奇安信發(fā)布智能網(wǎng)聯(lián)汽車云平臺(tái)漏洞報(bào)告：九成存漏洞，超七成涉高危風(fēng)險(xiǎn)

2026年1月15日，奇安信代碼安全實(shí)驗(yàn)室奇車安全團(tuán)隊(duì)發(fā)布《智能網(wǎng)聯(lián)汽車云平臺(tái)漏洞分析報(bào)告》（以下簡稱：《報(bào)告》）。報(bào)告對(duì)2025年度國內(nèi)30家主流汽車廠商的云平臺(tái)進(jìn)行了漏洞分析，結(jié)果觸目驚心：93.3%的廠商云平臺(tái)存在安全漏洞，其中76.7%的廠商云平臺(tái)存在超危或高危級(jí)別漏洞，直接危害車企和用戶數(shù)據(jù)安全、車輛安全，整體安全風(fēng)險(xiǎn)極高。從漏洞類型、成因、危害及影響范圍來看，當(dāng)前行業(yè)整體軟件安全水平極低，安全防護(hù)基礎(chǔ)極為薄弱，安全態(tài)勢(shì)嚴(yán)峻，亟需引起行業(yè)的高度重視。

超七成廠商存在超危/高危漏洞，超六成漏洞源自低級(jí)錯(cuò)誤

在漏洞總體狀況方面，超七成廠商云平臺(tái)存在超危或高危漏洞，安全風(fēng)險(xiǎn)極高。30家汽車廠商云平臺(tái)中，有23家存在超危/高危漏洞，占比高達(dá)76.7%，這些漏洞可直接導(dǎo)致未授權(quán)解鎖車輛、未授權(quán)駕駛車輛、敏感信息泄露等嚴(yán)重后果。超危/高危漏洞數(shù)量最多的廠商云平臺(tái)存在9個(gè)超危/高危漏洞，前5名廠商累計(jì)存在34個(gè)超危/高危漏洞。

圖：超危/高危漏洞數(shù)量排名前5位的云平臺(tái)

從漏洞成因來看，超六成漏洞源于低級(jí)錯(cuò)誤。在總共發(fā)現(xiàn)的207個(gè)漏洞中，有135個(gè)漏洞由身份未檢驗(yàn)、接口未鑒權(quán)等軟件開發(fā)中的低級(jí)錯(cuò)誤引發(fā)，占比65.2%，涉及19家廠商，其中12家因此產(chǎn)生超危/高危漏洞，反映出行業(yè)整體軟件安全水平嚴(yán)重不足，安全防護(hù)基礎(chǔ)極為薄弱。

在主要漏洞類型方面，超七成汽車廠商云平臺(tái)存在身份認(rèn)證和訪問控制類漏洞。失效的訪問控制與身份認(rèn)證失效兩類漏洞共影響22家廠商，占比73.3%。其中，60%的廠商存在失效的訪問控制漏洞，包括未授權(quán)訪問、越權(quán)訪問等問題；43.3%的廠商存在身份認(rèn)證失效漏洞，包括身份認(rèn)證繞過、驗(yàn)證碼機(jī)制失效、賬號(hào)枚舉、弱口令與默認(rèn)憑證等問題。此類基礎(chǔ)性漏洞的大范圍存在，并非個(gè)別開發(fā)人員疏忽所致，而是系統(tǒng)性安全管理缺陷的集中體現(xiàn)，反映出多數(shù)廠商未建立基本的軟件安全開發(fā)流程，安全架構(gòu)設(shè)計(jì)缺位、編碼規(guī)范缺失、代碼審計(jì)與滲透測試嚴(yán)重不足。

