摘要

Nikesh Arora 认为，Google 已为从排序链接转向综合答案做好准备，但真正的不确定性不在产品能力，而在于如何变现。 搜索实现了信息民主化；生成式 AI 如今承诺带来“智能民主化”，而 Google 仍掌握分发、产品能力和 AI 能力。更难的转变，是从围绕文本链接和广告销售线索，转向按消费或“完成的交易”收费，就像 YouTube 在获得庞大分发后才找到自己的商业模式。
Agent 比生成式 AI 更具颠覆性，因为它们可能消除数百万应用促成交易所依赖的界面。 如果 Agent 可以直接预订航班或餐厅，许多应用就会退化为 Agent 之下的 API，或 MCP 客户端—服务器交互。最脆弱的企业，是那些“对 UI 忠诚度很低”的企业：它们的前端很薄，品牌除了展示交易处理器之外几乎没有其他价值。
Arora 表示，只有在能够以企业级准确度执行精确动作时，企业 AI 才能支撑自主工作经济。 消费者可以容忍重新尝试一个错误答案；企业无法接受“我让你关的是那台服务器，不是这台”。他认为，今天的系统仍是有人参与的助手，并设想“AI as a service”应用逐步接管工作流，未来可能按工作量、席位或 Agent 席位收费，而不是立即取代完整职能。
持久的企业 AI 公司需要专有上下文和记录系统，而不只是套在基础模型外面的 wrapper。 通用模型像“来自顶尖大学、最聪明的 PhD”，但仍要学习每家公司的做事方式和领域数据。如果模型的推理能力趋同，只增加护栏或呈现层的 wrapper 可能被模型吸收；掌握工作流、规则和权威数据的系统则拥有更强护城河。
在网络安全领域，AI 会奖励拥有广泛传感器覆盖和全企业上下文的平台，同时威胁狭窄的调查 wrapper。 Palo Alto 的核心判断是：“看不见的东西，就无法阻止”；传感器仍是拦截已知恶意活动、并收集识别未知恶意活动所需数据的基础。调查孤立告警的 Agent 今天可能有用，但 Arora 预计，随着跨域数据让自动诊断更具确定性，集成平台会逐步挤压它们。
AI 正把网络防御变成一场速度竞赛，而许多企业目前正在输掉这场竞赛。 观测到的从锁定目标到入侵并窃取数据的最快路径，已从7年前的3—4天缩短至23分钟，而平均响应时间仍以天计。Arora 表示，89%的攻击源于凭证窃取；相比一次成功登录后无限期信任用户，他更偏好异常检测、即时访问权限和行为信号。
近期最明确的经营杠杆在重复性行政和支持工作，销售以及顶尖产品人才则相对更受保护。 Arora 估计，大型公司可能获得“200、300或400个基点的效率提升”；他认为，优秀公司应通过提升产品质量和诊断能力，在2—5年内争取削减80%—90%的客户支持。编码 Agent 应该加速工程师，而不是淘汰最优秀的工程师：Palo Alto 已经看到一个 Agent 找出漏洞、将500行代码压缩至75行，并解释一段15年前的代码。
Palo Alto 的扩张打法，是平台整合叠加由收购驱动的“分布式研发”。 Arora 将产品组合从4个扩展到24个，组织成3个平台，并收购了27家公司，通常瞄准行业第1或第2名，而且经常让创始人继续担任业务负责人。其目标，是把一个约有25年历史、高度碎片化的安全行业变成平台市场；但“Agent”究竟意味着什么仍未形成共识，产品方向也因此持续复盘。

精读

1. 搜索正从信息检索走向综合智能

Arora 对历史的切入点，是搜索最初那个令人惊叹的承诺：在互联网上输入一些内容，就能找到答案。20年的索引工作带来了“信息民主化”，甚至让印度农民也能获得信息；生成式 AI 则回应了下一个需求——“别把这一堆东西都丢给我，让我自己筛。试着替我把它们弄明白。”
他把新阶段称为“智能民主化”：对于一个已经被解决过9,999次的问题，人们不该反复花钱请专家再解决一遍。Google 在理解用户意图、组织信息方面的经验，应当能够进一步回答用户真正想表达的内容；Larry 大约15年前就已经在描述这一方向。
主持人提出的挑战在经济层面，而非技术层面。Google、Apple 和 Facebook 掌握着触达数十亿人的分发能力，而 Gemini、ChatGPT 和其他模型正在抵达相近的位置；目前没人知道，围绕文本链接和广告的变现，如何转化为消费或交易收入。Arora 给出的先例是 YouTube：它长期被认为在经济性上不如 Netflix，但如今已经是“一门很大的生意”。

