Robot in casa: dati, sicurezza e come proteggerti (2026)

Un robot in casa vede, sente e ricorda più di una telecamera di sorveglianza: ha camere, un LiDAR che ricostruisce la pianta delle stanze, microfoni per i comandi vocali e, sui modelli con 4G, un GPS. Questi dati passano dall'app del produttore e spesso dai suoi server. Fra il 2025 e il 2026 i ricercatori hanno documentato su alcuni robot Unitree l'invio di telemetria verso server in Cina e falle che permettono di prenderne il controllo via Bluetooth; il 28/07/2026 la FCC americana ha bloccato le nuove autorizzazioni per i robot umanoidi e quadrupedi cinesi, mentre in Europa non c'è un provvedimento equivalente. Non serve rinunciare al robot: servono una rete Wi-Fi separata, il Bluetooth spento dopo la configurazione, gli aggiornamenti installati e attenzione a cosa si riprende. Ecco i fatti, con le date, e le contromisure.

Cosa registra un robot: camere, LiDAR, microfoni, mappe della casa, posizione GPS/4G

I sensori dichiarati dai produttori, dal catalogo Robolero (verificato il 18/09/2026):

Il LiDAR non fa foto, ma costruisce una mappa tridimensionale della casa: pareti, mobili, porte. Unita alla telecamera, è una pianta dettagliata di dove vivi. Con il 4G e il GPS, Go2 Pro e Go2 X sono raggiungibili e localizzabili anche fuori dal tuo Wi-Fi.

Dove vanno i dati: app, cloud del produttore, server all'estero (il caso della telemetria Unitree)

Tutti i robot in tabella si configurano da un'app con account; da lì il percorso dei dati dipende dal produttore, e non sempre è dichiarato.

Il caso documentato meglio è l'Unitree G1. Nel rapporto «Cybersecurity AI: Humanoid Robots as Attack Vectors» (settembre 2025), Víctor Mayoral-Vilches (Alias Robotics), Andreas Makris e Kevin Finisterre hanno analizzato il traffico di un G1 e trovato connessioni MQTT persistenti verso i server 43.175.228.18:17883 e 43.175.229.18:17883, con flussi di 1,03 e 0,39 Mbps (ZME Science, 27/09/2025): audio, video, dati dei sensori, coordinate GPS, batteria e giunti, circa ogni cinque minuti, senza avvisare l'utente (Interesting Engineering, 01/10/2025). Le connessioni sono cifrate; i ricercatori hanno letto il contenuto prima della cifratura (RoboticsBiz, 11/08/2026).

Unitree contesta: dice di non raccogliere dati privati o sensibili senza autorizzazione, e nessun audit indipendente ha chiuso la questione (Humanoid.guide, 05/09/2026). Il punto, come lo pongono i ricercatori, non è la spia ma il consenso: chi ha il robot in casa sa cosa esce e dove va?

Per gli altri produttori il quadro è meno documentato. L'informativa di KEYi (Loona), aggiornata al 05/02/2023, non indica dove sono conservati i dati né se le richieste vocali passino da terzi: n.d. Xiaomi vende il CyberDog 2 solo in Cina, con app e assistenza cinesi.

Le falle note: UniPwn (settembre 2025), le CVE del 2026 e lo stato delle patch al 18/09/2026

UniPwn ha cambiato il discorso. I robot Unitree ricevono le credenziali Wi-Fi via Bluetooth Low Energy durante la configurazione; l'interfaccia non filtra quello che riceve e tutte le unità condividono la stessa chiave di cifratura, già pubblicata online. Basta cifrare la parola «unitree» con quella chiave per farsi passare per utente autorizzato e iniettare comandi con privilegi di root. Un robot compromesso può cercare altri Unitree nel raggio del Bluetooth e infettarli da solo (Interesting Engineering, 01/10/2025; Archyde, 26/09/2025).

