Akıllı uyku maskesi kullanıcıların beyin dalgalarını herkese açık bir MQTT broker’ına gönderiyor

• Kickstarter üzerinden satın alınan akıllı uyku maskesinin kullanıcıların beyin dalgası verilerini dışarıya gönderdiği ortaya çıktı
• Maske, EEG sensörleri, elektriksel uyarım (EMS), titreşim, ısıtma ve ses özelliklerini bir arada bulunduran birleşik bir donanımdan oluşuyor
• Uygulama analizi sırasında tüm cihazların paylaştığı, sabit kodlanmış MQTT broker kimlik bilgilerinin bulunduğu keşfedildi; bu da üçüncü tarafların tüm cihazların gerçek zamanlı verilerini alabilmesini mümkün kılıyor
• Gerçekten de yaklaşık 25 cihazın gerçek zamanlı beyin dalgaları, sıcaklık, nem, CO₂ ve varlık algılama verilerini herkese açık broker’a gönderdiği doğrulandı
• Aynı kimlik bilgileriyle elektriksel uyarım komutları göndermek de mümkün olduğundan, kullanıcı güvenliği ve kişisel verilerin korunması açısından ciddi bir risk bulunuyor

---

Akıllı uyku maskesinin yapısı ve işlevleri

• Kickstarter üzerinden temin edilen maske, Çinli küçük bir araştırma şirketi tarafından üretilen bir ürün ve EEG tabanlı beyin dalgası ölçümünün yanında elektriksel kas uyarımı (EMS), titreşim, ısıtma ve ses oynatma işlevleri içeriyor
• Uygulamanın kalitesi düşüktü ve bağlantı sık sık kopuyordu; bu yüzden Bluetooth protokolü tersine mühendislikle incelenerek doğrudan bir web kontrol paneli geliştirildi
• BLE taraması sonucunda iki veri kanalı bulunduğu görüldü (komut gönderimi için ve veri akışı için), ancak standart bir protokol yerine özel bir biçim kullanıldığı için yanıt alınamadı

Uygulamanın tersine mühendislik süreci

• Android APK, jadx ile decompile edildiğinde uygulamanın Flutter tabanlı olduğu anlaşıldı
  • Flutter, Dart kodunu ARM64 yerel koda derlediği için normal Java uygulamaları gibi geri dönüştürülmesi kolay değil
• İkili dosyada strings komutuyla sabit kodlanmış broker kimlik bilgileri, bulut API uç noktaları, 15 komut işlevinin adı ve paket yapısına dair bilgiler çıkarıldı
• Ardından blutter aracı kullanılarak Dart snapshot’ı analiz edildi ve komut baytlarının tamamı geri kazanıldı

Cihaz kontrolünün başarıyla sağlanması

• 6 baytlık bir sorgu gönderildikten sonra cihaz 153 baytlık bir yanıt döndürdü
  • Model adı, firmware sürümü, seri numarası, 8 sensör kanalının yapısı (EEG 250Hz, solunum, 3 eksenli ivmeölçer, 3 eksenli jiroskop) ve %83 pil bilgisi dahil
• Titreşim, ısıtma, EMS ve müzik kontrolü sorunsuz biçimde çalıştı
• Web panosunda kaydırıcılarla her işlevin kontrol edilebilmesi sağlandı

MQTT broker maruziyeti

• Uygulama içinde sabit kodlanmış kimlik bilgileriyle MQTT broker’a bağlanıldığında, tüm cihazlardan veri alındı
  • Yaklaşık 25 cihaz aktifti ve uyku sırasında EEG verileri, hava kalitesi verileri (sıcaklık, nem, CO₂) ile varlık algılama bilgilerini gönderiyordu
• İki kullanıcının sırasıyla REM uykusunda ve yavaş dalga uykusunda (4Hz altı delta dalgaları) olduğu görüldü
• Tüm cihazlar aynı kimlik bilgilerini kullandığı için, dışarıdan birinin elektriksel uyarım komutları gönderebilme ihtimali bulunuyor

Güvenlik sorunu ve alınan önlemler

• Ürün adı ve şirket adı açıklanmadı; bunun yerine üreticiye sorun bildirildi
• Olay, kişisel veri koruması ve IoT güvenlik yönetimindeki ciddi boşlukları gözler önüne seriyor
• Yazar, Karpathy’nin ‘Digital Hygiene’ yazısının yeniden okunmasını öneriyor ve dijital hijyenin önemini vurguluyor

Ek bilgiler

• Tersine mühendislik süreci, Claude (Opus 4.6) modeli tarafından yaklaşık 30 dakika boyunca otonom şekilde yürütüldü
• Sonrasında bu vaka Hacker News’te 1 numaraya yükseldi ve ilgili konuşma kayıtları paylaşıldı

[GN⁺]

