2026年1月15日，奇安信代碼安全實(shí)驗(yàn)室奇車(chē)安全團(tuán)隊(duì)發(fā)布《智能網(wǎng)聯(lián)汽車(chē)云平臺(tái)漏洞分析報(bào)告》(以下簡(jiǎn)稱：《報(bào)告》)。報(bào)告對(duì)2025年度國(guó)內(nèi)30家主流汽車(chē)廠商的云平臺(tái)進(jìn)行了漏洞分析，結(jié)果觸目驚心：93.3%的廠商云平臺(tái)存在安全漏洞，其中76.7%的廠商云平臺(tái)存在超危或高危級(jí)別漏洞，直接危害車(chē)企和用戶數(shù)據(jù)安全、車(chē)輛安全，整體安全風(fēng)險(xiǎn)極高。從漏洞類型、成因、危害及影響范圍來(lái)看，當(dāng)前行業(yè)整體軟件安全水平極低，安全防護(hù)基礎(chǔ)極為薄弱，安全態(tài)勢(shì)嚴(yán)峻，亟需引起行業(yè)的高度重視。

從漏洞成因來(lái)看，超六成漏洞源于低級(jí)錯(cuò)誤。在總共發(fā)現(xiàn)的207個(gè)漏洞中，有135個(gè)漏洞由身份未檢驗(yàn)、接口未鑒權(quán)等軟件開(kāi)發(fā)中的低級(jí)錯(cuò)誤引發(fā)，占比65.2%，涉及19家廠商，其中12家因此產(chǎn)生超危/高危漏洞，反映出行業(yè)整體軟件安全水平嚴(yán)重不足，安全防護(hù)基礎(chǔ)極為薄弱。

在主要漏洞類型方面，超七成汽車(chē)廠商云平臺(tái)存在身份認(rèn)證和訪問(wèn)控制類漏洞。失效的訪問(wèn)控制與身份認(rèn)證失效兩類漏洞共影響22家廠商，占比73.3%。其中，60%的廠商存在失效的訪問(wèn)控制漏洞，包括未授權(quán)訪問(wèn)、越權(quán)訪問(wèn)等問(wèn)題;43.3%的廠商存在身份認(rèn)證失效漏洞，包括身份認(rèn)證繞過(guò)、驗(yàn)證碼機(jī)制失效、賬號(hào)枚舉、弱口令與默認(rèn)憑證等問(wèn)題。此類基礎(chǔ)性漏洞的大范圍存在，并非個(gè)別開(kāi)發(fā)人員疏忽所致，而是系統(tǒng)性安全管理缺陷的集中體現(xiàn)，反映出多數(shù)廠商未建立基本的軟件安全開(kāi)發(fā)流程，安全架構(gòu)設(shè)計(jì)缺位、編碼規(guī)范缺失、代碼審計(jì)與滲透測(cè)試嚴(yán)重不足。

同時(shí)，有半數(shù)廠商云平臺(tái)存在過(guò)度數(shù)據(jù)暴露漏洞。15家廠商云平臺(tái)存在接口響應(yīng)數(shù)據(jù)冗余、調(diào)試信息與內(nèi)部結(jié)構(gòu)泄露等過(guò)度數(shù)據(jù)暴露漏洞，這些廠商云平臺(tái)后端接口未遵循“數(shù)據(jù)最小化”原則，將數(shù)據(jù)安全責(zé)任完全交給前端，違背了基本的安全設(shè)計(jì)原則。此外，30%的廠商存在數(shù)字鑰匙管理失效漏洞，包括數(shù)字鑰匙非法復(fù)制、數(shù)字鑰匙權(quán)限管理失效、數(shù)字鑰匙授權(quán)撤銷失敗等問(wèn)題，此類漏洞可導(dǎo)致非法獲得車(chē)輛鑰匙、“臨時(shí)鑰匙”變“永久鑰匙”等嚴(yán)重后果，直接威脅車(chē)輛財(cái)產(chǎn)安全。汽車(chē)數(shù)字鑰匙的管理涉及到云平臺(tái)、車(chē)端、移動(dòng)端等多方協(xié)同，攻擊面廣泛，此類高風(fēng)險(xiǎn)的專屬?gòu)?fù)雜業(yè)務(wù)場(chǎng)景，尤其需要業(yè)務(wù)團(tuán)隊(duì)和安全團(tuán)隊(duì)的緊密合作，從設(shè)計(jì)階段就要將安全納入，并貫穿始終。

