东北大学与《消费者报告》开展的一项研究显示，接受测试的大多数现代汽车及制造商应用都会与第三方广告和分析公司通信，有时还会发送能够直接与车主及其数字活动关联的标识符。
研究人员分析了21辆现代汽车和30个制造商应用在2024年10月至2025年8月期间的数据流量。其中，19辆汽车通过无线连接向至少一家外部公司发送了数据；与此同时，7个应用将车辆识别码（VIN）、电子邮件地址和精确位置等标识符传递给广告和分析公司。
车辆识别码无法更改
这7个应用中有4个属于General Motors，分别是myCadillac、myChevrolet、myBuick和myGMC。研究显示，这些应用将VIN发送给了10家公司，其中包括Microsoft、Adobe、Snap、Yahoo、Meta、Google以及数据经纪商Acxiom。此外，HondaLink应用将VIN和位置发送给分析公司Amplitude，其余案例涉及Lincoln和MyNISSAN两个应用。
这些数据之所以敏感，是因为与手机上的广告标识符不同，VIN无法由用户重置。将VIN与电子邮件地址关联后，广告公司便可把车主身份与其在其他应用和网站上的活动联系起来，从而使汽车及其应用成为更广泛数字档案的一部分。
应用是暴露的最大来源
《消费者报告》的摘要显示，21辆汽车中有10辆没有直接连接到广告或跟踪域名，但它们的应用却将车主数据暴露给了多家公司。Buick Envista应用与23家广告和跟踪公司建立了关联，Nissan Ariya应用则与25家公司建立了关联。相比之下，Tesla Model 3汽车本身连接了22个实体，其应用又增加了两个实体。
根据研究结果，30个应用中有28个至少与一家广告或分析公司通信。研究团队无法解密车辆内部的数据流量；此外，对Model 3的蜂窝数据捕获也受到限制，因此研究人员认为，实际数字可能更高。
为什么这条消息很重要？
研究结果表明，风险或隐私损失的来源不一定是汽车系统本身；在大多数接受测试的车辆中，暴露于广告和跟踪技术的主要部分是通过手机应用产生的。这意味着，检查应用设置及其相关服务条款，与检查汽车设置同样重要。
研究还发现，分享标识符的7个应用的隐私政策披露了数据可能被传递给第三方，但并不总是明确说明接收方或共享目的。Tesla提醒拒绝数据共享协议的用户，可能会出现功能减少、严重损坏或兼容性问题；Rivian则表示，停止数据收集可能会限制导航和无线更新等功能。
企业回应与监管限制
研究人员联系了17家汽车制造商，其中14家回应称，数据流动符合其供应商合同。7家公司表示，阅读每项外部服务条款的责任在于车主；另有5家公司将跟踪归因于其应用内打开的网页。
这些结果发布之际，美国联邦贸易委员会已对GM发布命令，禁止该公司在五年内向消费者报告机构出售驾驶员数据，并要求在收集或共享联网车辆数据前取得明确同意。不过，研究测试早于该命令发布，研究人员并未指控GM违反命令。GM表示，数据只会披露给服务提供商，而其合同禁止这些提供商出售数据或将其用于自身目的。
据消息来源称，Honda已要求Amplitude删除位置数据，并更新HondaLink以停止发送这些数据。东北大学教授、研究共同作者之一David Choffnes则呼吁监管机构介入。一个重要问题仍未得到解答：用户实际获得的同意说明是否足够清晰，以及拒绝共享数据的用户能否继续使用基本功能。