Sammy Azdoufal 聲稱他並非試圖駭入全世界的每一台機器人吸塵器。他告訴 The Verge，他只是想用 PS5 手把遠端控制他全新的 DJI Romo 掃地機器人，因為聽起來很有趣。

但當他自製的遠端控制應用程式開始與 DJI 的伺服器通訊時，回應的並非只有一台機器人吸塵器。全球約有七千台機器人，都開始將 Azdoufal 當成牠們的老闆。

他告訴我，他可以遠端控制牠們，並透過牠們的即時攝影機畫面觀看和聆聽，他表示他與朋友一起測試了這一點。他可以看到牠們繪製房屋的每個房間的圖，生成完整的 2D 平面圖。他可以使用任何機器人的 IP 位址來找到牠們的大致位置。

「我發現我的設備只是眾多設備中的一個，」他說。

週二，當他在現場演示中向我展示他的存取權限時，我簡直不敢相信我的眼睛。數十、數百、數千台機器人待命，每三秒就透過 MQTT 資料包回報一次：牠們的序號、正在清潔的房間、牠們看到的東西、行駛的距離、何時返回充電器，以及沿途遇到的障礙物。

我看到這些機器人逐一在地圖上出現。在我們開始九分鐘後，Azdoufal 的筆記型電腦已經記錄了 24 個不同國家的 6,700 台 DJI 設備，並收集了超過 10 萬則訊息。如果加上該公司也向這些相同伺服器回報的 DJI Power 便攜式充電站，Azdoufal 就可以存取超過 10,000 台設備。

我說我一開始不敢相信我的眼睛，我是說字面上的意思。Azdoufal 在一家度假租賃公司擔任 AI 策略主管；當他告訴我他使用 Claude Code 逆向工程 DJI 的協定時，我不得不懷疑 AI 是否在幻覺中看到了這些機器人。所以我請剛完成 DJI Romo 評測的同事 Thomas Ricker，將其序號提供給我們。

僅憑那個 14 位數字，Azdoufal 不僅能找到我們的機器人，還能正確看到它正在清潔客廳，且剩餘 80% 的電池電量。幾分鐘內，我看到機器人透過輸入一些數字到位於不同國家的筆記型電腦上，生成並傳輸了我同事家中的精確平面圖，包括每個房間的正確形狀和大小。

另外，Azdoufal 繞過安全 PIN 碼，調出他自己的 DJI Romo 的即時視訊畫面，然後走進客廳並對著鏡頭揮手，而我則在一旁觀看。他也表示，他與法國一家 IT 諮詢公司 CTO 的 Gonzague Dambricourt 分享了一個有限的唯讀版本他的應用程式；Dambricourt 告訴我，即使在他配對之前，該應用程式就讓他能夠遠端觀看他自己的 DJI Romo 的攝影機畫面。

Azdoufal 聲稱，他能夠實現這一切，而無需駭入 DJI 的伺服器。「我沒有違反任何規則，沒有繞過，沒有破解，暴力破解，等等。」他說他只是提取了他自己的 DJI Romo 的私人令牌——這是告訴 DJI 伺服器您應該有權存取您自己數據的鑰匙——而這些伺服器也將數千人的數據提供給了他。他向我展示了他可以存取 DJI 的預生產伺服器，以及美國、中國和歐盟的即時伺服器。（他說他的工具在他每次關閉時都會清除數據。）

好消息是：週二，Azdoufal 無法讓我們的 DJI Romo 在我同事家中隨意遊蕩、透過其攝影機觀看或透過其麥克風聆聽。在 Azdoufal 和我告知該公司漏洞後，DJI 已經限制了這種形式的存取。

到了週三早上，Azdoufal 的掃描器不再能存取任何機器人，甚至連他自己的也無法存取。看來 DJI 已經堵上了這個巨大的漏洞。

但這起事件引發了對 DJI 安全性和數據處理方式的嚴重質疑。這無疑將被用來反駁那些導致中國無人機製造商被美國大規模驅逐的擔憂。如果 Azdoufal 在沒有尋找的情況下就能找到這些機器人，那麼它能保護它們免受意圖傷害的人的侵害嗎？如果 Claude Code 能生成一個讓你能看到別人家的應用程式，那什麼能阻止 DJI 的員工這樣做呢？機器人吸塵器應該有麥克風嗎？「在一個該死的吸塵器上裝有麥克風真是太奇怪了，」Azdoufal 說。

當 Azdoufal 和 The Verge 聯繫 DJI 詢問此事時，該公司聲稱已修復了漏洞，但實際上只部分解決，這並沒有幫助。

「DJI 可以確認該問題已於上週解決，並且在公開披露之前，補救措施已經在進行中，」DJI 發言人 Daisy Kong 在週二上午 12:28 ET 提供的原始聲明中寫道——大約在 Azdoufal 向我展示數千台機器人（包括我們的評測單元）待命之前約半小時。

