혼다 시빅의 저가형 중국산 헤드 유닛에 Claude Code를 써봤더니, 펌웨어 상태가 가관이네요.

2016년형 시빅에 달려고 아마존에서 싼 맛에 안드로이드 헤드 유닛 하나 샀다. 상품 설명엔 8코어에 안드로이드 15라고 적혀 있었는데, 막상 받아보니 메뉴마다 광고가 덕지덕지 붙어 있고, 듣도 보도 못한 앱들이 잔뜩 깔려 있는 데다, 기능 좀 쓰려면 돈 내고 "활성화"하라는 음성 비서까지 들어 있더라.

.buffering-track-fill { stroke-dasharray: 100; stroke-dashoffset: 50; }

다들 안드로이드 TV 광고 제거할 때 adb 쓰길래, 차라고 못 할 거 있나 싶었다. Claude Code한테 아마존 상품 페이지랑 매뉴얼(텍스트 복사도 안 되는 14페이지짜리 폰 스캔본)을 던져주고 몇 가지 규칙을 정했다.

• 뭘 건드리기 전에 무조건 백업부터 할 것
• 목록 보여주고 내 승인 떨어지면 진행할 것
• 앱은 삭제하지 말고 비활성화만 할 것
• CarPlay, 안드로이드 오토, 라디오, 후방 카메라, 핸들 리모컨은 절대 건드리지 말 것
• 내 계정으로 로그인 같은 건 절대 하지 말 것
• 앱은 공식 GitHub 릴리스에서만 받을 것

그냥 앱 몇 개 날리고 런처나 좀 바꾸면 끝날 줄 알았지. 근데 상황이 그렇게 흘러가질 않더라.

사기꾼들

처음엔 대시보드 뜯어서 스테레오를 다시 꺼내야 하나 싶었는데, 그럴 필요 없었다. Claude가 매뉴얼 읽어보더니 뒤쪽 USB 포트가 호스트 포트(폰이나 플래시 드라이브용이지 노트북 연결용이 아님)라는 걸 알아내서, 그냥 와이파이로 다 해결하라고 하더라. 데스크톱에서 스크립트랑 작업 가이드 문서를 짜주면, 리눅스 노트북으로 차 안에서 받아서 파워쉘 스크립트를 bash로 다시 짜고 작업을 이어가는 식이었다.

제일 먼저 확인한 건 이 기기 정체였다. 8코어라더니 4코어였고, 안드로이드 15는 개뿔 2021년 10월 보안 패치가 마지막인 안드로이드 9였다. 시작부터 아주 가관이지.

그다음엔 설치된 앱을 싹 훑어서 '유지', '쓰레기', '잘 모르겠으니 일단 둠'으로 분류했다. 쓰레기 목록은 이랬다:

• 호출어 계속 듣고 있는 음성 비서. 아무도 말 안 해도 CPU 30%를 처먹는 숨겨진 WebView를 돌리고 있음
• 바이두 위치 서비스
• 제조사 로그 수집기
• 블루투스로 통화할 때 쓰는 기기에 깔려 있는 통화 녹음 서비스
• 알리바바 IoT 클라우드 기반의 제조사 업데이트 앱. 제조사 맘대로 펌웨어 밀어 넣을 수 있음
• 공장 초기 테스트용 앱이랑 "워터마크" 데모 서비스
• 돈 내고 활성화해야 작동하는 네트워크 라디오랑 날씨 앱
• DAB 라디오 앱 (미국엔 DAB 서비스 자체가 없는데 왜 있는지 모름)
• 어도비 아크로뱃. 차 스테레오에 이게 왜 있냐? 신호 대기 중에 PDF라도 보라는 건가.

시작 스크립트가 제일 압권이었음

하나는 QQMusic, Ximalaya, 중국 앱스토어가 삭제되면 다시 설치하고, 바이두 키보드를 기본값으로 강제 설정하게 되어 있었다. 또 다른 건 부팅할 때마다 숨겨진 폴더를 뒤져서 APK가 있으면 묻지도 따지지도 않고 설치한 뒤 파일을 삭제하는 놈이었다. 우리가 확인했을 땐 폴더가 비어 있었지만, 이런 메커니즘이 있다는 것 자체가 소름 돋지 않냐. 누가 썼는지는 몰라도 차 스테레오 부팅 과정에 몰래 앱 설치하는 기능이 박혀 있을 줄은 꿈에도 몰랐다. 제조사가 남겨둔 루트 "su" 백도어까지 찾아냈는데(Claude가 발견 당시 남긴 메모는 아래에 있음), 이것들도 다 막아버리고 보안상 찜찜한 설정들도 싹 다 뜯어고쳤다.