联网汽车（connected car）配备内置互联网接入，能持续与制造商及外部公司通信，全球逾75%车辆内置此功能。车辆如同轮子上的智能手机，知道行驶去向与车主身份，并将数据分享给保险公司、广告商等。这项首个大规模测量研究携手消费者报告（Consumer Reports）测试了21款近期车型与30个配套移动应用，探究生态隐私问题。

这是第一项针对联网汽车生态的大规模测量研究。

联网汽车指内置互联网接入（Wi-Fi、蜂窝网络、GPS）的车辆，能持续与制造商和外部公司通信。全球售出车辆中超过75%已内置这种连接功能。

它知道你开去哪里。 它知道你是谁。 它能将这些数据及更多内容分享给保险公司、广告商等。

报告概要

我们与 Consumer Reports 合作，测试了21款较新车型和30个配套手机应用，以理解联网汽车生态的隐私影响。车辆和配套应用都联系了大量第三方域名，包括广告商和跟踪器。我们经历了漫长的披露过程，并探究制造商如何看待数据共享问题。我们的发现凸显了持续测量和审视联网汽车生态的必要性。

与 Consumer Reports 的合作

Consumer Reports 让团队使用其购买的测试车队——独立组建该样本需花费超过120万美元。

论文

本工作经过同行评审，将在 IMC '26 发表。

研究问题

联网汽车生态

该图展示了车辆及其配套移动应用之间的数据流。两种设备都通过 Wi-Fi 和蜂窝网络向不同的第一方和第三方服务器发送数据，包括消费者私人数据。实线箭头代表我们通过实验拦截到的流量。

问题

一旦数据发送到这些服务器，如何处置就由接收消费者信息的公司决定。许多情况下这包括与未披露的第三方共享或出售数据。消费者数据一旦离开设备便无法控制。

我们迈出了第一步，以解决对联网汽车生态隐私影响能见度有限的问题。我们确定了生态中两个能洞察车辆与制造商及第三方共享数据的观测点：车辆本身和制造商提供的移动应用。我们提出以下指导性问题：

• 01 联网车辆及其配套应用传输了哪些消费者个人数据？
• 02 谁接收了这些个人数据？
• 03 制造商对这些发现作何回应？

方法

我们在受控环境中调查了美国市场的21辆车，并在2024年10月至2025年8月间对30个配套移动应用进行了检测。以下是实验描述和设置。

车辆测试

Wi-Fi 测试设置

为收集车辆 Wi-Fi 流量，我们在 Raspberry Pi 上配置了自定义接入点（AP），并用 tcpdump 记录通过该 AP 收发的所有数据包。这让我们看到车辆发送数据的所有目的地，但因加密无法获知包内信息。

静态测试

空闲基线：车辆开启但无活动

主动测试：执行所有可行操作

驾驶测试

以5–45英里/小时行驶，包含加速与急刹

隔离蜂窝流量

我们测试了一个假设：阻止车辆通过蜂窝网络通信是否会迫使更多 Wi-Fi 通信。为屏蔽外部蜂窝信号，我们将样本中11辆电动车开进车用法拉第帐篷，提供约93 dB衰减，完全阻断蜂窝连接。在帐篷内重复静态空闲和主动测试，看通常走蜂窝的流量是否改走 Wi-Fi。

应用测试

总计我们在 Consumer Reports 测试设施中实验了30个与车辆配对的联网汽车配套应用。

设备设置

• 01 组合使用测试手机和 iOS 版本：iPhone 8/iOS 16.6、iPhone X/iOS 16.7.11、iPhone 13/iOS 18.5。
• 02 为最小化后台流量，删掉测试机上所有非必要应用，逐个测试，每下载下一个前删除上一个车辆应用并重启手机。
• 03 使用 iOS 原生录屏功能记录每次交互以备复查。
• 04 为捕获并解密配套应用流量，我们使用装有自定义根证书并连接 mitmproxy 的 iPhone。

每个应用的测试流程

• 01 安装和登录时接受所有权限请求（跟踪、位置、日历、蓝牙、通知等）。
• 02 由 Consumer Reports 员工用其现有凭据登录关联车辆的应用。
• 03 登录后手动使用所有功能，如查找附近充电站、定位车辆、查看车况和服务历史（胎压等）、查看通知（“车门未锁”）、查看应用内隐私政策。
• 04 部分应用允许对车辆物理操作，如远程开后备箱。我们执行了所有此类操作并验证车辆完成请求。

