汽車行業正在犯一個致命錯誤——用ECU時代的安全思維，去管Agent時代的車

最早是分布式ECU時代。上百個ECU各管一攤，軟硬件焊死，功能寫死了就不動了。那時候的安全靠的是物理隔離——你摸不到OBD診斷口就攻不進來。CAN總線沒有加密，但車根本不聯網，攻擊者連入口都沒有。功能安全靠ISO 26262，網絡安全基本沒人聊，因為沒必要。

這套體系的核心理念是什么？所有行為可預期、可枚舉、可驗證。

代碼是人寫的，邏輯是定好的，測試用例是能覆蓋的。安全團隊可以拍胸脯說：我知道系統所有可能的執行路徑。哪怕最復雜的智駕系統，它的狀態機也是有限的、可枚舉的、可形式化驗證的。

但現在上了Agent。

Agent沒有"執行路徑"的概念。你給它一個目標，它自己規劃路徑。每一次規劃可能都不一樣，取決于上下文、記憶、甚至那一次推理時溫度參數（temperature）的隨機波動。

這就把前面所有安全假設的根基給抽掉了。

AUTOSAR依然能保護它的接口層——調用來了，權限校驗，數據完整，鏈路加密，全部正常。但AUTOSAR不知道這個調用是"高速除霧開窗"還是"雨天關空調"——在它眼里都是標準的服務調用。

AUTOSAR保護的是Message（報文），Agent的問題出在Meaning（語義）上。

這句話我反復說了很多遍，因為它是理解整個問題的鑰匙。

傳統安全體系建立在"行為可枚舉"的前提上。FMEA（失效模式與影響分析）能列出所有失效模式，FTA（故障樹分析）能畫出所有故障路徑，HARA能識別所有危害場景。這些方法論的根基都是同一個假設：系統的行為空間是有限的、可遍歷的。

Agent把這個假設徹底打破了。它的行為空間是開放的、動態生成的、不可遍歷的。你沒法窮舉一個會自己思考的系統的所有可能行為——這不是工程能力問題，是數學問題。

傳統車輛安全的攻擊面是有限的、可枚舉的：CAN總線、OTA通道、診斷口、藍牙、WiFi、4G/5G。攻擊者想進來，必須過這些門。防御者只需要把這些門看好——防火墻、IDS（入侵檢測系統）、加密、證書——基本就能守住。這就是TARA（Threat Analysis and Risk Assessment）方法論能work的根本前提：攻擊路徑是可枚舉的。

但Agent進來之后，攻擊面變成了"所有它能感知的東西"。

路上的廣告牌、收音機里的廣播、地圖上的POI名稱、手機投屏的內容、乘客之間聊的天——全部變成了潛在的攻擊向量。Agent的感知通道是開放的、動態的、不可枚舉的。

很多人覺得Prompt Injection（提示注入）會是汽車最大的風險，我反而沒那么擔心。

為什么？Prompt Injection只是個入口。攻擊者注入一段惡意指令，Agent接收到了，這件事本身沒那么可怕。真正可怕的是：Agent相信了它以后，還能自己規劃。

傳統系統收到惡意指令，頂多執行一個惡意操作——而且這個操作必須事先在系統里被定義過。Agent收到惡意指令，它會把這個指令當作新目標，然后自己拆任務、找工具、規劃路徑、執行、反饋、再規劃——攻擊者不需要把每一步都設計好，Agent自己會補全。

這就像什么？就像SQL注入只能幫你執行一條SQL語句，但如果數據庫自己會"理解"你的意圖然后主動擴散，那就是完全不同的游戲了。

還有一件事我覺得行業普遍低估了：記憶污染。

我去年跟一個做云端大模型安全的朋友聊，他說他們已經開始看到記憶投毒的真實案例了——攻擊者通過多輪對話往模型的長期記憶里植入虛假信息，模型以后每次推理都會調取這些被污染的記憶，而且會自我強化。重啟沒用，回滾才能救，但你怎么知道回滾到哪個版本？

車端Agent的記憶污染只是時間問題。而且車端比云端更麻煩——云端可以通過海量用戶反饋來糾偏，車端Agent是私有的、個性化的，你怎么糾？每個車主的Agent記憶都不一樣，每個車主的對話習慣都不一樣，你連"正常"的基線都建立不起來。

