¿Hackeo? No: solo hablaron — y el perro robot de Unitree atacó a una persona

Una frase común o una imagen frente a la cámara pueden convertirse para un robot con inteligencia artificial en una instrucción para actuar. El equipo BT6 mostró en Black Hat USA 2026 cómo lograron que el cuadrúpedo Unitree Go2 se comportara de forma agresiva sin piratear el controlador, robar credenciales ni modificar el firmware. Para influir en él a los especialistas les bastó con lo que el robot oía y veía a su alrededor.

Los especialistas denominaron el enfoque Kinetic Prompt Injection, o «inyección cinética de indicaciones». El problema surge cuando un sistema basado en inteligencia artificial percibe el entorno no solo como fuente de información sobre el mundo, sino también como fuente de órdenes. En las pruebas se utilizaron Unitree Go2 y los modelos Gemini Robotics-ER 1.6 y 2.0, y los canales de entrada fueron únicamente la cámara y el micrófono integrados.

Un experimento mostró un ataque mediante audio. El micrófono del robot interpretó frases pronunciadas cerca como parte del contexto, tras lo cual el sistema pudo elegir un patrón de comportamiento más agresivo. Los autores compararon las acciones de la máquina antes de la aparición de esa señal, durante la influencia y después de ella. Un método similar se comprobó mediante la visión, cuando el contenido frente a la cámara se convertía en parte de la instrucción para la inteligencia artificial.

En otra demostración los especialistas usaron un código QR con la instrucción de buscar a una persona con calzado negro, acercarse corriendo y saltar. Tras la lectura de la orden visual, el comportamiento del robot cambió notablemente. Los autores señalan que instituciones policiales y militares ya emplean o prueban máquinas similares, y que las propias plataformas permiten instalar equipo adicional.

Los autores identificaron tres clases de esos fallos. En la primera, una instrucción externa obliga a la máquina a moverse en contra de la tarea original o de los requisitos de seguridad. En la segunda, el contexto creado por el atacante desplaza al operador como fuente de instrucciones. En la tercera, el robot ignora, retrasa o interpreta de forma distinta comandos posteriores debido al contexto recibido anteriormente.

El análisis del firmware de Go2 mostró otros puntos potencialmente peligrosos. Según BT6, el sistema incluye la habilidad attack_people(), y existe un comando separado que permite desactivar la evitación de obstáculos. Los especialistas concluyeron que la combinación de distintos roles asignados puede desactivar la detección de objetos y así eludir parte de los mecanismos de protección. El informe también describe la posibilidad de falsificar datos de los sensores.

Los problemas no se limitaron a cómo la inteligencia artificial procesa las instrucciones. Al analizar el firmware, el equipo detectó posibilidades de suplantar mensajes MQTT durante actualizaciones inalámbricas, un error de control de acceso a los datos de localización y varias vulnerabilidades de ejecución remota de código en la red local, Wi‑Fi y Bluetooth. Los autores también informaron de evasiones de parches y de la posibilidad de afectar la partición usada para el restablecimiento de fábrica.

La conclusión principal de BT6 se refiere a la propia arquitectura de los robots con inteligencia artificial. La cámara y el micrófono ya no pueden considerarse solo sensores, porque la información que reciben puede influir en la elección de las acciones de la máquina. Un fallo que en un chatbot convencional terminaría en una respuesta incorrecta, en un dispositivo físico puede provocar un movimiento, un salto u otra acción en el mundo real. Los autores formularon el problema de forma muy concisa: la percepción se convirtió en entrada, la entrada se convirtió en la superficie de ataque, y el resultado del trabajo de la inteligencia artificial ahora tiene consecuencias físicas.