0:00 / --:--
No Priors · 10 月 22 日
CrowdStrike CEO George Kurtz 认为 AI 正在降低高级攻击门槛，防守方必须用掌握自身环境的专用 AI 持续对抗，并从发现、身份和行为链三方面治理企业内的智能体。
CrowdStrike CEO George Kurtz 认为，AI 正在把高级攻击能力扩散给更多对手；防守方若想跟上，必须看清企业里运行的AI 智能体（Agent），并用掌握自身环境的防御 AI 持续对抗。
这集还没有学习卡。生成后会保存在这一集，下次直接打开。
a16z Show· 2026-10-06为智能体时代构建防御体系：Kevin MandiaBuilding Defense for the Agentic Era: Kevin Mandia同主题：AI 与网络安全
Latent Space· 2026-06-22Mythos 之后的红队测试——Zico Kolter、Matt Fredrikson，Gray SwanRed-Teaming after Mythos — Zico Kolter & Matt Fredrikson, Gray Swan同主题：AI 与网络安全
No Priors· 2026-10-23与 Cloudflare CTO Dane Knecht 谈智能体网络的安全民主化No Priors
The New Apex Predator: CrowdStrike CEO George Kurtz on Adversaries Armed With AI Agents
YouTube
音频
企业正在让编程智能体和其他 AI 智能体读取数据、调用工具、下载软件包，并以某个身份执行任务。安全团队面对的不只是「员工用了哪个聊天机器人」，还包括智能体在哪里运行、继承了谁的权限、创建了哪些子智能体，以及它的行动能否被追溯和阻止。
与此同时，攻击者也能使用模型加速侦察、寻找漏洞和横向移动。本集由此讨论两条相互关联的问题：AI 如何改变攻防速度，以及安全厂商应如何在不妨碍企业使用 AI 的前提下，提供足够快、足够可信的防御能力。
这期访谈的主线不是「AI 会不会让互联网崩溃」，而是攻防双方能否以相近的速度采用 AI。Kurtz 认为，缺少防护限制、可以本地运行的模型降低了复杂攻击的成本，使原本处于攻击能力金字塔底部的参与者，也可能调用过去只有高水平团队才掌握的技术。他同时强调，攻击变得更多、更快，不等于智能体获得了某种脱离现有系统规则的神奇能力：它仍须借助身份、网络、工具和软件漏洞行动。
这一判断也解释了 CrowdStrike 的产品方向。企业首先要发现不受管理的智能体，弄清它们继承的身份和完整行动链；防御系统则要利用客户环境信息，在模拟环境中让攻防模型反复交手。Kurtz 主张，安全可以从 AI 部署的「刹车」变成「油门」，前提是防守方获得不逊于攻击方的模型能力、可用数据与响应速度。
访谈中的竞争判断同样鲜明：他认为专用模型、开放权重模型和精心设计的智能体运行框架，可能以更低成本完成大量企业任务，而最高端模型留给最关键的场景。不过，攻击能力被「拉平」到什么程度、自家模型的效果与成本优势，以及防御能否最终占优，仍主要是嘉宾判断或厂商陈述，需要独立评测。对企业更直接的启示，是不要把智能体当成普通软件工具：它既能继承人的权限，也能在很短时间内连续行动，治理必须从发现、身份和可观测性开始。
💬 他们说了什么：Kurtz 说，Claude Code、Codex 等智能体正在企业环境中出现，但组织往往不知道它们部署在哪里。比智能体的数量更关键的是「影子 AI」：谁在使用、智能体正在做什么，以及它究竟以哪个身份运行。主持人提出企业中智能体数量可能远超管理者认知，但本段没有给出经过验证的普遍比例。
💡 为什么重要：如果智能体继承员工或服务账户权限，资产清单就不再只需记录设备和应用，还要记录能够自主调用工具的执行者。找不到智能体，便无法有效审计其行为。
⚡ 争议点：模型厂商收入可以提示采用趋势，却不能直接证明某家企业内部运行着多少智能体。不同产品对「智能体」的定义也可能不同。
💬 Kurtz 用攻击者金字塔描述过去的格局：底部是数量多、能力相对低的黑客行动主义者，中间是网络犯罪团伙，顶部是数量少但能力强的国家级行为体。他称 AI 正在「压平」这座金字塔，并把新的顶级威胁戏称为 agent state（「代理国家」）。按他的判断，一些过去属于高级团队的能力，如今更容易被较低门槛的攻击者调用。
