领克语音误关大灯：百年汽车防呆设计，被新能源一顿瞎搞干碎了

汽车工业发展了一百多年，无数前辈用血泪教训换来的防呆设计和安全标准，早就非常成熟了。结果到了如今的国产新能源这儿，直接开始了一顿毫无底线地瞎搞。

这两天领克Z20夜间高速误关大灯的事，看得人头皮发麻。车主一句关闭阅读灯，车机直接越权把外面大灯全给灭了。最搞笑的是，当车主惊恐地喊打开灯光时，车机居然回了一句：暂时还不会哟。

出事之后，领克火速道了歉，连夜推了OTA把语音关大灯的功能给锁了。很多人以为这只是语音识别不准的初级Bug，打个补丁就完事了。

但稍微懂点底层架构的都知道，这根本不是什么语音识别的锅，这是严重违反了基本的汽车安全框架。

控制域和座舱域，为什么没做物理切割？

在正规的汽车底层架构里，系统是严格分区的。简单来说，分控制域和座舱域。

座舱域是什么？是空调、音乐、氛围灯、座椅按摩。随便你怎么折腾，哪怕车机遇Bug死机了，甚至屏幕黑了，也不影响你安全把车开回家。

控制域是什么？是发动机/电机启停、大灯开关、转向、刹车、挡位切换。这是绝对的保命底线。

理论上，车机系统只能操作和驾驶安全无关的选项。 那些涉及行车安全的底层硬件，它的控制权限理应在物理层或系统底层就被死死隔离，绝不能对座舱域开放写入权限。

但领克是怎么干的？他们居然把大灯这种要命的开关权限，直接暴露给了车机里的语音助手！这就好比你让一个前台接待员，直接拿到了公司核心金库的钥匙，出事只是概率问题。

拿黑名单当防火墙，漏防了不是活该吗？

从事后的修复方案来看，领克并没有从底层把两个域重新切割，他们之前的做法，大概率只是对语音系统做了一个不操作指令黑名单。

也就是说，程序员在代码里写了：如果听到关闭大灯，就拒绝执行。

但问题是，人的语言太丰富了。你防住了关闭大灯，但你防不住车主说关闭所有灯光，更防不住语音识别系统把关闭阅读灯硬生生听成关闭全车灯光。用黑名单去堵安全漏洞，永远会有漏网之鱼。

看到这儿，我只能说一句：幸亏领克这套语音还没全量接入现在流行的大模型。 要是接入了大模型那种发散性思维，你这黑名单根本没法写。不管你预设多少个提示词护栏，用户随便一句奇葩指令，大模型指不定脑子一抽，觉得为了营造更好的睡眠环境，我帮你把大灯也关了吧。到时候，工程师能写到脱发。

安全冗余不是倒退，是底线

现在的新势力车企，为了一块所谓极简的大屏幕，为了吹嘘自己的全场景语音，疯狂砍掉实体按键，把所有的控制权都塞进那个并不算聪明的车机里。

但他们忘了，那些咔哒作响的物理按键，那套开了几十年都不曾出错的机械拨杆，不是因为技术落后才存在的，而是为了在系统崩溃、在极度危急的时刻，给你留下最后一次物理自救的机会。

造车不是写个App，Bug可以热更新。在时速100公里的黑夜里，生命没有重启键。