Building Defense for the Agentic Era: Kevin Mandia｜深度中文详解

播出信息

• 日期：2026-10-06
• 时长：2949 秒（49 分 09 秒）
• 节目：a16z Podcast
• 主持人：David George
• 嘉宾：Kevin Mandia，Mandiant 创始人、Armadin 首席执行官
• 音频：收听本集
• YouTube：观看本集
• Episode：节目页面

背景

Kevin Mandia 创办了以事件响应闻名的 Mandiant。在他看来，过去的安全体系很大程度上靠已知恶意软件特征、受害者报告和事后调查积累情报；AI 则提供了另一种可能：在真实攻击者之前，主动找出企业网络中能够被利用的入口。

本集讨论的 Armadin 将这一路径分为两步：用 Red 模拟进攻、验证风险，再让 Blue 把发现转化为防御控制。主持人与嘉宾也谈到 a16z 对相关公司的合作与投资语境，因此产品表现和市场判断宜视作嘉宾陈述，而非独立测评。

总结分析

这集的核心不是“AI 会不会用于网络攻击”，而是攻防双方如何适应不同的速度。Mandia 说，传统攻击者往往受人力限制，选择一条路线深入；AI 智能体可以同时尝试大量路线，虽然现阶段可能更吵、更不隐蔽，却能扩大搜索规模，也可能让技术较弱的攻击者取得过去难以达到的效果。他据此提出，防守不能只定期扫描已知漏洞，而要持续掌握资产与服务的变化，在威胁或网络发生变化时重新测试，并确认漏洞能否造成实际侵入。

节目最有信息量的地方，是把这种愿景与当前边界放在一起。Armadin 称，自 2026 年初以来已在客户生产环境发现超过 90 个零日漏洞；但 Mandia 同时承认，其中多数仍由人类专家发现，AI 主要承担繁重的前期工作，直到近期才开始直接发现部分漏洞。这说明自动化已经改变专家的工作量与覆盖面，却尚不能简单等同于无人值守的完整红队。防御端的张力更大：机器速度的横向移动要求快速封堵，但自动阻断也可能误伤业务。Mandia 倾向于先以端点、网络控制做临时止血，再由后续流程修复；他也强调分层防御和失效预案，承认任何“力场”终会被绕过。对安全负责人而言，本集更像一份架构转型提案：缩短发现到处置的时间，同时把授权、审计、误报成本和人工接管设计进自主系统。

节目结构 / 议程

1. 开场：攻防进入机器速度 — 00:00 🎧 · ▶️
2. Mandia 为什么重返一线 — 02:08 🎧 · ▶️
3. 今天的 AI 攻击长什么样 — 05:05 🎧 · ▶️
4. 国家级攻击与“无人机群” — 07:53 🎧 · ▶️
5. 为什么他说传统渗透测试已过时 — 15:05 🎧 · ▶️
6. 自主防御与 Armadin Blue — 19:10 🎧 · ▶️
7. 安全运营中心的未来 — 21:27 🎧 · ▶️
8. Hugging Face 事件带来的安全教训 — 27:27 🎧 · ▶️
9. 以 AI 时代的速度建设公司 — 36:15 🎧 · ▶️

分节详解

1) 开场：攻防进入机器速度 — 00:00 🎧 · ▶️

💬 他们说了什么：开场剪辑先亮出 Mandia 的判断：AI 带来的不是传统安全工具的一次小升级，而是攻防速度和规模的转换。节目的主问题随之明确：当攻击能以机器速度展开，防御为何还要先由“好人”建立足够强的模拟进攻？

💡 为什么重要：这确定了全片的因果链——先发现真实可利用风险，才谈得上训练和加速防御；仅知道资产上存在漏洞，不等于知道攻击者能否借它进入网络。

⚡ 争议点：“海啸”“一切都变了”是强调紧迫性的表达，并非对所有企业受威胁程度的量化结论。不同资产暴露面、业务环境和现有控制措施，会影响转型的优先级。

2) Mandia 为什么重返一线 — 02:08 🎧 · ▶️

💬 Mandia 说，吸引他加入的首先是 David Slater、Travis Lanham、Evan Peña 等创始团队，以及自己不愿错过从业约 30 年后遇到的 AI 转折。Armadin 的第一步 Red 使用模型测试可利用风险；第二步 Blue 则要把发现转成阻断措施。

💡 Red 与 Blue 的先后关系，是本集产品论述的骨架。团队先试图证明“哪里真的能打进去”，再追求“如何在攻击者利用前拦住它”，避免把又一份漏洞清单误当成完整防御。

⚡ Mandia 认为“每家公司现在都需要”这类能力，但普遍需求不等于每家公司应采用同一产品或同等自主化程度。安全负责人仍需核算授权范围、业务中断风险和现有工具的覆盖情况。

3) 今天的 AI 攻击长什么样 — 05:05 🎧 · ▶️

💬 Mandia 称，Armadin 已让约 25,000 个智能体协同工作；他目前在野外见到的 AI 攻击尚未达到该系统的协调程度，甚至会重复尝试已走过的入口。他强调 AI 的主要优势是并行规模与速度，而漏洞利用涉及代码及相对结构化的步骤，因此不必等待能处理所有任务的最强模型。

