Stačí deštník a autonomní dron spadne k zemi. Kalifornští vědci odhalili slabinu, kterou nelze opravit softwarem

Speciální vzor na deštníku dokáže oklamat kameru dronu tak, že stroj sám přiletí na dosah a narazí. U 2 ze 3 testovaných modelů končil pokus pádem.

Zdroj fotografie: Unsplash

Devítičlenný tým z University of California v Irvine představil na konferenci NDSS 2026 v San Diegu výzkum pojmenovaný FlyTrap. Ukázal v něm, že běžně prodávané drony s autonomním sledováním lze přimět, aby se samy přiblížily k člověku na nebezpečně krátkou vzdálenost, a to čistě vizuálním trikem. Nástrojem útoku je obyčejný deštník potištěný speciálním vzorem navrženým pomocí umělé inteligence. Dron vzor vyhodnotí tak, že se sledovaná osoba vzdaluje, a automaticky přiletí blíž. U modelů DJI Neo a HoverAir X1 přitažení vedlo ke kolizi a pádu v 60, respektive 80 procentech testovacích letů. Slabina přitom není chybou v jednom řádku kódu, kterou by šlo záplatovat jednoduchou aktualizací firmwaru. Tkví v samotné architektuře, v níž drony propojují kamerový obraz s řízením vzdálenosti, a právě proto ji autoři označují za systémový problém, který dosavadní obranné mechanismy nedokázaly spolehlivě zastavit.

Jak deštník oklame oči dronu

Autonomní sledovací režimy (DJI je prodává jako ActiveTrack, u Nea jde o Subject Tracking, HoverAir mluví o ShadowTrack) fungují na jednoduchém principu. Kamera identifikuje člověka, software kolem něj vykreslí sledovací rámeček a dron pak udržuje takový odstup, aby rámeček zabíral stále stejnou část obrazu. Když se člověk vzdaluje, rámeček se zmenšuje a dron přidá plyn, aby „dorovnal“ vzdálenost.

Právě tuto logiku FlyTrap zneužívá. Vzor na deštníku způsobí, že se sledovací rámeček uměle smrští; dron to interpretuje jako vzdalování cíle a sám přiletí blíž. Člověk přitom stojí na místě. U DJI Mini 4 Pro výzkumníci takto stáhli stroj na dosah sítě, kterou ho mohli fyzicky zachytit. U menších modelů DJI Neo a HoverAir X1, které továrně sledují z pouhých dvou metrů, přiblížení skončilo přímou kolizí.

Proč nestačí softwarová záplata

Klíčové zjištění studie není v tom, že by konkrétní firmware obsahoval opravitelnou díru. Problém je o úroveň výš: celá architektura kamera → sledovací algoritmus → řízení vzdálenosti spoléhá na to, že vizuální vstup odpovídá realitě. Jakmile útočník dokáže tento vstup zmanipulovat, řetězec se může zhroutit bez ohledu na verzi softwaru.

Tým vedený Šao-jüan Siem a seniorním autorem Čchi Alfredem Čenem navíc otestoval dvě existující detekční obrany, které měly podobné manipulace odhalit. FlyTrap je obešel. Další známé obranné techniky pro sledovací algoritmy sice teoreticky existují, ale podle autorů nejsou dostatečně rychlé pro nasazení v reálném čase za letu. Formulace „nelze opravit softwarem“ tedy neznamená, že žádná budoucí obrana nikdy nevznikne. Znamená, že běžný firmware patch jednoho modelu nestačí; byla by nutná zásadní změna architektury vnímání, případně doplnění dalších senzorů, které ověří vzdálenost nezávisle na kameře.

Tři drony, tři výsledky

Praktické testy proběhly na třech komerčně dostupných strojích, ke kterým výzkumníci neměli přístup k internímu kódu. Šlo o takzvané black-box experimenty:

• DJI Mini 4 Pro – dron s ActiveTrack 360° se podařilo přitáhnout na dosah fyzického zachycení sítí. Stroj sám nespadl, ale ztratil bezpečný odstup.
• DJI Neo – menší selfie dron s tovární sledovací vzdáleností kolem dvou metrů. V 60 % testů skončil kolizí a pádem.
• HoverAir X1 – autonomní „létající kamera“ se ShadowTrackem. Pád nastal v 80 % pokusů.

Rozdíly mezi modely naznačují, že Mini 4 Pro disponuje určitými vnitřními kontrolními mechanismy, které levnější stroje postrádají. Ani ty ale nezabránily samotnému přitažení.

Nenápadnost jako zbraň

Jeden z nejpřekvapivějších výsledků přinesla studie se dvěma sty respondenty. Výzkumníci se ptali, zda by jim přišlo podezřelé, kdyby někdo venku za sucha držel deštník. Téměř 79 procent lidí to nepovažovalo za neobvyklé. A jen necelých šest procent označilo samotný potištěný vzor FlyTrap za podezřelý. Útok je tedy nejen technicky účinný, ale i sociálně nenápadný.

Vytvoření fungujícího vzoru ovšem není triviální. Autoři použili AI optimalizaci přizpůsobenou zakřivenému povrchu deštníku, simulaci postupného přibližování dronu a kontrolu časoprostorové konzistence. Nejúčinnější varianta dosáhla v laboratorních testech průměrné přenositelnosti 18,2 procenta napříč různými sledovacími algoritmy, a přesto v reálných pokusech oklamala všechny tři testované komerční modely.

Co to znamená pro bezpečnost a pro Česko

Studie výslovně varuje, že stejný princip kamerového autonomního sledování se používá i v policejním dohledu, ostraze hranic nebo průmyslové inspekci. Testované stroje jsou sice spotřebitelské, ale architektura je sdílená. Autoři oba výrobce, DJI i HoverAir, informovali ještě před zveřejněním výzkumu. Veřejná reakce ani termín případné opravy ale zatím nejsou známy.

V českém kontextu Policie ČR prokazatelně pracuje s bezpilotními systémy a Armáda ČR veřejně uvádí využití platformy DJI Matrice 300 RTK. Zda české složky provozují stejné sledovací funkce jako testované modely, z otevřených zdrojů potvrdit nelze. Protidronová problematika je ale i u nás živé téma; Vojenská policie nedávno řešila rozšíření pravomocí právě proti nebezpečným bezpilotním strojům.

Pro majitele spotřebitelských dronů se sledovacím režimem z výzkumu plyne jedno praktické doporučení: ve veřejném prostoru, kde se k dronu může někdo dostat na pár metrů, je rozumné nespoléhat výhradně na autonomní tracking. A pro bezpečnostní složky ještě důraznější: čistě kamerové autonomní sledování bez lidského dohledu a bez nezávislého senzorového ověření nemusí být tak spolehlivé, jak se dosud předpokládalo.

Deštník samozřejmě není univerzální „vypínačka“ všech dronů. Útok funguje jen proti strojům s aktivním kamerovým sledováním, v konkrétní geometrii scény a se vzorem optimalizovaným pro daný typ trackeru. Jenže právě v tom je jeho síla: nepotřebuje rušičku, hacknutí ani fyzický kontakt. Stačí stát na místě a nechat dron, aby si přiletěl sám.