10月30日消息，据国外媒体报道，一位思域车主把AI编程工具对准了自己在亚马逊买的廉价安卓后装车机，结果在固件里扒出一个“全家桶”：常驻监听的语音助手闲置时仍占用约30%的处理器算力、厂商预留的root后门、开机静默安装任意APK的隐藏脚本，还有一个会在被删除后自动重装QQ音乐和喜马拉雅的守护进程。
事情起于Reddit r/ClaudeCode社区的一个帖子：这位2016款思域车主称，商品页宣称车机是8核处理器、运行Android 15，实际用起来广告弹窗不少、预装应用一大堆，语音助手还总想诱导付费“激活”功能。于是他把车机接上Claude Code，像给智能电视“减肥”那样，给车机固件做了一次彻底体检。
最先现形的是一个永远在监听唤醒词的语音助手：它挂着一个隐藏的WebView组件，即便无人说话，闲置状态也要吃掉约30%的CPU算力；百度定位服务和厂商日志收集器在后台全程运行；设备里还预装了通话录音器，而他所有的蓝牙通话都经过这台车机。
更严重的发现在系统底层：固件中存在厂商留下的root后门；一个开机启动脚本会扫描隐藏文件夹，把放进去的任意APK静默安装后删除安装包；厂商的云更新应用可以远程推送新固件。而商品页宣传的“8核+Android 15”，实际是4核+Android 9，安全补丁停留在2021年10月——这意味着过去几年曝出的安卓系统漏洞，这台车机基本一个都没打上。
固件里还有一处颇具“中国特色”的细节：一个守护脚本一旦发现QQ音乐、喜马拉雅和应用商店被删除，就会自动把它们装回来；Adobe Acrobat、在美国根本用不上的DAB数字收音客户端，也一并预装在系统里。
在AI的协助下，这位车主备份后移除了18个预装包，关掉root后门和静默装包机制，禁用了厂商云更新，配置AdGuard私有DNS拦截广告与追踪器，把WebView从66版升到138版，还自己生成了思域定制桌面、重新标定了倒车影像辅助线，最后给开源应用做SHA-256校验并锁死网络权限。
值得注意的是，这类廉价安卓车机大多出自深圳及珠三角的白牌方案商，海外版固件往往直接沿用国内ROM生态——QQ音乐、喜马拉雅、百度定位对国内用户是再熟悉不过的服务，原样装进销往海外的设备里，就变成了海外买家眼中的“间谍软件”。跨境平台上马甲品牌泛滥、换壳贴牌销售，卖家自己都未必清楚固件里装了什么。
在国内，前装车机已经有强制性标准在管：工信部10月20日就《汽车数据安全要求》强制性国家标准公开征求意见，明确车辆应默认不收集个人信息、基础功能不得以拒绝授权为由被锁定、预勾选隐私协议不算合规，拟2028年7月1日实施；今年7月，工信部通报了包括哪吒汽车App在内的32款违规收集个人信息的App。但后装车机、尤其是跨境白牌产品，目前基本处于监管盲区。
The Drive在报道中提醒，廉价车机并非不能用，但最好选择有公开、可复现“去后门”方案的产品——否则这台贴着价格标签的车载平板，可能正在车里听着你和乘客说的每一句话。
综合来看，这起事件像一面镜子：中国供应链把智能座舱做到百美元级，硬件能力早已过剩，但“默认国内生态”的软件出海思维、虚标参数和2021年的安全补丁，暴露的是整条白牌链条的合规短板。国内前装强标落地在即，后装出海市场若继续野蛮生长，下一次被AI“开箱验货”的就不只是一台思域车机——与其等着海外用户逐台解剖，不如主动把数据合规做成出海的卖点。