💡 如果防守方只用“像不像熟练人类黑客”判断威胁，就可能低估一种更吵却覆盖更广的攻击。Mandia 还指出，模型能力之外，算力成本与匿名获得算力的条件也会影响犯罪使用规模。

⚡ “微秒内完成需多人完成的工作”等说法是访谈中的形象比较，不是可直接用于容量规划的基准测试。协同智能体的数量，也不能单独证明其成功率或实际攻击隐蔽性。

4) 国家级攻击与“无人机群” — 07:53 🎧 · ▶️

💬 Mandia 将传统国家级行动比作针对特定目标的“狙击弹”，将 AI 驱动的广泛并行探索比作“无人机群”。后者目前更容易留下噪声，却可能提高成功概率。他预计，较弱的攻击者会借模型变得更有能力，而防守方也更难仅凭行为判断幕后究竟是国家、犯罪团伙还是个人。

💡 防御策略不能只按攻击者身份分配注意力。倘若能力被模型广泛提供，原先被认为“不够高级”的来源，也可能造成高后果事件；归因则更应与即时遏制分开处理。

⚡ “狙击”与“蜂群”是解释攻击取舍的类比，不表示国家级行动只能精准、AI 行动只能粗放。隐蔽性、成本及人工监督都可能改变实际战术。

5) 为什么他说传统渗透测试已过时 — 15:05 🎧 · ▶️

💬 Mandia 批评以已知漏洞扫描为主的传统测试：它会生成长清单，却未必证明攻击者能否获取远程代码执行权限或取出数据。Armadin 主张从外部黑盒视角验证可利用性，并对网络建立资产、服务与路径的元数据视图；随后监测变化，在新漏洞、新威胁情报或网络变更出现时重测，而非无差别持续全量攻击。他称公司自 2026 年 1 月以来，已在客户生产环境发现超过 90 个零日漏洞，涉及大型企业；发现严重风险后，通常会在 48 小时内联系客户安全负责人。

💡 这里的转变是从“有无已知缺陷”走向“此时此地是否存在可行攻击路径”。按变化触发测试，也试图兼顾持续性与成本，让修复队列优先处理真实暴露，而不是只按漏洞数量排序。

⚡ “渗透测试已死”说得过满。合规验证、资产卫生检查和人工红队仍各有用途；超过 90 个零日漏洞的定义、统计口径、复现与披露状态，节目未提供可独立核验的明细。

6) 自主防御与 Armadin Blue — 19:10 🎧 · ▶️

💬 Blue 的设想是将 Red 验证出的风险交给端点检测与响应系统、防火墙等防御平台，快速生成补偿性控制：先限制攻击路径，再进行更彻底的修复。Mandia 说，即使只比攻击者早发现 5 分钟，若能及时封堵，也有价值；他提及正与 CrowdStrike、Palo Alto Networks 等厂商合作。

💡 发现漏洞与完成正式补丁之间可能存在空窗。将临时控制视作“止血”，能为修复争取时间，也说明自主防御不必等同于让系统自行修改全部生产代码。

⚡ Mandia 宁愿接受不完美的临时防护，也不愿让未知攻击者获得任意访问；但错误阻断关键业务同样可能造成严重损失。自动控制需要测试、回滚和明确的审批边界，合作关系也不等于相关能力已全面交付。

7) 安全运营中心的未来 — 21:27 🎧 · ▶️

💬 Mandia 认为，当智能体侵入后能同时执行大量横向移动，逐项等待分析员判断会太慢；预防、检测和响应都需要更高程度的自动化。但他并不主张撤掉后备层：即便前线防护强，仍须设置发现未授权访问的“陷阱”，因为总会有尚未测试或先被他人发现的路径。

💡 未来 SOC 的重点可能从人工处理每个告警，转向设计规则、监督自动处置、处理例外并复盘失效。Mandia 也观察到，大企业修复暴露面时，CIO、CISO、产品和业务团队正在共同进入类似战情室的协作状态。

⚡ 他明确表示，现在判断 SOC 最终编制与流程形态还太早。“人不能处在战术响应环内”不等于人不应参与授权、政策制定和高影响处置；自动化越快，越需要界定哪些动作可以直接执行。

8) Hugging Face 事件带来的安全教训 — 27:27 🎧 · ▶️

💬 主持人以 Hugging Face 事件发问，Mandia 借此强调：在新技术转换期，开发者容易低估模型行为；约束智能体需要 AI 团队与懂具体攻击领域的安全专家共同设计。他描述了隔离、代理、行为分类器、确定性禁止规则、异常时暂停并交由人判断，以及记录智能体每一步操作等措施。Armadin 曾以 20 条真实攻击链测试模型，受测模型最多完成其中 8 条；他还说，前述零日漏洞中多数仍由人类发现，AI 已承担 90% 以上繁重的基础工作，而最近一些漏洞才开始由技术系统直接发现。

