Dazu müsste der Angriff ja auf die Server-Infrastruktur erfolgen und nicht auf die Fahrzeuge.
Es ist zwar richtig, dass der Angriffsvektor erheblich reduziert ist, wenn die Autos keinen offenen Port haben und immer nur von sich aus eine Verbindung aufbauen, aber er ist nicht Null und man könnte mit gefälschten Rückantworten durchaus etwas bewirken (ggf. über eine Mobilfunk-Mikrozelle).
Egal wie man das Risiko auch bewertet, es wäre beruhigender, wenn es einen funktionierenden, etablierten OTA-Updateprozess geben würde. Aber genau das ist nicht der Fall. Daher spielt da VW durchaus mit dem Feuer.