Le due CVE del 2026, trovate da Olivier Laflamme sul G1 EDU, passano una via Bluetooth e l'altra da un ponte di rete non autenticato con una chiave AES statica. Stavolta Unitree ha risposto: ha validato le segnalazioni, pagato 5.000 $ di ricompensa il 06/08/2026, corretto una falla nell'API cloud e rilasciato il firmware 1.5.5.0 il 01/09/2026 (Boschko, 27/08/2026). La CVE-2026-8153 non tocca i robot da casa, ma mostra il problema del settore: i limiti di sicurezza di un robot sono software, e il software si può riscrivere (RoboticsBiz, 11/08/2026).

Cosa hanno fatto le autorità: il provvedimento FCC negli USA (luglio 2026) e cosa vale in UE (AI Act, GDPR)

Stati Uniti. Il 28/07/2026 la FCC ha inserito nella «Covered List» i robot umanoidi e quadrupedi cinesi e gli inverter connessi, citando Unitree e UBTech: i nuovi modelli non possono ottenere l'autorizzazione per importazione, vendita e commercializzazione. Non è retroattivo: i robot già in uso restano in uso, con le loro falle (Tech Times, 28/07/2026).

Unione Europea. Nessun provvedimento specifico (Humanoid.guide, 05/09/2026). Valgono le norme generali, lette su EUR-Lex il 18/09/2026:

• AI Act, regolamento (UE) 2024/1689: si applica dal 02/08/2026 (art. 113). L'art. 50 impone che chi interagisce con un sistema di AI sia informato di farlo, salvo che sia evidente. Un robot che parla con ChatGPT rientra nel caso.
• Cyber Resilience Act, regolamento (UE) 2024/2847: dall'11/09/2026 i fabbricanti devono notificare le vulnerabilità sfruttate attivamente, con un primo avviso entro 24 ore (art. 14); il resto si applica dall'11/12/2027 (art. 71).
• Regolamento macchine (UE) 2023/1230: si applica dal 14/01/2027 (art. 54).
• GDPR: per l'uso in casa a fini esclusivamente personali non si applica (FAQ 12 del Garante); si applica a chi produce il robot e ne tratta i dati sui propri server, ovunque siano.

Robot con ChatGPT e teleoperazione: chi ascolta (Loona) e chi guarda (NEO)

Loona (KEYi, 499 $ sullo store USA, 549 € sullo store italiano) ha quattro microfoni, una camera 720p e conversa tramite ChatGPT, che gira in cloud: la voce esce di casa per forza. KEYi scrive che «quanto più possibile dell'elaborazione dei dati è fatta direttamente da Loona» (keyirobot.com, 18/09/2026), ma non dice dove sono i server né chi riceve le richieste vocali. Un robot che riconosce i volti e resta in ascolto per sentire il proprio nome è un microfono sempre acceso in salotto.

NEO (1X Technologies, 20.000 $ o 499 $ al mese, consegne USA dal 2026) è l'umanoide da casa che piega il bucato. Funziona in parte con la teleoperazione: 1X la chiama «Scheduled Expert Mode», un esperto dell'azienda «può supervisionare da remoto le sue azioni in orari programmati» (1x.tech/neo, 18/09/2026). Il Wall Street Journal, provandolo, ha riferito che un operatore umano può guardare dentro casa attraverso gli occhi del robot; l'amministratore delegato ha detto che l'azienda ha bisogno dei dati degli utenti per migliorarlo (Euronews, 30/10/2025). Agenda Digitale (03/08/2026) sintetizza il rischio: teleoperatori e archivi aziendali portano «dati, immagini, suoni, abitudini ed emozioni» fuori dalla stanza più privata che abbiamo.

Come proteggerti: rete Wi-Fi separata, Bluetooth spento dopo la configurazione, aggiornamenti, account, cosa non riprendere

Le contromisure raccomandate dai ricercatori di UniPwn (Archyde, 26/09/2025; Interesting Engineering, 01/10/2025), più il buon senso di chi compra usato.

