Imaginez pouvoir personnaliser à votre guise l’affichage sur le toit des robotaxis de Waymo, le leader mondial de la conduite autonome. C’est exactement ce qu’a réussi à faire Jane Manchun Wong, une chercheuse en sécurité réputée, en exploitant une fonctionnalité cachée de l’application mobile Waymo.

Wong, qui réside à San Francisco, a partagé sur Twitter une capture d’écran montrant le « dôme » (l’affichage sur le toit) d’une voiture autonome Jaguar I-Pace de Waymo arborant son pseudo Twitter et d’autres caractères de son choix.

« J’ai hacké mon Waymo pour afficher des textes bizarres comme une chaîne vide, ‘wongmjane’, et des emojis comme ID de voiture, svp ne me bannissez pas ou ne corrigez pas ça @waymo lol »

– Jane Manchun Wong sur Twitter

Comment a-t-elle fait ?

D’après Wong, elle a pu personnaliser les caractères en bidouillant l’application mobile Waymo sur son téléphone Android pendant qu’elle attendait l’arrivée du robotaxi.

« La bonne vieille magie qui consiste à tripoter l’appli mobile Waymo. J’imagine que leurs serveurs ne validaient pas la saisie de l’ID de voiture pour les non-employés. Donc pas de ‘jailbreak’ ou de ‘root’ de la voiture elle-même. Tout ce que j’ai fait, c’est changer l’ID de voiture en quelque chose qui va au-delà de ce qu’il accepterait normalement. Un truc plutôt inoffensif je suppose. »

– Jane Manchun Wong

Waymo a rapidement corrigé la faille

Malgré les supplications de Wong, il semble que Waymo ait mis à jour l’application pour empêcher les passagers de personnaliser le dôme comme elle l’avait fait. Quelques jours plus tard, elle a posté une mise à jour indiquant qu’elle ne pouvait plus modifier l’ID de voiture.

Un porte-parole de Waymo a confirmé que Wong avait découvert une fonctionnalité non publiée, et que l’entreprise avait restreint l’accès aux fonctions d’affichage du dôme pour les utilisateurs réguliers.

À quoi sert le « dôme » des Waymo ?

En 2020, Waymo avait annoncé avoir ajouté des LED animées à son dôme pour plusieurs usages :

• Permettre aux passagers d’identifier leur véhicule de jour comme de nuit, surtout quand plusieurs voitures Waymo attendent au même endroit
• Communiquer aux piétons que la voiture leur cède le passage
• Signaler aux cyclistes qu’un passager s’apprête à ouvrir la portière

L’entreprise a également utilisé cet affichage à des fins marketing.

Pas la première fois que Waymo est pris en défaut

Ce n’est pas la première fois que les véhicules et systèmes de Waymo présentent des vulnérabilités. L’an dernier, des chercheurs avaient réussi à berner les capteurs des voitures avec de simples autocollants sur des panneaux routiers.

Même si la personnalisation de l’affichage découverte par Jane Manchun Wong est sans réel danger, elle illustre le fait que les robotaxis, aussi sophistiqués soient-ils, ne sont pas exempts de vulnérabilités.

À mesure que ces véhicules se multiplient sur nos routes, les entreprises comme Waymo devront redoubler de vigilance pour éviter que des individus malveillants n’exploitent d’éventuelles failles, aux conséquences potentiellement bien plus graves qu’un message modifié sur un dôme.