试照片泄露曝光 | iRobot/Sacle AI 解约、道歉 | iRobot 强调"开发版"与消费者版区隔 | 数据标注链路进入公众视野；亚马逊收购舆论受损 |
| 2023.5 | 丰田云配置错误 215 万车辆数据暴露十年 | 丰田道歉、自查出另两起 | 丰田上线云配置自动化监控 | 车联网数据治理范式案例 |
| 2023.4 | 特斯拉员工偷窥车主影像曝光 | 车主集体诉讼 | 特斯拉未实质回应 | "摄像头即信任问题"的标志性案例 |
| 2024.5–10 | 科沃斯 X2 被黑骚扰（明尼苏达/洛杉矶/El Paso） | 家庭恐慌、媒体环球报道 | 科沃斯归因撞库→11 月安全固件→2024.8 DEF CON 再曝漏洞→多款产品电商下架 | 消费级机器人第一次"物理骚扰"攻击；"移动监控器"叙事定型 |
| 2025.9 | UniPwn 公开：宇树全系 BLE root 接管+蠕虫传播 | 首个商业人形平台重大公开漏洞利用 | 宇树声明"已完成大部分修复"；研究者复核称关键漏洞与遥测回传仍存 | 人形机器人 Botnet 从理论变为 POC；英国诺丁汉警方测试 Go2 被点名 |
| 2025.10 | GEEKCON2025：语音劫持 G1 挥拳击倒假人；百度安全人员"感染"跨网传播攻击 | 中国舆论场首次直面"人形武器化" | 宇树称"漏洞已修复，用的是旧版本"；白帽社区呼吁上岗前强制安全测试 | 中国具身智能安全立法议程加速（见第六章） |
| 2025.11 | 俄罗斯 Promobot 遭勒索两度被黑，设计文档/CRM 被锁 | 俄最大服务机器人厂 IT 瘫痪 | "热备份"恢复大部分数据，攻击手法不明 | 制造商自身成为直接目标，供应链安全凸显 |
【媒体/机构，综合多源】
三条规律：第一，响应滞后于攻击一到两个披露周期。科沃斯从研究者首次通报（2023.12）到固件修复（2024.11）用了近一年；宇树从首次联系（2025.5）到"大部分修复"（2025.9）用了四个月且被复核打脸。第二，否认是第一反应。"撞库""开发版设备""旧版本固件"——三起事件的厂商第一响应都是把责任推向用户或研究者。第三，标准与立法在大事件后 12–24 个月才跟上。Mirai（2016）→PSTI（2024 生效）；科沃斯事件（2024）→中国具身智能安全标准体系（2026 版）与《YD/T 6770—2026 具身智能基准测试方法》实施。按此规律，2025 年 UniPwn/GEEKCON 事件对应的强制认证窗口在 2027 年前后。【估算】
至于任务书询问的"俄罗斯机器人峰会被黑"：未检索到可靠记录，【暂缺】；最接近的真实事件是 2025 年 11 月 Promobot 公司服务器两度被勒索入侵（上表末行），以及 2016 年 Promobot V.2"出逃"引发的闹剧——后者与安全无关，前者才是"俄罗斯机器人被黑"的实锤。
五、ROS 安全债与大模型新风险
5.1 ROS 的三笔债
第一笔：架构债。ROS 1 的明文通信、无认证、无访问控制是设计使然（科研工具假设可信局域网）。《软件学报》2024 年综述将其归为四点：明文通信可被窃听注入、模块化暴露不安全 TCP 端口、弱授权不验证发送方、中心化 roscore 单点可被杀死。【学术】
第二笔：补课债。ROS 2+SROS2+DDS-Security 的组合在机制上补齐了认证（X.509 证书互验）、访问控制（最小权限权限文件）与加密（AES-GCM），但安全默认关闭+PKI 运营成本，使实际部署中开启者寥寥。别名机器人（Alias Robotics）维护的机器人漏洞数据库 RVD 记录了 236 个 ROS 2 安全弱点；该公司同时是全球唯一的机器人专属 CVE 编号机构（CNA），累计负责任披露 100+ 机器人漏洞、参与两份 CISA ICS 通告。【机构】