認(rèn)證失效、授權(quán)失控、數(shù)據(jù)裸奔，安全防線全面失守

《報(bào)告》顯示，漏洞危害已經(jīng)覆蓋數(shù)據(jù)安全、車(chē)輛安全、賬戶安全等核心領(lǐng)域。超七成廠商面臨敏感信息泄露，數(shù)據(jù)安全風(fēng)險(xiǎn)尤其突出。22家廠商云平臺(tái)因過(guò)度數(shù)據(jù)暴露、訪問(wèn)控制失效等漏洞，導(dǎo)致用戶個(gè)人信息與車(chē)輛敏感數(shù)據(jù)泄露。某廠商云平臺(tái)通過(guò)3個(gè)漏洞組合，任意注冊(cè)用戶即可批量獲取車(chē)主手機(jī)號(hào)、車(chē)輛實(shí)時(shí)位置等信息;另一廠商云平臺(tái)則因賬號(hào)枚舉與越權(quán)訪問(wèn)漏洞，導(dǎo)致車(chē)主姓名、性別、郵箱、車(chē)輛VIN碼等全面泄露。這些數(shù)據(jù)被攻擊者利用后，可實(shí)施精準(zhǔn)詐騙、安裝竊聽(tīng)裝置等違法犯罪活動(dòng)，甚至結(jié)合解鎖漏洞實(shí)施車(chē)輛盜竊。

在車(chē)輛安全方面，2/3廠商的汽車(chē)存在未授權(quán)解鎖風(fēng)險(xiǎn)，直接危害車(chē)輛財(cái)產(chǎn)安全。20家廠商的車(chē)輛可通過(guò)漏洞實(shí)現(xiàn)遠(yuǎn)程或近場(chǎng)未授權(quán)解鎖，其中13家廠商的車(chē)輛在解鎖后可直接啟動(dòng)駕駛，占比43.3%。某廠商云平臺(tái)中存在越權(quán)訪問(wèn)漏洞，導(dǎo)致任意用戶只需通過(guò)車(chē)輛VIN碼即可遠(yuǎn)程解鎖任意車(chē)輛，由于車(chē)輛VIN碼位于車(chē)輛前擋風(fēng)玻璃下方，極易獲取，因此該漏洞的攻擊門(mén)檻極低，致使車(chē)輛鎖車(chē)狀態(tài)形同虛設(shè)。同時(shí)，該廠商云平臺(tái)還存在敏感信息泄漏問(wèn)題，攻擊者可以利用漏洞批量獲取到該廠商汽車(chē)的VIN碼、車(chē)輛實(shí)時(shí)位置，這兩者結(jié)合起來(lái)，攻擊者就可以對(duì)該廠商的汽車(chē)實(shí)施批量定位、解鎖和啟動(dòng)的攻擊行為，造成大規(guī)模的車(chē)輛資產(chǎn)風(fēng)險(xiǎn)。

《報(bào)告》還顯示，四成廠商云平臺(tái)存在賬戶冒用風(fēng)險(xiǎn)。其中12家廠商的用戶賬戶可能被攻擊者利用漏洞冒用，進(jìn)而產(chǎn)生多種危害：盜用賬戶余額進(jìn)行充電等消費(fèi)、占用試駕服務(wù)資源、篡改車(chē)輛授權(quán)權(quán)限、刪除電子圍欄設(shè)置、泄露出行軌跡等，既造成用戶財(cái)產(chǎn)損失，又威脅車(chē)輛安全與隱私保護(hù)。此外，部分廠商還面臨遠(yuǎn)程影響OTA、遠(yuǎn)程控制服務(wù)器等高級(jí)別威脅，雖然占比較低，但可能導(dǎo)致非常嚴(yán)重的車(chē)輛安全事件。