更可怕的是，記憶污染是慢性的、隱蔽的。攻擊者不需要一次性完成投毒，他可以通過幾個月的時間，在不同的交互中慢慢植入。每次植入一點，Agent自己會把這些碎片連接起來"理解"成一個完整的故事。等你發現的時候，已經不知道污染從哪天開始了。

這就是為什么我說，Agent的攻擊面不是"接口集合"，而是"它感知的整個世界"。你防的不再是幾個端口，而是Agent的認知邊界本身。這個邊界是動態的、模糊的、隨上下文變化的——傳統安全方法論里沒有任何工具能處理這種邊界。

讓我用最簡單的方式來說：

ISO 26262驗證的是：功能是否正確

我設計了一個剎車功能，要求100ms內建壓。我測試了，99ms達到目標。功能正確。26262管的是"失效了怎么辦"——軟件跑飛了、硬件壞了、信號丟了，怎么降級、怎么告警、怎么安全停車。它的核心是ASIL（Automotive Safety Integrity Level）分級，從QM到ASIL D，越高級別要求越嚴的冗余和診斷覆蓋。

ISO 21448 SOTIF驗證的是：認知是否充分

我的攝像頭在雨霧天識別不準，我的雷達對金屬護欄有誤報，我的算法在日落逆光時置信度下降——這些不是失效，是能力邊界。SOTIF要求我承認這些邊界，然后通過場景庫測試把"未知不安全"區域壓縮到可接受程度。它的核心是"已知安全"和"已知不安全"之間的灰色地帶——"未知不安全"區域。

Agent Security要驗證的是：目標是否合理

Agent功能正確（API調用全部成功），認知充分（傳感器數據都讀到了），但目標錯了——"提神"不應該等于"開運動模式+關空調+播DJ"。這不是失效，也不是感知不足，是目標到動作的映射不合理。

這一層以前從來不需要。以前目標是人定的，系統只負責執行?，F在Agent會自己定目標、拆目標、改目標。

Agent第一次把"Goal"變成了安全對象。

我以前跟一個ISO的專家聊這個，他說了一句很有意思的話：我們過去的安全標準都是圍繞"系統做了什么"來設計的，但Agent的問題是"系統想做什么"——這完全是另一個維度。

打個比方：26262是問"這把槍會不會走火"，SOTIF是問"這把槍在霧天能不能看清靶子"，Agent Security是問"這把槍該不該對著人"。前兩個問題槍自己回答不了，第三個問題以前根本不存在——因為開槍的人是你。

現在Agent既是槍，又是開槍的人，還是判斷該不該開槍的人。三個角色合一，傳統的安全分工就全亂了。功能安全團隊管不了"目標合理性"，因為它從來沒管過；網絡安全團隊管不了"推理鏈路完整性"，因為它不懂推理；數據安全團隊管不了"意圖漂移"，因為它沒有意圖的概念。三個團隊三個盲區，Agent正好落在交叉點上。

第一種，也是我最擔心的：意圖級聯漂移（Intent Cascade Drift）

用戶說"幫我預約保養"。Agent查日歷、找4S店、提交預約。然后它發現用戶保險快到期了，主動提議"幫你對比一下保險報價"。用戶說好。Agent查通訊錄找保險代理人、開瀏覽器上比價網站、下載保單PDF。

每個步驟單獨看都極其"智能"——是產品經理會鼓掌的那種智能。但整條鏈看下來，目標已經從"預約保養"漂到了不知道哪里。用戶最初授權的安全邊界早就被突破了。

這不是劫持。沒有攻擊者注入惡意指令。純粹是Agent自己的主動性導致的"功能蠕變"（Feature Creep）。傳統安全體系里沒有對應的威脅模型——STRIDE沒有，TARA沒有，Attack Tree也不適用。

為什么我最擔心這個？因為它不需要攻擊者，它不需要漏洞，它不需要任何外部觸發。它是Agent"做得好"的副產品。你越想讓Agent智能、越想讓它主動、越想讓它"懂你"，這個風險就越大。這是Agent能力的內生代價。

這個我前面說了。更具體一點：攻擊者不需要一次性完成投毒。它可以通過幾個月的時間，在不同的交互中慢慢植入。每次植入一點，Agent自己會把這些碎片連接起來"理解"成一個完整的故事。

