我正躺在地上，牠朝我而來。接著，牠猛地一躍，爬上我的胸膛。如果 Andreas Makris 沒有及時按下緊急停止按鈕，牠的刀片可能會劃過我的身體。
Makris 顯然無法伸手按下緊急停止按鈕——他遠在近 6,000 英里之外，從地球的另一端駭入了這台機器人，以展示 Yarbo 機器人割草機驚人的安全漏洞。而我則做出了不明智的決定，躺在機器人的路徑上——看看 Makris，這位發現這些漏洞的安全研究員，究竟能將這台機器人推向何種程度。
當機器人碰到我的身體時，Makris 已經證明了他的觀點：Yarbo 這款售價 5,000 美元的機器人割草機存在如此嚴重的安全漏洞，以至於來自國外的駭客可以輕易地劫持美國的帶有刀片的設備。而且不只一台。成千上萬台中國製造的帶有刀片的機器人，任由他調遣。世界上每一台 Yarbo 機器人，無論是設定來處理草、雪還是雜草，理論上現在都在向他回報。
「我可以對所有的機器人為所欲為，」Makris 告訴 The Verge。「它完全沒有安全措施。」
信不信由你，遠端控制只是冰山一角。
就像 Sammy Azdoufal 一樣，他因為 The Verge 獨家揭露他如何讓數千台 DJI Romo 機器人吸塵器識別自己並開始聽從他的指令而登上全球頭條，Makris 發現 Yarbo 的機器人也做著同樣的事情。如果你能存取一台機器人，你就能存取所有機器人。
但這些機器人有刀片——駭客可以利用機器人內建的指令來覆蓋其安全功能。Makris 表示，即使你按下機器人上的紅色緊急停止按鈕，駭客也可以發送另一個指令來解鎖它。
由於 Yarbo 是一台完整的 Linux 電腦，擁有自己的後門，且 root 密碼始終相同，駭客可以遠端重新編程它做任何事：啟動刀片、探測你的家庭網路、將你的機器人變成殭屍網路的一部分，用來騷擾網路上的目標。
Yarbo 成立於 2015 年，最初是一家機器人剷雪公司，現今銷售多功能庭院機器人，配備模組化配件，可變身為割草機、落葉吹風機、剷雪機、修邊機和割草機。每個配件都由同一台使用履帶驅動和爬坡的「核心」機器人推動或拉動——這也是為什麼所有這些設備都可能容易受到駭客攻擊。
Makris 首先向我展示了一個帶有視覺編碼的地圖，顯示了美國和歐洲大約 5,400 台 Yarbo 機器人的位置。（他在全球追蹤超過 11,000 台。）然後，在我觀看他的影片串流時，他按下一個按鈕，控制了紐約州北部的一台機器人。
這台機器人當時正在割草，背景中可以看到一棟白色的房子。但我們打斷了它例行的工作。Makris 用滑鼠拖動螢幕上的小搖桿，我看到機器人的攝影機隨著他的每一個動作轉動。幾乎沒有什麼能阻止他隨意駕駛，窺探這個家庭，了解他們何時進出。
同樣地，可能也沒有什麼能阻止惡意行為者窺探，例如核電廠附近的軍隊調動。Makris 已經在距離一座主要發電廠 3 公里範圍內發現了 12 台不同的 Yarbo 機器人——其中一台似乎是註冊給一位核安全分析師的。
接著，Makris 再次讓我瞠目結舌：他向我展示了他可以提取所有者的電子郵件地址、他們的 Wi-Fi 密碼以及他們房屋的確切 GPS 座標。當我在 Google 地圖上查找地址時，我看到了一個衛星視圖，顯示的似乎就是我們透過機器人攝影機看到的同一個房產。
四天後，我開車穿越矽谷的山麓，尋找證據。在我行程的第一個地址，我的心跳漏了一拍。從上面的路邊向下望向一個房子的斜坡後院，我看到一台 Yarbo 機器人，正好在 Makris 指出的位置。當我拿出手機掃描附近的 Wi-Fi 網路時，我看到了 Makris 在他的掃描中發現的相同私人接入點。
後來，我透過 Yarbo 機器人提供的電子郵件地址聯繫了屋主，並得到了回覆。他同意親自見面。
Wayne Yu 想知道他的機器人割草機是如何直接引導我找到他家的。他自稱是個科技愛好者，表示他不擔心 Yarbo 提供了他家的照片。「人們總是在入侵設備，所以我並不驚訝，」他告訴我。
他也不擔心有人偷走他的割草機：「它很重，而且在斜坡上——你看到了吧？我走下去割草，腿已經很痛了，」他笑了，並補充說，由於斜坡難以割草，這也是他最初購買 Yarbo 的原因。但當我問他，駭客遠在地球另一端，直接找到他家，還給了我他的電子郵件和 Wi-Fi 密碼時，他的感受如何，他說他感到不舒服。「不好。不好，」Yu 重複說。
當我向他展示 Wi-Fi 密碼時，他證實了那是他的。
Matt Petach 對我出現在他家門口並不感到意外。這位退休的 Yahoo 和 Microsoft 網路架構師似乎什麼都不怕，即使我向他展示了他的 Wi-Fi 密碼。他說那是一個獨立的訪客網路，設定為自動拒絕未知設備，而訪客密碼只是他公開列出的電話號碼。
