2024年一季度，中國汽車市場延續了2023年的風格，核心就是“卷”。
2023年，大陸汽車市場爆發“最強價格戰”，燃油車的市場空間不斷被擠壓，如今隻剩下最後一口氣。近日乘聯會釋出4月1-14日最新資料，新能源（智能）汽車滲透率首次突破50%，兩者地位不知不覺間已經逆轉。
與此同時，智能汽車的技術發展可謂一日千裡，各種新興技術快速落地應用。僅一兩年的時間，智能駕駛快速從高端走向了普及，AI大模型已經成功落地應用，智能座艙正在成為新車的核心競争力，智能互動更是行業标配。
随着智能汽車繼續朝着智能化、網聯化發展，V2X智慧出行已經可以預見，汽車也不再隻是一個交通工具，而是集出行、通信、互動、娛樂等于一體的新終端，是“網際網路+”時代網絡空間的延伸。
随着新能源汽車的上半場——汽車電動化逐漸結束，以“智能”為核心的下半場已經拉開帷幕。但在角逐的過程中，車聯網安全問題正在凸顯，并且成為橫亘在車企與智能化之間的巨大阻礙。
是以，我們大膽猜測，“在下半場卷的過程中，安全将會是其中一個重要方向”。未來汽車安全将不僅局限于實體安全，網絡安全也将是重中之重。換句話說，也許未來智能汽車不僅僅有各種“安全碰撞”測試，還會有“網絡攻擊”測試，以便使用者更清晰了解汽車整體安全水準。
在4月24日舉辦的“2024 TIME DAY·騰訊智慧出行技術開放日”活動，聽完來自國内外的行業領袖、大咖、知名人物的分享，這一趨勢似乎越發清晰起來。
接下來，我們将從使用者側、車企側和全球法規三個方面進行探讨。
一、使用者苦智能汽車隐私洩露久矣
為了更好地提供智能化服務，智能汽車收集的資訊資料量和隐私遠比傳統汽車要多得多，包括車主行駛軌迹、興趣、面部資料、照片、音頻等等。與之對應的是隐私洩露事件屢屢發生，據不完全統計，2023年至今，國内共發生了超過20起與車企相關的資料洩露事件，每一次都在社交平台上引發大量的關注度。
2024年4月，“某車企車内攝像頭洩露女車主不雅照”新聞引發使用者的大量讨論。雖然該車企在當日淩晨緊急釋出聲明稱，車主群和社交媒體中散播的所謂“車内攝像頭拍攝照片洩露”是謠言，并表示會“始終保護好使用者隐私及資訊安全”。
但是這并沒有打消使用者的擔憂，也沒有平息該隐私洩露事件所帶來的熱度及影響，對于車企品牌和聲譽造成了難以挽回的巨大損失。
智能汽車代表品牌特斯拉也曾深陷使用者隐私洩露的陷阱之中。例如在2021年，一名黑客成功提取到特斯拉車内攝像頭的拍攝畫面，視訊清晰地記錄了駕乘人員的動作和姿态，甚至能在夜晚光線不佳的情況下捕捉駕駛員的面部特征。在2023年，有報道指出，特斯拉員工在過去幾年中通過内部消息系統私下分享了衆多客戶車載攝像頭記錄的高度私密視訊和圖像，進一步加劇了公衆對智能汽車隐私安全的擔憂。
統計資料顯示，2023年1～9月，大陸新車攝像頭安裝量高達4817.2萬輛，同比增長了34.1％；其中使用者車内隐私空間的艙内攝像頭數量超過200萬顆，同比增長超過90%。由于車内是一個比較私密的環境，使用者有着強烈的隐私保護訴求，而這些不斷增加的車内攝像頭，雖然目的是為了提升使用者智能化體驗，但也如同一雙雙透視使用者隐私的“眼睛”，讓車主們苦不堪言。
随着公衆隐私保護意識進一步覺醒，隐私安全将成為使用者購買智能汽車的決策因素，也将成為車企競争的焦點之一。
二、智能汽車廠商越來越重視網絡安全
