由Hugging Face支持的开源机器人平台LeRobot，在GitHub上拥有近24,000颗星，却因一个令人不安的原因登上新闻。网络安全研究人员发现了一个严重漏洞，编号为CVE-2026-25874，在CVSS系统中评分高达9.3。该问题允许在无需身份验证的情况下远程执行代码，对开发者和机器人爱好者来说风险巨大。🤖
不安全的反序列化：技术缺陷的根源 🔓
该漏洞基于不可信数据的反序列化。实际上，LeRobot在处理序列化数据时，并未验证其来源或完整性。攻击者可以向平台发送特制数据，一旦被反序列化，恶意代码就会远程执行。这影响了将LeRobot集成到生产或研究环境中的系统，使用户的网络和敏感数据面临潜在风险，且无需用户直接交互。
为你大开方便之门的机器人 🚪
讽刺之处在于：当我们梦想着机器人能端咖啡或打扫房间时，结果控制它们的软件可能正在为不速之客开门——只不过是以恶意代码的形式。这就像买了一只看门狗，结果它却是个扒手。该漏洞不需要钥匙或密码，只需一点巧思和精心打包的数据。好在开发者已经在修补，因为一个一边打招呼一边黑你的机器人，可不是我们期待的未来景象。