[논문 리뷰] Towards Understanding and Characterizing Vulnerabilities in Intelligent Connected Vehicles through Real-World Exploits

Yuelin Wang, Yuqiao Ning외 8명|arXiv (Cornell University)|2026. 01. 02.

Vehicular Ad Hoc Networks (VANETs)인용 수 0

한 줄 요약

본 연구는 ICV 취약점에 대한 첫 번째 대규모 실증 연구를 수행하여 실제 공격 및 대회에서 649개의 exploitable vulnerabilities를 수집하고, 기존 분류 체계를 확장하여 실제 위협 환경을 더 잘 반영한다.

ABSTRACT

Intelligent Connected Vehicles (ICVs) are a core component of modern transportation systems, and their security is crucial as it directly relates to user safety. Despite prior research, most existing studies focus only on specific sub-components of ICVs due to their inherent complexity. As a result, there is a lack of systematic understanding of ICV vulnerabilities. Moreover, much of the current literature relies on human subjective analysis, such as surveys and interviews, which tends to be high-level and unvalidated, leaving a significant gap between theoretical findings and real-world attacks. To address this issue, we conducted the first large-scale empirical study on ICV vulnerabilities. We began by analyzing existing ICV security literature and summarizing the prevailing taxonomies in terms of vulnerability locations and types. To evaluate their real-world relevance, we collected a total of 649 exploitable vulnerabilities, including 592 from eight ICV vulnerability discovery competitions, Anonymous Cup, between January 2023 and April 2024, covering 48 different vehicles. The remaining 57 vulnerabilities were submitted daily by researchers. Based on this dataset, we assessed the coverage of existing taxonomies and identified several gaps, discovering one new vulnerability location and 13 new vulnerability types. We further categorized these vulnerabilities into 6 threat types (e.g., privacy data breach) and 4 risk levels (ranging from low to critical) and analyzed participants' skills and the types of ICVs involved in the competitions. This study provides a comprehensive and data-driven analysis of ICV vulnerabilities, offering actionable insights for researchers, industry practitioners, and policymakers. To support future research, we have made our vulnerability dataset publicly available.

연구 동기 및 목표

• 기존 ICV 취약점 분류 체계를 위치와 유형의 2차원 통합 프레임워크로 합치다.
• 대회 및 보고서를 통해 16개월에 걸쳐 수집된 실제 공격에 대한 분류 체계 커버리지의 실증 검증.
• 이전 분류 체계에 포착되지 않은 격차와 새로운 취약점 범주를 식별한다.
• 모듈 및 차량 유형 간 취약점 분포를 분석하여 표적 방어를 위한 정보를 제공한다.
• 연구자, 업계 실무자 및 정책 입안자를 위한 데이터 기반 권고를 제공한다.

제안 방법

• 16개월 동안 연구자 제출 및 Anonymous Cup 8개 대회를 통해 890건의 취약점 보고서를 수집하고, 실차에서의 검증을 거쳐 649개의 악용 가능한 취약점으로 확정했다.
• 대표적인 13편의 ICV 보안 논문을 수동으로 종합하여 위치 기반 및 유형 기반의 통합 분류를 구축했다.
• 649개 취약점을 통합 분류에 매핑하여 커버리지를 평가하고 격차를 식별했다.
• 취약점을 위협 유형 및 위험 수준(critical에서 low까지)으로 분류하여 개선 우선순위를 정한다.
• 모듈(클라우드 플랫폼, IVI 등) 및 차량 유형(SUV, sedan, MPV) 간의 분포 패턴을 분석하여 실행 가능한 인사이트를 도출한다.

실험 결과

연구 질문

• RQ1 실제 공격을 접했을 때 기존 ICV 취약점 분류 체계의 실증 커버리지는 얼마나 되는가?
• RQ2 이전 분류 체계를 넘어 대규모 실제 데이터에서 새로 나타나는 취약점 위치와 유형은 무엇인가?
• RQ3 ICV 모듈과 차량 유형 전반에서 취약점이 어떻게 분포하며, 이것이 방어 우선순위에 무엇을 시사하는가?
• RQ4 실증 취약점 데이터셋에서 제조사, 연구자 및 규제당국에 제시되는 실용적 권고는 무엇인가?

주요 결과

• 온라인 제출과 8개 취약점 발견 대회를 통해 수집된 890건의 보고서에서 총 649개의 고유한 악용 가능한 취약점이 확인되었다.
• 차량 외부 취약점은 49.5%를 차지하고, 외부 취약건 중 cloud platform이 76.3%, APP이 20.6%를 차지한다.
• 차량 내 취약점은 총 297건(45.8%), 이 중 IVI가 차량 내 사례의 70.0%를 차지하고 T-Box가 9.4%를 차지한다.
• 취약점은 ICV 스택 내에서 클라우드 플랫폼(37.8%)과 IVI(32.0%)에 집중되어 있다.
• 권한 부여 취약점(36.4%)과 정보 누출(17.3%)이 전반적으로 가장 흔한 취약점 유형이며, 모든 웹 관련 이슈가 클라우드 플랫폼에서 발생한다.
• SUVs show significantly more vulnerabilities than sedans and MPVs, with IVI as a particularly dense attack surface across vehicle types