Dopiero w 1998 roku federalne prawo zaczęło wymagać poduszek powietrznych w każdym pojeździe — ponad wiek po wynalezieniu samochodu i mniej więcej trzy dekady po tym, jak poduszki powietrzne zostały po raz pierwszy opracowane jako środek bezpieczeństwa. Podobny schemat rozwija się teraz w przypadku robotaksówek i cyberbezpieczeństwa, według ekspertów z branży.

Louay Abdelkader, dyrektor ds. zarządzania produktami w QNX — należącym do BlackBerry dostawcy oprogramowania samochodowego, którego systemy operacyjne czasu rzeczywistego są wbudowane w ponad 215 milionów pojazdów na całym świecie — uważa to za krytyczny problem dla sektora. „Oczywiście… miej na uwadze, że w dziedzinie bezpieczeństwa samochodowego upłynął pewien czas, zanim zostało ono przyjęte" — powiedział w rozmowie z Fortune. Abdelkader argumentuje, że ustawodawcy powinni podnieść cyberbezpieczeństwo do tego samego poziomu priorytetu co poduszki powietrzne, podkreślając, że każdy pojazd podłączony do sieci wprowadza pewien stopień ryzyka cybernetycznego.

Większość publicznej debaty na temat robotaksówek koncentrowała się jednak na innych kwestiach: czy systemy autonomiczne są wystarczająco inteligentne, aby unikać kolizji, jak firmy ubezpieczeniowe powinny przypisywać odpowiedzialność w wypadkach oraz jak służby porządkowe powinny postępować z bezkierownicowymi samochodami popełniającymi wykroczenia drogowe.

Robotaksówki szybko rozprzestrzeniają się w całych Stanach Zjednoczonych. Zoox niedawno otrzymało zatwierdzenie regulacyjne od National Highway Traffic Safety Administration (NHTSA) na zwolnienie komercyjne, co przyznało płatnej usłudze szerszy dostęp do operowania bez ręcznych sterów. Tesla wkroczyła na rynek robotaksówek ze swoim modelem Cybercab działającym w co najmniej siedmiu miastach. Należące do Alphabet Waymo rozrosło się ze swoich początków w Arizonie do 11 głównych miast w USA, współpracując nawet z firmą współdzielenia przejazdów Uber na wybranych rynkach.

W przeciwieństwie do konwencjonalnych pojazdów, robotaksówki opierają się na dziesiątkach wzajemnie połączonych elektronicznych jednostek sterujących, sieciach wysokiej prędkości, łączności chmurowej, GPS, kamerach, lidarze, radarach i modelach AI, które nieustannie interpretują otaczające środowisko. Każdy z tych komponentów poszerza to, co specjaliści ds. cyberbezpieczeństwa nazywają „powierzchnią ataku" — liczbę możliwych punktów wejścia, które hakerzy mogą wykorzystać. Co kluczowe, robotaksówki zależą również od scentralizowanych platform zarządzania flotą, które wysyłają pojazdy na miejsca odbioru, co oznacza, że sama infrastruktura zamawiania przejazdów staje się potencjalnym celem, a nie tylko samochody na drodze.

Chociaż Hollywood często przedstawia hakerów zdalnie przejmujących cały pojazd, eksperci twierdzą, że współczesne ataki częściej będą wymierzone w szerszy ekosystem otaczający autonomiczne samochody. Nawet jeśli atakujący nie mogą bezpośrednio sterować pojazdem, zakłócenia w komunikacji mogą pogorszyć zdolność systemu autonomicznego do bezpiecznej nawigacji.

W San Francisco Riley Walz, określający się mianem „technicznego żartownisia", zademonstrował tę lukę, organizując grupowy atak typu denial-of-service (DDoS) na lokalne pojazdy Waymo. Walz udokumentował ten wyczyn na platformie X. Żart polegał na jednoczesnym zamówieniu Waymo przez 50 osób na tej samej ślepej uliczce, co wywołało zator i zmusiło firmę do zawieszenia kursów do następnego ranka.