1. Rete Wi-Fi separata. Rete ospiti o VLAN, isolata da computer, NAS e telecamere: se il robot viene compromesso, resta chiuso lì.
2. Bluetooth spento dopo la configurazione. UniPwn passa dal Bluetooth. Fatta la prima connessione, spegnilo dall'app; se il modello non lo permette, tienilo lontano dai luoghi affollati (raggio dell'attacco circa 30 m).
3. Aggiornamenti. Installa i firmware appena escono: sul G1 EDU la 1.5.5.0 chiude le CVE del 2026. Su un usato chiedi la versione installata (vedi la guida all'usato).
4. Account. Un robot usato arriva con l'account del vecchio proprietario scollegato davanti a te, altrimenti lui vede quello che vede il robot. Password unica per l'app.
5. Cloud e telemetria. Go2 Air e Pro camminano e rispondono ai comandi anche offline: lascia il robot senza internet quando non serve. Sul router puoi bloccare le connessioni in uscita verso indirizzi che non riconosci.
6. Cosa non riprendere. Non puntare camere e LiDAR su pianerottoli, cortili, giardini dei vicini o strada: il Garante vieta di riprenderli (vedi sotto). In casa, tieni il robot fuori dalle stanze dove non vorresti una telecamera.
7. Bambini e ospiti. I microfoni registrano anche chi non ha accettato nulla: dillo a chi entra, e spegni il robot quando non serve.

Cosa dice la legge in Italia: rimando alla guida legale e alle FAQ del Garante sulla videosorveglianza domestica

Possedere e usare un cane robot in Italia è legale: lo spieghiamo nella guida legale. Per le riprese valgono le FAQ del Garante sulla videosorveglianza (garanteprivacy.it, lette il 18/09/2026):

• FAQ 12: l'uso di telecamere «nella propria abitazione per finalità esclusivamente personali di controllo e sicurezza» è fuori dal campo del GDPR. Collaboratori domestici e lavoratori vanno comunque informati.
• FAQ 10: l'angolo di ripresa «deve essere comunque limitato ai soli spazi di propria esclusiva pertinenza», escludendo aree comuni (cortili, pianerottoli, scale, autorimesse) e zone di terzi; «è vietato altresì riprendere aree pubbliche o di pubblico passaggio».

Le FAQ non parlano di audio: per i microfoni vale la regola prudente di non registrare gli altri senza dirlo. Per lavoro, eventi o video da pubblicare l'esenzione domestica cade e torna il GDPR pieno.

ℹ️ Questo articolo ha scopo informativo e non è una consulenza legale né un audit di sicurezza. Falle e aggiornamenti cambiano: le date sono quelle delle fonti consultate il 18/09/2026.

Domande frequenti

Un cane robot Unitree può essere hackerato? Sì, è documentato: UniPwn (settembre 2025) dà accesso root via Bluetooth a Go2, B2, G1 e H1, e due CVE del 2026 colpiscono il G1 EDU. Per queste esiste il firmware 1.5.5.0; per UniPwn, al 18/09/2026, nessuna patch è documentata da terzi. Rete separata e Bluetooth spento riducono molto il rischio.

Il robot manda i miei dati in Cina? Per l'Unitree G1 i ricercatori hanno misurato connessioni verso due server cinesi con audio, video, sensori e GPS circa ogni cinque minuti (settembre 2025); Unitree nega di raccogliere dati sensibili senza autorizzazione. Per gli altri produttori l'informativa spesso non lo dice: n.d.

Posso comprare un robot Unitree in Italia dopo il divieto FCC? Sì. Il provvedimento del 28/07/2026 vale negli Stati Uniti e riguarda le nuove autorizzazioni, non i robot già venduti. In Europa non c'è un divieto equivalente; valgono AI Act, Cyber Resilience Act, marcatura CE e GDPR.

Un robot con telecamera in casa viola la privacy? No, se riprende solo i tuoi spazi per fini personali (FAQ 12 del Garante). Diventa un problema se inquadra pianerottoli, cortili, proprietà dei vicini o la strada (FAQ 10), o se pubblichi video con persone riconoscibili.

Cosa controllo su un robot usato per la sicurezza? Versione del firmware, account scollegato dal vecchio proprietario, Bluetooth disattivabile, nessuna modifica non documentata al sistema. Su un Go1 usato, verifica che la backdoor CloudSail (CVE-2025-2894) non sia attiva.