第三笔：鸵鸟债。工业场景"永远不上网"的政策在 2026 年依然普遍，其实现方式往往是一台接入了互联网的维护笔记本。ISO 10218:2025 与欧盟机械法规/ CRA 的组合正在强制拆掉这层鸵鸟：新版标准要求开展网络安全威胁评估、构建覆盖控制系统硬件/软件/配置数据/应用的防护体系，并作为欧盟协调标准取得 CE 认证体系下的强制效力；EN 版 2025 年落地后，工业机器人网络安全正式成为欧盟市场准入条件。【官方】值得注意的执行细节：截至 2026 年 8 月，CRA 与机械法规的协调标准均未完成欧公报登载，机器人厂商处于"两套合规推定双缺口"的过渡期，机械法规项下已取得的安全型式认证在 2028 年 6 月前可为 CRA 部分复用——安全与安防验证正在合流。【机构】
5.2 大模型新风险：从"会说话的漏洞"到"会走路的漏洞"
提示注入的物理化。RoboPAIR 算法（2025）用一个 LLM 生成提示去攻击另一个控制机器人的 LLM，在机器狗、自动驾驶平台、驾驶模拟器三类目标上全部实现 100% 安全过滤器绕越，且越狱后的模型不仅执行有害指令、还主动建议更多危险动作。【学术】GEEKCON2025 把它变成了现实：白帽构造特定语音指令 exploiting 机器人内置大模型 Agent 的逻辑缺陷，"芝麻开门"一句话拿到任意代码执行权，头灯变红、拳头挥出。信息域攻击（让 ChatGPT 说脏话）与物理域攻击（让机器人挥拳）的区别在于：后者没有"撤回"按钮。【媒体】
VLA 后门与投毒的军备竞赛。三篇代表性论文勾勒出威胁演化速度【学术】：
| 论文 | 时间 | 核心结果 | 意义 |
|---|---|---|---|
| BadVLA | 2025.5（NeurIPS 2025） | 目标解耦优化后门，接近 100% 攻击成功率，正常任务性能几乎无损，抗输入扰动/任务迁移/微调 | 首次系统揭示 VLA 后门漏洞；被引 54 次 |
| State Backdoor | 2026.1 | 用机械臂初始状态做触发器（不依赖可见贴纸），五个 VLA 模型、五项真实任务上超 90% ASR | 触发器从"看得见"进化到"看不见"，现实隐蔽性质变 |
| INFUSE | 2026.1（哈工大+美团） | 把后门注入"微调不敏感模块"，用户干净数据微调后仍保持 91.0%（仿真）/79.8%（真实机器人）ASR | 后门在下游微调中存活，"开源基座+自行微调"的信任模型被击穿 |
配套的还有视觉对抗样本：在物体上贴可学习纹理贴纸，可使具身导航成功率平均下降 22.4%（IROS 2025）；信通院专家披露国内安全竞赛中一张特制贴纸能让工业机器人把高温焊枪当普通工具。State Backdoor 式"无可见触发器"+INFUSE 式"微调存活"意味着：买开源 VLA 基座回来微调，不等于安全——这直接挑战当前"开源基座+垂直微调"的主流产业路线。【学术/机构】
MITM 劫持模型输出。当机器人调用云端 LLM 时，中间人可以把模型输出的安全指令 stop_cleaning() 篡改为 continue_cleaning() 再发给电机——绕过模型本身的一切安全对齐。这提示机器人安全的最薄弱环节可能不在模型，在链路。【学术】
"会走路的 ChatGPT"的风险外溢。纯数字域提示注入（ChatGPT 记忆投毒、DeepSeek 注入测试、Copilot 数据外泄）已是常态威胁，NCSC 的判断是提示注入"可能是 LLM 技术的固有问题、没有根治方案"。机器人把这些固有问题直接接入物理执行器：每一个 ChatGPT 已有的攻击手法，都自动成为机器人攻击面的一部分。这就是"风险外溢"的准确含义。【官方/机构】
六、数据主权与产业机会
6.1 数据主权：移动监控器的三重拷问
归属拷问。家庭机器人采集的地图、音视频属于谁？个保法与 GDPR 的框架答案一致：用户对其个人信息享有删除权、可携带权，处理需告知同意。宇树 G1 每 300 秒遥测回传被认定涉嫌违反 GDPR 第 6、13 条（无明确告知的持续数据处理），就是第一张落下的监管黄牌。【机构】Roomba 与特斯拉事件补充了第二层：即使合规采集，标注链路（Scale AI 式零工经济）与内部访问（特斯拉员工式偷窥）依然是泄露主通道——数据在"厂商内部人"面前的裸奔，是所有云连接机器人的结构性弱点。【媒体】
