[論文レビュー] Towards Understanding and Characterizing Vulnerabilities in Intelligent Connected Vehicles through Real-World Exploits

Yuelin Wang, Yuqiao Ning+8 more|arXiv (Cornell University)|Jan 2, 2026

Vehicular Ad Hoc Networks (VANETs)被引用数 0

ひとこと要約

この論文は、ICVの脆弱性に関する初の大規模実証研究を行い、実世界の悪用や競技会から649件の悪用可能な脆弱性を収集し、既存の分類を拡張して実際の脅威環境をより反映させている。

ABSTRACT

Intelligent Connected Vehicles (ICVs) are a core component of modern transportation systems, and their security is crucial as it directly relates to user safety. Despite prior research, most existing studies focus only on specific sub-components of ICVs due to their inherent complexity. As a result, there is a lack of systematic understanding of ICV vulnerabilities. Moreover, much of the current literature relies on human subjective analysis, such as surveys and interviews, which tends to be high-level and unvalidated, leaving a significant gap between theoretical findings and real-world attacks. To address this issue, we conducted the first large-scale empirical study on ICV vulnerabilities. We began by analyzing existing ICV security literature and summarizing the prevailing taxonomies in terms of vulnerability locations and types. To evaluate their real-world relevance, we collected a total of 649 exploitable vulnerabilities, including 592 from eight ICV vulnerability discovery competitions, Anonymous Cup, between January 2023 and April 2024, covering 48 different vehicles. The remaining 57 vulnerabilities were submitted daily by researchers. Based on this dataset, we assessed the coverage of existing taxonomies and identified several gaps, discovering one new vulnerability location and 13 new vulnerability types. We further categorized these vulnerabilities into 6 threat types (e.g., privacy data breach) and 4 risk levels (ranging from low to critical) and analyzed participants' skills and the types of ICVs involved in the competitions. This study provides a comprehensive and data-driven analysis of ICV vulnerabilities, offering actionable insights for researchers, industry practitioners, and policymakers. To support future research, we have made our vulnerability dataset publicly available.

研究の動機と目的

• 既存のICV脆弱性分類を統合した2次元フレームワーク（場所とタイプ）へ統合的に synthesized する。
• 16か月間の競技会と報告から収集した実世界の悪用を検証対象として、分類カバレッジを実証的に検証する。
• 従来の分類で捉えられていないギャップと新しい脆弱性カテゴリを特定する。
• モジュールと車種ごとの脆弱性分布を分析して、標的を絞った防御に資する。
• 研究者、業界実務者、 policymakers へのデータ駆動の推奨事項を提供する。

提案手法

• 研究者提出とAnonymous Cup八大会の悪用報告を含む16か月間で890件の脆弱性報告を収集し、実車での検証を経て649件の悪用可能脆弱性に絞り込む。
• 13件の代表的なICVセキュリティ論文を手動統合して、統一の場所ベースおよびタイプベースの分類体系を構築する。
• 649件の脆弱性を統一分類へマッピングし、カバレッジを評価しギャップを特定する。
• 脅威タイプとリスクレベル（critical to low）へ分類してリメディエーションの優先度を決定する。
• クラウドプラットフォーム、IVIなどのモジュールやSUV、セダン、MPVといった車種間の分布パターンを分析して、実用的な洞察を導出する。

実験結果

リサーチクエスチョン

• RQ1 実世界の悪用に直面したとき、既存のICV脆弱性分類の経験的カバレッジはどの程度か？
• RQ2 従来の分類を超える大規模な実世界データから、新たな脆弱性の場所とタイプは何が出現するのか？
• RQ3 ICVモジュールと車種ごとに脆弱性はどのように分布し、防御優先度にはどのような示唆があるか？
• RQ4 実証的な脆弱性データセットから、メーカー、研究者、規制当局にとっての実践的推奨事項は何か？

主な発見

• オンライン提出と8つの脆弱性発見競技会を通じて収集された890件の報告から、合計で649件のユニークな悪用可能脆弱性が確認された。
• 車外脆弱性は全体の49.5％を占め、クラウドプラットフォームが車外ケースの76.3％、APPが20.6％を占める。
• 車内脆弱性は合計297件（45.8％）で、IVIが車内ケースの70.0％を占め、T-Boxが9.4％を占める。
• 脆弱性はICVスタック内でクラウドプラットフォーム（37.8％）とIVI（32.0％）に大きく集中している。
• 認可脆弱性（36.4％）と情報漏洩（17.3％）が全体で最も一般的な脆弱性タイプであり、すべてのウェブ関連問題はクラウドプラットフォームに現れる。
• SUVはセダンやMPVより脆弱性が顕著に多く、IVIは車種を問わず特に高密度の攻撃面である。