2026-06-18 — views

Physical AI 网络安全 2026 — Waymo LIDAR 欺骗 vs Tesla FSD 对抗攻击：自动驾驶安全基准报告

Waymo多传感器融合抵抗LIDAR欺骗与对抗补丁。Tesla纯视觉FSD面临不同攻击面。OTA安全对两者均至关重要。

Physical AI 基准系列第 210 篇 — 自动驾驶网络安全深度分析

消费电子产品的网络安全是数据保护问题。自动驾驶车辆的网络安全是安全问题。当攻击者利用智能音箱的漏洞，后果是隐私泄露。当攻击者利用自动驾驶车辆的漏洞，后果可能是一辆数吨重的机器在高速公路上紧急刹车、驶向错误目的地，或无视交通信号。现代自动驾驶车辆的攻击面横跨无线通信、传感器硬件、定位系统、车辆控制网络、乘客应用程序及空中下载（OTA）软件更新基础设施——其多样性在所有消费设备类别中无出其右。

本文评测 Waymo 与 Tesla FSD 在 2026 年的自动驾驶网络安全现状：研究人员已验证的攻击类别、各公司架构如何影响其暴露程度、哪些法规框架已成强制要求，以及哪些结构性安全优势无法在不更换硬件的情况下弥补。所有标记（估计值）的数字均为公司未公开正式披露时的推估值。

第一节 — 自动驾驶攻击面：为何网络安全是安全问题

网络安全问题与安全问题的区别，是自动驾驶网络安全框架中最重要的概念。在消费物联网中，成功的网络攻击会危及数据或服务可用性。在自动驾驶车辆中，成功的网络攻击可以直接作用于物理世界——导致紧急刹车、转向改变，或在载客高速行驶时丧失定位能力。这从根本上改变了威胁模型：攻击者的目标不是数据外泄，而是物理后果。

自动驾驶攻击面包含多个不同层次：

无线通信 — 每辆现代自动驾驶车辆都配备 LTE 或 5G 蜂窝调制解调器，用于空中软件更新、车队监控及远程操作。此调制解调器是车辆与互联网的常时连接。与每天行驶一至两小时的私家车不同，商业自动驾驶车队持续运营，将攻击暴露时间延长了一个数量级。

传感器硬件 — LIDAR 传感器发射并接收激光脉冲以构建 3D 点云。摄像系统捕获实时视频。雷达收发器测量速度与距离。每个传感器原则上都可被针对：LIDAR 接收器可接收外部激光脉冲；摄像头可被对抗性视觉图案欺骗；雷达可被干扰或欺骗。传感器层是传统消费设备所没有的物理攻击面。

定位系统 — GPS/GNSS 信号极其微弱（估计接收功率 -130 dBm（估计值））。市售 GPS 干扰器广泛存在，可在特定范围内阻断 GPS 信号。在 GPS 被欺骗的环境中，自动驾驶车辆的位置估算可能遭到破坏。各自动驾驶系统如何处理 GPS 降级——通过备用定位方式——是一项关键的安全架构决策。

车辆控制网络 — CAN 总线连接安全关键车辆系统（转向、刹车、油门）与电子控制单元。最初设计时未考虑网络安全，CAN 总线已被经典汽车研究（2015 年 Miller 和 Valasek 的吉普车远程黑客案例）证明可被利用。现代自动驾驶车辆已做出架构改进，但若网络连接组件可桥接至 CAN，车内网络仍是一个重要攻击面。

乘客界面 — 消费者移动应用程序（Waymo App、Tesla App）向数百万用户暴露 API 端点、OAuth 流程及账户管理界面。遭攻击的移动应用程序或后端可能泄露车辆位置、行程历史或账户访问权限。

远程操作中心 — Waymo 商业车队包含远程操作能力：受训操作员可监控行程并在车辆遇到新情境时介入。遭攻击的远程操作中心理论上可影响车队行为。

空中软件更新 — 自动驾驶攻击面中最高价值的目标。成功的 OTA 漏洞攻击会同时影响车队中的每一辆车。Waymo 与 Tesla 均无线交付软件更新；更新管道的安全性——从服务器验证到车辆端密码签名验证——是最关键的单点故障。