應(yīng)對(duì)之策：十大建議筑牢車(chē)云安全防線

針對(duì)行業(yè)嚴(yán)峻的安全現(xiàn)狀，奇安信從戰(zhàn)略定位、研發(fā)根基、車(chē)云協(xié)同三大方向提出十大建議，助力廠商構(gòu)建全生命周期安全體系。

其中在提升戰(zhàn)略高度、壓實(shí)安全主體責(zé)任方面，建議廠商將網(wǎng)絡(luò)信息安全上升為“一把手工程”，明確企業(yè)主要負(fù)責(zé)人為第一責(zé)任人，設(shè)立專門(mén)安全管理機(jī)構(gòu)，保障年度安全專項(xiàng)預(yù)算不低于信息化總投入的一定比例，為安全體系建設(shè)提供持續(xù)資源支持。

在踐行內(nèi)生安全、筑牢研發(fā)根基方面，推行安全開(kāi)發(fā)生命周期，將安全需求分析、威脅建模、代碼審計(jì)等環(huán)節(jié)嵌入開(kāi)發(fā)流程;強(qiáng)化軟件供應(yīng)鏈安全，建立SBOM管理機(jī)制，嚴(yán)格管控供應(yīng)商軟件與開(kāi)源組件的安全風(fēng)險(xiǎn);建立漏洞響應(yīng)機(jī)制與公開(kāi)漏洞獎(jiǎng)勵(lì)計(jì)劃，借助內(nèi)外部力量發(fā)現(xiàn)漏洞，每年至少開(kāi)展一次云端與車(chē)端核心功能和新功能深度白盒滲透測(cè)試。

在深化車(chē)云協(xié)同、構(gòu)建主動(dòng)免疫體系方面，實(shí)施零信任架構(gòu)，部署動(dòng)態(tài)細(xì)粒度訪問(wèn)控制網(wǎng)關(guān)，對(duì)所有請(qǐng)求進(jìn)行持續(xù)驗(yàn)證與最小權(quán)限授權(quán);引入RASP技術(shù)強(qiáng)化應(yīng)用層防御，實(shí)時(shí)監(jiān)測(cè)阻斷異常行為;建立統(tǒng)一身份與密鑰管理中心，實(shí)現(xiàn)數(shù)字密鑰全生命周期閉環(huán)管控;落實(shí)數(shù)據(jù)分類分級(jí)保護(hù)，通過(guò)加密存儲(chǔ)、脫敏處理等措施保障數(shù)據(jù)安全;在車(chē)端部署輕量級(jí)IDPS系統(tǒng)，監(jiān)控車(chē)內(nèi)網(wǎng)絡(luò)流量與進(jìn)程;建設(shè)車(chē)云協(xié)同安全運(yùn)營(yíng)平臺(tái)，利用AI實(shí)現(xiàn)威脅全局可見(jiàn)、精準(zhǔn)研判與協(xié)同響應(yīng)，做到“分鐘級(jí)”全局免疫。

奇安信代碼安全實(shí)驗(yàn)室負(fù)責(zé)人表示，智能網(wǎng)聯(lián)汽車(chē)網(wǎng)絡(luò)安全是復(fù)雜的系統(tǒng)性工程，云平臺(tái)作為核心樞紐，其安全短板已成為行業(yè)最大風(fēng)險(xiǎn)點(diǎn)。本次報(bào)告揭示的大量基礎(chǔ)性漏洞，反映出行業(yè)在安全責(zé)任落實(shí)、研發(fā)體系建設(shè)、車(chē)云協(xié)同防御等方面的體系化缺失。廠商需盡快補(bǔ)齊安全短板，將安全內(nèi)生于產(chǎn)品全生命周期，才能切實(shí)保障用戶出行安全與產(chǎn)業(yè)健康發(fā)展。奇安信將依托在代碼安全、網(wǎng)絡(luò)安全等領(lǐng)域的技術(shù)積累，為智能網(wǎng)聯(lián)汽車(chē)行業(yè)提供全鏈條安全解決方案，助力構(gòu)建安全可信的產(chǎn)業(yè)生態(tài)。