同時(shí)，有半數(shù)廠商云平臺(tái)存在過度數(shù)據(jù)暴露漏洞。15家廠商云平臺(tái)存在接口響應(yīng)數(shù)據(jù)冗余、調(diào)試信息與內(nèi)部結(jié)構(gòu)泄露等過度數(shù)據(jù)暴露漏洞，這些廠商云平臺(tái)后端接口未遵循“數(shù)據(jù)最小化”原則，將數(shù)據(jù)安全責(zé)任完全交給前端，違背了基本的安全設(shè)計(jì)原則。此外，30%的廠商存在數(shù)字鑰匙管理失效漏洞，包括數(shù)字鑰匙非法復(fù)制、數(shù)字鑰匙權(quán)限管理失效、數(shù)字鑰匙授權(quán)撤銷失敗等問題，此類漏洞可導(dǎo)致非法獲得車輛鑰匙、“臨時(shí)鑰匙”變“永久鑰匙”等嚴(yán)重后果，直接威脅車輛財(cái)產(chǎn)安全。汽車數(shù)字鑰匙的管理涉及到云平臺(tái)、車端、移動(dòng)端等多方協(xié)同，攻擊面廣泛，此類高風(fēng)險(xiǎn)的專屬復(fù)雜業(yè)務(wù)場景，尤其需要業(yè)務(wù)團(tuán)隊(duì)和安全團(tuán)隊(duì)的緊密合作，從設(shè)計(jì)階段就要將安全納入，并貫穿始終。

認(rèn)證失效、授權(quán)失控、數(shù)據(jù)裸奔，安全防線全面失守

《報(bào)告》顯示，漏洞危害已經(jīng)覆蓋數(shù)據(jù)安全、車輛安全、賬戶安全等核心領(lǐng)域。超七成廠商面臨敏感信息泄露，數(shù)據(jù)安全風(fēng)險(xiǎn)尤其突出。22家廠商云平臺(tái)因過度數(shù)據(jù)暴露、訪問控制失效等漏洞，導(dǎo)致用戶個(gè)人信息與車輛敏感數(shù)據(jù)泄露。某廠商云平臺(tái)通過3個(gè)漏洞組合，任意注冊(cè)用戶即可批量獲取車主手機(jī)號(hào)、車輛實(shí)時(shí)位置等信息；另一廠商云平臺(tái)則因賬號(hào)枚舉與越權(quán)訪問漏洞，導(dǎo)致車主姓名、性別、郵箱、車輛VIN碼等全面泄露。這些數(shù)據(jù)被攻擊者利用后，可實(shí)施精準(zhǔn)詐騙、安裝竊聽裝置等違法犯罪活動(dòng)，甚至結(jié)合解鎖漏洞實(shí)施車輛盜竊。

圖：漏洞危害及影響的汽車廠商數(shù)量和占比

在車輛安全方面，2/3廠商的汽車存在未授權(quán)解鎖風(fēng)險(xiǎn)，直接危害車輛財(cái)產(chǎn)安全。20家廠商的車輛可通過漏洞實(shí)現(xiàn)遠(yuǎn)程或近場未授權(quán)解鎖，其中13家廠商的車輛在解鎖后可直接啟動(dòng)駕駛，占比43.3%。某廠商云平臺(tái)中存在越權(quán)訪問漏洞，導(dǎo)致任意用戶只需通過車輛VIN碼即可遠(yuǎn)程解鎖任意車輛，由于車輛VIN碼位于車輛前擋風(fēng)玻璃下方，極易獲取，因此該漏洞的攻擊門檻極低，致使車輛鎖車狀態(tài)形同虛設(shè)。同時(shí)，該廠商云平臺(tái)還存在敏感信息泄漏問題，攻擊者可以利用漏洞批量獲取到該廠商汽車的VIN碼、車輛實(shí)時(shí)位置，這兩者結(jié)合起來，攻擊者就可以對(duì)該廠商的汽車實(shí)施批量定位、解鎖和啟動(dòng)的攻擊行為，造成大規(guī)模的車輛資產(chǎn)風(fēng)險(xiǎn)。

《報(bào)告》還顯示，四成廠商云平臺(tái)存在賬戶冒用風(fēng)險(xiǎn)。其中12家廠商的用戶賬戶可能被攻擊者利用漏洞冒用，進(jìn)而產(chǎn)生多種危害：盜用賬戶余額進(jìn)行充電等消費(fèi)、占用試駕服務(wù)資源、篡改車輛授權(quán)權(quán)限、刪除電子圍欄設(shè)置、泄露出行軌跡等，既造成用戶財(cái)產(chǎn)損失，又威脅車輛安全與隱私保護(hù)。此外，部分廠商還面臨遠(yuǎn)程影響OTA、遠(yuǎn)程控制服務(wù)器等高級(jí)別威脅，雖然占比較低，但可能導(dǎo)致非常嚴(yán)重的車輛安全事件。