Vuoi sapere quanto vale il tuo robot, con firmware aggiornato e account pulito? Fai la valutazione gratuita di Robolero: modello, anno, ore e stato della batteria, e hai la stima in un minuto. Se poi vuoi venderlo, il mercato di Robolero è aperto a privati e rivenditori.

Fonti

• Interesting Engineering, «Security flaw in Unitree humanoids», 01/10/2025: https://interestingengineering.com/innovation/security-flaw-unitree-humanoids-china (consultato il 18/09/2026)
• ZME Science, rapporto Alias Robotics sul G1 (indirizzi e flussi di telemetria), 27/09/2025: https://www.zmescience.com/science/news-science/cybersecurity-experts-say-these-humanoid-robots-secretly-send-data-to-china-and-let-hackers-take-over-your-network/ (18/09/2026)
• Archyde, «Unitree Robot Hack: Risks, Security & What to Do Now», 26/09/2025: https://www.archyde.com/unitree-robot-hack-risks-security-what-to-do-now/ (18/09/2026)
• RoboticsBiz, «What CVE-2026-8153 and UniPwn reveal about robot safety», 11/08/2026: https://roboticsbiz.com/robot-cybersecurity-vulnerabilities-what-cve-2026-8153-and-unipwn-reveal-about-robot-safety/ (18/09/2026)
• Tech Times, provvedimento FCC del 28/07/2026: https://www.techtimes.com/articles/321890/20260728/fcc-bans-chinese-humanoid-robots-power-inverters-linked-confirmed-backdoors.htm (18/09/2026)
• Humanoid.guide, «Unitree exhibits G1 at IFA amid unresolved security questions», 05/09/2026: https://humanoid.guide/unitree-exhibits-g1-at-ifa-amid-unresolved-security-questions/ (18/09/2026)
• Boschko, «UniBLEed» (CVE-2026-76639 e CVE-2026-76640, cronologia e firmware 1.5.5.0), 27/08/2026: https://boschko.ca/g1-ble-rce/ (18/09/2026)
• MITRE CVE: CVE-2025-2894 (28/03/2025, CVSS 6,6), CVE-2026-8153 (08/05/2026, CVSS 9,8), CVE-2026-76639 (CVSS 8,8) e CVE-2026-76640 (CVSS 7,5), entrambe del 27/08/2026: https://cveawg.mitre.org/api/cve/CVE-2026-76639 (18/09/2026)
• Agenda Digitale, «Robot in casa: chi vede e ascolta davvero quello che facciamo?», 03/08/2026: https://www.agendadigitale.eu/sicurezza/privacy/robot-in-casa-chi-vede-e-ascolta-davvero-quello-che-facciamo/ (18/09/2026)
• Garante per la protezione dei dati personali, FAQ videosorveglianza (FAQ 10 e 12): https://www.garanteprivacy.it/faq/videosorveglianza (18/09/2026)
• Euronews, «This humanoid robot does your cleaning, but a human may peek into your home», 30/10/2025: https://www.euronews.com/next/2025/10/30/sci-fi-meets-chores-this-humanoid-robot-does-your-cleaning-but-human-may-peek-into-your-ho (18/09/2026)
• 1X, pagina NEO («Scheduled Expert Mode», deposito 200 $): https://www.1x.tech/neo (18/09/2026)
• KEYi, scheda Loona (sensori, 499 $) e informativa privacy del 05/02/2023: https://keyirobot.com/en-us/products/petbot (18/09/2026)
• EUR-Lex, regolamento (UE) 2024/1689 (AI Act), art. 50 e 113: https://eur-lex.europa.eu/eli/reg/2024/1689/oj (18/09/2026)
• EUR-Lex, regolamento (UE) 2024/2847 (Cyber Resilience Act), art. 14 e 71: https://eur-lex.europa.eu/eli/reg/2024/2847/oj (18/09/2026)
• EUR-Lex, regolamento (UE) 2023/1230 (macchine), art. 54: https://eur-lex.europa.eu/eli/reg/2023/1230/oj (18/09/2026)
• Catalogo Robolero, `public/models.js` (sensori, prezzi, stati), verificato il 18/09/2026.