跨境拷问。德国数据保护机构 2025 年对 DeepSeek 的下架处置展示了欧盟的逻辑：中国厂商无法证明欧盟用户数据在中国获得等效保护（无充分性认定+《国家情报法》第 7 条的配合义务），数据传输即非法。机器人厂商面临的正是同一张考卷，且粒度更细：扫地机的户型图、人形的家庭视频流，都是比聊天记录更敏感的"空间级隐私"。Alias Robotics 直接把宇树称为"特洛伊木马"：数据喂养中国的机器人基础模型，同时构成从中国基础设施向全球的物理与逻辑攻击入口。无论是否认同其立场，这已成为欧洲监管的主流叙事之一，中国机器人出海（尤其政企场景）必须在数据主权上给出本地化答案。【机构/媒体】
销售拷问。隐私恐慌对消费级销售的实测影响开始有数据：2025 年 Pew 调查显示 72% 美国成年人对智能家居设备的数据收集"担忧或非常担忧"（较 2022 年升 14 个百分点）；NPD 数据显示"无云扫地机"（robot vacuum no cloud）搜索量 2025 年同比增 184%，"隐私扫地机"增 213%；主打本地处理的隐私优先机器人 2026 年预估销售额 48 亿美元，隐私认证成为货架级卖点。国内侧，江苏消保委 2025 年报告点名智能家居"数据暗门"，带摄像头扫地机在社交平台出现"千万别买"的自发抵制帖。【机构/媒体】对计划卖进家庭的人形机器人，这是最直接的前车之鉴：摄像头是标配，信任不是。
6.2 安全产业：谁在做机器人安全
| 阵营 | 代表 | 动作 | 口径 |
|---|---|---|---|
| 中国安全大厂 | 奇安信 | 实验室实测市面主流人形/四足/轮式机器人，梳理硬件供应链、固件、近场通信、云端运维等八大风险维度；推出六层纵深防护与机器人安全测评服务；2026 年与极智嘉、北京人形机器人创新中心、云迹科技等六家签约共建具身智能安全生态；齐向东提出"在具身智能大脑里预置安全芯片/模块"的基因式安全 | 【机构】 |
| 中国安全大厂 | 绿盟科技 | AI 安全围栏为核心的发现-评估-防护-审计-运营全链路方案，主打权限滥用、数据泄露、提示注入、物理失控四大新威胁；曹嘉提议借鉴汽车"安全左移" | 【机构】 |
| 中国标准侧 | 工信部/信通院/网安协会 | 《人形机器人与具身智能标准体系（2026 版）》——首个全产业链全生命周期标准顶层设计，"安全伦理标准"贯穿全周期；YD/T 6770—2026 具身智能基准测试方法实施；信通院+头部企业共建测评实验室联合体（机器人"体检中心"）；网安协会成立 AI 安全治理专委会 | 【官方】 |
| 欧洲初创 | Alias Robotics（西班牙，2018 年成立） | 全球唯一机器人专属 CNA；RVD 漏洞库；REPP 机器人端点防护；CAI 网络安全 AI 框架（EIC 资助）；累计融资约 770 万美元，入选 NATO DIANA 2026；渗透测试单次约 1.5–5 万欧元 | 【机构/估算】 |
| 消费者机构 | 韩国消费者院+KISA | 2025.9 六款扫地机 40 项安全检测，三家中国厂商（Dreame/Ecovacs/Narwal）爆出摄像头劫持/照片窃取漏洞，全部责令整改 | 【机构】 |
| 学术/红队 | RoboPAIR 团队、GEEKCON、GeekPwn | 持续供给攻击面证据与舆论压力 | 【学术/媒体】 |
产业格局的三个判断：其一，机器人安全是"旧人做新事"而非"新人做新事"。主力是奇安信、绿盟这类存量安全厂商的产品线延伸，以及 Alias 这类从机器人安全起家的小团队（23 人），独立的"robot security 赛道"尚未形成独角兽——因为需求还没到付费拐点。其二，认证与渗透测试市场在政策驱动下先于产品市场爆发。CRA 2026.9.24 报告义务已生效（24 小时预警/72 小时通报）、2027.12 全面适用；ISO 10218:2025+机械法规 2027.1.20 适用；国内标准体系+测评实验室落地——三重合规时钟同时在走，机器人"体检"将从可选项变为出厂硬性配置（国内政务、能源等高安全场景已明确要求专项安全认证）。【官方/机构】其三，攻防 AI 化。Alias 的 CAI 把漏洞挖掘从"周级"压到"分钟级"，奇安信披露自家 AI 安全项目一个月挖出超 1 万个漏洞——防守方若不 AI 化，攻防差距将指数级拉大。【机构】