车辆数据集

独立采购此车队估计耗资120万美元以上，正因 Consumer Reports 合作才成为可能。

| 制造商 | 品牌 | 年款 | 型号 | 驾驶测试 | 空闲测试 | 帐篷内 | 蜂窝 | | --- | --- | --- | --- | --- | --- | --- | --- | | General Motors (GM) | Buick | 2024 | Envista | ✓ | ✓ | – | – | | Cadillac | 2024 | Lyriq | ✓ | ✓ | ✓ | – | | Chevrolet | 2024 | Blazer | ✓ | ✓ | ✓ | – | | Stellantis | Dodge | 2023 | Hornet | - | ✓ | – | – | | Fiat | 2024 | 500e | ✓ | ✓ | ✓ | – | | RAM | 2025 | 1500 Bighorn | ✓ | ✓ | – | – | | Fisker | Fisker | 2023 | Ocean | ✓ | ✓ | - | – | | Ford Motor Co. | Ford | 2022 | F150 Lightning | ✓ | ✓ | - | – | | Ford | 2024 | Mustang GT Fastback | ✓ | ✓ | – | – | | Honda Motor Co. | Honda | 2024 | Prologue Touring AWD | ✓ | ✓ | ✓ | – | | Tata Motors | Land Rover | 2023 | Range Rover Sport | ✓ | ✓ | – | – | | Toyota Motor Corp. | Lexus | 2024 | NX450H+ PHEV | ✓ | ✓ | – | – | | Toyota | 2023 | Corolla Cross | ✓ | ✓ | – | – | | Subaru | 2023 | Solterra | ✓ | ✓ | ✓ | – | | Lucid | Lucid | 2023 | Air Touring | ✓ | ✓ | ✓ | – | | Mercedes-Benz Group AG | Mercedes | 2023 | EQS450 4Matic | ✓ | ✓ | - | – | | Renault-Nissan-Mitsubishi Alliance | Nissan | 2023 | Ariya Platinum | ✓ | ✓ | ✓ | – | | Rivian | Rivian | 2022 | R1S | ✓ | ✓ | ✓ | – | | Tesla | Tesla | 2024 | Cybertruck | ✓ | ✓ | ✓ | – | | Tesla | 2024 | Model 3 | ✓ | ✓ | ✓ | ✓ | | Zhejiang Geely Holding Group | Volvo | 2024 | C40 | ✓ | ✓ | ✓ | – |

虽然测试了广泛车辆，但未覆盖美国市场所有制造商。像所有实证研究，结果应视为特定时间的快照，可能不推广至样本外或美国外车辆。

发现

• 21辆车中有19辆通过 Wi-Fi 联系至少一家第三方，包括已知广告和跟踪域名。
• 30个配套应用中有7个向广告和跟踪相关第三方传输敏感标识符（VIN、邮箱、电话、精确位置）。向同一第三方传输多种个人身份信息使广告商能建立深度用户画像。

配套应用使车辆对广告/跟踪公司的暴露平均翻倍，有时增加20多个新公司。

制造商披露

团队向研究中各制造商披露了发现，以下为收到的解释互动概要。

持续主题是将责任推给消费者。

当前系统不让车主选择。 假设车主能找到特定协议，若其不满其中数据共享，面临（可以说）不公平选择：01 不顾担忧接受协议；02 停用车辆联网功能（含远程启动、应用等实用功能）；03 完全停用车辆。

显著例外是 Honda 改进了数据收集实践，阻止向与用户跟踪相关的第三方发送精确地理位置。

结论

• 我们发现车辆在各种真实设置下，不仅联系广泛第一方（制造商域名）和车企支持方，还联系已知提供广告和跟踪服务的第三方。
• 同制造商车辆表现不同网络行为，使研究困难且昂贵。
• 加入配套应用分析后，车主面临更多隐私敏感通信——有时多出二十多个跟踪器。
• 研究揭示制造商公开披露与联网生态实际互联网数据共享间存在巨大鸿沟。
• 基于车载系统不透明性，我们认为需更好透明度以确保生态可见性，识别和解决相关危害。