和傳統車企不同的是，智能汽車已經來到軟體定義車輛的時代。随着新能源車智能化程度不斷提升，軟體與硬體之間的界限日漸模糊，網絡安全風險正在急劇增長，攻擊者的動機轉向利益，并将會給生态系統中的各方造成潛在且重大的影響。
根據工信部車聯網動态監測情況顯示，2020年以來發現的針對整車企業、車聯網資訊服務提供商等相關企業的惡意攻擊達到280餘萬次。之是以智能汽車産業出現如此嚴峻的網絡威脅态勢，是因為近兩年來該産業借助政策的東風和市場的催化，發展速度迅速導緻。
正因為如此，智能汽車廠商們對于網絡安全的重視程度也越來越高。但在産業高速發展的過程中，車企一方面在網絡安全尤其是很多基礎安全建設出現了明顯的滞後性；另一方面面臨的威脅态勢明顯增加，其中既包括車企軟體供應鍊分支不斷增加、鍊路不斷拉長；也包括人員、應用、充電樁等快速增長，智能汽車暴露的攻擊面飛速增長。一增一減之間，車企迫切需要補足安全這塊短闆。
1、黑客攻擊、網絡攻擊的威脅越來越嚴峻，無接觸攻擊已經成為現實。
自2015 年，兩名安全研究人員披露了針對車聯網的攻擊，《連線》雜志的一名記者在美國的高速公路上以每小時 70 英裡的速度駕駛這輛車時，他們遠端控制了一輛吉普切諾基并關停了其引擎。
自此之後，特斯拉 Model S 、 Model X 都曾多次被黑客攻破。2022年，媒體還披露了一種中繼攻擊的方式，針對無鑰匙進入系統使用的藍牙低功耗（BLE），攻擊者隻需在車主手機（密鑰卡）及車輛附近架上裝置，就能僞裝成車主打開車門、開走車輛。用到的技術軟體和硬體加起來的成本，也就1000塊左右，在網上都能買到，主流的Model 3或Model Y都在被攻擊之列。
在2024年1月舉辦的Pwn2Own Automotive大賽，大量參賽選手現場展示如何攻破智能汽車系統。尤其是Synacktiv團隊，兩次成功攻擊特斯拉汽車，獲得root權限，并示範了特斯拉資訊娛樂系統中的沙箱逃逸，赢得了45萬美元現金。
針對現階段越來越嚴峻的網絡攻擊，騰訊雲安全進階經理曾傑在訪談中表示，騰訊科恩實驗室早在2016年就已經實作了遠端破解智能汽車，包括主流汽車品牌特斯拉、寶馬、奔馳等。值得一提的是，黑客對智能汽車發起攻擊已經從簡單的行為進化為系統性攻擊鍊，其危害性與影響範圍将遠超車企和使用者的想象。
為此，騰訊安全打造了以智能網聯安全體系建設為基礎，覆寫安全治理、防護、監測和營運，端雲一體化的網聯安全體系，對整車網聯架構實施風險評估，識别潛在安全風險，提出相應安全需求以及設計規範，保障智能汽車整體安全。
2、智能汽車收集與産生的資料越來越多，資料安全壓力越來越大。
智能汽車從傳遞給使用者的那一刻就開始不斷收集各類資訊和資料。伴随着下半場競争的開啟，作為“智能”的燃料，汽車作為智能終端所産生的資料成指數級增長态勢。
例如爆炸式增長的智能汽車應用會産生大量的資料，而車與車、車與人、車與道路、車與雲端等之間互動和通信也涉及資料采集與流轉。根據Precedence Research釋出的資料，全球汽車資料市場規模将從2022年的21.9億美元增長到2032年的142.9億美元，收集的資料類型很多，包括：
自動駕駛：涵蓋從L1到L5各級别的資料，包括從安裝在車輛上的多個傳感器收集的資料。
基礎設施：包括遠端監控、OTA更新以及由控制中心遠端控制的資料，還有V2X和交通模式。
資訊娛樂：涉及客戶如何使用應用程式的資訊，例如語音控制、手勢、地圖和停車等。