6.3 保险联动：与《保险篇》互验
机器人网络安全保险已从理论变成货架产品：中型制造商年保费 1.5–15 万美元，大型汽车制造企业 50–200 万美元；单台服务机器人渗透测试级保费 2000–4000 美元/年。承保分化逻辑与本篇攻击面严格对应：实施固件更新治理、网络隔离、事件响应能力的客户可获显著折扣；有 ISO 13482/UL 3300 认证文档、90 天以上审计日志留存、远程急停能力的部署现场维持标准费率，反之进入超额保险市场（保费数倍）。2026 年趋势：高自主性系统保费年涨 15–20%，保险公司对自主 AI 事故设独立分项限额，同时"通过第三方安全认证可谈判更低费率"已成明规则。【机构/估算】这与《保险篇》"数据泄露与责任"的结论互验成立：安全认证→费率折扣的传导链，汽车（R155→保费）已经走通，机器人正在复刻。
七、横纵交汇洞察
7.1 交汇点一：安全是家庭场景的最后一道闸
纵向历史给出的最冷硬规律：每一次攻击媒介的物理化（信息→骚扰→伤害），都对应一次监管与市场的强反应。Mirai 瘫痪的是网络，换来的是十年立法；科沃斯骚扰的是家庭，换来的是下架；当第一台被入侵的人形机器人真正伤到人（而非假人），反应将不再是下架而是禁售与刑责。家庭是机器人所有场景中物理接触最密集、隐私暴露最彻底、成员最脆弱（老人儿童）的场景——横向攻击面六层中任何一层失守，在家庭里都同时是安全事故与隐私事故。因此结论是：安全不会成为家庭场景的"一道"闸，而是唯一的闸——一次恶性安全事故对消费级人形品牌具备一票否决力，因为特斯拉偷窥事件已证明舆论对"移动监控器"的容忍度是零，而人形的监控能力（高度、视角、双手可开门）全面超越扫地机。销售数据已经投票：隐私优先架构从边缘卖点变成增长最快品类（48 亿美元/2026）。对厂商的含义：家庭人形的 BOM 里，安全投入不是成本项，是获客项。
7.2 交汇点二：强制化的时间表已经写死
把三条监管时钟并排：
| 时间 | 里程碑 | 性质 |
|---|---|---|
| 2025.2 | ISO 10218-1/2:2025 发布，首次纳入机器人网络安全要求 | 【官方】 |
| 2025.8 | 欧盟 RED DA 网络安全要求强制 | 【官方】 |
| 2026.9.11 | CRA 漏洞/事件报告义务生效（24h/72h） | 【官方】 |
| 2026 | 中国《人形机器人与具身智能标准体系（2026 版）》+ YD/T 6770 基准测试实施 | 【官方】 |
| 2027.1.20 | 欧盟机械法规适用（含网络安全与自学习机器条款） | 【官方】 |
| 2027.12.11 | CRA 全面适用：CE 标志以网络安全合规为前提，罚则最高 1500 万欧或全球营收 2.5% | 【官方】 |
| 2028.6 | 机械法规安全认证与 CRA 网络风险评估的最大复用窗口关闭 | 【官方】 |
读法：2025–2027 是机器人安全的"R155 时刻"——汽车用了八年走完的漏洞年代记到强制 CSMS，机器人被压缩到三年。对出口导向的中国厂商，2027 年 12 月是硬墙：没有 SBOM、没有漏洞响应通道、没有五年安全更新承诺的机器人，进不了欧盟。对内贸市场，2026 版标准体系+测评实验室意味着政企采购将率先要求认证，消费市场跟进。
7.3 三剧本（2026–2030）
剧本 A：认证驱动的好转（概率 ~45%）。UniPwn/GEEKCON 式事件持续但未出人命，CRA+国标强制认证按表落地，安全测评成为出厂标配与保险费率杠杆；头部厂商（先出海者）把安全做成卖点，尾部出清。渗透测试与认证市场年增速 30%+，机器人安全从安全大厂的产品线长成独立细分。判据：2027 年欧盟 CE 首批机器人网络安全认证名单出现中国厂商。
