Failles de sécurité Unitree (Go2, B2) : chronologie et précautions

Entre mars 2025 et février 2026, huit failles publiques (CVE) ont visé des chiens robots Unitree : une porte dérobée sur le Go1, l’exploit UniPwn sur le Go2 et le B2 (septembre 2025), puis trois nouvelles failles du Go2 (février 2026). Au 19/10/2026, nous n’avons trouvé aucun avis de sécurité d’Unitree indiquant la version qui les corrige.

Pourquoi ce sujet compte

Un chien robot est un ordinateur mobile avec caméras, micros, LiDAR, Wi-Fi, Bluetooth et parfois 4G. Pris en main par un tiers, il peut filmer, écouter, cartographier un lieu ou se déplacer contre la volonté de son propriétaire. Pour un particulier, c’est un risque de vie privée ; pour une entreprise ou une école, c’est un point d’entrée potentiel sur le réseau ; pour un site industriel, c’est un risque physique avec un robot de 15 à 60 kg.

Unitree est concerné en premier pour une raison simple : c’est le constructeur le plus vendu, donc le plus étudié par les chercheurs. Ses robots (Go2, B2) sont aussi ceux que l’on trouve dans les écoles, les laboratoires et chez les particuliers en France.

Chronologie des failles publiques

CVE	Publication	Gravité (CVSS 3.1)	Modèles	Nature
CVE-2025-2894	28/03/2025	6,6 (moyenne)	Go1 (firmware 2022_05_11)	Porte dérobée « CloudSail » : tunnel de service permettant un accès à distance
CVE-2025-35027	26/09/2025	7,3 (élevée)	Go2 et B2 ≤ 1.1.8 ; G1 et H1 ≤ 1.4.4	Injection de commandes via la configuration Wi-Fi envoyée en Bluetooth (UniPwn)
CVE-2025-60017	26/09/2025	8,2 (élevée)	Go2, B2, G1, H1	Volet UniPwn : injection via le point d’accès Wi-Fi
CVE-2025-60250	26/09/2025	4,7 (moyenne)	Go2, B2, G1, H1	Volet UniPwn : clé et vecteur de chiffrement codés en dur
CVE-2025-60251	26/09/2025	5,0 (moyenne)	Go2, B2, G1, H1	Volet UniPwn : poignée de main acceptant toute chaîne contenant « unitree »
CVE-2026-27509	26/02/2026	8,0 (élevée)	Go2 firmware 1.1.7 à 1.1.9 ; EDU 1.1.11	Canal de communication interne (DDS) sans authentification : exécution de code avec les droits administrateur
CVE-2026-27510	26/02/2026	8,8 (élevée) ; 9,6 selon VulnCheck	Go2 1.1.7 à 1.1.11	Programmes utilisateur exécutés sans contrôle d’intégrité
CVE-2026-1442	27/02/2026	7,8 (élevée)	Go2 Air, Pro, X, EDU ; Go1	Chiffrement des mises à jour du micrologiciel cassable

Sources : fiches de la base américaine NVD et des organismes qui ont attribué les CVE (takeonme.org, VulnCheck). La base NVD recense au total une douzaine de CVE mentionnant Unitree, dont certaines concernent uniquement les humanoïdes (G1, H1).

UniPwn : comment une faille devient un ver

L’épisode le plus marquant est UniPwn, publié le 20 septembre 2025 par les chercheurs Andreas Makris (alias Bin4ry) et Kevin Finisterre, et décrit par IEEE Spectrum le 25 septembre 2025 sous le titre « un exploit permet de prendre le contrôle de flottes de robots Unitree ».

Le principe, en termes simples : pour connecter un robot au Wi-Fi, l’application envoie les paramètres du réseau par Bluetooth. Les chercheurs ont montré que :

l’authentification Bluetooth acceptait n’importe quel message contenant le mot « unitree » ;
la clé de chiffrement était la même pour tous les robots et figurait dans le logiciel ;
le nom du réseau Wi-Fi transmis n’était pas filtré, ce qui permettait d’y glisser des commandes exécutées par le robot avec les droits administrateur.

Conséquence : un attaquant à portée Bluetooth peut prendre le contrôle du robot, puis utiliser ce robot pour attaquer d’autres robots à portée. C’est ce comportement de propagation, de robot à robot, qui a fait parler de « ver ».

La réponse d’Unitree

Le 29 septembre 2025, Unitree a déclaré publiquement avoir « terminé la majorité des correctifs ». Le 7 octobre 2025, les chercheurs de takeonme.org ont indiqué que les mises à jour récentes ne corrigeaient pas CVE-2025-35027. Nous n’avons trouvé, au 19/10/2026 :

aucun bulletin de sécurité d’Unitree listant les failles et les versions corrigées ;
de nouvelles failles publiées en février 2026 sur les firmwares du Go2 jusqu’à la version 1.1.11.

