加州大学圣地亚哥分校近期披露，全球约200万辆汽车因经销商加装的KARR防盗装置存在蓝牙协议漏洞，攻击者可在4.5米外远程解锁车门并禁用引擎启动。该事件波及本田、丰田、福特等主流品牌2017年后车型，虽供应商Acrisure已发布补丁，但长达18个月的修复空窗期及车主知情权缺失，暴露出车企在售后非原厂配件安全管控与供应链应急响应机制上的系统性短板。
此次安全危机的核心并非车辆出厂设计缺陷，而是源于美国经销商为库存管理及增值销售加装的KARR Security防盗系统。该设备本意是通过智能手机App实现车辆监控与防盗，却因蓝牙低功耗通信模块缺乏加密验证，成为黑客入侵的“后门”。研究人员演示显示，攻击者无需物理接触即可通过定制App完成解锁、鸣笛等操作，若配合后续密钥克隆工具甚至可盗走车辆。受影响车辆涵盖本田、丰田、马自达、福特及Jeep等多个品牌，且多为2017年至今销售的车型。值得注意的是，大量现任车主并未订阅相关服务，甚至不知晓车内存在该硬件模块，导致固件更新推送后实际覆盖率极低。供应商Acrisure Protection Group早在2025年1月便获知漏洞，却直至2026年7月才发布修复程序，这种滞后反应远超汽车行业安全漏洞处置的行业基准。
从战略脉络审视，此次事件折射出传统车企在“软件定义汽车”转型期的组织架构割裂。长期以来，整车厂研发体系聚焦于量产前装零部件的功能安全与信息安全认证，而将经销商售后加装业务视为独立运营的利润中心，缺乏统一的安全标准与全生命周期管理。当车辆售出后，其电子电气架构的实际边界已被第三方设备悄然扩展，但车企的安全责任边界并未同步延伸。这种“前装严管、后装放任”的二元结构，使得售后市场成为智能网联汽车安全防线中最薄弱的一环。尤其在车企大力推进用户数据运营与生态服务的当下，若无法建立覆盖全渠道、全配件的软件安全治理体系，任何单一环节的疏漏都可能反噬品牌信任资产。此次漏洞涉及多个竞品品牌，也说明问题具有行业共性，而非个别企业失误，反映出整个产业在售后数字化安全管理上的集体缺位。
财务与市场背景层面，经销商加装件本是提升单车毛利的重要手段，KARR类防盗系统单套利润可达数百美元，是售后金融与增值服务的关键载体。然而，当此类产品引发大规模安全风险时，潜在成本远超短期收益。尽管目前尚无真实盗窃案件关联该漏洞，但一旦发生重大安全事故或集体诉讼，车企将面临巨额赔偿、召回成本及品牌溢价折损。更深远的影响在于消费者信心：当车主意识到自己购买的“原厂认证”车辆可能被未经充分验证的第三方设备危及安全，其对车企整体技术可靠性的质疑将难以消除。此外，监管机构正加速推进汽车网络安全立法，欧盟UN R155/R156法规及中国GB/T 40861等标准均强调全生命周期安全管理，若车企不能证明其对售后加装件具备有效管控能力，未来可能面临合规处罚甚至市场准入限制。此次事件中供应商18个月的修复延迟，也可能被监管解读为车企未履行持续监控义务，埋下合规隐患。
对行业而言，此事件应成为重构售后安全治理体系的转折点。车企需将售后加装件纳入整车信息安全管理体系，建立供应商安全准入、漏洞通报时限、OTA强制升级等制度，并将安全责任从“出厂即终止”转向“使用全周期”。同时，应推动经销商加装业务的透明化，确保车主对车载电子设备拥有完整知情权与控制权。对于消费者，建议主动查询车辆是否安装KARR等设备，并及时联系经销商确认固件版本；对于尚未收到更新通知的车辆，应保持警惕并关注官方公告。唯有将售后生态的安全水位提升至与前装同等标准，智能汽车的可信基石才能真正稳固。
后续需重点关注各涉事车企是否启动专项排查与用户告知计划、监管机构是否介入调查供应链响应时效，以及Acrisure补丁的实际装车率。这些节点将决定此次漏洞是孤立事件，还是行业安全治理升级的起点。