自动驾驶网络安全与传统汽车网络安全有着本质上的不同，原因在于三个因素的结合：（1）自动驾驶车辆在公共场所无人监督运行，没有人类可以覆盖因网络安全问题引起的故障；（2）商业自动驾驶车队常时运营、常时联网，带来持续的攻击暴露；（3）自动驾驶决策的安全关键性质意味着成功的攻击具有立即的物理后果，而非仅是数据后果。

第二节 — LIDAR 欺骗与传感器攻击：研究人员已验证的内容

攻击类别	已验证？	方法	Waymo 暴露程度	Tesla FSD 暴露程度	缓解状况
LIDAR 欺骗（幽灵物体）	是 — 研究已验证（Duke/UCSB/Michigan 团队）：攻击者使用激光装置向自动驾驶车辆 LIDAR 感知注入虚假点云数据，制造幽灵车辆或行人；已验证导致自动驾驶车辆对幽灵车辆紧急刹车	商业激光二极管阵列对准 LIDAR 接收器；需要估计视线距离在 30-100 米内（估计值）；欺骗点在点云中显示为实心物体；在 USENIX Security 和 IEEE S&P 等顶级安全会议上多次独立验证	Waymo 使用 LIDAR 加摄像头加雷达多模态融合；攻击者必须在所有三种模态中同时制造一致的虚假物体才能导致自动驾驶车辆动作；摄像头和雷达中不存在的 LIDAR 幽灵可被过滤；HD 地图一致性检查提供额外异常检测	Tesla FSD 使用纯视觉（无 LIDAR）；上述定义的 LIDAR 欺骗不适用于 Tesla 纯视觉架构；但 Tesla 摄像头系统面临对抗补丁攻击，而这类攻击对基于 LIDAR 的系统影响不同	Waymo 缓解：多模态融合使欺骗难度大幅提高但并非不可能；多模态差异异常检测；LIDAR 接收器硬件修改以检测欺骗脉冲时序；Tesla：LIDAR 欺骗不适用
摄像头对抗补丁	是 — 研究已验证（UW/UCSB/Michigan）：粘贴在路标或路面的小型打印图案导致神经网络摄像头系统分类错误；已验证在受控环境中导致停止标志分类错误和限速误读	针对神经网络分类器优化的特定高对比度图案；可粘贴在实体表面（停止标志、车道标线）；不需要电子设备或接近车辆——路标上的静态贴纸可影响所有驶过的车辆	Waymo 使用 LIDAR 加摄像头加雷达融合；带有对抗补丁的停止标志仍在 HD 地图中的正确 3D 位置，且 LIDAR 仍可检测到标志形状的物体；摄像头分类失败可与 LIDAR 地图位置交叉验证；比纯视觉系统更具弹性	Tesla FSD 是纯视觉的；针对摄像头分类器的对抗补丁是 Tesla 最直接的传感器层安全隐患；Tesla 端到端神经网络可能具有一定的隐性鲁棒性，但对抗补丁是专门针对欺骗神经网络而优化的	多模态融合（Waymo 优势）；时间一致性检查（中途改变外观的路标属异常）；车队范围异常检测；神经网络开发期间的对抗训练
GPS 欺骗与干扰	是 — 已在民用场景中验证：商业设备的 GPS 干扰；GPS 欺骗已在无人机应用和军事冲突地区附近验证；GPS 信号微弱（估计 -130 dBm（估计值）），使其易受干扰	市售 GPS 干扰器；GPS 欺骗需要信号生成设备；信号微弱使其容易受到干扰	Waymo 主要定位：LIDAR 点云与 HD 地图匹配（非 GPS）；GPS 为次要输入；若 GPS 与 LIDAR 地图匹配矛盾，以 LIDAR 地图匹配为准；无法同时欺骗 LIDAR 地图匹配的 GPS 欺骗攻击对 Waymo 定位无效	Tesla FSD 定位更依赖视觉地标（车道线、路标、建筑物外观）进行位置估算；GPS 用于地图匹配和路线规划；视觉定位提供一定的 GPS 欺骗弹性，但依赖视觉地标质量	LIDAR 地图匹配（Waymo）和视觉惯性定位（Tesla）提供备用定位；多星座多频率 GPS 天线设计改善欺骗检测；IMU 在 GPS 失效时提供短期推算导航
OTA 软件更新攻击	否 — 生产自动驾驶车队上无公开验证案例；理论上高价值攻击向量；在非汽车物联网上已验证类似攻击；Tesla 和 Waymo OTA 基础设施均使用密码签名	攻陷 OTA 更新服务器或拦截分发渠道；向车辆推送恶意固件；单次攻陷同时影响整个车队	Waymo 估计 2,500 辆商业车辆（估计值）；安全关键驾驶系统与网络连接更新系统气隙隔离，限制 OTA 攻击的爆炸半径	Tesla 估计超过 600 万辆消费者 FSD 车辆（估计值），代表汽车业中最大的 OTA 攻击面；Tesla 拥有逾 10 年的 OTA 安全强化经验；HSM 密钥管理	两家公司均使用密码代码签名；硬件安全模块保护签名密钥；在应用任何更新前进行车端签名验证；攻击需要攻陷签名基础设施或密钥存储
CAN 总线与车内网络	是 — 经典汽车研究（Miller/Valasek 2015 年吉普车远程黑客）；现代自动驾驶车辆已改进 CAN 安全性	物理 OBD 端口访问或通过已攻陷的网络连接组件桥接至 CAN；需要物理访问或预先攻陷网络组件	Waymo 商业车队：物理攻击需要访问商业车辆；车队管理控制车辆访问；网络系统与安全关键 CAN 系统之间的气隙限制远程至 CAN 的攻击路径	Tesla 消费车辆：物理 OBD 访问对车主开放；Tesla 已实施区域化 CAN 架构，分隔安全关键与娱乐信息网络；但数百万辆车在私人手中创造了比 Waymo 受控商业车队更多样化的物理访问情境	现代自动驾驶车辆架构通过硬件分离、防火墙和密码访问控制将安全关键系统与网络连接系统隔离

