东北大学近期发布的一项研究揭示，大量新款汽车及其配套应用程序正在与第三方公司共享用户数据。该报告分析了 21 辆最新车型和 30 个汽车制造商应用程序的网络流量。
根据《消费者报告》在 2024 年 10 月至 2025 年 8 月期间进行的测试，共有 19 辆汽车通过 Wi-Fi 向至少一家第三方公司发送了数据。其中，七款应用程序将车辆识别码（VIN）、电子邮件地址和精确位置信息传递给广告和分析公司。值得注意的是，在这七个应用中，有四个属于通用汽车。
通用汽车应用向多家科技巨头传输标识符
涉及数据共享的四个通用汽车应用程序分别为 myCadillac、myChevrolet、myBuick 和 myGMC。这些应用均向包括 Microsoft、Adobe、Snap、雅虎、Meta、Google 以及数据经纪商 Acxiom 在内的 10 家公司发送 VIN。此外，HondaLink 向分析公司 Amplitude 发送 VIN 和位置数据，林肯和 MyNISSAN 应用程序也出现在违规名单中。
研究人员指出，不同于智能手机可重置的广告 ID，车辆 VIN 是永久且无法更改的标识符。当 VIN 与电子邮件地址配对时，其追踪能力显著增强。
《消费者报告》对每辆汽车的总结显示，虽然 21 辆受测汽车中有 10 辆本身未直接连接任何广告或跟踪域，但其配套应用却可能引入大量第三方接触点。例如，Buick Envista 和 Nissan Ariya 的车辆本身未联系追踪公司，但它们的应用程序分别让用户暴露给 23 家和 25 家广告及追踪公司。相反，Tesla Model 3 从车辆端直接接触到 22 家此类公司，而其应用程序仅增加了两家。由于团队无法解密 Tesla 的车辆流量，只能从 Model 3 获取部分“蜂数据”（beacon data）。总体而言，对于大多数受测汽车，广告技术的曝光主要源自手机应用程序；在 30 个应用中，有 28 个至少联系了一家广告或分析公司。
厂商归咎于供应商合同与用户协议
美国联邦贸易委员会（FTC）曾于 1 月份针对通用汽车的司机数据共享丑闻实施处罚，颁布禁令禁止该公司在五年内向消费者报告机构出售驾驶员数据，并要求其在收集或共享互联车辆数据前必须获得明确同意。然而，东北大学的测试时间早于该命令生效期，研究人员并未指控通用汽车违反此禁令。通用汽车回应称，其仅向那些被合同禁止出售数据或用于自身目的的服务提供商披露信息。
研究人员将结果反馈给 17 家制造商，收到 14 家的回复。其中七位制造商表示，车主有责任阅读并接受车内所有第三方服务的条款。研究发现，这七个共享标识符的应用程序的隐私政策均透露可能将个人数据传递给第三方，但未说明具体对象或原因。拒绝 Tesla 数据共享协议的业主会收到关于“功能下降、严重损坏或互操作性问题”的警告；而 Rivian 则表示，关闭数据收集将限制或禁用导航和无线更新等功能。
在所有受测品牌中，本田似乎是唯一愿意做出改变的公司。本田要求移除位置数据，并更新了 HondaLink 以停止相关发送行为。东北大学教授兼研究合著者 David Choffnes 认为，监管机构应当介入这一领域。
