Chińskie samochody uśpionymi agentami obcego wywiadu? „Sami traktują nowe auta jako zagrożenie dla państwa”

Nowoczesny samochód to już nie tylko silnik, bateria i zawieszenie. To de facto mobilny komputer z kamerami, radarami, LiDAR-em, mikrofonami, łącznością komórkową i aktualizacjami „over-the-air”. W takim układzie warto w końcu zadać sobie pytanie: kto zbiera dane, gdzie one płyną i kto może nimi zarządzać – również zdalnie, bez naszego udziału.

Jakub Jakóbowski z Ośrodka Studiów Wschodnich (OSW) wskazuje, że im więcej pojazdów podłączonych do sieci, tym większa skala ryzyka: od cyberataków po trudniejszą do uchwycenia działalność wywiadowczą, opartą na masowym zbieraniu danych z sensorów. Temat, zdaniem eksperta, jest dużo poważniejszy niż sądzi aktualnie opinia publiczna.

Twój samochód jako agent obcego wywiadu

W debacie publicznej często przewija się temat RODO i ochrony danych osobowych. Tymczasem eksperci zwracają dodatkowo uwagę na „szarą strefę” tzw. danych nieosobowych: geoprzestrzennych, środowiskowych i infrastrukturalnych. Kamera auta nie musi bowiem „rozpoznawać twarzy”, aby rejestrować układ bram wjazdowych, logistykę zakładu, schematy ruchu wokół węzłów transportowych czy regularność dostaw do fabryki. MERICS opisuje ten problem jako ogólnoeuropejską lukę regulacyjną.

Problemem jest także skala. Pojazdy przygotowane pod funkcje autonomiczne potrafią generować ogromne wolumeny danych dziennie, które są przetwarzane w chmurze – i to niekoniecznie na terenie kraju, w którym auto jeździ. W interpretacji OSW kluczowym pytaniem jest zatem nie tylko „co auto zbiera”, ale też „kto ma możliwość dostępu do systemów i aktualizacji”.

Kto naprawdę siedzi za kółkiem?

Najbardziej dramatyczny wariant końcowy to zdalne przejęcie kontroli lub paraliż floty – brzmi jak thriller, ale jest też scenariuszem rozważanym przez ekspertów w razie potencjalnego konfliktu i aktów sabotażu. Jakóbowski podkreśla, że takie ryzyka nie są wyłącznie „chińskie”: włamanie może nastąpić z różnych kierunków, a im więcej inteligentnych aut na drogach, tym większa powierzchnia ataku.

Różnica dotyczy jednak przede wszystkim stopnia zaufania do ekosystemu: prawa, obowiązków firm wobec państwa oraz praktyk w zakresie danych. Właśnie dlatego część państw zaczęła reagować nie w formie całościowego „zakazu chińskich aut”, ale (na razie) precyzyjnych ograniczeń strefowych (wojsko, infrastruktura krytyczna, obiekty rządowe) i ostrzeżeń operacyjnych.

USA już zamyka drzwi. Reguły dla „connected vehicles” uderzają w łańcuchy dostaw

Najbardziej radykalna odpowiedź przyszła ze Stanów Zjednoczonych. Departament Handlu (BIS) przepchnął ostatnio regulację mającą zabezpieczać łańcuch dostaw technologii dla tzw. „connected vehicles” przed zagrożeniami ze strony zagranicznych adwersarzy (m.in. Chiny i Rosja). Z komunikatu BIS wynika, że ograniczenia obejmują kluczowe elementy systemów łączności pojazdu i oprogramowania dla systemów autonomicznych, a harmonogram wdrożeń ma być rozpisany na kolejne lata modelowe.

Dla rynku to ważny sygnał: nawet jeśli dziś nie ma spektakularnych dowodów nadużyć, sama możliwość masowego pozyskiwania i transferu danych jest uznawana za ryzyko strategiczne.

Wielka Brytania wprowadza zakazy parkowania i instrukcje dla personelu

Tymczasem po drugiej strony Atlantyku, w Zjednoczonym Królewstwie, pojawiły się informacje o ograniczeniach dotyczących wjazdu lub parkowania pojazdów z chińskimi komponentami w pobliżu wybranych obiektów wojskowych. Financial Times donosi o działaniach na poziomie konkretnych baz, motywowanymi obawami o zagrożenia płynące ze strony nowoczesnych pojazdów.

Guardian podkreśla, że publicznie dostępnych dowodów na „szpiegowanie” przez chińskie EV nie przedstawiono, ale sama architektura danych i chińskie przepisy budzą obawy służb odpowiedzialnych za bezpieczeństwo państwa.

W Chinach regulacje bardziej restrykcyjne niż w Europie

Co ciekawe, same Chiny, które eksperci najczęściej wymieniają jako potencjalne zagrożenie dla krajów importujących, same traktują inteligentne samochody jako potencjalne ryzyko bezpieczeństwa i wprowadzają zasady ograniczające transfer danych oraz dostęp do wrażliwych stref. MERICS przywołuje przykład Tesli, która musiała dostosować się do chińskich reguł przetwarzania danych (w tym lokalizacji danych), aby zmniejszyć obawy regulatorów.

Tymczasem Unia Europejska ma co prawda regulacje UNECE WP.29 (R155 – cyberbezpieczeństwo, R156 – zarządzanie aktualizacjami) które wyznaczają wymogi dla producentów w zakresie systemów zarządzania cyberbezpieczeństwem i aktualizacjami na etapie homologacji, ale zdaniem ekspertów problem leży gdzie indziej: homologacja i cyberhigiena nie rozwiązują automatycznie kwestii geoprzestrzennych danych masowych, kierunków transferu oraz realnej możliwości audytu tego, co pojazd wysyła na zewnątrz.

Co można zrobić bez stłumienia rynku?

Z perspektywy politycznej UE ma do pogodzenia trzy interesy: bezpieczeństwo, konkurencję (zalew tanich aut z Chin) i własny przemysł cyfrowy. Najczęściej powtarzające się postulaty ekspertów są następujące:

• certyfikacja i testy realnych zachowań pojazdów (jak często i gdzie wysyłają dane, jakie interfejsy mają aktywne), zamiast wyłącznie akceptowania deklaracji producenta;
• ogólnounijne zasady, aby uniknąć 27 sprzecznych reżimów, które rozbiją rynek;
• ograniczenia strefowe dla infrastruktury krytycznej i obiektów wojskowych – model stosowany już przez część państw;
• wymóg lokalizacji wybranych kategorii danych i audytowalności chmury, w szczególności dla danych środowiskowych i geoprzestrzennych;

To podejście ma na celu minimalizować ryzyko tam, gdzie stawka jest najwyższa, nie odcinając jednocześnie konsumentów od technologii i nie karząc firm bez dowodów nadużyć. Jednak – jak to zwykle bywa w prawdziwym życiu – rozwiązanie to może okazać się w przyszłości niewystarczające.