Hacker News yorumları

• Kickstarter'da ürünü piyasaya hızla çıkarmak için her türlü kestirme yolu seçen çok sayıda proje var
  Ben de birkaç projede başarılı oldum ama destek verirken çok temkinliydim
  Eskiden endüstriyel tasarımcılar mühendisliği sadece taşerona verilebilecek bir kaynak gibi görüp para topladıktan sonra işi en düşük fiyatlı yere vermeye çalışırdı
  Ama çoğu ya başarısız oldu ya da zarar etti. Şimdiyse LLM'ler sayesinde yazılım ya da firmware 'ücretsiz' gibi göründüğü için, eskiden zor olduğu için vazgeçilen fikirler yeniden ortaya çıkıyor
  • Bugün gelinen noktada, LLM'lerin en ucuz mühendislik taşeronundan daha güvenli bir çıktı vereceğine inanıyorum
  • Firmware'i LLM'in bedavaya üreteceğini düşünen kişiler muhtemelen bunu gerçekten hiç kullanmamıştır
• Sorunun, beyin dalgalarının sunucuya gönderilmesi olduğunu düşünüyorum
  Ben bir sinirbilimciyim; EEG verisini 'zihin okuma' olarak görmüyorum ama beyin verisinin mahrem olmaması çok kötü bir emsal
  • “Bu kişi şu anda uyuyor” gibi bilgi bile mahremiyet ihlali olabilir
    Bu tür veri sızıntıları toplumsal olarak olumsuz etkiler yaratabilir
  • İnsanlar sadece e-postayı biraz daha kolay gönderebilmek için bile kendi beyin dalgası verilerini vermek üzere sıraya girecek gibi görünüyor
  • EEG ile uyanıklık düzeyi okunabilir; bu da hırsızlar için faydalı bir bilgi olabilir. Yavaş beyin dalgası durumundaki cihaz ideal bir hedef olur
  • Böyle bir cihazın araştırma için ne kadar faydalı olacağını merak ediyorum. Ben sinirbilimci değilim, o yüzden bilmiyorum
  • Sağlık verileriyle ilgili mahremiyet konusunda halihazırda hukuki emsaller olduğunu düşünüyorum
• Elbette etik dışı olurdu ama bu teknolojiyle insanların beyin dalgalarını okuyup başka birinin maskesine sinyal gönderen bir ortak rüya cihazı yapılabilir gibi görünüyor
  Dünyanın her yerindeki insanların aynı anda aynı rüya değişimlerini yaşaması fikri, bir bilimkurgu romanı için kusursuz malzeme
  • Eğer yaptığınız iş için Hans Zimmer soundtrack'i gerekiyorsa, büyük ihtimalle kötü taraftasınızdır
  • Bu, Paprika filminin konusu
  • Dreamscape (1984) de benzer bir kurguya sahip
  • Bana Inception'ı hatırlatıyor
• Bu açıkça bir güvenlik felaketi ama sunucu bağlantısı olmadan da çalışabilen, hacklenebilir bir EEG uyku maskesi olsaydı oldukça havalı olurdu
  Her seferinde elektrot jeli sürmek gerekmese daha da iyi olurdu
• IoT'deki S, Security anlamına gelir
  Ben kişisel veri olmayan verilerle hızlı prototip yaparken açık MQTT kullandım ama bulut sağlayıcısı DDoS aktarma riski nedeniyle durdurmamı istedi
  Bu deneyim yüzünden, uyku maskesi şirketi kimlik doğrulama ya da yetkilendirme yapsa bile ona güvenmek zor
  • IoT'de zaten S yok diye şaka yapıyor
  • Bir de IoT'deki P'nin Privacy, Q'nun Quality, K'nin Ka-ching! anlamına geldiği esprisini ekliyor
• Ben Affectable Sleep'in kurucusuyum
  Bu örnek, wellness cihazı düzenlemelerindeki açığı çok iyi gösteriyor
  Uygulamalar ve veriyle ilgili kuralların yakın dönemde gevşetilmiş olması olumlu ama veri güvenliği gereksinimleri mutlaka olmalı
  Bizim şirkette tüm algoritmalar ve işleme cihaz üzerinde yapılıyor, sunucuya aktarılan tüm veriler de şifreleniyor
  Bu kadar temel şeyleri bile yapmayan bir şirkete nasıl güvenilebilir, gerçekten merak ediyorum
• Bu projenin prompt geçmişini merak ediyorum
  Yazıdan, Claude'un APK'yi kendi başına çıkarıp decompile etmiş gibi bir izlenim doğuyor; gerçekte insan müdahalesinin ne kadar olduğunu bilmek isterim
  • Müdahale neredeyse hiç yoktu. Mümkünse kayıtları bulup paylaşacağım
  • Bu tür canlı AI demoları çok az. Gerçekten o kadar otonom çalışıyorsa birinin bunu yayın açarak göstermesi gerekirdi
• Çoğu kişi sorunlara odaklanıyor ama bence daha ilginç olan, Claude'un reverse engineering işini iyi yapmış olması
  Böyle bir analiz düzeyi kolaylaştıkça yapay zeka açısından yeni sonuçlar doğabilir
  • Katılmıyorum. Sadece strings çalıştırmak ve bir decompiler kullanmak son derece temel adımlar
    Rastgele denemeleri tekrar etmek sadece hesaplama kaynağı israfı
• “Yabancı birinin beyin dalgalarını okuyup ona elektriksel uyarı gönderebilir hale geldik” cümlesi neredeyse bir Philip K. Dick romanından çıkmış gibi
• İnternete bağlı bir uyku maskesi aldıysanız veri toplaması ve güvenliğinin kötü olması zaten beklenen bir şey
  Asıl şaşırtıcı olan, bu şirketin verimlilik için MQTT kullanmayı düşünmüş olması
  Güvenlik tabii ki berbat ama bant genişliğinden tasarruf etmeye çalışmış olmaları yine de ilginç
  • Ama sonunda herkesin verisini akış halinde göndererek bu avantajı da ortadan kaldırıyor