Petach 建議，每個人都應該將這類設備視為敵對的代理。「不幸的是，為了方便，房主和其他用戶實際上被鼓勵將科技視為他們最好的朋友、他們值得信賴的助手，」他告訴我。
他建議，你應該將糟糕的安全想像成電動工具上缺失的安全功能：「這就像一把沒有護手、沒有剎車、鏈條鬆動、隨時可能砍掉你腿的電鋸。」
但即使是 Petach，似乎也對 Yarbo 的安全措施感到有些吃驚。
Makris 解釋說，不僅每台 Yarbo 機器人都有相同的硬編碼 root 密碼，而且用戶也無法透過手動設定更好的密碼來保護自己。每次 Yarbo 更新機器人的韌體時，它都會將機器人的 root 密碼改回其預設密碼。駭客可以再次入侵。「哇，這比我想像的還要糟，」Petach 說。
此外，Yarbo 似乎故意創建了遠端存取後門，這使得駭客可以進行最糟糕的操作。「它會自動部署到每台機器人上，用戶無法禁用，並且在被移除後會被主動恢復，」Makris 寫道。
這就是為什麼 Makris 決定做一些安全研究員通常會避免的事情：今天，他正在發布他的研究，包括官方的 CVE 漏洞披露，而沒有給 Yarbo 時間先修復問題。當他最初聯繫 Yarbo 以告知公司該問題時，他找不到安全聯繫方式或漏洞獎勵計劃，而公司的客戶支援試圖將遠端存取解釋為一個安全、有用的功能，Yarbo 的工程師只會用它來遠端診斷客戶問題。
基於此以及他對 Yarbo 安全措施的觀察——「他們要麼不夠關心，要麼是技能問題，」他說——Makris 擔心 Yarbo 和其他公司不會吸取教訓並修復這些問題，除非他們被公開羞辱。「這是正確的做法，這也是我們在這裡試圖做的：警告人們，並將資訊傳播出去，讓大家明白這是故意設計得很糟糕，而且似乎沒有人在乎，」他說。
還有其他理由相信 Yarbo 可能不是最值得信賴的實體。Yarbo 聲稱其「公司總部」在紐約——其 Kickstarter 頁面和網站上都有豪華中層辦公室的照片。但 Google 地圖顯示，其在紐約的實際地址是一個單層建築，裡面還設有兩家汽車美容店、一家保險經紀公司和一家專門銷售鉚釘皮革手鐲的 Etsy 店鋪。事實上，Yarbo 只是 Hanyang Tech 的另一個名字，而 Hanyang Tech 總部位於中國深圳。
在過去幾年裡，我們也曾多次嘗試評測 Yarbo 的割草機，但都遇到了不尋常的要求。該公司的公關聯繫人一再要求保證我們不會發表負面評論，並曾要求我們簽署一份「合作協議」，其中包含禁止誹謗條款，並要求我們在 21 個工作日內「創建並分享一篇專門的評論文章」。（我們拒絕了。）最近，該公司建議：「如果在測試期間產品不符合預期，我們預計您將決定不在最終文章中包含 Yarbo。」（同樣，我們沒有同意。）
在一封發給 The Verge 的電子郵件中，Yarbo 表示將根據 Makris 的研究採取至少一些行動。
「我們正在積極實施應用程式內客戶批准機制、更清晰的會話可見性、更強的審計日誌記錄以及面向客戶的訪問歷史記錄，以便遠端診斷訪問是透明的、有限的且可撤銷的，」Yarbo 高級公關經理 Showan Hou 寫道。
但 Yarbo 似乎尚未意識到——或不願承認——任何事情真的出了問題：
「根據我們目前的審查，我們沒有意識到任何 Yarbo 設備被未經授權的第三方訪問或控制的實例。診斷環境不公開訪問；訪問需要內部基於角色的授權，並且僅限於批准的支持工作流程。我們將繼續審查提供的信息，並將負責任地解決任何已驗證的問題。」
當 Makris 最初告訴公司遠端存取是一個巨大的安全風險時，Yarbo 也同樣聲稱「您的 Yarbo 仍然完全安全且在您的獨家控制之下。」
這就是為什麼我最終會躺在一台 Yarbo 機器人下面——作為一項受控測試的一部分，以了解這台機器究竟有多安全和「安全」。我已經了解到，危險遠不止於刀片；我們生活在一個狂野的西部，現代小工具可以一次性暴露你的確切 GPS 位置、遠端控制你家的即時影片，並損壞你的家庭網路。
當我與 Makris 等研究人員交談時，很明顯 Yarbo 只是眾多不安全設備中一個特別惡劣的例子。但像 Yarbo 這樣的例子可以幫助我們理解情況已經變得多麼糟糕。
一個星期五，在得到他的許可後，我來到 Petach 的家。我們透過視訊通話連線：Makris 在德國，Petach 在南加州，而我是唯一一個親自在場的人。透過幾個點擊，Makris 在我眼前劫持了 Yarbo，無論是閒置時還是正在割草時。我看到他透過 Yarbo 的攝影機看到了我。
是時候看看 Yarbo 是否有任何內建的安全機制了，比如避障功能。我躺在地上。
我不是完全的傻瓜。刀片沒有在旋轉，我們正在讓機器人倒車——所以是它的履帶，而不是刀片，先撞到我。
但當第一百磅的金屬、塑膠和過於容易被駭的電腦將我的身體壓在地上——而 Makris 最終，幸運的是，後退了——我意識到這個科學實驗並不像我原以為的那麼安全。