互聯資訊：包括支付給第三方停車應用程式、事故資訊、來自行車記錄儀、手持裝置、移動應用程式和駕駛員行為監控的資料。
車輛健康：維修和保養記錄、保險承保、油耗和遠端資訊處理等。
據權威機構推測，未來10年，每輛車的存儲空間将膨脹到2TB以上，因為有些資料必須保留幾個月甚至幾年。作為僅次于智能手機的第二大終端，汽車的智能化發展離不開大量資料的支撐，也面臨這極高的資料安全風險。
騰訊資料安全産品負責人李濱在訪談中指出，智能汽車資料流轉全鍊路較為複雜，涉及的資料種類多、資料量大、資料處理鍊條長、資料主體多等特點，導緻其資料安全保護工作複雜、難度大。
基于智能汽車時代資料安全的複雜性，騰訊攜手合作夥伴打造自動駕駛雲平台，引入騰訊自動駕駛雲合規服務，在采集、上傳、處理與應用等階段全生命周期保障資料安全，滿足對自動駕駛研發過程中的合規要求。
3、複雜的供應鍊風險與漏洞治理。
智能汽車開發過程中，車輛硬體和軟體內建正在脫鈎，導緻供應鍊既分散又複雜，而OEM處于系統內建的中心，面臨的軟體供應鍊安全風險急劇升高。
盡管OEM可以通過軟體物料清單（SBOM）來提高軟體供應鍊的透明度和可追溯性，以便更快解決供應鍊安全和漏洞治理的問題。但由于智能汽車OTA更新十分頻繁，導緻SBOM處于動态變化之中，增加了OEM對于風險的管控與響應。
此外，車聯網并非僅僅指車輛本身，智能汽車供應鍊安全還涉及第三方智能出現應用、充電基礎設施、雲平台等多個方面，進一步增加了軟體供應鍊潛在的安全風險，以及可能暴露在網際網路上的安全漏洞。通過利用與SBOM相關的漏洞，攻擊者可以獲得對整個車輛的關鍵功能和控制機制進行未經授權的通路，進而對車輛的網絡安全态勢構成重大威脅。
還需強調的是，作為連接配接軟體供應鍊的重要角色，API安全也是攻擊者發起大規模攻擊的突破口。依靠各種各樣的API接口，智能汽車能夠加載的應用與服務越來越多，從OEM移動應用、娛樂資訊系統、經銷商系統、售後市場移動物聯網裝置，到電動車充電管理和計費應用，都嚴重依賴API來實作核心功能。越來越多且調用頻繁的API安全也在這個過程中不斷累積。
與之相對應的是，OEM缺乏對智能汽車軟體供應鍊安全和漏洞治理的有效措施，例如：
及時、主動識别并解決軟體和硬體元件中的漏洞；
持續評估和管理軟體供應鍊風險，確定元件的完整性和安全性；
快速檢測網絡安全風險和攻擊，并提供有效的響應和緩解措施。
對于複雜的軟體供應鍊管理和漏洞治理問題，騰訊零信任産品負責人劉登峰在訪談中指出，車企在建構安全防護體系時最容易出現問題的點往往是端點側、雲側和車機側，通過零信任的理念和架構或許可以解決這些問題。
第一、不論是車企員工還是第三方供應鍊，在車企内部進行應用通路、接入時需要考慮整體終端安全、通道安全、鍊路安全、應用安全等；
第二、針對車企接入過程中，需要考慮到軟體供應鍊層面，實作軟體開發安全左移的問題。
通過建構端到端的通路控制體系、資料保護以及安全左移，可以将車企面臨的常見的安全問題閉環。
三、智能汽車安全測試基礎已經具備
綜上所述，在面臨上述網絡攻擊威脅、資料安全與合規、複雜的漏洞供應鍊安全與漏洞治理等多個問題時，OEM似乎并沒有做好十足的準備，進而導緻相關安全事件屢屢發生。