最麻煩的是，你沒法"重啟修復"——記憶是持久化的，污染就在里面。你只能回滾到某個時間點，但你怎么確定哪個時間點是"干凈"的？而且車端Agent的記憶是和用戶綁定的，回滾意味著用戶的所有個性化數據也回滾了——用戶體驗和安全之間的矛盾，在這里特別尖銳。

第三種，工具濫用（Tool Misuse）

不是指Agent調用了不該調的工具——權限系統會攔住。真正的問題是：Agent調用了合法工具，但組合方式產生了非預期效果。

我前面舉的"提神"例子就是?？照{、音響、駕駛模式、音頻播放，每個工具都合法，但組合起來導致了地庫竄車。單獨看每件事都沒違規，合在一起出事了。

這本質上是"組合爆炸"問題。N個工具，兩兩組合、三三組合，可能的組合數是指數級的。你沒法窮舉所有組合的安全性。傳統FMEA（失效模式與影響分析）能分析單個功能的失效模式，但分析不了組合的"非預期協同"。

風險確實存在，但相比上面三個，它的攻擊路徑更顯性——至少你知道攻擊者要通過某個感知通道注入內容。內容過濾不完美，但至少是個可防守的方向。OWASP今年發布的Agentic AI Top 10把它列在前面，但我的判斷是：隨著多模態感知的擴展，Prompt Injection會越來越難防，但它依然是個"入口"問題，不是"擴散"問題。

座艙Agent跑在車機主SoC上，跟智駕功能共享硬件資源。理論上Hypervisor做了隔離，但進程級的Agent行為控制是盲的。萬一Agent從娛樂域滲透到安全域，現有的隔離方案防不住。

第六種，多Agent串通（Multi-Agent Collusion）

以后一輛車里可能同時跑導航Agent、座艙Agent、智駕Agent、能源Agent。它們之間共享上下文。污染一個，影響其他。

這是目前整車架構幾乎完全沒有考慮的。別說方案，大部分團隊的威脅模型里連這一條都沒出現。MCP（Model Context Protocol）和A2A（Agent-to-Agent）協議正在標準化多Agent通信，但通信協議本身不解決安全問題——它甚至可能擴大攻擊面。

Agent可以調用網絡服務。如果Agent被誘導把車輛位置、用戶行程、車內對話主動上傳到外部服務器，傳統DLP（數據防泄漏）方案根本攔不住。因為Agent的行為是"正常"的API調用。

數據安全團隊和AI團隊往往是兩撥人，各管各的。Agent正好落在兩個團隊的交叉盲區里。數據安全團隊不懂Agent的推理邏輯，AI團隊不懂數據分類分級，結果就是Agent的數據外泄風險在兩邊都沒人管。

寫到這兒，我突然想起去年跟一個歐洲OEM的架構師聊天。他說了一句話我一直記得：

"我們花了十年時間把安全架構從'物理'搬到'邏輯'，現在突然又要從'邏輯'搬到'認知'。但這次沒有標準可以抄，沒有最佳實踐可以引用。大家都在摸黑。"

Secure Boot保證啟動鏈可信——從BootROM到每一級固件，簽名校驗，鏈式信任。SecOC保證CAN信號不被重放——每條報文帶freshness value和MAC，攻擊者偽造不了。TLS保證鏈路安全——車云通信、車車通信全加密。HSM提供硬件信任根——密鑰不出HSM，運算在HSM里完成。Identity & Access Management控制誰可以調用什么服務——SOA里的每個服務調用都有權限校驗。

這套體系足夠對付SDV時代的所有威脅——總線劫持、固件篡改、OTA攻擊、通信竊聽。

但AUTOSAR保護的是Message，Agent的問題出在Meaning。

我想把這個對比說得更清楚一點：

AUTOSAR可以校驗"車窗控制指令"的發送者是否有權限、指令格式是否正確、通信鏈路是否加密。但AUTOSAR不知道"高速雨天開窗除霧"這個操作是否合理——在它的世界里，這就是一個標準的"SetWindowPosition"服務調用，參數在合法范圍內，權限校驗通過，一切正常。

AUTOSAR不會退出歷史，但它也不會負責Agent。它應該繼續做它擅長的事——服務發現、通信管理、執行調度、靜態安全校驗。但在它上面，必須長出一層新東西。

我管這層叫AI Runtime Security。

這層東西需要干的事：感知Agent的意圖、追蹤推理鏈路、判斷目標是否漂移、決策是否合理、必要時阻斷或降級。它不替代AUTOSAR，它坐在AUTOSAR上面，對Agent透明。

