Sammy Azdoufal voulait juste s’amuser. Ce développeur français de 32 ans, responsable IA chez Emerald Stay et installé à Barcelone, venait de s’offrir un DJI Romo, le tout premier aspirateur robot du géant chinois des drones, vendu 1 300 euros. Son idée : le piloter avec sa manette PlayStation 5, « juste pour le fun ». Six semaines plus tard, il avait accès aux caméras, aux micros et aux plans détaillés de 7 000 logements répartis dans 24 pays.
Un token, zéro contrôle d’accès, 7 000 maisons ouvertes
De la manette PS5 à l’armée de robots
Pour connecter sa manette à son aspirateur, Azdoufal utilise Claude Code, l’assistant de programmation d’Anthropic, afin de décompiler l’application Android de DJI et comprendre comment le robot communique avec les serveurs du fabricant. Il extrait le token d’authentification de son propre appareil, une clé numérique qui prouve qu’il en est le propriétaire. Jusque-là, rien d’illégal.
Sauf que le serveur MQTT de DJI, le protocole qui gère la communication entre les aspirateurs et le cloud, ne vérifiait pas quel appareil appartenait à quel utilisateur. En neuf minutes, Azdoufal a vu défiler les données de 6 700 robots actifs : numéros de série, niveaux de batterie, pièces en cours de nettoyage. Plus de 100 000 messages collectés.
Caméras, micros, plans des appartements
Le plus inquiétant n’était pas les données de nettoyage. C’étaient les flux vidéo en direct, les micros activables à distance et les plans 2D précis générés automatiquement par les robots lorsqu’ils cartographient les pièces. Avec un simple numéro de série à 14 chiffres, Azdoufal a pu localiser l’aspirateur d’un journaliste de The Verge depuis Barcelone, confirmer qu’il nettoyait le salon à 80 % de batterie, et reconstituer le plan complet de son logement.
« Je n’ai enfreint aucune règle, je n’ai rien contourné, rien cracké, rien brute-forcé. Le serveur m’a juste donné les clés de tout le monde. »
Un mécanisme qui rappelle comment une simple mise à jour peut transformer une extension de navigateur en spyware : l’utilisateur ne fait rien de mal, mais l’infrastructure trahit sa confiance.
DJI nie, puis corrige, mais pas tout
Alerté par Azdoufal et The Verge, DJI réagit d’abord par le déni. La porte-parole Daisy Kong affirme que la faille a été corrigée, mais trente minutes plus tard, Azdoufal démontre en direct que des milliers de robots continuent de remonter leurs données. DJI finit par publier deux correctifs les 8 et 10 février 2026, déployés automatiquement.
Mais l’histoire ne s’arrête pas là. Au 17 février, Azdoufal avait identifié au moins deux failles supplémentaires non corrigées. L’une permet de visionner le flux caméra de n’importe quel Romo sans le code PIN de sécurité. L’autre est jugée suffisamment grave pour que The Verge refuse d’en publier les détails. DJI promet un correctif « dans les semaines à venir ». Et cerise sur le gâteau : les batteries portables DJI Power, qui utilisent la même infrastructure MQTT, étaient elles aussi exposées.
« C’est tellement bizarre d’avoir un microphone sur un putain d’aspirateur. »
Pourquoi cette affaire nous concerne tous
L’IA abaisse la barrière d’entrée du hacking
Ce qui rend cette histoire inédite, c’est qu’Azdoufal n’est pas un chercheur en sécurité professionnel. Il a utilisé un assistant IA grand public pour reverse-engineerer un protocole industriel en quelques heures. Comme le souligne Malwarebytes, les outils d’IA élargissent drastiquement le nombre de personnes capables de sonder les objets connectés, le même phénomène que celui observé avec les fausses extensions IA sur Chrome, où des attaquants non sophistiqués industrialisent leurs campagnes grâce à des outils automatisés.
Un micro et une caméra dans chaque pièce
Le DJI Romo n’est pas un cas isolé. En 2024, des hackers avaient pris le contrôle d’aspirateurs Ecovacs Deebot X2 aux États-Unis, hurlant des insultes via les haut-parleurs et poursuivant des animaux domestiques. D’autres marques, Dreame, Narwal, ont été épinglées pour des failles similaires. Le même problème de fond : des appareils qui collectent bien plus de données que ce que l’utilisateur imagine, stockées sur des serveurs distants avec une sécurité minimale.
La réglementation arrive. Le Cyber Resilience Act européen imposera la sécurité « by design » à tous les objets connectés d’ici décembre 2027, avec des amendes jusqu’à 15 millions d’euros.
En attendant, Sammy Azdoufal a fini par atteindre son objectif initial : il peut désormais piloter son DJI Romo avec sa manette PS5. Mais sa petite expérience aura surtout montré que dans la maison connectée, la vraie question n’est plus ce que font les appareils, c’est qui peut les regarder faire.
