摘要

Asymmetric Security 的核心押注，是 AGI 将让持续、专家级的数字取证在经济上成为可能。 Alexis Carlier 追问：如果“手头可调用的智能劳动力增加100倍”，防御者会拿它来做什么？答案不只是更便宜的事件响应，而是把主动调查的成本压到接近算力成本。平台的机会，在于替代充满噪声的静态检测；Carlier 估算，这一市场规模达数千亿美元，“可能是5000亿美元”。
Carlier 对 AGI 的门槛定义，是能够完全替代人类完成长期远程工作，而当前模型仍无法可靠做到这一点。 Nathan Labenz 以 Opus 4.5 为例：模型反复编写脆弱的启发式代码，而本应依靠流动判断力解决——“用你的流动智能，直接读文件”（Use your fluid intelligence. Just read the file）。Carlier 认为，这种更广泛的能力不均衡，部分源于强化学习偏爱编码、数学等可验证领域。Carlier 预计，经济信号最终会体现在产出上；Labenz 则认为，价格坍塌可能让 GDP 持平甚至下降。
AI 目前尚未改变网络攻击，但 Carlier 预计它很快会降低各类攻击所需的技术门槛。 如今约70-80%的攻击涉及钓鱼或社会工程，因为犯罪分子会选择“阻力最小的路径”；大多数技术性入侵针对的也是已知但尚未修补的漏洞，而非零日漏洞。其含义在于规模：中等复杂度的勒索软件能力，可能被更多攻击者掌握。
初始产品已将商业邮件调查从约两天至一周压缩到数小时，但90%的模型准确率离自主级可靠性还差得很远。 对较简单的事件，现成模型加上极少量脚手架就能完成高质量初筛；随后由人类核验推理，并对少数案例进行实质性修改。网络安全要求“几个9的可靠性”，因此即使大部分分析工作已经完成，仍可能存在很长的人类处理尾部。
真正可防御的资产不只是智能体框架，还包括私有事件、顶尖分析师和逼真的评测体系。 泄露日志很少公开；Carlier 称，CrowdStrike 只有约60人具备最深度取证调查能力，这意味着前沿实验室“人才极其受限，数据也极其受限”。Asymmetric 的服务模式让调查人员反复用真实案例评估模型，并接触从事件中提炼出的蓝图，用于搭建逼真的训练环境；分析师的推理轨迹也可能成为差异化资产。
网络保险公司为服务切入口提供了异常集中的分销渠道。 保险公司维护预先批准的事件响应供应商名单，并将遭到入侵的客户转介给信任的服务商；Asymmetric 更快的调查速度，构成客户切换的初始理由。这个“信任—数据”飞轮至关重要，因为买方很难判断：“我是没有遭到攻击，还是只是我不知道自己遭到了攻击？”
数字取证可能提供一种罕见的路径，让防御能力获得差异化加速，却不等比例提升攻击能力。 渗透测试和漏洞发现显然具有双重用途，但取证关注的是攻击者是否已经在系统内；Carlier 表示，人类取证专家通常并不会大量泛化到进攻性黑客工作。他更广泛的主张，是有意把能力“锯齿前沿拉出来”（pull out the jagged frontier）：在持续学习让这一机会不再独特之前，先在网络安全、生物安全和 AI 安全领域建立防御数据集、环境与评测。

精读

1. AGI 意味着替代远程工作人员，而不是赢下孤立基准测试

Carlier 的世界观早于 ChatGPT：他在2020-2021年前后加入早期的 Center for the Governance of AI 团队，当时先进 AI 仍是小众议题。Asymmetric 同样是一场押注 AGI 的“大成本赌局”；如果这一前提错误，他认为公司仍可能有价值，但会比其设想中的未来“低价值很多”。
他的操作性定义，是能够在长期任务中全面替代人类的“即插即用远程工作人员”。当前模型处在“奇怪的、锯齿状的能力前沿”：某些事情上超越人类，或者称得上“某些领域的天才”，但无法持续完成足够连贯的工作，因此还无法产生他所认为的 AGI 应带来的广泛经济效应。
Labenz 质疑 GDP 是否适合作为计分板，因为他最令人印象深刻的 AI 使用体验，恰恰摧毁了统计口径下的支出：软件替代了原本需要雇人完成的工作，而且价格通常大幅下降。Carlier 同意产出更重要；Labenz 则指出，丰富且低价的服务会让美元计价的产出变得难以解释，GDP 可能持平甚至下降。

