一、盲区在哪里车企的安全预算长期流向两个方向网络安全防火墙、IDPS、渗透测试和数据安全加密、脱敏、权限。这两块都很重要也都有成熟供应商。但智能驾驶的核心竞争力越来越集中在第三块模型。感知、融合、预测、规划乃至座舱语音和大模型助手全部由算法驱动。而模型是一个与传统软件截然不同的东西——对比项传统软件AI 模型逻辑形态人写的规则可读可审计从数据中学出的权重不可解释出错方式有 bug 才错没 bug 也可能错攻击面代码、接口、配置训练数据、权重、输入分布、推理链路修补方式打补丁重新训练或微调周期长最后一行最关键。传统漏洞可以连夜出热修复模型出了问题往往意味着重新走一遍数据—训练—验证—回归的长链条。所以 AI 安全的核心诉求不是修得快而是错得可控——也就是功能安全领域讲的预期功能安全SOTIF思路承认不完美设计降级和兜底。二、四类真实威胁按危险程度排1. 对抗样本与物理世界欺骗最直接对抗贴纸、特殊涂装、强光干扰、对抗补丁都属于此类。它的现实危险性最高因为实施门槛低、无需侵入系统。应对方式是鲁棒性测试常态化把对抗样本生成与检测做成 CI/CD 里的一道闸门模型不过关不上车。2. 数据投毒最隐蔽在采集、标注、清洗、回流环节注入恶意样本使模型带上隐蔽偏见。防御重点是数据血缘可追溯、标注过程留痕、训练集统计异常检测、多源数据交叉校验。这也解释了为什么数据安全与 AI 安全无法分开建设。3. 模型窃取与逆向最被忽视通过大量查询推理接口反推模型参数或复刻其能力也可通过内存提取部署在车端的模型文件。车端模型一旦泄露攻击者就能在实验室里离线研究它的弱点。因此模型本身也要当成资产加密保护配合水印、查询频次限制、输出扰动等技术。4. 模型异常行为在线监测最难但最必要车上跑的模型面对的是开放世界。唯一现实的做法是运行时监测检测输入分布是否偏离训练域、输出置信度是否异常、决策是否与规则层严重冲突一旦触发就降级到安全模式并上报云端。这就是为什么 VSOC整车安全运营中心需要集成 AI 威胁检测引擎而不只是看网络流量。三、AI 安全不只是技术问题还是责任问题一个新问题是当事故源于模型被欺骗而非代码 bug责任怎么界定 GB 44497 要求的自动驾驶数据记录系统DSSAD 类正是在回答这个问题——记录事故发生前后的系统状态、接管情况和环境数据为责任认定提供依据。新强标同时把组合驾驶辅助的人机交互逻辑和 DMS 有效性纳入验证也是因为人—机权责交接是最容易出事的环节。对车企而言这意味着三件事要做在前面明确系统运行设计域ODD并向用户说清楚、保留完整的训练与验证记录、建立模型版本与 RXSWIN 类似的标识追溯机制。可解释、可追溯、可降级是 AI 上车的基本盘。四、给非技术读者的三个判断标准如果你不是工程师只是想判断一家车企在 AI 安全上是否认真可以看三个公开信号1. 有没有公开的漏洞响应渠道和致谢机制——愿意接受外部研究者提交问题的企业通常内部也有相应体系。2. OTA 更新说明里是否包含安全修复项——像手机厂商那样坦诚披露是成熟的标志。3. 是否参与相关标准制定和第三方认证——被动合规与主动建设投入量级完全不同。AI 不会让汽车变得更危险但把 AI 当作普通软件来保护会让汽车变得更危险。这个认知差就是盲区的本质。