第三节 — 自动驾驶网络安全法规与标准概况

标准/法规	司法管辖区	主要要求	自动驾驶适用性	状态
UNECE WP.29 网络安全	欧盟、日本、韩国（强制）；全球事实标准	要求网络安全管理系统（CSMS）认证；涵盖车辆生命周期（设计、生产、售后）；制造商必须在车辆生命周期内维护并更新 CSMS	直接适用于 Waymo 和 Tesla 在欧盟、日本、韩国市场的车辆；强制要求对所有车辆系统进行威胁分析与风险评估（TARA）；强制要求事件监控与应对	2022 年 7 月起在欧盟、日本、韩国新型式认证强制执行；最严格且全球采用最广泛的自动驾驶网络安全标准
ISO/SAE 21434	全球标准（非强制）	汽车网络安全工程标准；TARA 方法论；安全设计生命周期；售后网络安全管理	UNECE WP.29 合规所参考的技术工程标准；定义如何构建汽车网络安全流程；LIDAR 欺骗、OTA 攻击和传感器对抗攻击的 TARA 均在此框架下涵盖	2021 年 8 月发布；被汽车供应商广泛采用为基准；向 Waymo、Tesla、Aurora 提供传感器的一级供应商必须符合 ISO/SAE 21434
NHTSA 网络安全最佳实践	美国（自愿指南，2022 年）	机动车辆网络安全自愿最佳实践；涵盖访问控制、威胁监控、事件应对、OTA 更新和网络分段	针对美国销售车辆的自愿性指南；NHTSA 已推动强制规则但尚未颁布强制汽车网络安全法规	截至 2026 年为自愿性；NHTSA Moving Forward 监管议程包含拟议中的强制 CSMS 规则；美国在强制自动驾驶网络安全法规方面落后于欧盟
中国 GB/T 38628	中国（联网车辆强制）	联网汽车网络安全管理系统标准；与 UNECE WP.29 范围类似	适用于中国销售的所有联网车辆；对 Tesla 上海制造基地特别重要；中国标准强调数据本地化——在中国收集的自动驾驶数据必须留在中国	在中国强制执行；由工信部负责；数据主权要求增加了拥有全球数据管道的外国自动驾驶企业的复杂性
SAE J3061	美国/全球（自愿）	网络物理车辆系统网络安全指南；汽车网络安全工程流程框架	ISO/SAE 21434 的前身；业界广泛引用；与自动驾驶网络安全设计流程相关	2016 年发布；对于较新的项目，部分已被 ISO/SAE 21434 取代；现有项目中仍引用
欧盟 NIS2 指令	欧盟（强制）	关键基础设施的网络和信息安全要求；交通运输部门包含在内	联网车辆基础设施（车队管理服务器、OTA 更新基础设施、远程操作中心）可能属于 NIS2 关键基础设施要求范围	2024 年 10 月前转置为欧盟成员国法律；在欧盟的自动驾驶车队运营商必须遵守 NIS2 事件报告要求

