Il 1° novembre 2026 sono stati pubblicati resoconti secondo cui Xusheng Li, ricercatore di sicurezza, avrebbe trovato file non cifrati sulla scheda interna della Lenovo ThinkPlus FU100, commercializzata con cifratura AES-256. Il lettore di impronte consentiva di attivare la connessione USB, ma non cifrava i dati. Codex è stato usato in analisi successive del software di protezione di altri fornitori.
Che cosa avrebbe trovato Li nella FU100
Cifratura e autenticazione svolgono compiti diversi: la prima rende i dati illeggibili senza la chiave corretta; la seconda controlla chi può accedere a un dispositivo. Secondo quanto riferito, sulla FU100 l’impronta controllava l’accesso alla connessione USB, mentre i file sulla scheda interna restavano in chiaro.
Il ruolo di Codex nelle analisi successive
Li avrebbe usato OpenAI Codex insieme a strumenti di reverse engineering per esaminare software di protezione di altri produttori. Nei test descritti, l’analisi del software Netac avrebbe richiesto circa sette minuti e avrebbe individuato una chiave fissa e la password dell’utente nei log diagnostici. In circa 26 minuti, Li avrebbe ricostruito la password interna di USB Copy Protection di KakaSoft e decrittato un file di prova senza quella dell’utente. Per Copy Secure di Nexcopy, il test sarebbe durato circa dieci minuti: Li avrebbe individuato un certificato nell’applicazione di visualizzazione capace di sbloccare una chiave. Sono tempi riferiti a quelle singole prove.
Un SDK comune era usato da altri nove dispositivi di archiviazione esaminati da Li. La maggior parte avrebbe potuto rivelare le password; due conservavano i dati senza cifratura su schede microSD.
La TSD303 aveva un problema diverso
I dati della Lenovo TSD303 risultavano cifrati, ma nella versione iniziale la password corretta veniva trasmessa in chiaro via USB perché il software la confrontasse. Una prima correzione avrebbe adottato una chiave derivata da un valore simile a un timestamp, ricostruibile dal software Lenovo. In una correzione successiva, sarebbe stata l’unità stessa a verificare la password inserita.
Gli interventi Lenovo descritti
I resoconti attribuivano a Lenovo correzioni per FU100, FU200, TU800 e TSD303. La procedura descritta per la Cina prevedeva di contattare il servizio Lenovo per concordare una sostituzione o un aggiornamento del firmware sul posto. Lenovo raccomandava di eseguire un backup e di cancellare i dati prima di restituire l’unità. L’avviso Lenovo citato classificava la gravità come alta e indicava tre CVE; uno riguardava un utente locale già connesso, che poteva aggirare l’autenticazione del dispositivo e registrare un’impronta non attendibile.