2. 强化学习可能正在不均衡地磨利能力前沿

Labenz 给出的具体例子来自 Claude Code 与 Opus 4.5：模型能处理极其广泛的工作，却在一项可以通过逐个检查文件解决的转录回填任务中，写出脆弱的 Python 启发式代码。他反复强调的指令，正好概括了这一缺口：“用你的流动智能，直接读文件”（Use your fluid intelligence. Just read the file）。
Carlier 怀疑强化学习是主要原因。预训练吸收了互联网的大部分内容，以近乎“免费”的方式带来了广泛通用性；如今，可验证的奖励机制让编码和数学比那些缺乏清晰评分标准的领域更容易被稳定改进。
如果没有另一场重大范式变化，他预计诗歌等领域“相当长一段时间内”都不会取得同等进展。这种不均衡，为有选择地推进防御能力创造了暂时机会，而且未必会同等加速进攻能力。

3. 攻击数量与攻击后果来自不同对手

Carlier 估计，或许80%的攻击来自技术能力相对有限的业余者或以牟利为目的的犯罪分子。他们典型的做法是“广撒网、碰运气”（spray and pray）：大规模钓鱼、重复使用恶意程序和脚本小子工具，目标是任何可能犯错的人。
民族国家占攻击数量的比例很小，但追逐价值更高的目标。他的概括是：中国高度关注西方研发与知识产权，AI“几乎确定”是重点目标；俄罗斯侧重政治破坏，包括2016年美国大选；朝鲜则同时追求机密与收入。
朝鲜的远程工作者项目把渗透与创收结合起来：行动人员获得合法的远程技术岗位，把资金汇回国内支持政权，有时还会窃取公司知识产权。Labenz 把这套财务剧本压缩成一句黑色幽默：“赶紧拿到 Brex 卡，再赶紧拿到 Ramp 卡。”
有组织的勒索软件团伙处在业余者与国家之间。攻击者取得访问权限、加密系统并公开宣布，因为收款要求受害者发现攻击；成熟的国家级行动者则试图“尽可能长时间保持隐蔽”。

4. 勒索软件是巨大负和，而基本卫生措施能拦住大多数攻击

Carlier 提到 Jaguar Land Rover 的一次勒索软件事件：运营中断约1至2个月，并需要英国政府提供约20亿美元贷款以避免倒闭。他不知道损失与赎金的确切比例，但认为 Labenz 提出的10:1量级“听起来合理”：这种活动“极度负和”。
约70-80%的攻击量来自钓鱼或社会工程，因为攻击者选择“阻力最小的路径”；如果一封有说服力的邮件就能奏效，就没有理由浪费宝贵的零日漏洞。即使是技术性攻击，也主要利用组织明明可以修补却没有修补的已知漏洞。
对普通个人和企业而言，多因素认证、定期更新、核查供应商安全状况、自动化监控和偶尔进行入侵评估，对付业余攻击者及部分有组织犯罪已经很有效。零日漏洞更稀少，主要被高水平行动者使用，现实攻击中的占比远低于公众讨论的频率。
针对坚定的国家级对手，防御属于另一种制度：严格限制软件和硬件、对员工进行异常深入的审查、主动搜寻零日漏洞，并持续开展入侵评估。某些审查在特定环境下甚至可能违法，而大多数组织宁愿接受持续的情报窃取，也不愿承担这些成本。

5. 国家级访问难以被观察，可能持续多年

当被问及是否应该带一次性设备去中国时，Labenz 认为自己只是一个公开发表观点的“AI 喋喋者”，并非明显的优先目标。Carlier 的谨慎回答依然发人深省：如果不采取预防措施，人们“可能”会读取他的资料，而他应该假设自己回国后通信仍可能受到监控。
持久化不需要电影式的植入程序；它可能来自物理访问、被攻陷的凭据或其他机制。Carlier 的实用建议只有一句：“假设他们会实现持久化。”同时他也承认，许多普通旅行者可能会认为这种暴露风险可以接受。
表面上的矛盾——为什么要把稀缺的零日漏洞用在一个中等重要的目标上？——没有答案，因为外界无法看见国家级武器库。Carlier 估计，可能有数十万人参与支持中共的进攻能力，并指出，有些访问权限直到数十年后才被公开发现。

