$ cat lerobot-cve-physical-ai-rce.mdx

Pierwsza krytyczna luka w robotyce AI - CVSS 9.3 w Hugging Face LeRobot

4 maj 2026 · #cybersec #ai #lerobot #hugging-face #roboty #cve

Pierwsza krytyczna luka w robotyce AI - CVSS 9.3 w Hugging Face LeRobot

LeRobot - open-source platforma do robotów AI od Hugging Face. 21 500 gwiazdek na GitHubie. CVE-2026-25874, CVSS score 9,3 - krytyczna luka. Hackerzy mogą przejąć kontrolę nad robotem bez hasła.

LeRobot CVE

22-23 kwietnia 2026 publiczne disclosure (NVD opublikowane 23.04). Krytyczna luka w jednej z najczęściej używanych open-source platform robotyki:

  • CVE-2026-25874
  • CVSS score 9,3 (max 10 - critical)
  • Wektor: niebezpieczna deserializacja danych nad gRPC bez authentication ani TLS
  • Pozwala na unauthenticated remote code execution na policy servers ORAZ robot clients

Skala: LeRobot ma 21 500 GitHub stars - to jedna z najczęściej używanych platform w produkcji startupów robotyki.

To nie jest luka w aplikacji webowej

Słuchaj. To jest luka w robocie którego MOŻESZ ZOBACZYĆ FIZYCZNIE. Hacker przez sieć - może KAZAĆ ROBOTOWI COŚ ZROBIĆ.

Twoja firma kupuje robota Figure czy Unitree? Spytaj integratora czy nie używa LeRobot pod spodem. Bo jeśli tak - macie problem.

Pierwszy raz w historii

To pierwszy raz w historii physical AI ma realnie wykorzystywalną dziurę. Vulnerabilities w software są codziennością. Vulnerabilities w robotach AI - nowa kategoria.

Mitigation rekomendowane przez badaczy: zamiana niebezpiecznej deserializacji na bezpieczne formaty (JSON / protobuf / safetensors), włączenie TLS przez add_secure_port, gRPC interceptors plus token auth.

Moja perspektywa

To dopiero początek. Roboty AI są nową kategorią ataku. Za dwa lata cybersec firmy będą szkolić “robot pentesterów” - ludzi którzy testują czy robot da się przejąć przez sieć.

Bo physical AI ecosystem przechodzi z software demos na realne maszyny. Vulnerabilities teraz oznaczają fizyczne ataki w realnym świecie. To nie jest “ktoś ukradnie ci dane”. To jest “ktoś każe robotowi coś zrobić”.

Zapamiętaj słowo “robot pentester”. Jeszcze go usłyszysz.

Źródła

$ cd ../