Инженер-программист купил на Kickstarter умную маску для сна с функцией электростимуляции. Устройство отказывалось подключаться к телефону, поэтому он решил залезть в код сам — с помощью ИИ. А нашел там учетные данные, которые открывали доступ не только к его мозговым волнам, но и к данным всех владельцев этой маски по всему миру.
История Эймилиоса Хадзистаму — идеальная иллюстрация того, что происходит, когда софт пишут по остаточному принципу. Инженер приобрел маску для сна у небольшой китайской исследовательской компании (название он не разглашает, но по описанию похоже на SLEEPU DreamPilot) и столкнулся с классической проблемой: устройство не хотело стабильно соединяться с приложением.
Что делает инженер, когда что-то не работает?
Открывает ChatGPT (точнее — в этой ситуации был Claude Opus 4.6) и начинает реверсить протоколы.
Хадзистаму разобрал Bluetooth-протокол маски (он оказался нестандартным), затем декомпилировал Android-приложение с помощью ИИ и залез внутрь.
Хардкод во всей красе
В бинарнике приложения лежали учетные данные — одни на все копии приложения. Рядом — эндпоинты API для отправки и получения данных. Инженер с помощью Claude составил карту из 15 команд и функций, которыми управляется маска, и даже написал небольшое веб-приложение, чтобы управлять своим гаджетом без багованного оригинального софта. А потом он попросил Claude «потыкать» в удаленные эндпоинты.
Добро пожаловать в чужие сны
Когда Хадзистаму подключился к MQTT-сервисам, он получил не только показания своих датчиков, а вообще всех.
Оценка показала, что в реальном времени активно около 25 масок. Инженер смог застать ЭЭГ-показатели двух человек где-то на планете. И это не самое страшное.
Поскольку маска поддерживает электрическую стимуляцию мышц (EMS), а доступ единый для всех устройств, теоретически можно было бы отправить команду на другие маски — и заставить их «пощекотать» ничего не подозревающих владельцев. Или просто читать их мозговые волны в реальном времени.
Реакция и мораль
Хадзистаму связался с производителем и сообщил о проблеме. Сам он, судя по всему, маской доволен и не держит зла на разработчиков — скорее, относится к случившемуся как к забавному приключению.
Но история лишний раз напоминает: учетные данные в приложении — это потенциальный доступ к воздействию на людей. Маска для сна — штука безобидная. Но если тот же подход применен в медицинских имплантах, кардиостимуляторах или устройствах домашней автоматизации, последствия могут быть фатальными.