澳洲实测事件启示：主机厂如何构建有效的安全漏洞预警机制（附自查清单）
太初众测
太初众测
太初众测
2026年10月11日 14:53
山东
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
澳洲实测事件启示：
主机厂如何构建有效的安全漏洞预警机制（附自查清单）
2026年9月21日，澳大利亚媒体（ABC《四角方圆》）公开了比亚迪Shark 6的车辆安全渗透测试结果。本次实车测试由研究人员在两周前完成，成功实现车机访问、调取定位与麦克风权限，并可操控车灯、雨刮等车辆功能，引发全网对智能网联汽车安全的热议。
9月23日，比亚迪官方回应，此次漏洞不属于纯远程攻击，并即刻开展调查。经核实，测试人员利用车机软件缺陷，通过ADB通道安装第三方应用。该操作需要物理接触车辆、使用专用工具，部分权限还需人工确认；操控车身功能更是需要接入车辆CAN线束，无法实现远程规模化攻击。
10月1日，比亚迪确认车辆存在软件缺陷，将通过OTA升级完成漏洞修复。
结合太初众测在汽车安全领域的实战经验，我们为车企安全团队梳理一套可落地的体系化自查清单与落地建议。
一、车企安全自查核心清单
| 自查项 | 排查重点与指标 |
| 1. 固件硬编码与调试后门 | 清查全车固件（IVI/T‑Box/ECU），严禁明文私钥、测试Token，杜绝无鉴权ADB/UART调试端口暴露。 |
| 2. 总线指令与域隔离 | 排查物理接入CAN/以太网后，控制指令是否缺少防重放校验；强化网关隔离，严防跨域攻击波及动力系统。 |
| 3. 传感器权限与越权 | 审计车机应用侧载与提权逻辑，防范第三方App越权调用麦克风、摄像头、车辆定位等敏感能力。 |
| 4. 车云通信与API逻辑 | 校验车云双向TLS认证，全面排查云端API平行越权、垂直越权，规避远程批量车控风险。 |
| 5. 海外数据与隐私合规 | 落实海外用户数据本地隔离存储，厘清隐私授权边界，建立完善的漏洞披露（VDP）响应机制。 |
二、专家落地建议
1、以攻促防，引入实战化众测能力
常规静态代码扫描，难以抵御长达数周的深度逆向分析。建议车企引入外部白帽安全力量，开展实战化汽车安全众测，针对CAN总线、车机权限、车载系统开展深度实操验证，在真实攻击发生前，主动发现并修补安全缝隙。这也是太初众测长期服务车企的核心实践方向。
2、前瞻预警，构建漏洞情报体系
安全建设不能等待安全事件曝光后再被动处置。建议结合太初车联网漏洞情报能力，持续监测境外地下论坛、暗网，跟踪上游供应链0‑day漏洞动态，推动安全防护从“被动灭火”转向“主动防御”。
参考链接
-
ABC News｜We got a cybersecurity expert to hack this BYD. It was too easy
https://www.abc.net.au/news/2026-09-21/byd-hacked-by-cybersecurity-expert-vehicle-sabotage-surveillance/107139482 -
CarExpert｜BYD's own Shark 6 hacking investigation reveals ‘software defect’
https://www.carexpert.com.au/car-news/byds-own-shark-6-hacking-investigation-reveals-software-defect
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论