2. Agent 可能把数百万个界面压缩成交易通道

Arora 认为，“Agent 化挑战远大于生成式 AI 挑战”。产品经理花了30—40年打造界面，让普通用户能够操纵底层算法——Expedia 的输入框，本质上替代了用户编写 SQL；但自然语言正在削弱界面本身的战略价值。
再往前推一步，用户甚至不需要与界面交互：他们的 Agent 可以直接完成任务。Arora 用刻意粗略的数字推演称，移动应用超过500万个，其中或许一半主要用于收集用户输入并完成交易；这些应用可能变成 API，或成为 Agent 之下的 MCP 客户端—服务器交互。
这种颠覆也可能改善变现。直接响应广告主要卖的是销售线索，但企业愿意为完成的交易支付更多：“也许直接替你买下机票，比帮你找到一个广告主获得更多收入。”在稳定模式形成之前，许多应用都将被重写，并被迫决定自己究竟是消费品牌，还是交易基础设施。

3. 薄界面暴露脆弱性，但忠诚度仍能守住分发

被问及谁最容易受到冲击时，Arora 指向那些“对 UI 忠诚度很低”的企业。如果一个产品只是交易处理之上的薄前端，消费者可能并不在乎究竟是哪一个旅行界面为其签发前往印度的机票，也不在乎是哪项服务替其预订餐厅。
隐含的分界线，在于非产品体验是否真正创造了品牌偏好。Agent 可以轻易绕过同质化的预订界面；但要替代一个用户主动偏好的目的地，就困难得多。
Guo 提到 OpenAI 两个尚未充分验证的商业模式命题：面向大众的智能订阅，以及为更难的思考或“工作”提供可规模化的付费。Arora 认为消费者愿意订阅值得关注，但企业工作定价所要求的标准，远高于消费级聊天。

4. 企业自主化受制于精确度、责任和工作流重构

消费者经常会重新理解一个错误的搜索结果，或重写一次提示词。企业无法接受一个自主模型在损坏生产基础设施后说：“糟糕，抱歉，我犯了个错。我让你关的是那台服务器，不是这台。”
因此，Arora 不认同企业已经把需要自主精度的工作交给 LLM。当前部署仍是“一个高级助手，或者更好的助手”：它们总结知识、提出多个答案，同时保留人工参与。精确任务最终可能支撑按工作量收费，但“我认为我们还没走到那一步”。
他设想的架构更接近“AI as a service”，而不是传统 SaaS：围绕 AI 端到端重构企业工作流，让应用从人类使用中学习，并逐步接管更多重复性任务。编码产品属于“正在训练中的 AI 应用”，先从开发者切入，是因为当模型提供75%可用代码时，开发者可以修补剩下的25%。
主持人追问，基础模型公司是否会像 Microsoft 将 Office 打包进产品、Google 在 Workspace 中展示 Gemini 那样，向主要垂直行业前向整合。Arora 认为，编码之所以相对容易，是因为公开代码可以让模型达到90%的编码能力；遗传学、药物研发和网络安全则需要专有数据集，无法获得同等程度的公开数据。

5. 记录系统，而非通用 wrapper，才是持久的企业护城河

Arora 的比喻是，前沿模型像“来自顶尖大学、最聪明的 PhD”。Palo Alto 仍然要教会这位 PhD 自己的上下文、方法和问题；换入一个新版本的模型，可能更像重新招聘并培训一位 PhD，而不是更换一个可互换的零部件。
Thomas 早期给出的建议，是不要去追逐一个小型网络安全模型，因为大型模型会变得越来越聪明。如果模型的推理能力趋同，差异化就会转向把这种智能应用于专有领域，而不是以更小规模复刻通用能力。
当 wrapper 只是增强模型或增加护栏时，它就暴露了脆弱性：底层模型可以不断扩展，直到 wrapper 消失。持久的应用则会封装一套工作流，并控制一个记录系统——薪酬、假期、股权、归属期，或其他模型本身不拥有的权威数据集。
对于法律审查、应付账款等通用职能，Arora 要求 Palo Alto 团队不要内部开发：总会有人以更低价格提供这项能力，可能按席位、Agent 席位或工作单元收费。但专有源代码或 FDA 试验数据必须继续隔离保存，因此供应商必须接受对租户隔离、训练使用方式，以及“我的数据归我所有”的严格测试。

6. 网络安全优势始于传感器，并通过上下文不断复利

网络安全首先要求出现在“每一个边界、每一个终端、每一个传感器”上，因为“看不见的东西，就无法阻止”。Palo Alto 有意扩展到包括 SASE 和终端产品在内的控制点：传感器一方面拦截已知恶意活动，另一方面产生推断未知恶意活动所需的原始数据。
Arora 批评那些垂直孤立的工具：它们接收某一类数据，在自己的云端分析，再返回数千个可疑项目。如果邮件安全产品看到 Elad 点击了钓鱼链接，却看不到后续防火墙流量，它只能建议调查，而不能确定究竟发生了什么。
Palo Alto 的替代方案，是整合企业数据，在数据接入附近完成事件关联，并利用完整上下文自动调查。Arora 将许多当前的 SOC 和网络安全 Agent 初创公司比作通用 LLM wrapper：当平台尚未具备某项功能时，它们有用；但随着集成产品吸收这项能力，它们会越来越受到挤压。
主持人的反驳值得保留：大型企业无法迅速整合包含数十种产品的环境；据称，一位安全负责人手下就有118个身份工具。Arora 承认短期内会很混乱，但他把网络安全描述为一个约有25年历史的行业，其点状解决方案是一种威胁出现后再逐个诞生的结果。他认为，如果安全栈中80%的能力最终都能广泛获得，那么它们最终就应该迁移到平台上。