C’est ce silence documentaire, plus que l’existence de failles (tous les logiciels en ont), qui pose problème : un acheteur ne peut pas vérifier si son robot est à jour et protégé.

Ce que nous ne savons pas

Si les firmwares distribués en Europe après octobre 2025 corrigent UniPwn.
Si l’A2 et le Go2-W, absents des fiches CVE, partagent les mêmes composants vulnérables. Par prudence, nous leur appliquons les mêmes précautions.
Si des attaques réelles (hors démonstrations de chercheurs) ont eu lieu. Nous n’en avons trouvé aucune documentée.

Précautions concrètes

Pour un particulier

Acheter auprès d’un revendeur qui assure le suivi des mises à jour, et appliquer celles qui sont proposées par l’application officielle.
Éteindre le robot quand il ne sert pas ; ne pas le laisser allumé dans un lieu public.
Le connecter à un réseau Wi-Fi invité, séparé de vos ordinateurs et objets connectés.
Être conscient que les caméras et micros filment votre domicile (voir caméras et RGPD).

Pour une école, un laboratoire ou une entreprise

Faire fonctionner les robots sur un réseau isolé, sans accès au réseau de l’établissement.
Inventorier les versions de firmware et demander par écrit au revendeur l’état des correctifs pour chaque CVE listée ci-dessus.
Limiter la configuration Bluetooth aux moments où elle est nécessaire et dans un lieu contrôlé.
Intégrer le robot à l’analyse de risques informatiques, comme n’importe quel équipement connecté.
Pour un site sensible, préférer un modèle dont le fabricant publie une politique de sécurité, ou faire auditer la configuration.

Constat et opinion

Constat : les failles sont réelles, publiques, notées « élevées » pour la plupart, et touchent les modèles les plus vendus. Unitree n’a pas publié de documentation permettant de vérifier les correctifs.

Notre avis. Ces failles ne rendent pas le Go2 inutilisable, mais elles changent la façon de l’utiliser : c’est un équipement à isoler, pas un gadget à brancher sur le Wi-Fi familial ou sur le réseau d’un lycée. Tant qu’Unitree ne publie pas de bulletins de sécurité, nous maintiendrons cet avertissement sur chaque fiche concernée, et nous mettrons ce tableau à jour à chaque nouvelle CVE.

En vidéo

Une vidéo sélectionnée et vérifiées le 19/10/2026. Rien n’est chargé depuis YouTube avant votre clic. Toute la sélection commentée : vidéos de chiens robots.

La lecture charge YouTube (youtube-nocookie.com), qui peut déposer des traceurs.

Times change, the first [Bionic Companion Robot] in the history of human was released, prices $2.7k

Unitree Robotics · 08/06/2021 · 2 min 07 s · en anglais · vérifiée le 19/10/2026

Ce qu’on y voit : Lancement du Go1 d’Unitree en juin 2021, annoncé « à partir de 2,7 k$ », présenté comme robot compagnon.

Ce qu’elle ne prouve pas : Vidéo de 2021 : le Go1 a depuis été remplacé par le Go2 et a fait l’objet d’une porte dérobée publiée en 2025.

Voir sur YouTube ↗

Questions fréquentes

Les chiens robots Unitree sont-ils dangereux sur le plan informatique ?

Plusieurs failles publiques ont visé le Go1, le Go2 et le B2 entre 2025 et 2026, dont certaines permettent une prise de contrôle à distance. Aucun avis de sécurité d’Unitree indiquant une version corrigée n’a été trouvé au 19/10/2026. Le risque dépend de l’usage et des précautions prises.

Qu’est-ce qu’UniPwn ?

C’est un exploit publié le 20 septembre 2025 par deux chercheurs, Andreas Makris et Kevin Finisterre. Il exploite la configuration Wi-Fi par Bluetooth des robots Unitree (Go2, B2, G1, H1) pour exécuter des commandes, avec une propagation possible d’un robot à l’autre.

Comment réduire le risque avec un Go2 ?

Utiliser le robot sur un réseau isolé, éviter de le laisser allumé sans surveillance dans un lieu public, appliquer les mises à jour officielles, ne pas le connecter à des comptes ou réseaux sensibles, et l’acheter auprès d’un revendeur qui assure le suivi.

Les autres marques sont-elles plus sûres ?

Nous n’avons pas trouvé de failles publiques comparables pour les autres modèles suivis, mais l’absence de faille publiée ne prouve pas l’absence de faille : elle peut aussi refléter moins de recherches menées sur ces robots.

Sources

consultées le 19/10/2026