據Upstream釋出的報告，針對OEM及其生态系統的攻擊正在迅速增加，不斷引入新的攻擊向量和方法，即便OEM不斷提高網絡安全保護等級，卻依舊捉襟見肘。在2019年至2023年間，公開網絡（媒體）披露的OEM安全事件平均增幅超過50%，2023年達到驚人的數百起。
而據中汽資料，CFID漏洞庫截至2022年底共收錄了2945個安全漏洞，共涉及車型1000多個，涵蓋了車載硬體、軟體、網絡、服務等多個方面，涉及到車輛控制系統、資訊娛樂系統、遠端控制系統、車聯網平台等多個子產品。
由此看來，智能汽車在網絡安全領域的卷才剛剛開始。全球不斷演變、完善的智能汽車網絡安全法規，也在推動産業加快“卷安全”的步伐。事實上，為了更好地應對智能網聯汽車所面臨的網絡安全威脅，大陸在《網絡安全法》《資料安全法》等上位法的基礎上，陸續出台了多個智能網聯汽車網絡安全政策、法律和法規以及行業标準。
例如2022 年 3 月，工信部釋出《車聯網網絡安全和資料安全标準體系建設指南》，提出到 2023 年底，初步建構起車聯網網絡安全和資料安全标準體系，到 2025 年，形成較為完善的車聯網網絡安全和資料安全标準體系。
另外，大陸還陸續釋出了《汽車資料安全管理若幹規定》《資訊安全技術汽車資料處理安全要求》《汽車資訊安全通用技術要求》《整車資訊安全技術要求》等法規和标準，逐漸形成了智能汽車的安全架構。
全球其他國家也不斷頒布相應的網絡安全法規。例如2023年11月，印度提出了一項名為“CyberShield”的強制性車輛制造商安全架構。該計劃得到了道路運輸部長的支援，旨在加強車輛系統對網絡漏洞的防護，擴充到電動車充電站的保護。
2023年8月，加利福尼亞隐私保護局（CPPA）啟動了一個執法倡議，以審查通過内置應用、傳感器和攝像頭收集的連接配接車輛的大量資料。CPPA旨在確定原始裝置制造商（OEM）的透明度，保護消費者資料權利。
四、給智能汽車安全打個分？
越來越完善的網絡安全政策法規體系給智能汽車産業發展打下了堅實的基礎，也讓給智能汽車安全打分這件事情有了底層邏輯支撐。那麼究竟該如何進行風險評估與安全等級确定呢？
騰訊雲安全進階經理曾傑表示，目前騰訊已經具備給智能汽車打分的基礎。騰訊安全已經實作，在雲端通過不同的産品子產品，對全鍊路進行整體防控，在防控的過程中就可以對智能汽車整體安全進行打分。
例如可通過雲端部署Web應用防火牆，對業内常見的威脅情報進行梳理和評分，隻要車企啟用雲安全控制中心，自然也可以對資産進行梳理，同時對現有的安全情況進行評分。在車端也是如此，甚至還可以對開發環境進行評分。
換句話說，僅從技術角度出發，依托騰訊安全龐大的威脅情報體系，像“碰撞測試”那樣給智能汽車網絡安全打分已經可以實作，缺的無非是更官方的第三方評測機構以及國家出台一些行業法規和标準。
總的來說，從使用者側來看，對于隐私洩露的忍耐度越來越低，如同智能手機一般，隐私保護将成為新的賣點；從車企側來看，無接觸網絡攻擊控制車輛早已實作，資料合規壓力越來越大，暴露在網際網路上的攻擊面不斷擴大，快速提升智能汽車網絡安全能力等級已經刻不容緩；從政策法規側來看，資料安全、車輛網絡安全法規不斷完善，合規要求朝着更嚴格的方向發展已經是不可逆的趨勢。
新能源車智能化的下半場已經拉開帷幕，“安全将會是其中一個重要方向”。那麼在網絡安全領域，智能汽車廠商們又該如何“卷”飛同行？完全依靠車企自身顯然不合算，找到一家網安行業的“博世”，讓專業的人來做專業的事，無疑是一個更好的選擇。