讨论整体偏悲观：多数人认为联网汽车的追踪已没有真正退出选项，只能靠老车、断网或物理开关拖延；少数意见包括，若技术用于交通执法尚可接受，以及对论文方法是否足够存疑。分歧主轴是个人选择能否对抗由政治和经济动机驱动的系统性监控。

认为普通人对监控早已麻木

• 有人从爱国者法案以来不断向身边人解释监控扩张，但几乎没人关心；多数人只在意手机能连上音乐和视频，并用“没做错事就没什么可怕”来自我安慰。（少数人） > 我不断告诉身边人，但基本没人真的在意。（@AndrewKemendo）

认为不付蜂窝订阅费就说明车主才是产品

• 汽车内置蜂窝连接却不向车主收月费，这本身就暴露了商业模式：数据才是被售卖的东西。（少数人） > 你不需要为这些车的蜂窝订阅付费，这已经说明谁才是产品。（@moffkalast）

指出新车没有真正的隐私选项

• 有评论说没有具体退出项，结果是要么允许一切，要么导航等功能直接不可用。（较多人）
• 另一位提到同事的新现代车，导航第一屏就要求创建账户；他认为买下实物后不应被迫认证或联网，也不信“不向第三方共享”的承诺，更不信厂商能防住泄露。（较多人） > 没有细粒度退出，要么全同意，要么导航就不能用。（@longhaul）

认为监控扩张由政治和经济动机驱动，避风港会持续缩小

• 有人判断未来更多商品都会监控用户，因为追踪和收集数据同时有政治与经济回报；可行做法是在被全面占领前避开带追踪器的产品，之后学会关闭定位、无线和蜂窝天线，并祈祷厂商别加死亡开关。（较多人）
• 也有人把现状比作蚂蚁农场，认为隐私避风港在缩小，并反问监控支持者：当你不在终端后面时，你自己就是目标。（较多人） > 世界正在被大规模监控，我们正在变成蚂蚁农场里的蚂蚁。（@zenapollo）

主张用老车和物理断联来抵抗

• 多位车主用老车作为对抗方式：有人卖掉林肯领航员，换了一辆 2005 年的二手本田奥德赛，连蓝牙都没有；还有人继续开 2001 年的道奇大捷龙；也有人只买 2015 年前的车。（较多人） > 我那辆老奥德赛连蓝牙都没有，祝你们监控我好运。（@codegeek）

认为射频发射设备需要强制物理开关

• 有人希望所有设备都强制配备射频关闭开关，因为未来发射射频能量的东西可能被无人机定位和攻击。（少数人）

认为联网车可被远程劫持，反乌托邦已经成真

• 有评论提醒，现代汽车已被反复证明可被远程劫持和控制，所以问题不只是隐私，还包括人身安全。（少数人） > 现代汽车能被远程劫持和控制，我们确实活在一个反乌托邦里。（@recursivedoubts）

认为关闭遥测并不等于停止追踪

• 有人通过数据保护请求向奥迪索取自己的数据，发现即便关闭遥测、定位和远程访问，导航里输入的每个目的地仍被持续发回服务器；实时定位等其他服务倒是停了，他正在核实用途后再向数据监管机构投诉。（少数人） > 我关闭了遥测和定位，但导航目的地仍被传回总部。（@hecturchi）

认为若用于交通执法尚可接受，但实际并未阻止危险驾驶

• 有评论说如果这些技术用于交通执法，他会支持；但现实是司机仍能在方向盘后刷手机，甚至撞倒骑车的小孩，监控并没有解决这个问题。（少数人） > 如果这些技术用于交通执法我完全支持，可惜司机照样能边开车边刷手机。（@rcpt）

质疑研究方法的充分性

• 有人认可论文工作，但怀疑方法是否足够，并承认只浏览了第 3.2 节。（少数人）

想要一个可查询各车型数据共享情况的公共数据库

• 有人询问是否存在按品牌、型号、年份查询汽车向厂商、保险公司等共享多少信息的公开数据库。（少数人）

有价值的补充

• 同一话题两天前已在站内讨论过。
• 旧车的“离线”并不彻底：3G 退网会削弱远程连接，但到经销商处车辆状态仍会被自动下载。
• 奥迪案例中，实时定位在关闭后确实停止，而导航目的地仍持续上传，说明追踪可能按功能分项独立工作。