« Qui va payer 500 euros ? Sûrement pas moi » : déterminée à pirater des Meta Ray-Ban, elle emprunte celles de son beau-frère et réussit son pari

Detailed summary

Une chercheuse en sécurité a réussi à exécuter son propre code sur les lunettes connectées de Meta, puis à contourner le correctif de l’entreprise. Les failles, signalées à Meta, ont depuis été corrigées.

Elle se présente sous le pseudonyme de « pamoutaf ». Dans un billet de blog publié le 6 novembre, cette chercheuse spécialiste de la sécurité des applications explique comment elle est parvenue à pirater les lunettes Ray-Ban Meta et à leur faire exécuter son propre code.

Un travail de longue haleine, mené en plusieurs étapes, qui a commencé en juillet 2026. pamoutaf préparait alors Pwn2Own, une compétition qui récompense les hackers ayant réussi à pirater des appareils grand public, et avait choisi de s’attaquer aux lunettes de Meta, qui figuraient parmi les cibles de l’édition précédente.

Restait à mettre la main sur les fameuses lunettes. « Qui va payer 500 euros ? Sûrement pas moi », écrit-elle. Elle explique avoir emprunté pendant quelques semaines la paire de son beau-frère, qui ne s’en servait presque pas.

Première difficulté : les Ray-Ban Meta n’ont pas d’écran. Impossible donc d’explorer directement leur système.

Pour contourner cet obstacle et mettre la main sur le firmware, comprenez le logiciel interne des lunettes, pamoutaf explique s’être tournée vers l’application Meta AI. Un intermédiaire crucial puisqu’il permet de piloter l’appareil depuis un smartphone mais aussi de lui transmettre ses mises à jour.

Après avoir identifié l’adresse à laquelle l’application les télécharge, la chercheuse est parvenue à obtenir un premier fichier « qui semblait prometteur. » Problème, il ne contenait qu’une mise à jour partielle d’environ 156 Mo. En fouillant le code, elle a repéré un paramètre, « device_firmware_full_update_only », qu’elle a activé pour récupérer le firmware complet.

Restait à faire exécuter son propre code par les lunettes. Pour cela, pamoutaf s’est servie du Device Access Toolkit (DAT), un kit de Meta qui permet aux développeurs d’installer un petit programme sur les lunettes, et c’est là que se logeait la faille.

En principe, l’appareil vérifie d’abord la signature de ce programme, une sorte de tampon cryptographique qui garantit qu’il vient bien de Meta.

Opening of the article, excerpted from Numerama. To read the rest, open the article on the publisher's site.