2026-11-13 10:42:48 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

80 万辆车的停车位置：CARIAD 的软件豪赌与云侧数据安全课

谈思实验室

2026年11月11日 17:56
上海

去阅读

点击上方蓝字谈思实验室

了解更多汽车企业安全技术故事

一、2024 年 11 月 26 日，一封通报

线索来自一位匿名举报人，他把问题同时给了德国《明镜》（Der Spiegel）与欧洲最大的白帽组织 Chaos Computer Club（CCC）。CCC 验证了可访问性、整理了技术细节，于 2024 年 11 月 26 日向大众软件子公司 CARIAD 通报。CARIAD 当天关闭了访问；CCC 后来向《明镜》评价其技术团队「响应迅速、彻底且负责任」。事件在 2024 年 12 月底经《明镜》报道与 CCC 在 38C3 大会的公开讨论进入公众视野。

起因不是漏洞利用，而是两个 IT 应用的配置错误——这是 CARIAD 向媒体确认的定性。

二、从 Car.Software Organisation 到 CARIAD

2020 年，时任大众集团 CEO Herbert Diess 推动成立独立软件组织 Car.Software Organisation，把集团内分散的数字力量集中起来；2021 年正式命名为 CARIAD（Car, I Am Digital）。目标是给集团各品牌做一套统一软件栈：操作系统 VW.OS、汽车云 VW.AC，以及统一的 E³ 电子电气架构。承载这套构想的量产基座是 MEB 平台，代表车型是 ID.3 与 ID.4。

图 1｜大众集团软件栈公开架构（Driver / Experience / Cloud / Motion Stacks 与三类架构）

图 2｜CARIAD 公开工作场景

这是一次典型的「车企向软件公司转身」：把数千名工程师从各品牌抽调到同一组织，试图用一套底层架构结束品牌各自为战。但组织目标不等于技术结果，后面的转折，恰恰说明了软件工程与整车工程在节奏上的结构性差异。

图 3｜大众 ID.3 与 ID.4 纯电车型

三、研发转折：从全栈自研到「自研 + 合作」

公开报道可以确认的时间线是这样的：

软件交付延迟影响了保时捷 Macan EV、奥迪 Q6 e-tron 等车型节奏，Trinity 电动车项目也被推迟；
2022 年 9 月

，Oliver Blume 接任大众集团 CEO；
* 2023 年 6 月

，Peter Bosch 出任 CARIAD 新任 CEO；
* 2023 年 7 月

宣布与小鹏合作、2024 年 2 月落地；2024 年 6 月宣布与 Rivian 建立合资企业，共同开发下一代电子电气架构（投资规模在不同媒体口径中有 50 亿美元与 58 亿美元两种表述，本文不择一为唯一事实）；
* 2025 年 10 月

，Blume 在 FT 汽车软件峰会上谈到软件战略的「完全重启」，CARIAD 转向协调外部技术、维护存量平台，并负责自动驾驶、座舱与云等部分核心议题；面向软件定义汽车的统一 2.0 架构主导权转由 Rivian 合资公司承担。

需要克制的两点：组织调整与人员收缩不能被推导为「数据安全水平下降」；把延期归因于某一位高管，也不是公开材料能支撑的结论。我们只把它当作背景——一个正在同时处理架构重构、外部合作与存量平台维护的组织，恰好在最容易被忽略的云侧配置上出了事。

四、数据危机：数字、口径与定性

据《明镜》2024 年 12 月 28 日刊出的调查与 BleepingComputer 的独立报道：

约 80 万辆联网电动车、数 TB 数据，在 Amazon 云存储上可被访问，持续数月；
其中约 46 万辆带有精确位置数据；涉及大众、SEAT、奥迪、斯柯达品牌，德国约 30 万辆，另涉挪威、瑞典、英国、荷兰、法国等市场；
位置精度按品牌有差异：《明镜》口径为大众与 SEAT 部分数据约 10 厘米，奥迪与斯柯达约 10 公里；
数据包含熄火时的 GPS 坐标、时间戳、停车时长、电量与充电信息、车辆标识与假名化标识；部分记录可与姓名、联系方式关联。《明镜》在两名同意配合的德国政治人物车辆数据上，还原出了住处、工作地点、常去场所与出行轨迹；报道还提到记者在一份内部应用的内存转储中发现了云存储访问密钥。

