一次推送，可能让门锁失灵、摄像头掉线、工业网关宕机。固件更新本是修补漏洞的常规操作，为何频频变成事故现场？本期「书房资讯站」对话四位长期跟踪物联网安全与固件生态的专家，拆解更新链条上的机遇与风险。
行业现状：更新频率上去了，可控性没跟上
固件更新已经从“偶尔为之”变成“高频动作”。据IoT Analytics在2024年发布的《物联网设备管理市场报告》，全球联网设备年均固件更新次数已从2020年的2.1次上升到2024年的5.7次，增幅超过170%。更新频率提升的直接动因是漏洞修补压力：美国NIST国家漏洞数据库2024年收录的物联网相关CVE超过3800条，较上一年增长约26%。
但更新能力与设备存量之间存在明显落差。中国信息通信研究院2024年发布的《物联网终端安全白皮书》指出，国内存量物联网终端中，具备完整固件签名校验与回滚机制的设备占比不足四成，大量中小厂商设备仍采用“整包推送、失败即变砖”的粗放模式。
长期研究嵌入式系统安全的专家A（某高校网络空间安全学院副教授）给出的判断很直接：“固件更新的本质是一次远程代码执行，权限等级最高，容错空间最小。行业把注意力放在‘能不能推’，却普遍低估了‘推错了怎么办’。更新通道本身就是一个高价值攻击面。”他所在团队2024年对市面12款家用路由器的抽样测试显示，其中7款在更新过程中未对固件包做完整的链式校验，存在中间人替换风险。专家A补充：“更新机制的设计缺陷，比更新内容本身的漏洞更隐蔽，也更难被用户感知。”
核心挑战：变砖、断网与供应链连带风险
更新失败的直接后果远比想象中严重。据美国消费者产品安全委员会（CPSC）2023—2024年公开召回数据，与固件更新相关的智能家居设备召回案例涉及约46万台，问题集中在更新后设备无法启动、传感器校准失效两类。
专家B（某第三方安全测评机构固件分析负责人）提供了一个典型案例：2024年某品牌智能门锁在一次OTA更新中，因电源管理固件与主控固件版本不匹配，导致约1.2万台设备在低电量状态下无法唤醒，用户被迫拆机返厂。“问题不在更新包本身有恶意代码，而是版本组合矩阵没有测全。固件是分模块的，A模块更新了，B模块的兼容性边界没有覆盖到。”
供应链层面的连带风险更棘手。专家B团队在2024年拆解分析中发现，某款广泛使用的Wi-Fi模组其SDK更新会覆盖上层厂商的自定义配置分区，波及下游至少9个品牌的23款产品。“模组厂商推一次更新，下游厂商的差异化配置可能全部丢失。这种风险在采购合同里往往没有明确责任划分。”他同时提醒，更新服务器一旦被劫持，攻击者可向整批设备推送恶意固件，2023年某境外厂商更新服务器遭入侵事件中，受影响设备规模估计在数万台量级。
解决方案：签名校验、灰度发布与可回滚设计
专家C（某头部智能硬件企业固件平台架构师）给出的工程实践路径相对具体。第一道防线是强制签名与分阶段校验：固件包在编译阶段完成签名，设备端在下载完成后、写入分区前、重启加载前分别做三次校验，任何一次失败即中止并保留原分区。“我们内部统计，加入写入前二次校验后，因传输损坏导致的变砖率从0.7%降到0.05%以下。”
第二道防线是灰度发布与自动回滚。专家C介绍，其团队将更新推送按0.5%、5%、20%、全量四档放量，每档观察48小时的关键指标（启动成功率、联网率、异常重启次数），触发阈值即暂停并回滚。“回滚机制必须做在分区层面，A/B双分区是成本可控的方案，单分区设备至少保留一个可引导的恢复镜像。”
第三道防线是更新窗口与用户知情。专家C建议避开用电高峰和用户活跃时段推送，并在更新前明确告知预计耗时与设备不可用状态。“很多投诉不是因为更新失败，而是因为用户不知道设备在更新。透明化本身就能降低大量纠纷。”他同时强调，厂商应公布每个固件版本的回滚路径和已知限制，而不是只写更新日志。
未来展望：从“能更新”走向“可验证更新”
专家D（某产业研究院物联网安全研究中心主任）的判断偏向机制建设。他认为，固件更新的下一阶段竞争点不在推送速度，而在可验证性与可追溯性。“设备端要能回答三个问题：这个固件是谁签的、改了什么、出问题能不能退回去。目前能做到三点的产品比例仍然偏低。”
从趋势看，监管层面正在收紧。欧盟《网络弹性法案》（CRA）对含数字元素产品的安全更新义务提出明确要求，涉及更新机制的安全设计、漏洞披露与支持周期，过渡期安排对出口欧洲的智能硬件厂商构成实质约束。专家D援引其研究中心2024年的产业调研数据：在接受访谈的87家国内智能硬件厂商中，已建立固件版本物料清单（SBOM）并纳入发布流程的占31%，较2023年提升约12个百分点，但中小厂商覆盖率仍不足15%。
专家D预判，未来两年固件更新将出现两个分化：头部厂商走向“更新即服务”，把灰度、回滚、监控做成标准化平台能力；中小厂商则更多依赖模组与芯片厂商提供的安全更新底座。“更新能力会逐渐变成采购准入项，而不是加分项。采购方开始要求供应商提供更新机制的安全说明，这个变化已经在发生。”
共识与分歧
四位专家的共同判断集中在三点：固件更新是高权限操作，风险等级被行业普遍低估；签名校验与回滚机制是底线能力，不是可选项；更新过程的透明度和责任划分需要从合同与流程层面固定下来。
分歧主要在推进节奏上。专家C认为A/B双分区和灰度平台的成本已被规模摊薄，中小厂商没有理由不做；专家B则指出，大量存量设备硬件资源有限，双分区在低端MCU上落地困难，短期内更现实的是强化传输校验与恢复镜像。专家D更关注监管与采购端的倒逼作用，认为市场准入标准会比厂商自觉更快推动改变。
FAQ
Q1：智能设备提示固件更新，到底该不该点？
建议更新，但优先在设备空闲、电量充足、网络稳定时操作。安全更新通常修补已知漏洞，长期不更新风险更高。更新前确认设备支持断电恢复或回滚。
Q2：固件更新到一半断电了，设备是不是就废了？
取决于设备是否有双分区或恢复模式。具备A/B分区或引导恢复镜像的设备通常可自动恢复；单分区且无恢复机制的老旧设备存在变砖风险，需联系厂商返修。
Q3：怎么判断一个厂商的固件更新靠不靠谱？
看三点：是否公布固件签名与校验说明、是否提供版本回滚路径、更新日志是否写明具体修改内容与已知限制。三点都含糊的，更新风险相对更高。
Q4：企业批量设备怎么降低固件更新风险？
建立灰度发布流程，按批次放量并监控启动成功率与联网率；在采购合同中明确模组与整机厂商的更新责任边界；保留可回滚的基线固件版本。
Q5：固件更新服务器被攻击的概率高吗？
更新服务器是高价值目标，一旦被劫持可向大批设备推送恶意固件。厂商侧应做签名校验与服务器访问控制，用户侧应确保设备从官方渠道获取更新。
总结
固件更新是一次高权限远程操作，风险被行业与用户共同低估。签名校验、灰度发布、可回滚设计是可控更新的三条底线；监管收紧与采购准入正在倒逼厂商从“能推送”转向“可验证、可追溯、可回退”。对用户而言，更新前确认恢复能力，比更新本身更重要。