剧本 B：恶性事件一票否决（概率 ~35%）。2027–2028 年家庭或商场人形被入侵致人受伤（横向六层中物理层+行为层组合失守，UniPwn 的蠕虫式传播是现成剧本），单一致命个案触发类切诺基召回（140 万辆）效应：消费级销量断崖、监管加码至准入禁令、保险全线重新定价。产业退回 B 端先行，家庭渗透推迟 3–5 年。判据：首例机器人入侵致伤诉讼与召回令。
剧本 C：地缘分裂的平行安全体系（概率 ~20%）。宇树遥测争议+DeepSeek 式下架扩散，欧盟对中国机器人实施数据主权硬审查（本地存储/本地模型/可审计），中国以国密认证+自主标准体系应对，全球机器人安全栈沿中美欧分裂为三套合规体系，出海成本结构性抬升，安全认证成为事实上的贸易壁垒。判据：欧盟对中国机器人厂商的首张数据跨境禁令。
无论哪条剧本，纵轴的历史规律不变：攻击先行十年，监管迟到但必到，而夹在中间的厂商——那些今天还在用硬编码密钥和"荣誉系统"PIN 的厂商——会成为下一个时代的安全考古标本。
八、信息来源
安全事件与报道（【媒体】）
- ABC News（澳），《Hackers take control of robot vacuums in multiple cities, yell racial slurs》，2024-10-11，abc.net.au/news/2024-10-11/robot-vacuum-yells-racial-slurs-at-family-after-being-hacked/104445408
- AI Incident Database #842（Ecovacs Deebot X2 被黑骚扰事件时间线），incidentdatabase.ai/cite/842
- 光明网，《扫地机被曝成偷窥工具！多款产品已下架》（DEF CON 科沃斯漏洞），2024-08-15
- 中国能源网/南方财经，《陷入产品信息安全质疑 科沃斯回应》，2024
- MIT Technology Review，《A Roomba recorded a woman on the toilet. How did screenshots end up on Facebook?》，2022-12-19
- Reuters（经凤凰网/中时转引），特斯拉员工私下分享车主摄像头影像报道合集，2023-04
- 腾讯新闻/南方都市报，《人形机器人被黑客轻易劫持，行业警钟敲响》（GEEKCON2025），2025-10-25
- GeekPwn 2021 极棒之夜报道（送餐机器人入侵演示），腾讯新闻，2021-10-25
- 腾讯新闻/InfoQ，科恩实验室 2016/2017 破解特斯拉与 2018 宝马漏洞专访报道
- TAdviser/CNews，Promobot 公司两度遭黑客入侵报道，2025-11
- Stateward INFRA-MIRAI-2016（Mirai 事件技术档案）；Wikiwand Mirai 词条（Aisuru 31.4Tbps）
标准与法规（【官方】）
- ISO 10218-1:2025 / ISO 10218-2:2025（2025-02 发布，网络安全要求纳入）；山东省商务厅、福建省标准化研究院解读材料
- 欧盟 Cyber Resilience Act（Regulation (EU) 2024/2847）：2026-09-11 报告义务、2027-12-11 全面适用；Etteplan/CYEN 合规指南；Lexology《CRA: new obligations for robot manufacturers》（2026-07）
- 欧盟机械法规（2027-01-20 适用）与 RED DA（2025-08 强制）
- 工信部《人形机器人与具身智能标准体系（2026 版）》；《YD/T 6770—2026 人工智能关键基础技术 具身智能基准测试方法》（大众新闻/瞭望报道）
- UK PSTI 影响评估（Mirai 案例研究，Gov.uk）；UK consumer connectable product security regime（2024-04-29 适用）