應(yīng)對(duì)之策：十大建議筑牢車云安全防線

針對(duì)行業(yè)嚴(yán)峻的安全現(xiàn)狀，奇安信從戰(zhàn)略定位、研發(fā)根基、車云協(xié)同三大方向提出十大建議，助力廠商構(gòu)建全生命周期安全體系。

其中在提升戰(zhàn)略高度、壓實(shí)安全主體責(zé)任方面，建議廠商將網(wǎng)絡(luò)信息安全上升為“一把手工程”，明確企業(yè)主要負(fù)責(zé)人為第一責(zé)任人，設(shè)立專門安全管理機(jī)構(gòu)，保障年度安全專項(xiàng)預(yù)算不低于信息化總投入的一定比例，為安全體系建設(shè)提供持續(xù)資源支持。

在踐行內(nèi)生安全、筑牢研發(fā)根基方面，推行安全開發(fā)生命周期，將安全需求分析、威脅建模、代碼審計(jì)等環(huán)節(jié)嵌入開發(fā)流程；強(qiáng)化軟件供應(yīng)鏈安全，建立SBOM管理機(jī)制，嚴(yán)格管控供應(yīng)商軟件與開源組件的安全風(fēng)險(xiǎn)；建立漏洞響應(yīng)機(jī)制與公開漏洞獎(jiǎng)勵(lì)計(jì)劃，借助內(nèi)外部力量發(fā)現(xiàn)漏洞，每年至少開展一次云端與車端核心功能和新功能深度白盒滲透測試。

在深化車云協(xié)同、構(gòu)建主動(dòng)免疫體系方面，實(shí)施零信任架構(gòu)，部署動(dòng)態(tài)細(xì)粒度訪問控制網(wǎng)關(guān)，對(duì)所有請(qǐng)求進(jìn)行持續(xù)驗(yàn)證與最小權(quán)限授權(quán)；引入RASP技術(shù)強(qiáng)化應(yīng)用層防御，實(shí)時(shí)監(jiān)測阻斷異常行為；建立統(tǒng)一身份與密鑰管理中心，實(shí)現(xiàn)數(shù)字密鑰全生命周期閉環(huán)管控；落實(shí)數(shù)據(jù)分類分級(jí)保護(hù)，通過加密存儲(chǔ)、脫敏處理等措施保障數(shù)據(jù)安全；在車端部署輕量級(jí)IDPS系統(tǒng)，監(jiān)控車內(nèi)網(wǎng)絡(luò)流量與進(jìn)程；建設(shè)車云協(xié)同安全運(yùn)營平臺(tái)，利用AI實(shí)現(xiàn)威脅全局可見、精準(zhǔn)研判與協(xié)同響應(yīng)，做到“分鐘級(jí)”全局免疫。

奇安信代碼安全實(shí)驗(yàn)室負(fù)責(zé)人表示，智能網(wǎng)聯(lián)汽車網(wǎng)絡(luò)安全是復(fù)雜的系統(tǒng)性工程，云平臺(tái)作為核心樞紐，其安全短板已成為行業(yè)最大風(fēng)險(xiǎn)點(diǎn)。本次報(bào)告揭示的大量基礎(chǔ)性漏洞，反映出行業(yè)在安全責(zé)任落實(shí)、研發(fā)體系建設(shè)、車云協(xié)同防御等方面的體系化缺失。廠商需盡快補(bǔ)齊安全短板，將安全內(nèi)生于產(chǎn)品全生命周期，才能切實(shí)保障用戶出行安全與產(chǎn)業(yè)健康發(fā)展。奇安信將依托在代碼安全、網(wǎng)絡(luò)安全等領(lǐng)域的技術(shù)積累，為智能網(wǎng)聯(lián)汽車行業(yè)提供全鏈條安全解決方案，助力構(gòu)建安全可信的產(chǎn)業(yè)生態(tài)。