第四节 — 安全架构比较：Waymo vs Tesla FSD

安全维度	Waymo	Tesla FSD	优势	关键不确定性
传感器对抗攻击的冗余性	多模态融合（LIDAR 加摄像头加雷达加 HD 地图）：攻击者必须同时欺骗多个独立传感器；这是 Waymo 最大的结构性网络安全优势	纯视觉：对摄像头系统的成功对抗攻击没有独立的 LIDAR 或雷达验证来捕捉错误；冗余是时间性（多帧摄像头）和几何性（多角度摄像头）的，而非模态性的	Waymo：多模态传感器冗余是结构性安全优势，在不更换硬件的情况下纯视觉系统无法比拟	Waymo 多模态融合是否在实际生产环境中真的能捕捉对抗补丁攻击？学术研究是受控环境；现实世界对抗补丁的耐久性（天气、光线、物理磨损）影响攻击有效性
车队攻击面	估计 2,500 辆商业车辆（估计值）；受控商业部署；车队管理控制车辆物理访问；较小的总体网络面	估计超过 600 万辆消费者 FSD 车辆（估计值）；私人所有意味着多样且较不受控的物理访问；汽车业中最大的 OTA 攻击面	Tesla：FSD 规模创造了安全复杂性，但也带来了安全投资资源；Tesla 逾 10 年的消费者 OTA 安全强化经验是有意义的运营经验	Tesla 的规模意味着成功的车队级攻击影响范围比可比较的 Waymo 攻击大约 2,400 倍（估计值）；这一不对称性可能是最重要的安全风险比较
OTA 更新安全	安全关键系统气隙（驾驶系统与网络连接更新系统隔离）；密码代码签名；较小车队使异常检测更快	HSM 密钥管理；密码代码签名；车队范围分阶段 OTA 推送（先推送小比例车队，监控后再扩展）；逾 10 年消费者 OTA 安全强化	相当（两家公司均有强大的 OTA 安全计划）；Tesla 拥有更多年的实际 OTA 强化；Waymo 对安全关键系统的气隙提供爆炸半径限制	气隙架构是理想设计；问题是 Waymo 的实施是否完全实现，或者是否存在桥接组件
漏洞奖励计划	Waymo 设有安全漏洞披露计划；范围包括车辆系统、云端基础设施和移动应用程序	Tesla 漏洞奖励计划自 2014 年起；汽车业最长期运行的漏洞奖励计划之一；已支付大量奖励；安全研究社区对 Tesla 系统熟悉	Tesla：逾 10 年计划历史意味着更多研究人员研究了 Tesla 安全，更多漏洞已被发现和修复；Waymo 计划较新，研究社区规模较小	漏洞奖励计划的有效性取决于研究社区规模和奖励水平；较大的计划随时间发现并修复更多漏洞
法规合规状况	UNECE WP.29 适用于目标扩展市场；遵循美国 NHTSA 自愿指南；ISO/SAE 21434 工程标准	UNECE WP.29 适用于 Tesla 销售车辆的欧盟、日本、韩国市场；美国 NHTSA 自愿性；中国 GB/T 38628 对上海运营至关重要	相当（两家公司均受相同强制标准约束）；Tesla 更大的中国制造基地使中国 GB/T 38628 在运营上更为重要	若 NHTSA 强制 CSMS 规则获颁布，将是对两家公司影响最大的美国监管变化