Incydent DDoS miał miejsce mimo przepisów stanu Kalifornia — gdzie Waymo działa w San Francisco i Los Angeles — wymagających od producentów pojazdów autonomicznych wykazania, że potrafią bezpiecznie monitorować, aktualizować i utrzymywać swoje floty, jednocześnie przestrzegając federalnych wytycznych dotyczących cyberbezpieczeństwa pojazdów. Waymo oraz kalifornijski DMV nie odpowiedzieli na prośby o komentarz.

Rozwój generatywnej sztucznej inteligencji dodatkowo spotęgował ryzyka w zakresie cyberbezpieczeństwa. Historycznie hakerzy potrzebowali znacznej ilości czasu, wiedzy technicznej i zasobów, aby identyfikować i wykorzystywać luki. Sztuczna inteligencja dramatycznie skróciła ten okres, według Abdelkadera. Ostrzegł, że złośliwi aktorzy mogą teraz wykorzystywać AI do identyfikowania luk, automatyzowania ataków i opracowywania exploitów znacznie szybciej — i z większą złośliwością — niż „żart" Walza.

Abdelkader stwierdził, że cyberbezpieczeństwo robotaksówek jest wspólną odpowiedzialnością producentów i ustawodawców. Argumentował, że producenci muszą wbudowywać bezpieczeństwo w pojazdy autonomiczne od samego początku, zamiast traktować je jako dodatek. „Kiedy tworzysz system cyberbezpieczeństwa, zaczynasz od podstaw. To jak budowanie domu" — powiedział. „Jeśli fundament nie jest mocny, bardzo trudno jest zbudować solidny i bezpieczny dom."

Niektóre jurysdykcje już zaczęły traktować cyberbezpieczeństwo jako integralną część regulacji pojazdów autonomicznych, a nie jako myśl wtórną. Arizona włączyła planowanie cyberbezpieczeństwa do szerszej polityki wdrażania pojazdów autonomicznych, podczas gdy stany takie jak Michigan ustanowiły inicjatywy cyberbezpieczeństwa poprzez partnerstwa z branżą i instytucjami badawczymi.

Międzynarodowi regulatorzy poszli jeszcze dalej. Rozporządzenie ONZ nr 155 wymaga teraz od producentów samochodów na wielu rynkach utrzymywania certyfikowanych systemów zarządzania cyberbezpieczeństwem przez cały cykl życia pojazdu, podczas gdy norma ISO/SAE 21434 ustanawia standardy inżynieryjne dla cyberbezpieczeństwa w całym procesie rozwoju pojazdów. Stany Zjednoczone nie mają równoważnego federalnego mandatu, co pozostawia mozaikę wymogów na poziomie stanowym.

W Nowym Jorku jednak, gdzie burmistrz Zohran Mamdani odmówił odnowienia licencji dla Waymo, cyberbezpieczeństwo nie pojawiło się w debacie o robotaksówkach. Burmistrz skupił się zamiast tego na ochronie pracowników, wskazując kierowców taksówek jako swoje główne zobowiązanie. „Jeśli firma taka jak Waymo pojawi się w Nowym Jorku, znajdzie również rząd miejski zaangażowany w działanie na rzecz pracowników, którzy utrzymują miasto przy życiu" — powiedział Mamdani na konferencji prasowej. „Ci pracownicy to również nasi kierowcy taksówek, którym przez zbyt długi czas sprzedawano marzenie o tym, że pracą zdobędą awans do klasy średniej." Biuro burmistrza Mamdaniego nie odpowiedziało na prośbę o komentarz.

Abdelkader podtrzymuje, że ustawodawcy w całym kraju powinni budować na istniejących ramach, zamiast czekać na incydent cybernetyczny, który obnaży słabości. Stwierdził, że decydenci zbyt często oddzielają bezpieczeństwo od cyberbezpieczeństwa, mimo że oba te elementy są „nierozerwalnie ze sobą powiązane."

„Ustawodawcy i politycy muszą z nimi współpracować, aby zapewnić, że w przyszłości, jeśli konieczne są ulepszenia, ustalony zostanie rodzaj wymaganej pomocy" — powiedział w rozmowie z Fortune. „Trzeba umieć rozmawiać i dzielić się informacją zwrotną. To jedyny sposób, aby branża mogła skutecznie się rozwijać i przynosić korzyści społeczeństwu."