舊金山警察局 Skydio 無人機監控畫面遭誤設為公開，敏感影像與飛行員資訊外洩六個月

分享連結設定失誤，執法無人機監控畫面全面外洩

舊金山警察局（SFPD）一起重大資安事件近日曝光：該局使用的 Skydio 無人機系統因分享功能設定錯誤，導致執法任務的即時影像、敏感熱成像資料與飛行員個人姓名，在毫無加密保護的情況下，於公開網路上遭到曝光長達約六個月，直至兩名資安研究人員發現才被揭露。

設定疏漏的機制與時間線

據報導，漏洞起因於 Skydio 無人機系統的分享功能未設定存取控制與身份驗證機制。相關共享連結完全暴露在網路上，任何人只要取得該連結，無須輸入密碼或任何驗證方式，即可直接觀看 SFPD 正在進行的執法任務即時畫面。在長達六個月的暴露期間，無人機攝影機捕捉的所有內容——包括高度敏感的熱成像影像，以及負責操作無人機的飛行員完整姓名——都處於完全開放狀態。

這意味著任何具有網路連結的人，無論其身份或意圖，都能監看 SFPD 執法行動的即時動態，堪稱執法機關資料安全管理的重大失職。

資安研究人員的發現與公開

該漏洞最終由兩名資安研究人員在例行安全審查中發現，並隨後予以公開披露。這一揭露立刻引發業界與公眾對執法機關網路資安能力的高度質疑。

多面向的安全與隱私威脅

此事件暴露出的風險遠超單一技術缺陷：

執法行動安全威脅：即時無人機畫面若被不當行為者取得，可能洩露 SFPD 當前執勤位置、人員配置、行動模式，危及執法人員與案件對象的安全。

敏感影像資料外洩：熱成像畫面極具敏感性，能精確追蹤人員位置與活動模式，在犯罪分子手中可能成為對抗執法的情報工具。

個資隱私侵害：飛行員姓名的曝光涉及個人隱私權，更直接危及操作人員的人身安全，可能遭到騷擾或威脅。

組織資安流程缺失：此事凸顯 SFPD 在部署商業無人機系統時，缺乏基本的資安設定審查、定期檢查與安全認知訓練。

對無人機生態的警示

此案例重新點燃執法機關與商業組織在採購商用無人機時需要關注的核心問題。無人機廠商不應單純依賴預設設定，應在產品出廠時即內建嚴格的資料安全機制。Skydio 作為美國主要商用無人機製造商，此事件對其產品安全設計哲學提出直接質疑。

同時，執法機關與各類組織在部署無人機時，應建立完整的資安治理框架：包括嚴格的存取控制政策、定期的系統設定審查、全員資安意識培訓，以及應急應變程序。涉及即時影像串流的功能尤其需要多層防護。

目前尚無正式報導指出 SFPD 或 Skydio 針對此事件發表的官方聲明或採取的補救措施，但可預期此事將進一步推動政府採購無人機系統時對資安合規的重視。