第五节 — Physical AI 网络安全基准计分卡

安全维度	Waymo	Tesla	Aurora（自动驾驶卡车）	2028 年展望
传感器攻击弹性	高：多模态融合（LIDAR 加摄像头加雷达加 HD 地图）要求攻击者欺骗多个独立模态；传感器层攻击的结构性优势	中：纯视觉创造潜在对抗补丁漏洞；由时间和几何冗余补偿，但非模态冗余	高：Aurora Driver 使用类似 Waymo 的 LIDAR 加摄像头加雷达融合；仅限高速公路的运营设计域降低了对都市对抗补丁情境的暴露	只要 Tesla FSD 保持纯视觉，Waymo 和 Aurora 的结构性传感器安全优势就持续存在；若 Tesla 增加雷达冗余，差距缩小
车队层级攻击面	低（受控）：估计 2,500 辆商业车辆（估计值）；受控物理访问；较小云端面	高：估计超过 600 万辆消费车辆（估计值）；多样私人所有；全球汽车业最大 OTA 面；由逾 10 年安全强化补偿	低（受控）：商业卡车车队；受控停车场访问；规模小于 Waymo	Tesla 的规模持续带来车队层级安全复杂性；Waymo 和 Aurora 较小的商业车队本质上更易管理
OTA 更新安全	高：安全关键气隙加密码签名；较小车队使异常检测更快	高：逾 10 年消费者强化；HSM；分阶段推送；但数百万辆车延长了每个更新周期的暴露窗口	高：商业车队，受控更新部署	Waymo 和 Tesla 均有成熟的 OTA 安全体系；Tesla 额外的消费者强化年数是有意义的能力优势，尽管其攻击面更大
法规合规态势	高：UNECE WP.29 在目标扩展市场强制执行；积极合规计划	高：UNECE WP.29 在欧盟、日本、韩国现有市场强制执行；中国 GB/T 38628 积极执行	中高：卡车特定监管环境；类似强制标准适用	全球强制标准（UNECE WP.29、中国 GB/T 38628）将成为在这些市场运营的所有自动驾驶企业的基准
总体评估	2026 年的自动驾驶网络安全领域，Waymo 拥有结构性传感器层优势（多模态融合使传感器欺骗比纯视觉系统难度大幅提高），但 Tesla 拥有更深厚的安全文化优势（逾 10 年的消费者 OTA 安全强化、最长期运行的汽车漏洞奖励计划，以及规模庞大的内部安全团队）。最重要的未解决风险是规模：对 Tesla 估计逾 600 万辆车（估计值）的成功车队层级攻击，影响范围将约为可比较的 Waymo 估计 2,500 辆车队攻击的 2,400 倍（估计值）。最重要的结构性安全优势是 Waymo 的多模态传感器融合——摄像头对抗补丁和 LIDAR 欺骗无法同时欺骗 LIDAR、摄像头、雷达和 HD 地图。在 Tesla FSD 增加硬件模态冗余（雷达或其他非摄像头传感器）之前，这一结构性差距持续存在。

资料来源：UNECE WP.29 网络安全法规（unece.org）；ISO/SAE 21434 汽车网络安全工程（iso.org）；NHTSA 现代车辆网络安全最佳实践（nhtsa.gov）；Tesla 漏洞奖励计划（tesla.com/support/security）。学术研究参考：USENIX Security、IEEE S&P 汽车网络安全与对抗机器学习会议论文集。所有标记（估计值）的数字均为基于公开披露、监管申请和第三方报道的估算值；未经独立核实，可能与公司内部数据有所不同。