图 4｜车辆轨迹与位置数据界面示意

CARIAD 的企业口径（发言人向 BleepingComputer 说明）：问题源于两个 IT 应用的配置错误；仅影响已注册在线服务且联网的特定车辆；数据经过假名化，CCC 需绕过若干安全机制、组合多个数据集，才可能对特定用户作出结论；密码与支付数据未受影响；CCC 只能访问车辆数据，不能访问车辆本身；调查未发现除 CCC 研究人员外有第三方访问或数据被滥用的证据；相关数据在法律框架、合同关系或用户同意下收集，用于提供与优化数字功能。Fleet Europe 当时记录集团层面未见正式公开回应——两种口径并存，本文不替企业下结论。

五、四条必须保留的边界

中立不是各打五十大板，而是把证据边界摊开：

第一，配置错误 ≠ 黑客入侵，但也不等于「没有风险」。 这条事件没有车端 CAN、固件或 ECU 被攻破，问题落在对象存储访问策略、凭据管理、数据组织方式与跨数据集关联上。可它造成了长期、可规模化访问的位置与关联数据。

第二，假名化 ≠ 匿名化。 去掉姓名只是把直接标识符换成代码；另一个数据集、一份账号信息或一把访问密钥都可能把记录重新连回人。更重要的是，长期位置轨迹本身就有识别力——反复过夜的地点、规律就诊的医院、政党或宗教场所、军警设施，不需要姓名字段也能勾出一个人。

第三，「未发现滥用证据」≠「无人访问」。 云侧访问日志的完整范围、留存期限与独立监管核验没有公开，准确表述只能是「未发现公开确认的恶意滥用证据」。

第四，媒体与企业对「能否关联到个人」的口径存在差异。 媒体转述称部分数据可关联姓名与联系方式，企业强调需较高技术能力与多数据集组合。是否存在姓名、邮箱等身份信息的确定范围、是否通知了监管机构与车主，现有公开材料不足以定论，本刊不写成确定事实。

六、自然落到安全技术：云侧六条工程命题

这起事件的价值，不在于追责一个「配错的文件」，而在于它把车云数据面的六个控制点暴露得很完整：

1）最小权限与默认拒绝。 桶、对象、前缀、目录、管理控制台与内部 API 都按最小权限授予；公开读取、预签名 URL、跨账户访问与日志导出纳入变更审批；IAM 默认拒绝，定期清理无主角色与临时授权。

2）生产凭据隔离。 云访问密钥、内部管理凭据、管理员口令不得出现在前端 JS 包、移动安装包、内存转储、镜像、日志或公开仓库。本期新闻栏目里那两家车企，恰好也栽在「测试环境的凭据在生产环境能用」。

3）身份链可撤销。 设备证书、车辆身份、用户账号、App 会话、服务账号与跨服务调用令牌要分开管理；长期设备密钥不直接充当日常车控令牌；令牌需短有效期、绑定受众与设备、可实时吊销；换手机、账号转让、车辆转售都要有可验证的重绑定或撤销流程。

4）位置数据最小化。 按目的限制精度、频率与保留期；粗粒度、降频、延迟发布、地理哈希精度控制与聚合展示都能降低风险，但是否仍可再识别，应由独立的隐私评估判断，而不是由「不含姓名」代替结论。

5）配置漂移检测与审计。 身份与存储配置写入版本化基线并持续比对生产环境，禁止临时改完不回填；登录、令牌签发、批量查询、对象下载、权限变更与密钥操作留存不可篡改日志，并设置异常聚合告警。CCC 需要组合多个数据集才能关联个人，正说明高风险组合查询与批量导出应被定义为独立的高风险动作。

6）合规基线要分对对象。 《汽车数据安全管理若干规定（试行）》自 2021 年 10 月 1 日施行，倡导车内处理、默认不收集、精度范围适用与脱敏处理，重要数据原则上境内存储、确需出境须经安全评估；GB/T 41871-2022 是《信息安全技术汽车数据处理安全要求》，属于数据处理基线。UN R155 把 OEM 责任延伸到 CSMS、VTA 与供应商互动的证据链，但云侧具体配置、数据与身份责任，仍需结合适用法、合同与平台责任模型界定——不宜把 R155 扩张解释成已逐条覆盖所有云端 SaaS 与跨境存储。

七、结尾：两头都是边界

昨天 Jeep 事件告诉我们，「车内总线不可达」是一个假设；今天 CARIAD 事件告诉我们，「云端数据集不可关联到具体的人」同样是一个假设。一头是车机到 CAN 的写入权限，一头是 App 到云对象存储的读取权限，两头的工程命题其实是同一句：谁、凭什么身份、在什么条件下，能对什么数据或什么总线做什么操作，并且能不能被证明。

给车企、Tier 1、数据安全负责人与合规人员的六条工作项：