6. AI 正在先降低攻击者技能门槛，再改变攻击类型

Carlier 认为，到目前为止，AI 在进攻端除了提升钓鱼自动化，几乎没有带来变革性影响。这种情况可能很快改变：据称实验室测量结果显示，模型“正站在”更强进攻性安全能力的门槛上，但人们担心的跃迁“尚未上线”。
他的核心机制是民主化。对于过去需要中等专业能力的攻击——勒索软件就是例子——模型会降低最低技术门槛，让更多人能够尝试，而不必创造全新的漏洞类别。
由于真实事件证据是私有的，测量这条前沿异常困难。遭到入侵的公司不会公开邮件日志，模型开发者因此“没有东西可以拿来做基准测试”，也很难看见现实中究竟发生了哪些攻击。
专业能力同样稀缺。Carlier 表示，CrowdStrike 作为领先的事件响应公司之一，只有约60人能够完成最深度的取证调查；因此，前沿实验室需要稀有的领域专家，才能判断模型答案是否正确。

7. 静态检测制造噪声，却会漏掉耐心的入侵

现有监控系统大多把可疑行为编码为静态规则。同一个信号既可能意味着系统被攻陷，也可能只是正常生活：从新地点登录可能是攻击者，也可能是“你这周只是去西藏旅行”；深夜访问和批量下载同样存在歧义。
反过来，攻击者也可以把活动设计得看起来完全正常。攻击者数月间分批外传极少量数据，始终低于传统检测会触发的阈值；人类调查员如果跨越全部证据进行深度推理，或许能发现这一模式，但没人有时间持续这么做。
因此，安全运营中心会快速分流告警，丢弃误报，只把数字取证留给少数被判断为真正可疑的事件。取证像侦探工作一样重建入侵、权限提升、行动和持久化，但专家稀缺，使其速度过慢，且对日常主动使用而言“贵得不可行”。
Carlier 提出的替代性问题，不是 AI 能自动化哪种人类工作流，而是防御者如果“手头可调用的智能劳动力增加100倍”会做什么。他的答案是近乎持续的取证评估，最终让成本接近算力，而不再只是确认遭到入侵后的应急服务。

8. 商业邮件入侵是自动化取证最可行的切入口

Asymmetric 从商业邮件入侵开始：攻击者通过钓鱼、被盗凭据或其他路径取得账户，再利用这种信任索取资金或信息。2016年民主党全国委员会遭入侵的案例表明，邮件攻击既可以服务于政治行动，也可以直接用于金融盗窃。
调查人员接入 Microsoft 或 Google 租户日志，定位首次访问，并寻找权限提升或向另一个账户横向移动的迹象。来自不相容地点的同时登录是有用证据，但每个异常都必须放回用户真实行为中判断。
接下来，他们重建攻击者读过、发送过或删除过什么；收件箱规则是否转发或隐藏邮件；哪些 Drive 文件被访问；持久化是否仍在；以及入侵的原因是什么。整个过程有固定顺序，却依赖灵活判断不断推进：“这看起来不对劲，让我从这条证据继续查。”
服务商配置会实质性改变事件发生率。Carlier 认为，Google 邮件账户被攻陷的频率至少比 Microsoft 低一个数量级；他记不清确切原因，但称这是 Microsoft 莫名其妙一直未能解决的、足够可处理的差异。

9. 90%的自动化仍需人类守住几个9

Asymmetric 将自己定义为“全栈 AI 数字取证与事件响应公司”。其智能体接入日志并完成第一轮调查；人类调查员通常会核验推理，并在少数案例中实质性改变结果。
对相对简单的邮件事件，带有极少脚手架、未经专项训练的模型，开箱即用就能达到约90%的准确率。这已经足以带来速度价值，但在要求几个9可靠性的领域，对于自主交付而言“完全不够”。
Labenz 的反驳值得保留：完成90%的工作，并不意味着节省90%的时间；最后10%可能消耗原始工作量的一半，而所需可靠性也可能很难衡量。Carlier 预计，为了把可靠性推到几个9，仍会存在“长期需要人类参与的尾部”，尤其是在调查变得更加开放式之后。
反应式事件响应几乎没有潜在需求：既然“头部正在流血，就必须处理”，客户却不会因此希望获得多得多的反应式调查。主动取证则可能替代今天的检测市场，其规模达数千亿美元，“可能是5000亿美元”；来自 AI 实验室和政府的额外需求仍不确定。