💡 这段给“自主”加上了安全工程条件：不仅要评估能做什么，还要规定不能做什么、何时停下、事后如何重放。它也呈现了人机协作的实际阶段，而非宣称模型已经稳定取代资深漏洞研究员。

⚡ 节目没有完整交代 Hugging Face 事件的事实经过，不能据此断定具体根因或责任。不同模型在该组测试中达到相同终点，也只说明这套任务、时间和成本条件下的结果，不宜推广为所有开放与闭源模型能力相同。

9) 以 AI 时代的速度建设公司 — 36:15 🎧 · ▶️

💬 Mandia 回顾，Mandiant 于 2004 年起步时自筹资金、实现盈利，依据“安全事件无法完全避免”的判断，从事故响应中学习；他把 Armadin 看作更早发现问题的下一波情报模式。如今竞争者更多、产品变化更快，他主张提前融资、建设销售与流程，并让销售团队跟上可能每两周变化的产品。他以 Wiz 从首次发布到超过 1 亿美元年度经常性收入约 18 个月为速度参照，同时强调争取重要客户、让客户满意并持续重复这一过程。

💡 安全产品即便技术领先，也要经过企业采购、部署和信任建立。若创新周期短于销售培训周期，产品团队、销售与客户之间的反馈链就成为能力的一部分，而不只是营销问题。

⚡ 增长目标、竞品速度和“未来两年整个安全技术栈都会变化”均是嘉宾的判断或转述，不能当作确定预测。快速扩张还可能与严格验证、安全授权和稳定交付产生冲突。

人物与机构

• Kevin Mandia：本集嘉宾；Mandiant 创始人、Armadin 首席执行官，以事件响应经验解释 AI 攻防转型。
• David George：主持人；围绕攻击能力、产品类别、自主防御与公司建设追问。
• Armadin：本集讨论的公司；Red 侧重发现并验证可利用风险，Blue 侧重将发现转化为防御措施。
• Mandiant：Mandia 创办的安全公司；其事故响应经验构成他对传统防御与情报模式的比较基础。
• CrowdStrike、Palo Alto Networks：Mandia 提及的潜在防御平台协作对象；节目没有给出具体集成效果的独立测评。
• Hugging Face：主持人提出的事件案例；访谈重点落在智能体安全设计，没有完整复盘事件。
• a16z：节目出品方；片尾提示其及关联方可能持有节目讨论公司的投资。

金句

“你得用足够强的进攻，训练自己的防守。”——Kevin Mandia，意译

“如果检测和响应环节还要等人逐项操作，就会太慢。”——Kevin Mandia，意译

“别等受害者出现，再从事故里学习。”——Kevin Mandia，意译

“获得客户，让客户满意，然后重复。”——Kevin Mandia，意译

洞见与延伸背景

• 把“扫描频率”改写成“变化响应能力”：大型网络每天都在变化。比固定周期生成更多报告更有用的指标，可能是新资产或新威胁出现后，多久能完成验证与处置。
• 补偿性控制应有到期机制：临时防火墙规则或端点阻断能止血，但若无人追踪正式修复与规则清理，也可能长期累积业务影响。
• 智能体安全需要领域评估：通用模型测试未必覆盖攻击链、横向移动或越权行为。让红队专家设计评估，再由 AI 团队改进模型与控制，是本集最具体的人机分工建议。
• 可重放日志是自主系统的基础设施：记录时间、来源、动作和决策依据，既便于调查误操作，也让组织能够检验自动阻断是否真的有效。

争议与需核实

• 产品数据：超过 90 个零日漏洞、约 25,000 个协同智能体，以及测试中完成 8 条攻击链等数字均来自嘉宾；节目未附方法、样本或第三方验证。
• 术语边界：“零日”“传统渗透测试”“已验证可利用”可能有不同口径。比较产品能力前，应先核对定义与测试权限。
• 事件指称：访谈没有提供 Hugging Face 事件的完整时间线与技术细节，不宜把 Mandia 的一般安全教训写成该事件的已证实根因。
• 自动响应风险：更快阻断与更少误伤之间仍有工程权衡；“无需人在战术环内”尤其需要按动作风险分级检验。
• 市场预测：安全技术栈将在两年内大幅更替，是嘉宾观点；采购周期、合规要求及既有系统依赖都可能放慢实际迁移。

行动建议

1. 核对真实暴露面：为对外资产、关键应用与服务建立可更新清单，优先识别“变化后尚未验证”的区域。
2. 要求验证而非只收清单：对高优先级发现，记录可复现条件、实际影响、受影响资产及修复后复测结果。
3. 分级引入自动处置：先选可回滚、影响范围清楚的阻断动作；为高风险动作设置暂停、升级与人工审批。
4. 演练失效场景：假设前线检测漏过攻击，检查内部异常访问陷阱、日志留存和跨团队应急路径是否可用。
5. 审查测试供应商：询问其授权范围、生产环境保护措施、零日披露流程，以及“AI 发现”与“专家发现”各自如何统计。

来源

• a16z 本集 Episode 页面
• 本集音频
• 本集 YouTube 视频
• podscripts 英文转写