Идиома «получить больше, чем рассчитывал» обычно применяется в контексте нежелательных, неприятных последствий. Иногда ее используют в прямом смысле, как в случае с инженером по искусственному интеллекту Эмилиосом Хацистаму, который обнаружил, что его недавно купленная маска для сна непреднамеренно предоставила ему доступ к ЭЭГ-данным и управлению других пользователей.
История довольно проста и служит очередным подтверждением того, почему программное обеспечение для многих продуктов часто остается на втором плане. Хацистаму купил маску для сна как готовый продукт, приобретенный по программе Kickstarter у «небольшой китайской исследовательской компании». Он воздержался от называния компании, но, по нашим лучшим предположениям, это могла быть SLEEPU DreamPilot.
У маски Хацистаму возникли проблемы с подключением, поэтому он поступил так, как поступают инженеры: взял дело в свои руки. С помощью Claude Opus 4.6 он разобрал протокол Bluetooth маски, только чтобы обнаружить, что он не соответствует никаким стандартным соглашениям. Неунывающий, он обратил внимание на приложение для Android, которое он с помощью Claude декомпилировал и проанализировал (транскрипт здесь).
К удивлению любого инженера-программиста, он обнаружил в бинарном коде приложения жестко закодированные учетные данные доступа, которые, по-видимому, были общими для всех копий приложения (ну надо же!), а также ожидаемые конечные точки API для удаленной отправки/получения данных. В итоге, он и Claude составили карту 15 команд и функций маски и смогли достаточно хорошо выполнить обратное проектирование протокола связи.
Затем пришло время создать небольшое веб-приложение для управления маской. Это сработало нормально, и Хацистаму смог получать информацию о маске и управлять ее функциями, не используя проблемное приложение для Android. Увы, на этом история не закончилась. Во время обратного проектирования он попросил Claude изучить удаленные конечные точки данных. При подключении к MQTT-сервисам с упомянутыми жестко закодированными учетными данными, он действительно получил свои показания датчиков… вместе с показаниями всех остальных.
Хацистаму оценил, что среди полученных данных около 25 масок использовались прямо в тот момент, и он даже смог зафиксировать показания ЭЭГ в реальном времени от двух незадачливых людей где-то на планете. Поскольку маска оснащена функцией электростимуляции мышц (EMS), а учетные данные доступа одинаковы для всех устройств, он теоретически мог бы заставить другие маски запускать электрические импульсы.
Инженер отправил свои выводы компании, поскольку, несмотря на проблемы с данными, он, кажется, доволен продуктом. Как разработчик, я считаю, что эта ситуация не демонстрирует злого умысла со стороны производителей и служит еще одним неудивительным подтверждением того, насколько низко упала планка разработки программного обеспечения в наши дни.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Bruno Ferreira
