你的车机会“顺走”公司数据：智能网联时代，车企和Tier-1最该补的那道门

2026年8月，卡巴斯基披露了一桩让整个安全圈愣住的事：全球首例专门盯上车机中控（head unit）的恶意软件完整感染链。攻击者没骗司机装什么App，而是直接利用某品牌车机固件自带的软件更新通道，把恶意APK塞进去，整车无声无息地变成了僵尸网络的节点，拿去跑广告欺诈、给犯罪流量当跳板。安全内参在9月9日还专门发了一篇《看不见的车上乘客》。

很多人看完觉得这是车主的事，跟工厂没关系。但对车企和Tier-1供应商来说，真正该怕的从来不是"车被当代理"，而是车端本身就是一座数据金矿，还顺手敞着一个控制入口。

车机不是只用来导航听歌的

这次被盯上的是安卓车机。底层是安卓开源代码，厂商在编译阶段往里塞自研系统应用，绝大多数手机端App能跑，恶意软件也能跑。车机自带SIM卡长期联网，本地又几乎没有对黑客直接价值的隐私数据——于是最划算的用途就是拉进botnet，和工厂里的IoT设备被入侵挖矿、做代理是同一套逻辑。

问题在制造业侧：车载信息娱乐系统（IVI）里跑着标定参数、诊断日志、座舱交互数据；OTA升级通道如果没有签名校验，攻击者能推送篡改过的固件和配置；车机还连着调试接口和供应商SDK，这些往往是"出厂就开着、没人管"的后门；更别说产线刷写工位、路试车回传的地图轨迹和工况数据。一个被控的车机，不只是"被当代理"，它可能成为摸进车企内网的跳板。

把车端数据当厂区图纸一样管

车企做数据安全，习惯盯着研发网和办公网，车端反而成了盲区。其实车端数据和企业图纸是同一类资产：一旦失控，损失的是真金白银的壁垒。

第一步，分级加密，离开授信环境读不了。标定参数、座舱录音视频、位置轨迹，按敏感度分级存储，明文只在车内授信模块里出现，落到外面对接的分析库就是密文。

第二步，OTA包必须签名加密码下发。刷写工位权限收到一条线，工程师拿U盘直刷一律禁止，刷写动作全程留痕。没有签名校验的升级通道，等于给外人发了后门钥匙。

第三步，供应商SDK和调试接口最小化授权。默认全关，需要才开，并且和车机主系统做隔离。很多车机被入侵，就是从这些"合作方要用的接口"进来的。

第四步，产线回传数据走独立网段、脱敏后进库。路试车轨迹按项目隔离，外包和离职账号及时回收。上邦在数据安全上的做法，本质是把文件透明加密、屏幕水印、USB管控这套组合拳延伸到车端和产线工控机，让"出走后还能不能看"这件事可控。

先把自家的"轮子"锁好

工信部车联网安全标准、等保2.0对车端数据都有明确要求，数据资产要入表，可控是前提。一个被控的车机，代价远不止"被当了几天的代理"——它可能成为进入车企内网的跳板，把图纸、BOM、客户名单一起带出去。

智能网联的赛道上，谁的车更聪明谁就领先；但车越聪明，裸露的数据面就越大。与其等政策倒逼，不如先把车里那几块"轮子"锁好。安全底座打扎实了，车端的每一份数据才既是竞争力，又不是别人口袋里的情报。