💡 防守计划若只按照攻击者的传统身份分配关注度，可能低估小团队借助模型快速寻找漏洞、连续尝试攻击路径的能力。
⚡ 「能力拉平」是强有力的概括，却不意味着各类攻击者已拥有同等资源。长期潜伏、情报支持和行动协调仍可能造成显著差异。
💬 Kurtz 认为，前沿闭源模型对网络安全相关请求可能设置较严格的拒答规则，而经过调整、面向网络安全任务的开放权重模型可以在本地运行。他以家中运行模型的设备为例，强调攻击者不一定需要持续依赖受平台管控的云端服务。
💡 本地部署改变了治理边界。云端服务的使用规则仍有作用，但无法覆盖所有可下载、可修改的模型；同一类能力也可被授权的红队用于测试。
⚡ 他说前沿模型连网络安全主题演示文稿都可能拒绝，是其使用体验描述，不宜推广为所有模型、所有设置的共同表现。开放权重本身也不等于恶意用途。
💬 谈及攻击活动，Kurtz 提到朝鲜、中国及网络犯罪行为体，更着重解释 CrowdStrike 跟踪的 breakout time：攻击者进入一台机器后，转向其他系统所需的时间。他称这一时间过去常以小时或天计，如今观察到的平均值为 29 分钟，最快案例为 27 秒。他还说，攻击路径可能由提示词驱动，因而不再总有固定的恶意软件特征可供识别。
💡 如果横向移动发生在分钟甚至秒的尺度，仅靠人工确认和逐级审批可能赶不上事件进展。身份、行为序列和跨系统关联需要一起观察。
⚡ 这两个时间数字没有在访谈中附上样本范围、统计期或 AI 归因方法。「不再是恶意软件，而是提示词」应理解为强调变化的修辞，而非恶意软件已经消失。
💬 从业 30 多年的 Kurtz 认为，安全问题始终随技术复杂度增长。如今的风险之一，是给智能体一个人类身份和宽泛任务，允许它自行下载 npm 软件包、运行代码，却没有人持续观察。他说，这会让原本需要经过审查的软件进入生产流程；智能体行动也可能成为难以解释的「黑箱」。
💡 风险不只来自模型生成错误代码，还来自智能体把获取依赖、调用工具和操作生产环境串成无人值守的工作流。因此，供应链审查与运行时监控都不能省略。
⚡ 自动化程度并非只有「完全放手」或「完全禁止」两种选择。允许哪些工具、在哪个环境执行、何时要求人类批准，都可以分级设计。
💬 主持人提及一场涉及 Hugging Face 与 AI 智能体的事件或实验。Kurtz 承认，持续监控和环境质量是启示，但他最在意的是另一点：在他描述的情境里，进攻智能体的限制被放宽，防守方却难以用前沿模型分析相关安全材料，最后转向开放权重模型。他据此主张，授权防守者也需要足够强、且不会频繁误拒的安全专用 AI。
💡 如果检测、调查和处置工具因安全规则无法处理真实攻击资料，善意防守者会处于不对称位置。模型安全机制需要区分授权防御与滥用风险。
⚡ 访谈没有交代该事件的完整实验设置和独立证据。关于「首次端到端智能体攻击」及具体模型拒答经过，应以原始报告核对，不能仅凭对话定论。
💬 Kurtz 介绍 CrowdStrike 的 Safe Mind 系统：红方模型 Red Tempest 与蓝方模型 Blue Solano，在客户环境的数字孪生中反复交手。数字孪生利用厂商掌握的环境信息建立虚拟场景；红方持续尝试进入，蓝方学习识别并阻止。项目与 NVIDIA 合作，蓝方所用模型包括 Nemotron 系列；他说相关工作进行了约 6 个月。
💡 这个方案试图把安全测试从一次性的演练，改为依据实际环境持续迭代的攻防循环。防守者对架构、身份和资产的了解，是外部攻击者未必具备的优势。
⚡ 数字孪生是否足够准确，决定演练结果能否迁移到真实环境。访谈未提供独立评测来证明红蓝循环的检测提升幅度。
💬 Kurtz 说 CrowdStrike 已从最初的单一模块扩展到 33 个模块，覆盖终端、云、IT 和身份等领域。针对智能体，公司提出 AIDR：先发现未受管理的 AI，再从智能体创建之初记录其子智能体、工具调用、MCP 服务器访问和取数行为，最后施加策略与阻断规则。他还引用「一名员工可使用约 90 个智能体」的估计，并认为这个数字可能偏低。
💡 传统终端检测响应主要围绕设备上的活动；智能体治理则必须把身份、执行过程和工具调用连成可回溯的事件链，才能判断某一步是否越权。
⚡ AIDR 是厂商提出的产品框架，其覆盖范围和阻断效果需看具体部署。每名员工「90 个智能体」在节目中没有明确出处，也不应当作企业通用基准。
💬 面对「为何不直接使用前沿模型」的问题，Kurtz 提出三项理由：成本、专有安全数据和客户信任。他举例称，一次普通修复任务若使用最高规格的前沿网络安全模型，可能花费约 10 美元，使用自家模型则约 3 美分。他还表示，公司拥有十多年积累的安全数据，包括托管检测与响应服务中的威胁、漏洞和攻击链资料；客户也未必愿意把敏感数据交给外部模型提供商。他强调，平台仍应允许客户选择或路由不同模型。
