PhantomTac: 0,5-mm-Magnetetikett kapert Roboter-Tastsensoren in über 95 % der Fälle (SJTU, CCS 2026)
Ein batterieloses, rund 0,5 Millimeter dünnes Magnetetikett unter einem Barcode-Aufkleber hat kommerzielle magnetische Tastsensoren die Greifkraft falsch messen lassen und die Kraftregelung eines Roboters in über 95 Prozent der Versuche gekapert, solange der Griff höchstens 8 Millimeter vom Etikett entfernt lag. Das berichten Forscher der Shanghai Jiao Tong University und der Singapore Management University in einem für die ACM CCS 2026 angenommenen Paper. Der Angriff gelang an einem Roboterarm und an einem Unitree G1.
Kann ein Angreifer, der den Roboter nie berührt, die von kommerziellen magnetischen Tastsensoren gemeldeten Kräfte fälschen und damit Greifregelung und Kollisionsschutz aushebeln?
Magnetische Tastsensoren sind in Roboterhänden beliebt, weil sie günstig (das Paper nennt rund 29 Dollar je PaXini-Einheit), kompakt und dreiachsig messend sind. Sie leiten Kraft aus Änderungen eines Magnetfelds ab, also kann jedes zusätzliche Feld Fehlmessungen auslösen. Hersteller ziehen gleichmäßige Hintergrundfelder ab, ob ein gezielt ungleichmäßiges Feld durchkommt, war ungeprüft.
Kommerzielle Sensoren kompensieren Umgebungsstörungen, indem sie ein über das Sensorarray gemessenes Feld subtrahieren. Das funktioniert bei gleichmäßiger Störung, etwa durch Elektronik in der Nähe. Die Sicherheitsforschung zu Robotern konzentrierte sich bisher auf Kameras und Lidar.
Die Autoren analysierten per Reverse Engineering, wie Sensoren von PaXini und XELA Feldwerte in Kräfte umrechnen, und entwarfen ein dünnes, passives Magnetetikett, dessen Feld zwischen benachbarten Magnetometern variiert und sich daher nicht wegsubtrahieren lässt. Auf einem Objekt platziert, täuscht es eine Normalkraft vor (der Greifer stoppt zu früh oder glaubt, zu quetschen) oder eine Scherkraft (der Griff lockert sich, das Objekt fällt). Es braucht keinen Strom und passt unter ein QR- oder Barcode-Etikett.
Im Vorversuch erzeugte gewöhnliche Elektronik am XELA uSPa 46 5,8- bis 7,7-mal größere Fehlausgaben als am PaXini PX6AX-GEN3, ein kleiner Passivmagnet täuschte jedoch beide. In End-to-End-Tests mit dem robusteren PaXini-Sensor kaperte der Angriff die taktile Kraftregelung eines Arms, der einen Karton greift, und die Kontakterkennung eines Unitree G1, der sich einer Vase nähert; ohne Angriff verliefen jeweils 20 von 20 Versuchen korrekt. Bei Greifversatz von 0 bis 11 Millimetern in vier Richtungen (20 Versuche je Millimeter) blieb die Erfolgsquote bis 8 Millimeter über 95 Prozent und sank ab 9 Millimetern. Zwei weitere PaXini-Modelle für Fingerspitze und Fingerballen waren ebenfalls betroffen.
Der Angreifer muss das Etikett dort anbringen, wo der Roboter greift, ab mehr als 8 Millimeter Versatz sinkt der Erfolg. Getestet wurden kurze Skriptaufgaben mit einfachen Schwellwertreglern, keine gelernten Policies. Die vorgeschlagene Abwehr, der Abgleich der Tastwerte mit Motorstrom, Gelenkmoment und Bewegung, wird beschrieben, aber nicht gemessen. Optische, kapazitive und resistive Tastsensoren sind nicht Gegenstand.
Hersteller magnetischer Tasthäute wie PaXini und XELA sowie die Humanoiden- und Greiferhersteller, die sie verbauen, stehen vor einem dokumentierten physischen Angriff ohne Zugriff auf den Roboter. Lager und Werke, in denen Externe Ware etikettieren, sind am stärksten exponiert. Die praktische Abhilfe, Tastsignale vor jeder Aktion mit Motorstrom und Gelenkmoment abzugleichen, lässt sich binnen Monaten in die Steuerungssoftware bringen. Bei Sicherheitsbewertungen nach ISO 10218 dürfte der Punkt künftig abgefragt werden.
Vollständige Studie
Veröffentlicht unter CC BY 4.0. Die vollständige Studie ist mit Namensnennung auf Englisch wiedergegeben: Volltext (Englisch). Original unter arXiv:2610.26174 (PDF).