7. AI 攻击者把数天暴露时间压缩到数分钟

如果防御方相信 Agent 可以发现并执行工作，Arora 表示，他们就必须假设攻击者也能将 Agent 释放到整个企业环境中，寻找可被攻破的暴露面、模拟攻击路径，并“在几分钟内，或不到1小时内”窃取数据。
7年前他刚开始工作时，从锁定目标、渗透到窃取数据通常需要3—4天；Palo Alto 目前观测到的最快速度是23分钟。“根据物理规律，你的响应时间必须少于1小时”，但平均响应时间仍以天计；攻击时间被压缩，既是 AI 带来的最大威胁，也是平台机会。
在这样的时间压力下，持续渗透测试的战略价值上升。Arora 表示，大约一半公司会回避严肃测试，因为“它们害怕发现问题”；Palo Alto 选择7×24×365运行测试，而不是依赖周期性的第三方顾问，因为一家安全供应商自身被攻破将是生死攸关的问题。
社会工程进一步放大了问题：Arora 表示，89%的攻击源于凭证窃取，而公开数据问题以及语音或 deepfake 技术，正在削弱许多双因素认证手段。与其假设身份通过验证后就可以无限期漫游，他更希望采用即时权限和异常控制，甚至检测“你的打字方式”是否发生变化，并据此阻断访问。

8. AI 应该消除支持工作，同时让产品实质性变好

Arora 认为，AI 可以在销售环节提供适度赋能，例如定制演示文稿、提案或 SDR 工作；但他怀疑，Agent 能否比一个值得信赖、向 CIO 或 CISO 展示产品的人更快完成说服。自动化触达还可能遭遇自动化的“屏蔽所有 SDR” Agent，让获客从创造企业需求，转向匹配已知需求。
行政工作提供了更大的杠杆。如果200人负责制作文档，而模型可以完成其中90%，公司可能只需要更少的操作人员，再加上设计工作流和护栏、熟悉 AI 的员工；Arora 粗略预计，效率提升将达到“200、300或400个基点”，规模越大的组织获得的绝对金额越多。
他更明确的北极星是：“客户支持之所以存在，是因为我们做出了糟糕的产品。”优秀公司应该在2—5年内争取削减80%—90%的支持工作——不只是自动化处理投诉，而是改善 onboarding、减少缺陷、加快修复，并通过数据提升诊断能力。Palo Alto 目前会把由产品造成的支持问题排在新功能之前。
Guo 反驳称，生成式代码可能淹没审查能力，并制造大量无人真正理解的软件。Arora 认为，今天的质量“已经是现在最差、也是未来会遇到的最差水平”：Palo Alto 已经看到一个 Agent 找出漏洞，将500行代码压缩至75行，并解释一段写于15年前、连作者都已找不到的代码。他的保留意见指向人，而非技术：“愚蠢没有解决方案。”

9. 平台野心需要分布式研发和持续纠偏

Arora 对企业经济学的洞察是，营收不足10亿美元的公司，销售、市场和支持成本可能占总成本的50%—65%，而最大型供应商约为30%；研发仍约占12%—16%，一般及行政费用约占4%—8%。杠杆来自先赢得一个客户的信任，再在其整个环境中扩张，而不是反复为新增客户承担获客成本。
Arora 加入 Palo Alto 时，公司有4个产品，后来扩展到24个，再组织成3个平台。要求客户从118家供应商迁移到1家，会“让他的大脑短路”；因此 Arora 描述的是一条为期2—3年的平台化路径，把3个平台作为比直接要求客户整合到1个平台更容易接受的目标。
公司的27次收购，都是“在高度创新市场中的产品开发和研究”，或者如主持人所说，是“分布式研发”。Palo Alto 瞄准行业第1或第2名，而不是继续打磨第3或第4名；它经常让被收购公司的创始人担任业务负责人，并通过收购 Protect AI 增加模型扫描和持续 red teaming 能力，这些正是其原有 AI 防火墙尚不具备的功能。
Arora 的领导闭环把雄心与异常直接的沟通结合起来：他把员工会议从8人扩大到25人，并每两周与50名员工交流，检验“为什么”经过4—5层组织传递后是否仍然成立。尚未解决的边界是 Agent——供应商在定义、连接器、MCP、身份和委派方面意见不一，因此有一支团队每天花2小时拼出一个可用的整体判断。他的更广泛立场仍然乐观：AI 是一股双刃剑式的技术浪潮，一些坏事“最有可能”发生，而社会“最有可能、也希望能够”找到穿越它们的道路。

AI Agents 可在数秒内写出10,000行黑客代码 [Dr. Ilia Shumailov]第157期｜2025年10月3日