💡 安全模型的竞争不只是通用推理能力之争。任务匹配程度、数据处理边界、智能体运行框架，以及大规模调用的单位成本，都可能改变企业采购决定。
⚡ 上述价格和效果来自厂商负责人，没有统一任务、质量门槛及计费口径作对照。数据积累也不自动保证训练数据的授权范围、质量与客户隔离方式。
💬 Kurtz 预计未来 2 年将有更多模型在个人电脑本地运行，并与前沿云端模型混合使用。他转述银行客户的取舍：开放权重模型即使落后前沿约 3 个月，也足以完成多数日常任务；真正重要、能创造额外收益的任务才值得支付前沿模型费用。谈到模型蒸馏和反蒸馏时，他认为既有能力已广泛扩散，很难完全收回，但坦言无法预测两年后的具体格局。
💡 企业的模型策略可能从「所有任务使用最强模型」转向按敏感度、质量要求和成本分流。监管行业自身吸收新版本的速度，也会影响前沿能力领先所能产生的商业价值。
⚡ 银行客户的经验是转述，不代表所有行业。蒸馏来源、合规性与反蒸馏措施的有效性，不能用「能力已经扩散」一语替代逐项判断。
💬 面对关键系统是否应与互联网全面隔离的担忧，Kurtz 认为这种总体判断过于悲观。智能体仍通过现有身份、网络和软件机制行动；AI 造成的主要变化是漏洞发现和利用「更多、更快」。随后，他提出防守占优的可能条件：让防御 AI 至少跟上进攻 AI，并利用防守方掌握的系统架构和代码。他也提醒，即使代码漏洞减少，攻击者仍可能通过被盗身份「登录」而非「闯入」。
💡 这把讨论从抽象的末日情景拉回具体控制点：身份保护、快速检测、架构信息与自动化响应。安全改进不能只押注于生成更安全的代码。
⚡ 反对全面断网，不等于关键系统不需要隔离。不同系统的后果、连接需求与可恢复性不同；「防守占优」也仍是有条件的设想，而非已被证明的现状。
💬 在此前的管理建议中，Kurtz 主张大型公司以更小的团队、更短的开发周期使用 AI，而不是沿用漫长的瀑布式流程。他称 CrowdStrike 的传感器每天产生约 7 万亿条事件，认为持续产生的数据是其优势。最后谈到职业，他预计技术转型会创造不同类型的工作：人仍需管理智能体、设计架构并承担创造性判断；网络安全与 AI 的交叉领域尤其值得年轻人学习。
💡 企业的防御能力既取决于产品，也取决于组织是否能迅速发现问题、推出改进。对个人而言，理解智能体如何工作以及如何约束它，比只会调用单一工具更耐用。
⚡ 每日事件量体现数据规模，却不直接等于可用训练数据或防护质量。AI 最终带来净就业增长，是 Kurtz 的预测；岗位替代与新增可能在行业和时间上分布不均。
“For the first time, security is the gas pedal, not the brake.” 「安全第一次成了油门，而不是刹车。」——George Kurtz
“The new apex predator is the agent state.” 「新的顶级捕食者是‘代理国家’。」——George Kurtz
“The only way to fight AI today is with better AI.” 「如今要对抗 AI，只能使用更好的 AI。」——George Kurtz
“They’re not necessarily breaking in, they’re logging in.” 「他们未必是在‘闯入’，而是在‘登录’。」——George Kurtz
智能体安全的计量单位正在变化。 一次智能体任务可能跨越主智能体、子智能体、身份凭据、工具和外部数据源。若只记录最终输出，就会丢失导致风险的中间步骤；若只监控单台设备，又可能看不到跨系统的权限使用。
「模型能力」与「可用于防守的能力」不是一回事。 一个模型即便擅长分析，只要在授权调查中频繁拒答，或不能接触必要的企业资料，实际防御价值就会受限。相反，放宽限制也必须配合访问控制、审计和数据隔离。
数字孪生的价值取决于保真度。 红蓝模型在虚拟环境中循环，适合发现已知架构下的薄弱路径；但资产遗漏、过期权限和与生产环境不同的配置，都可能使演练给出过于乐观的结果。
更安全的代码与更安全的身份需要并行推进。 AI 辅助开发或许能减少一部分编码缺陷，无法代替最小权限、凭据保护和异常登录检测。
文中的产品效果、统计数字和未来预测，除非另有说明，均按节目中发言归属呈现；本稿未将其视为经过独立核实的结论。
