前门敞开：澳大利亚放任中国电动车网络安全监管空白，ASIO警告遭冷处理

在堪培拉郊外一条狭窄的乡间公路上，一辆2.6吨的比亚迪Shark 6插电混动皮卡正在行驶。司机身后，一名黑客只需敲几下键盘，即可远程关闭车头灯，将整车推入黑暗，并启动雨刷、喷水、循环播放"为了安全请使用近光灯"的语音提示。整套操作发生在澳大利亚最具战略敏感性的首都周边，且这台车的软件后台直通中国。

据澳大利亚广播公司（ABC）旗舰调查节目《四角》报道，受委托执行这次测试的是堪培拉Fortify Labs联合创始人、汽车网络安全专家丹·赫雷什丘克（Dan Hreszczuk）。他在两周内对这辆由中国最大电动车制造商比亚迪生产的Shark 6进行了系统性入侵测试，结论是：这款车"根本没有密码"。赫雷什丘克直言："我们所利用的访问入口甚至没有密码。BYD相当于把前门敞着，我连撬锁都不必。"

《四角》节目组披露的攻击场景并非科幻。赫雷什丘克通过网络远程锁死车门、在车内扬声器放出高分贝音乐、在中控大屏播放任意画面，并在车辆行驶中反复开关车灯、启动雨刷与喷水。这种干扰在高速或弯道上的组合足以构成致命威胁。

更具冲击力的是接下来的监控演示。记者驾车经过堪培拉战争纪念馆与澳新军团大道时，赫雷什丘克已远程接入车辆麦克风，全程监听车内对话。途中记者用iPhone与母亲通话，详细告知其网银临时密码的构成方式——包括本人姓名首字母、门牌号和完整出生日期。赫雷什丘克录下这段通话后，从中剪出"Hey Siri"音频片段，与自己合成的问题拼接，通过车载扬声器回放到车内。留在车内的iPhone随即被唤醒，依次"交出"家庭住址、出生日期、网银密码，并搜索通讯录中前总理马尔科姆·特恩布尔的电话号码。整个过程在几分钟内完成。

比亚迪在一份声明中回应称，公司所收集的数据存储在澳大利亚境内，"从未也不会"将澳大利亚用户数据交给中国当局。然而《四角》指出，比亚迪等中国电动车制造商在中国《国家安全法》框架下有义务配合情报与执法部门。这意味着任何被采集、存储或传输的数据，最终是否流向中国，仍取决于法律环境与企业合规边界，而非厂商单方面声明。

真正令监管者难堪的，是澳大利亚政府在这一领域的长期监管空白。澳大利亚前国家网络安全顾问阿拉斯泰尔·麦吉本（Alastair MacGibbon）告诉《四角》："中国一直展现出强烈的窃取与监控欲望。没有任何人应该怀疑（中国电动车）会被以同样的方式使用。"他直言，内阁部长不应拥有中国电动车。反对党国防事务发言人詹姆斯·帕特森（James Paterson）的措辞更为激烈："来自中国的联网电动车是市场上风险最高的产品。但目前没有任何规定告诉这一品牌：你可以收集澳大利亚人的哪些数据、如何存储、何时传输。"

问题并非没有先例。英国军方去年已禁止中国电动车——即便仅含中国零部件——停放在部分最敏感地点3公里范围内。中国军方自身也禁止外国电动车进入军营与政治禁区。显然，这种车辆的监控潜力并非秘密。

在澳大利亚，澳大利亚安全情报组织（ASIO）早已警告部长和公务员，不要在中国品牌电动汽车内进行敏感对话或连接工作设备。然而，警告到此为止——政府并未禁止他们拥有这些车辆。耐人寻味的是，澳大利亚贸易部长唐·法雷尔（Don Farrell）本人就拥有一辆比亚迪Shark 6，正是《四角》测试中遭入侵的同款车型。他近期对媒体称这辆车是"我开过最好的皮卡"。当一项国家级安全警示与一位部长本人的购车行为如此直接冲突时，问题已不止于产品本身。

澳大利亚内政与网络安全部长托尼·伯克（Tony Burke）为现行安排辩护称，政府的策略是"先在能最快见效的领域立法"，而家用联网设备的网络攻击频率更高，因此优先针对家电——其中包括联网洗衣机与吸尘器——制定了更严格的网络安全法规。这意味着，澳大利亚对一台联网洗衣机的安全要求，居然比对一辆装载摄像头、麦克风、定位系统与远程控制接口的2.6吨汽车还要严格。政府与汽车行业的相关磋商刚刚启动，新规"可能需要数年"才能落地。

《四角》也承认，赫雷什丘克未能访问刹车与摄像头等关键控制功能，这些部分"防护良好"。但他指出，入侵的门槛低到令人不安："人们为了便利而忽视了大量这些担忧。它开起来很漂亮，内饰很漂亮，但确实存在真实的安全问题。"

对普通澳大利亚消费者而言，这意味着在监管者为汽车网络安全立规矩之前，每一辆售出的中国联网电动车都是一个潜在的远程麦克风、扬声器和数据采集器——而车主本人很可能毫不知情。当ASIO的警告被部长本人的购车选择无声地消解，澳大利亚消费者所面对的，已不仅是某家外国企业的产品安全风险，更是本国政府将便利与商业利益置于公民数据主权之上的治理选择。