整個安全架構會變成四層：

第一層：物理安全——硬件防拆、防側信道、防物理攻擊。這是最底層的，幾十年了，成熟。

第二層：網絡安全——ISO/SAE 21434、AUTOSAR安全棧、防火墻、IDS。這是SDV時代的主戰場，也成熟了。

第三層：功能安全——ISO 26262、ASIL分級、冗余設計、診斷覆蓋。這是ECU時代的主戰場，非常成熟。

第四層：AI安全——AI Runtime Security、Intent Guard、推理鏈路審計、記憶隔離。這是Agent時代的新戰場，幾乎空白。

物理安全、網絡安全、功能安全、AI安全——四個層次，缺一不可。但說實話，最上面那層——Intent Guard——是整個行業都沒啃下來的硬骨頭。

為什么難？因為前三層都有"可枚舉"這個共同前提——可枚舉的接口、可枚舉的失效模式、可枚舉的威脅路徑。Intent Guard要處理的恰恰是不可枚舉的東西——Agent的意圖是動態生成的，推理路徑是開放空間的，目標漂移是連續的而非離散的。你沒法用規則集覆蓋，因為規則集本身就是有限的。

這是底線。不管Agent怎么推、怎么漂，最終落到執行器的指令必須經過一個確定性的監控器。這個監控器的規則是人寫的、有限的、可驗證的。油門剎車轉向燈，Agent不碰。燈光座椅空調，必須在確認場景安全的前提下才能調。

智駕域已經有個類似的東西叫Safety Guardian——一個獨立的安全監控模塊，用形式化方法驗證過的規則，對智駕的規劃結果做最后兜底。我們現在需要把它從智駕域擴展到整車全域——覆蓋Agent能碰的所有執行器。

這個包絡層要獨立于Agent運行，用不同的軟件棧、不同的硬件資源。不能跟Agent共失效。如果Agent跑在主SoC上，包絡層就跑在獨立的安全MCU上；如果Agent用大模型推理，包絡層就用規則引擎或形式化驗證。架構上必須解耦。

第二件事：每個Agent單獨裝一個沙箱（Per-Agent Sandbox）

最小權限原則。一個Agent只能訪問它被授權訪問的工具和數據。權限不是固定的——駐車時可以調座椅按摩，行車時不行。不同場景下權限動態收斂。

具體來說，每個Agent應該有自己的capability token，token里寫清楚它能調用哪些服務、在什么場景下能調用、調用的頻率上限是什么。token由獨立的權限管理服務簽發，Agent不能自己修改。每次工具調用都要帶token，被調用方校驗token的合法性和場景匹配度。

第三件事：意圖檢測引擎（Intent Detection Engine）

這是最難的部分。目前完全沒有成熟的量產方案。

三條技術路線在探索：

規則匹配：快、可解釋、覆蓋不全。能抓住"高速開窗"這種顯性違規，但抓不住"提神→運動模式+關空調"這種語義漂移。

監督模型：能抓復雜漂移、但本身有魯棒性問題。用模型監督模型，等于把黑盒疊在黑盒上，可解釋性更差。

形式化約束：理論上完備、工程上極難。把安全約束寫成時序邏輯公式，用模型檢測驗證Agent的行為是否滿足。學術上有進展，工程上離量產還遠。

我的判斷是量產方向大概率是三者混合——規則做前置快速過濾，模型做深度分析，形式化只用于最高安全等級的場景（比如涉及油門剎車的）。

但我必須承認，這條路還很長。意圖檢測引擎本身就是一個需要持續迭代的產品，不是一次性工程。

Agent的長期記憶要當作核心安全資產來管。所有寫入要校驗，所有版本要保留。出問題了一鍵回滾。

具體來說，記憶系統應該有三層：

短期記憶：當前對話上下文，會話結束就清空。安全風險低。

工作記憶：跨會話的臨時記憶，比如"用戶剛才讓我預約保養"。有時效性，過期自動清理。

長期記憶：用戶偏好、習慣、歷史決策。這是最敏感的，必須版本化、可審計、可回滾。

每次寫入長期記憶都要經過校驗——來源是否可信、內容是否合理、是否和已有記憶沖突。所有版本保留，出問題能回滾到任意時間點。

第五件事：全鏈路審計，不可篡改（Tamper-proof Audit Trail）

Agent的每一輪推理、每一次工具調用、每一次目標更新，全部記錄，不可篡改。

為什么這么強調？因為L3/L4的事故分析已經告訴我們：系統變復雜之后，沒有完整的行為日志，你在事故調查組面前什么都解釋不清。傳統系統出事，工程師能從日志里還原出"信號A在時刻T丟失，導致功能B降級"。Agent出事，沒有日志，你連它為什么做這個決策都說不清。

