連邦通信委員会（FCC）は7月28日、外国製のモバイルロボットとネットワーク接続型パワーインバーターを「Covered List」に追加しました。この措置により、新モデルは米国への輸入、販売、または販売に必要な機器認証を受けられなくなります。

以前に認証を受けたモデルは引き続き販売可能で、既に所有している機器は影響を受けません。連邦政府による購入や使用も今回のFCC措置の影響を受けません。

以前に認証された機器は、セキュリティや互換性に関するアップデートを引き続き受け取ることができます。一方、FCC規則では、Class IおよびClass IIの許容変更に関する認証手続きから対象機器を除外しています。

FCCの工学技術局は同日、免除措置を認め、少なくとも2029年1月1日まで、「脆弱性のパッチ適用や異なるオペレーティングシステムとの互換性向上」を目的としたソフトウェアおよびファームウェアの変更を認めました。

製造事業者はFCCを通じて条件付き承認を申請できます。ロボット機器については国防総省（DoW）が、パワーインバーターについてはDoWまたは国土安全保障省（DHS）が承認を担当します。申請は2028年1月1日までに行う必要があります。

いずれのカテゴリもブランドや国名で定義されていません。この措置の背景にある2件の国家安全保障判断（7月27日にFCCに提出）によれば、「外国製」とは、48 CFR 25.101(a)のBuy American基準に基づく「国内最終製品」に該当しない品目を指します。

Cybersecurity

ロボットの定義は、地上移動、障害物回避、またはナビゲーションが可能で、人間オペレーターから離れた場所でコマンドやセンサーデータにより操作できる機械式モバイル機器を対象とします。重量はドックや地上局を含め4.4ポンドを超え、環境センサーを搭載し、双方向で200 kbps以上の有線または無線通信をサポートする必要があります。

さらに、移動、知覚、データ収集、または遠隔指令・制御を制御するソフトウェアをローカルまたはリモートで実行する必要があります。このソフトウェア要件には、ファームウェアおよび人工知能や機械学習モデルの重みも含まれます。

インバーターの定義は、直流と交流を相互変換し、リモート通信、制御、センシング、データ収集、または監視のためのコンポーネントを備えたシステムを対象とします。

FCCの7月28日のパッケージには、対象となる製造事業者やモデルの具体的なリストは含まれていません。適用範囲は製造・技術基準に基づきますが、国家安全保障判断では根拠として特定の事業者、製品、事件が挙げられています。

ロボットに関する判断では、3件の公開セキュリティレポートが引用されています。1件は2026年初頭に研究者が数千台の家庭用ロボットからカメラ映像、マイク音声、間取り図にアクセスできた事例を報告したものです。

また、UniPwnと呼ばれる研究が引用されており、Bluetooth Low Energy関連のCVE4件（CVE-2025-35027を含む）が記録されています。この攻撃チェーンにより、研究者はGo2、B2、G1、H1の各機種でルートコマンド実行が可能となり、Bluetooth Low Energy（BLE）を介して近隣機器へ拡散する可能性がありました。3件目はCVE-2025-2894で、適切なAPIキーを持つ者なら誰でもCloudSailサービスを通じてUnitree Go1四足歩行ロボットを完全に遠隔操作できる脆弱性です。

FCCのファクトシートでは、このカテゴリを「人間型や四足歩行型などのモバイルロボット」と表現していますが、判断文書ではより広範に定義されています。一定重量以上の道路車両、鉄道専用機器、無人航空機、無人水中ビークル、FDA規制の医療・移動支援機器、SCARA、ガントリー、デルタ型の固定式産業用アームは除外されます。これらの除外対象に該当しない機器で、閾値を満たすものが対象となります。

Cybersecurity

インバーターに関する判断では、リモートアクセスにより機器の停止、データ窃取、監視、重要インフラへのサイバー攻撃の支援が可能になると指摘されています。ForescoutのSUN:DOWN研究では、Sungrow、SMA、Growatt製品にわたる46件の脆弱性が報告され、フリート操作や送電網の不安定化の可能性が示されていますが、実際の障害は観測されていません。

判断文書では、供給チェーンおよびリモート接続のリスクに関するIdaho National Laboratoryの報告、最悪のシナリオにおける送電網の急速な崩壊の可能性に関するERCOTの報告、外国メーカーによる米国代理店との紛争後のインバーター遠隔無効化事例も引用されていますが、企業名は明記されていません。

FCCのパッケージはこれを予防的な供給チェーン対策として位置づけており、展開済みのロボットやインバーターに対する確認された積極的な攻撃キャンペーンは特定していません。

これは、2025年12月の外国製ドローンおよび2026年3月のコンシューマールーターに続く、3件目のカテゴリ単位でのCovered List措置です。

この記事が興味深かったですか？ Google News、Twitter、LinkedInでフォローして、The Hacker Newsの独占コンテンツをぜひご覧ください。