В прошлый месяц, в субботу чуть после полудня, дрон Skydio X10 завис в воздухе. В 200 футах над жилым комплексом в Сан-Франциско. Он был там не для того, чтобы следить за пробками или делать красивые снимки тумана. Он следил за человеком. Тот прятался за припаркованной машиной, не подозревая, что само небо приковало к нему взгляд.
Этот 5-фунтовый аппарат уже преследовал его по всему городу. Он отслеживал его черный внедорожник. Он зафиксировал номерной знак. Он удерживал автомобиль в самой середине кадра объектива, пока тот не остановился.
А затем события приняли еще более странный оборот.
Когда полицейские начали окружать подозреваемого, тот перенес вес с ноги на ногу. Переместился на другую сторону машины. В этот самый момент в кадр ворвался еще один дрон. Второй квадрокоптер Skydio. Его отвлекли от Макдоналдса неподалеку, чтобы он проследил за двумя людьми, вышедшими из внедорожника подозреваемого. Теперь он обеспечивал второй ракурс. За час этот один человек подвергся преследованию со стороны четырех дронов.
Спустя несколько секунд трое офицеров повалили его на землю. Еще полдюжины полицейских прибыли на помощь.
Это не был сценарий шпионского триллера. Это была прямая трансляция. И что самое ужасное? На нее можно было смотреть совершенно бесплатно.
Открытая дверь в интернете
Отдел полиции Сан-Франциско (SFPD) не выкладывал эти кадры на публику. Они так не работают. Как и большинство полицейских управлений США, они рассматривают видео с дронов как конфиденциальные улики и часто отказываются предоставлять их по запросам общественности.
Нет, эта утечка произошла из-за ошибки.
Ее обнаружили исследователи кибербезопасности Сэм Карри (Sam Curry) и Майк Роберт (Maik Robert). Они наткнулись на открытый веб-адрес в платформе Skydio. Он вел на потоки в реальном времени с пяти дронов-наблюдателей SFPD. И не только видео. Всё. Цветные изображения и тепловизоры. Данные о местоположении. Даже имена и адреса электронной почты пилотов, управляющих беспилотниками.
Любой прохожий в интернете мог на это смотреть. Карри и Роберт заметили это лишь случайно.
«Полицейским доверяют определенным образом», — сказал Карри. «Когда вы смотрите прямой эфир, вы видите десятки квартир. Вы видите, как происходят аресты. Обнажение этого является колоссальной проблемой приватности».
Они сообщили в Skydio через два дня после обнаружения ошибки. Трансляцию быстро отключили. Однако к тому времени ущерб был нанесен. Исследователи сохранили почти 48 часов footage (записей) с середины июня.
Шестьдесят видеороликов. Двадцать отдельных полетов. Каждый был снят с трех ракурсов: стандартный цветной режим, тепловые сигнатуры и вид с самого дока для дронов. Wired использовала программное обеспечение для анализа кадров. В одном единственном кадре над перекрестком в центре города алгоритм насчитал 34 человека. В архиве в целом фигурировали десятки четко различимых лиц.
Как это произошло
Skydio — большая рыба в Кремниевой долине. Они продают дроны полиции, пожарным и военным. SFPD приобрел их еще в 2024 году. С тех пор их парк вырос с шести до 98 дронов. Офицеры совершили более 1400 вылетов за менее чем два года.
Но эта утечка не была результатом взлома. Никакой код не был взломан.
Карри и Роберт считают, что сотрудник SFPD просто создал ошибочную ссылку.
Skydio позволяет пользователям создавать «ReadyLinks» для обмена данными в реальном времени. Можно добавить защиту паролем. Можно установить дату истечения срока действия. В декабре прошлого года кто-то создал ссылку на пять дронов. Он оставил ее без защиты. Он установил срок действия на целый год вперед.
Затем кто-то добавил эту ссылку в AlienVault Open Threat Exchange. Это открытая база данных, используемая специалистами по кибербезопасности. Карри и Роберт просматривали все домены Skydio. Ссылка уже была там. Она находилась в активном состоянии шесть месяцев.
Сколько людей смотрело это до них? Мы не знаем.
В своем заявлении SFPD назвал этот адрес «внутренней ограниченной ссылкой». Они утверждали, что она была «неправомерно получена» несанкционированными пользователями. Карри и Роберт находят эту формулировку забавной. Они не обошли никакой защиты. Дверь была просто распахнута настежь.
«Это не было несанкционированным доступом в традиционном смысле», — отметили исследователи. «Аутентификация не требовалась».
Вид сверху
На видеозаписях показано многое. Не только полицейские, арестовывающие людей. Это повседневная жизнь, видимая с высоты птичьего полета, на которую никто не давал согласия.
Есть моменты высокого напряжения. Мужчина с кровавой тряпкой на руке разговаривает с полицией. Офицеры в штатском задерживают кого-то на заправочной станции. Но затем есть остальное. Банальная слежка за обычной жизнью.
Дрон завис над улицей, где жили бездомные. Полиция описала это как расследование «дела с человеком, владеющим ножом». Другой поток часовыми следил за окном многоэтажного жилого дома. Это была проверка благополучия? Поиск пропавшего человека? Записи не были ясными.
Один инцидент касался двух молодых мужчин, обозначенных как «подозрительные лица в автомобиле» по заявлению об угоне авто. Они приехали на баскетбольную площадку. Начали играть в баскетбол. Дрон улетел. Была ли слежка необходима? Кто знает.
Другой полет был сфокусирован на опьяневшем мужчине, безвольно лежащем на тротуаре. В записях значилось «человек с оружием».
Другой дрон следил за молодым человеком в наушниках, сидящим в одиночестве на крыше. Просто отдыхающим. Затем полицейский дрон сделал резкое приближение прямо в его лицо перед тем, как улететь.
«Это ощущалось как вторжение в личное пространство», — сказал Карри. «Этот человек думает, что он один. Он убежал от всех. Но есть дрон, который на него смотрит».
SFPD утверждает, что дроны используются только для активных расследований и погонь. У них есть правила. Операторам сказано избегать записи посторонних людей. Отводить камеры, если ожидается приватность.
Но утеченные потоки захватывали миссии целиком. От взлета до посадки. Они записывали улицы, дворы, машины и случайных прохожих. Людей, не имеющих никакого отношения к каким-либо преступлениям.
Джей Стэнли (Jay Stanley) из ACLU называет полицейские данные «токсичным активом». Они рано или поздно утекают. Он argues (утверждает), что агентства должны минимизировать то, что они записывают. Выключать камеры, когда это возможно.
Проблема в масштабируемости. Возможно, ни один человеческий офицер не смотрит каждый кадр этого видео. Но ИИ может. ИИ не спит. Он может обрабатывать терабайты видео, находя паттерны, которые люди пропускают. Технология мощная. И прямо сейчас. Она кажется неконтролируемой.
SFPD говорит, что ужесточил свои протоколы после утечки. Они отрицают, что кто-то еще смотрел этот поток. Расследование все еще продолжается.
Дроны все еще летают. Парк продолжает расти. Мы не знаем, что записывается сегодня. Мы просто надеемся, что никто не найдет следующую ссылку.
