Calipia : le blog

Le 28 juillet 2026, la Federal Communications Commission a ajouté à sa fameuse « Covered List » deux nouvelles catégories de produits : les « appareils robotiques avancés », c‘est à dire les robots mobiles humanoïdes et quadrupèdes fabriqués à l’étranger, et les onduleurs connectés utilisés dans les installations solaires et les batteries. Une décision qui peut surprendre de la part d’un régulateur des télécommunications, jusqu’à ce que l’on se souvienne qu’un robot moderne est avant tout un objet connecté équipé de radios Wifi, Bluetooth, parfois cellulaires, ce qui suffit à le faire entrer dans le périmètre de la FCC au même titre qu’un routeur ou un smartphone.

Le mécanisme n’a rien de nouveau. La Covered List existe depuis 2021, année où Huawei, ZTE et Hikvision y ont fait leur entrée. Elle s’est ensuite élargie aux drones en décembre 2025, puis aux routeurs grand public d’origine chinoise en mars 2026. Les robots humanoïdes et les onduleurs en sont donc la troisième vague en dix-huit mois, ce qui dessine une trajectoire assez lisible : Washington traite désormais tout objet connecté et doté d’intelligence embarquée comme une infrastructure critique potentielle, qu’il s’agisse d’un central téléphonique ou d’un robot de préparation de commandes en entrepôt.

Sur le plan technique, la définition retenue par la FCC est précise et mérite d’être lue par tout architecte qui suit ce type de dossier. Est concerné tout appareil dont le déplacement ou le fonctionnement dépend d’un logiciel, d’un firmware ou d’un système d’IA, et qui embarque une connectivité filaire ou sans fil capable de transmettre au moins 200 kilobits par seconde. Sont explicitement exclus les véhicules routiers connectés, le matériel ferroviaire, les aéronefs, les drones déjà couverts par ailleurs, les dispositifs médicaux régulés par la FDA et les bras robotisés industriels fixes de type SCARA. Autrement dit, ce n’est pas la robotique en général qui est visée, mais spécifiquement les machines mobiles, connectées et autonomes, celles que l’on retrouve dans les entrepôts, les usines et bientôt les foyers.

L’argumentaire de sécurité nationale ne relève pas de la posture. Le dossier du groupe de travail cite deux cas concrets. Le premier concerne la vulnérabilité surnommée UniPwn, une faille Bluetooth Low Energy touchant les robots Unitree Go2, B2, G1 et H1, qui permet d’obtenir un accès root et se propage de robot en robot sans intervention humaine, un peu comme un ver informatique se déplaçant sur pattes. Ces machines sont notamment déployées dans des laboratoires de recherche au MIT, à Princeton et à Carnegie Mellon, et aucun correctif n’était disponible au moment de la publication du rapport. Le second cas est celui du développeur français (maintenant en Espagne) Sammy Azdoufal, qui a accédé par accident aux données de 7 000 aspirateurs robots DJI, démontrant qu’un objet a priori anodin peut exposer une flotte entière à la moindre erreur de configuration côté fabricant.

Le contexte de marché explique aussi pourquoi cette décision cible presque exclusivement la Chine. Sur environ 16 000 robots humanoïdes installés dans le monde en 2025, AGIBOT et Unitree en ont livré à eux deux plus de 10 000, quand les acteurs américains comme Tesla ou Figure AI plafonnent à quelques centaines d’unités chacun. Boston Dynamics prévoit de construire une usine aux États-Unis visant 30 000 unités par an, et Tesla produit Optimus sur le sol américain. La mesure protège donc autant une industrie naissante qu’elle répond à un risque cyber, et le calendrier, quelques semaines avant une visite prévue de Xi Jinping à Washington en septembre, ne doit rien au hasard.

Deux nuances méritent d’être signalées avant de crier à la fermeture totale du marché. D’abord, la mesure n’est pas rétroactive : les modèles déjà autorisés ou vendus continuent de fonctionner normalement, seuls les nouveaux modèles sont bloqués. Ensuite, le département de la Défense et le département de la Sécurité intérieure peuvent accorder des exemptions au cas par cas. Un détail savoureux illustre d’ailleurs la porosité réelle des chaînes d’approvisionnement : Nvidia a présenté en juin un design de référence pour robot humanoïde reposant sur le châssis du chinois Unitree, la même entreprise pointée du doigt pour ses failles de sécurité. La frontière entre « robot américain » et « robot chinois » est donc, en pratique, beaucoup plus poreuse que ne le laisse penser un texte réglementaire.

C’est précisément ce point qui devrait intéresser les DSI et RSSI européens. Une interdiction d’importation aux États-Unis ne change rien au profil de risque des flottes de robots Unitree ou consorts déjà déployées dans les entrepôts et usines en Europe, où aucune mesure équivalente n’existe à ce jour. La vulnérabilité UniPwn reste une vulnérabilité, avec ou sans Covered List. Pour un architecte qui intègre aujourd’hui de la robotique mobile dans un environnement industriel, la vraie question n’est pas de savoir si Washington ferme sa frontière, mais si son propre système d’information applique déjà les principes de base qu’on demande depuis des années pour tout objet connecté : segmentation réseau dédiée aux flottes robotiques, gestion rigoureuse des correctifs firmware, inventaire des radios embarquées, et surtout une approche zero trust qui ne présuppose jamais qu’un robot est un simple objet mécanique inoffensif. La géopolitique peut fermer une frontière commerciale, elle ne corrige pas un firmware…