- CVE-2023-51201 等 ROS 明文通信 CVE 系列；OSS Security 邮件列表"83 bogus CVEs"争议（2024-04）
安全厂商与机构（【机构】）
- IEEE Spectrum，《Security Flaw Turns Unitree Robots Into Botnets》（UniPwn 技术细节），2025-09
- Alias Robotics，《Insecure Humanoids: When AI Exposes the Dark Side of Modern Robotics》（IEEE Humanoids 2025，宇树 G1 遥测/GDPR 分析）；公司官网（RVD、CNA、CAI）；PitchBook 融资档案（累计 $7.74M）；Failure-First 竞争情报报告（REPP/CAI PRO 定价）
- 奇安信：BCS 2026 具身智能安全论坛新闻稿（八大风险维度、六层防护、测评服务、六企签约）；齐向东具身智能安全论述（未来网/瞭望报道）
- 绿盟科技曹嘉、信通院石霖具身智能安全观点（21 经济网，2026-03）
- 韩国消费者院+KISA，《Security Vulnerabilities Found in Some Robot Vacuum Cleaners》，2025-09-02
- robo2u.com《Robot Cybersecurity: The Ultimate Guide》《Robot Middleware & DDS Guide》；Safeguard《Is ROS 2 secure by default?》（2026-10）
- 保险侧：Dataintelo 机器人网络责任险市场报告；URG Americas/AomanBot 服务机器人保险指南（2026）；Insurance Analysis Pro《How is cyber insurance adapting to autonomous AI risks in 2026》
- Research Intelo《Privacy-First AI Home Robotics Market》（Pew 72%/NPD 搜索量数据）；人民网（江苏消保委智能家居报告）
- 丰田 2023 云泄露：Toyota 官方公告（经 Noizz/Aryon/autoevolution 分析）；2022 GitHub 密钥事件
学术论文（【学术】）
- RoboPAIR：《AI-powered robots are easily hacked》（IEEE Spectrum 报道，ICRA 2025 提交）
- BadVLA：arXiv:2505.16640（NeurIPS 2025），Zhou et al.
- INFUSE：《Inject Once Survive Later: Backdooring VLA Models to Persist Through Downstream Fine-tuning》，arXiv:2602.00500（哈工大/美团，2026-01）
- State Backdoor：arXiv:2601.04266（电子科大等，2026-01）
- 《Trust in LLM-controlled Robotics: a Survey》（arXiv:2601.02377，含 MITM 模型输出劫持 Shaikh et al.）
- 《Towards Physically-Realizable Adversarial Attacks in Embodied Vision Navigation》，arXiv:2409.10071（IROS 2025）
- 《机器人操作系统 ROS 安全性研究综述》，《软件学报》2024 年第 2 期
口径说明：本报告所有事实均标注来源层级；因检索所限，"俄罗斯机器人峰会被黑"未找到可靠记录，标注【暂缺】；保险费率、隐私优先市场规模等商业数字为机构报告口径，存在口径差异，标注【估算】供交叉验证。