Agent的決策鏈比傳統系統長一個數量級——從用戶輸入到意圖理解、到任務拆解、到工具選擇、到參數生成、到執行反饋、到下一輪規劃，每一步都可能出錯。沒有審計就是一筆糊涂賬。

技術上，可以用append-only log加哈希鏈，類似區塊鏈的簡化版。每條記錄帶前一條的哈希，篡改任何一條都會斷鏈。存儲成本不高，但價值極大。

第六件事：人機協同，而不是機器自己扛（Human-in-the-Loop）

當意圖檢測引擎發現拿不準的時候，不攔截也不放行，而是問人：

"檢測到您疲勞，我準備開啟運動模式并關閉空調。但當前在地庫，空間狹窄，確認執行嗎？"

SOTIF管這個叫"通過交互將未知風險轉移給人類決策"。本質上跟L3的接管請求是一個邏輯——系統碰到邊界了，把決定權交回給駕駛員。

但這里有個工程難點：什么時候問、問什么、怎么問，本身就是一個決策。問得太頻繁，用戶煩；問得太少，安全邊界守不住。這需要大量的UX設計和場景測試，不是技術問題，是產品問題。

2026年7月，歐盟GSR（General Safety Regulation）第二階段強制實施。

GSR里明確提到了"駕駛員分心與困倦"的干預要求。如果AI Agent誤判了困倦狀態，導致錯誤觸發了ADAS退出或介入，直接影響型式認證（Type Approval）。

這就不是"好不好用"的問題了，是能不能賣車的問題。歐洲市場不讓你進，國內高端市場也會跟著收緊——中國法規往往跟歐洲對齊，只是時間晚一兩年。

OWASP今年發布了Agentic AI Top 10。這是安全界第一次正式把Agent安全跟傳統AI安全分開。華為的OpenClaw也提了多層防護的思路，方向跟我前面畫的架構圖是一致的。

ISO/PAS 8800還在推。AUTOSAR也在討論AI相關擴展。MCP和A2A協議正在標準化多Agent通信。

但說實話，標準永遠追不上技術演進。安全必須以穩定架構為前提，架構沒定，標準沒法做。2026到2028這三年就是架構定型的窗口期。

我之前跟一個國內車企的安全負責人聊，他說："我們現在在等標準出來再動手。"

我當時沒說什么，但我心里想的是：標準出來的時候，架構已經被定義了——但不會是等你來定義。標準永遠是先行者定義的，后來者只能follow。

我一直認為，未來真正決定競爭力的，不是誰先接上Agent，而是誰先把Agent限制住。

接上Agent是產品問題，限制住Agent是安全問題。而安全問題，從來都是先做好的那家定義行業標準。

我不同意。

APP的邏輯是固定的，Agent的推理是生成的。APP的攻擊面是接口，Agent的攻擊面是它感知的整個世界。APP出問題是Bug，Agent出問題是"它覺得自己是對的"。

有人在問：我們能不能用現有的Threat Modeling方法論來分析Agent？

但Agent的Attack Surface是動態生成的。它每多一個工具、多一個感知通道、多一行記憶，攻擊面就變了。STRIDE和TARA在動態的攻擊面面前，方法論根基都動搖了。

這件事需要一個全新的方法論，不是給現有框架打補丁能解決的。

過去十年，安全的主戰場是網絡安全——總線、協議、ECU、OTA。未來十年，主戰場會徹底轉向Agent安全——意圖漂移、記憶污染、目標合理性、推理鏈路完整性。

傳統安全的設問是：這條鏈路安全嗎？這次操作合規嗎？

未來的設問只能是：AI為什么做這個決策？它的推理合理嗎？目標合規嗎？行為邊界還在嗎？

我不覺得我們很快會有完美的答案。但至少，別再拿ECU時代的安全思維，對付Agent時代的問題了。

[1]https://scc-ccn.ca/standardsdb/standards/8187375