需要明確的是，對於一款帶有智慧手機應用程式的機器人吸塵器來說，它會向雲端回報數據並不令人意外。無論好壞，用戶目前都期望這些應用程式能在自己的家外工作。除非你已經為自己的家庭網路建立了一個隧道，否則這意味著首先需要透過雲端伺服器轉發數據。

但將攝影機放入家中的人們期望這些數據在傳輸過程中以及到達伺服器後都能受到保護。安全專業人士應該知道這一點——但 Azdoufal 一旦連接到 DJI 的 MQTT 伺服器，一切都以明文顯示。如果 DJI 僅僅是切斷了進入這些伺服器的一個特定途徑，這可能不足以保護它們，如果駭客找到另一種方式進入的話。

不幸的是，DJI 遠非唯一一個在安全方面讓用戶失望的智慧家居公司。駭客在 2024 年劫持了 Ecovacs 機器人吸塵器來追逐寵物並發表種族歧視言論。在 2025 年，韓國政府機構報告稱 Dreame 的 X50 Ultra 存在一個可能讓駭客即時查看其攝影機畫面的缺陷，而另一款 Ecovacs 和一款 Narwal 機器人吸塵器則可能讓駭客查看並竊取設備中的照片。（韓國本土的三星和 LG 吸塵器獲得了高分，Roborock 的表現也不錯。）

當然，這不僅僅是吸塵器。儘管 Wyze 公司推出了新的安全措施，我仍然不會購買其攝影機，因為該公司試圖將遠端存取漏洞掩蓋起來，而不是警告客戶。在 Anker 的 Eufy 對我們撒謊其安全性後，我會很難信任它。但 Anker 已經坦白了，陽光是最好的消毒劑。

DJI 並未對此事進行異常透明的說明，但它回答了我們幾乎所有的問題。在透過發言人 Daisy Kong 向 The Verge 發布的新聲明中，該公司現在承認「後端權限驗證問題」，這理論上可能讓駭客看到其吸塵器的即時視訊，並且承認直到我們確認問題仍然存在後，才完全修補該問題。

DJI 在一月份下旬透過內部審查發現了影響 DJI Home 的漏洞，並立即啟動了補救措施。該問題透過兩次更新得到解決，第一次補丁於 2 月 8 日部署，第二次更新於 2 月 10 日完成。修復是自動部署的，用戶無需採取任何行動。

該漏洞涉及影響設備與伺服器之間基於 MQTT 的通訊的後端權限驗證問題。雖然此問題理論上可能導致未經授權存取 ROMO 設備的即時視訊，但我們的調查證實實際發生的情況極為罕見。幾乎所有已識別的活動都與獨立安全研究人員為報告目的測試自己的設備有關，只有極少數的潛在例外。

第一個補丁解決了此漏洞，但尚未普遍應用於所有服務節點。第二個補丁重新啟動了其餘的服務節點。這現已完全解決，沒有證據表明有更廣泛的影響。這不是傳輸加密問題。ROMO 設備到伺服器的通訊並非以明文傳輸，並且始終使用 TLS 加密。與 ROMO 設備相關的數據，例如在歐洲的數據，儲存在美國的 AWS 雲端基礎設施上。

Azdoufal 表示，即使現在，DJI 也沒有修復他發現的所有漏洞。其中一個是無需安全 PIN 碼即可查看您自己的 DJI Romo 視訊串流的能力。另一個問題非常嚴重，在 DJI 有更多時間修復之前，我不會詳細描述。截至 2 月 17 日，DJI 告訴 The Verge，他們將在幾週內完成修復。

Azdoufal 和安全研究員 Kevin Finisterre 都告訴我，Romo 將加密數據發送到美國伺服器是不夠的，如果伺服器內的任何人都可以輕鬆讀取它。「伺服器位於美國，這絕不意味著 .cn 的 DJI 員工無法存取，」Finisterre 說。這似乎很明顯，因為 Azdoufal 住在巴塞隆納，並且能夠看到完全不同地區的設備。

當我告訴 Azdoufal 有些人可能會認為他在沒有給 DJI 多少時間解決問題就公開此事時，他指出他沒有駭入任何東西，沒有洩露敏感數據，也不是安全專業人士。他說他只是在嘗試用 PS5 手把控制他的機器人時，直播了所有發生的事情。

「是的，我不遵守規則，但人們為了錢而遵守漏洞獎勵計畫。我他媽的不在乎，我只想讓這件事被修復，」他說。「我認為，如果完全遵守規則，這個漏洞可能會持續更長時間。」

他不相信 DJI 在一月份真的自己發現了這些問題，而且他對該公司只在 X 的私訊中機械式地回覆他，而不是回覆他的電子郵件感到惱火。

但他對一件事感到高興：他確實可以用 PlayStation 或 Xbox 手把控制他的 Romo。

更新，2 月 17 日：新增 DJI 已承諾在幾週內解決另一項漏洞。