10. 服务、保险公司与信任构成商业飞轮

Labenz 用“牙科与按摩”的类比分开固定需求和弹性需求：牙科服务不会因为变便宜就有人想做更多，而几乎免费的按摩可能每天都被消费。Carlier 认为，反应式响应的潜在需求有限，但在保护极敏感知识产权或国家安全系统的组织中，持续检测会扩大。
CrowdStrike 提供了先服务后产品化的先例。Carlier 称，它约15年前从事件响应服务商起步，先了解攻击者行为并建立企业关系，随后才将能力产品化；在安全领域，信任驱动分销，因为客户无法回答：“我是没有被攻击，还是只是我不知道自己被攻击了？”
Asymmetric 当前最直接的证明，是把邮件调查从约两天至一周压缩到数小时。Carlier 提到按小时计费，以及相关服务市场相较头部公司的核心检测业务规模很小：他估计该市场约400亿美元，而 CrowdStrike 的估值约2000亿美元，主要仍由检测产品驱动——这是他暂时给出的说法。
网络保险公司是触达客户的主要路径。保险公司维护预先批准的事件响应供应商名单，并把遭到入侵的投保人转介给这些供应商；赢得保险公司的信任，就能获得危机时期的转介，继而建立直接的企业关系。

11. 真实事件可以把防御能力前沿向外拉

Asymmetric 已从 CrowdStrike、Palo Alto Networks 等大型安全公司招聘调查人员，让他们每天使用 AI 平台处理真实案例。他们的日常工作变成持续的模型评估，而观察到的事件则提供了“高保真、非常真实”的评测和训练环境蓝图。
防御性学习之所以落后，原因在于敏感事件数据和合格评估者都很稀缺。进攻性评估则拥有相反优势：智能体可以不断尝试入侵某个目标，无需敏感客户数据，因此有更直接的方式测试进攻能力。
公司的技术路径刻意保持保守：测试多个模型，先把“开箱即用的低垂果实”摘下来，加入最少的脚手架，建立可信评测，然后才考虑微调或专用模型。Carlier 表示，如果当前系统在更复杂、更长期的事件中表现几乎一样好，他会“相当震惊”。
从事件中提炼的评测体系和分析师推理轨迹，可能成为差异化资产。Carlier 愿意与基础模型开发者分享评测，而非敏感的原始客户数据，因为更好的基础模型可以在 AI 实验室和政府中获得“即时、立刻的分发”；但这是否会牺牲过多专有优势，仍是一个开放问题。

12. 数字取证可能足够偏向防御，因而可以被有意加速

Carlier 借鉴对齐领域“自动化 AI 研究员”的理念：与其接受能力进步会均匀发生，不如由专家策划数据集、评测和环境，把“锯齿状能力前沿拉向”网络防御、生物安全或特定的 AI 安全工作。
他反对所有网络安全能力天然具有双重用途的说法。渗透测试和漏洞发现既可以支持修补，也可以支持利用；但数字取证关注的是攻击者是否已经在系统内，并重建发生了什么，因此本质上属于防御应用。
Labenz 预计，人类调查员会因为熟悉钓鱼方法和入侵模式，而泛化为有能力的攻击者。Carlier 表示，劳动力市场“出人意料地”并不支持这一判断：取证调查员与进攻性白帽黑客是不同的群体，两者之间“泛化并不多”。
一旦持续学习让模型能够快速全面获得各种能力，这一机会可能就会关闭。Labenz 认为，在此之前，可以发展偏向防御的能力；Carlier 希望专家在多个领域梳理出这类任务。他举出的口罩和囤积疫苗例子都很谨慎，并明确表示自己对生物学了解不足，无法提出有把握的对应案例。

13. 安全代码无法消除检测成功入侵的必要性

Labenz 提议把形式化方法做成另一座防御飞轮：将形式验证作为奖励信号，让编码模型最终默认产出超越人类安全水平的软件，在攻击者发现漏洞之前减少漏洞数量。Carlier 支持这一方向——“人们当然应该这么做”——但怀疑它永远足够。
国家级对手可以通过人员、凭据、供应商和运营系统进入，而不只是利用代码缺陷。强硬加固也会降低生产力：限制 AI 实验室员工与模型权重的交互方式，可能在降低数据外泄风险的同时妨碍工作；自动化取证则可以安静地在后台运行。
当 Labenz 抓住 Carlier 把加固与检测称为替代方案时，两人进一步厘清了关系：在固定安全水平下，更好的检测可以替代一部分加固；而同时部署二者，则会让它们成为互补关系。核心假设始终是：“东西总会进来。”
最终设想，是在 AI 实验室、AGI 供应链、西方政府以及自主武器系统等环境中实现全自动取证。未被发现的入侵会减少，AI 对网络安全的净影响也可能转向防御者一边——但前提是，在时间窗口尚未关闭之前，更多团队把塑造防御能力视为“非常可行、非常重要的事情”。

与 Methodical Investment 的 David Kaiser 谈规则化投资对话Ariel Cohen：Navan上市为何被误读与自建客服AI