新一代顶级掠食者：CrowdStrike CEO George Kurtz 谈手握 AI 智能体的对手

摘要

• AI正在拉平攻击者层级，同时压缩防守窗口。 Kurtz所说的“智能体化攻击者”（agent state），让黑客行动主义者拥有了几年前只有民族国家级攻击者才具备的能力；开放权重模型则让他们可以不受限制地反复迭代。他称，从首次攻陷一台设备到转向其他系统，平均只需29分钟，最快观察到的案例仅用27秒。眼下，AI攻击因快速重复而更容易识别；他预计，攻击者转向“低频、缓慢”的行动方式后，识别难度会加大。
• 智能体安全对CrowdStrike而言，可能成为比终端防护更大的机会。 Kurtz提到，每名员工对应90个智能体，但他认为这个数字还偏低；他描述了如何追踪智能体身份、子智能体、工具调用和数据访问，再据此实施管控。客户希望获得安全防护，以便更快部署AI：“安全是油门，不是刹车”（“safety is the gas pedal, not the brake”）。
• CrowdStrike的模型策略建立在专有数据、更低执行成本和客户控制权之上。 Kurtz举例称，使用领先的网络安全前沿模型，成本可能约为10美元；用CrowdStrike自研模型则约为3美分。他强调，公司积累了十多年的安全数据，而客户不愿把敏感信息交给模型实验室：“Reddit上没有CrowdStrike的安全数据。”
• 在Kurtz接触的客户看来，开放权重模型已足以应付常规企业任务。 一家银行在代币账单飙升后，决定把前沿模型留给能创造超额收益的“F1级”任务；普通工作则可以接受落后3个月的开放模型。Kurtz认为，最终的AI操作系统很可能会是开源的，但不愿预测两年后模型蒸馏会发展到什么程度。
• Kurtz认为防守方可能占据优势，并反驳AI会迫使互联网下线的说法。 防守方了解自身系统、代码和架构，但必须获得至少不逊于攻击者的AI能力。更好的代码有帮助，却无法消除身份攻击：“我们今天看到的很多情况未必是黑客入侵，而是有人直接登录了系统。”
• CrowdStrike的在位优势，取决于能否把新鲜遥测数据与初创公司的运转速度结合起来。 Kurtz称，公司的传感器每天产生约7万亿条事件数据，但大团队和长达一年的排期跟不上变化。他的做法是组建小团队、让管理层直接参与，并愿意“在内部自我颠覆”。

精读

1. “智能体化攻击者”拉平攻击者层级

• 问题的起点是可见性：企业不知道智能体正在何处出现，也不清楚它们使用谁的身份。Sarah开场提到Kurtz的估算：替人办事的智能体数量，是人们认知中的2到3倍；Kurtz则称，“影子AI”正随着Claude Code、Codex等工具的部署蔓延。有效管控的前提，是先发现智能体并追溯其身份。
• Kurtz过去提出的“痛苦金字塔”中，数量众多、能力相对有限的黑客行动主义者位于底层，其上是网络犯罪分子，最顶端则是少数民族国家级攻击者。AI正在拉平这座金字塔：“新的顶级掠食者是智能体化攻击者。”黑客行动主义者如今也能拥有几年前只有民族国家级攻击者才具备的能力。他还提到中国的AI活动，以及朝鲜通过网络行动创收的努力。
• 他认为，许多攻击工作都在开放权重模型上进行，包括GLM和Qwen；这些模型的护栏可能被移除，也可能接受过网络安全专项训练。他举了自己家中的例子：2台DGX Sparks运行着能够生成勒索软件、并反复迭代攻击的模型。前沿模型的限制要严格得多；他说，即便只是要求模型制作网络安全演示文稿，也可能遭到拒绝。
• 攻击节奏已经改变：从最初攻陷一台设备到转向另一套系统，过去可能要几天或几小时。Kurtz称，平均用时为29分钟，他观察到的最快案例仅用27秒。目前，快速迭代反而让AI攻击更容易被识别；他预计，“低频、缓慢”的行动方式会增加识别难度。攻击者在收集信息、选择下一步行动时，还可能不断生成独特的路径和特征。

2. 安全成为加速器，防守方也要有同等工具

• 在Kurtz看来，“安全总是沿着技术曲线的斜率前进”：新技术出现后，攻击者先利用其中的漏洞和空隙，防护往往随后才跟上。企业过去会审查下载的软件；如今却给智能体宽泛的身份权限，允许其拉取npm包，甚至可能让它们连续运行数天。由此带来的变化是：“安全第一次成了油门，而不是刹车。”
• 对话中提到的沙箱逃逸实验之所以重要，是因为“防守方没有获得与进攻方相同的机会”。攻击智能体可以在关闭护栏的情况下运行；防守方要求前沿模型调查时却遭到拒绝，只能改用开放权重模型。Kurtz要求攻防能力对等：防御AI必须至少与进攻AI一样强。
• Elad Gil指出了这种不对称：攻击者可以追踪一条明确指令，防守方却必须覆盖广阔的攻击面，还要把能力铺到众多企业。Kurtz的应对方案是建立专门的安全模型实验室，并让红队和蓝队持续反馈迭代，同时把每家客户环境的知识纳入其中。

3. 智能体防护扩展产品边界，专业化模型改变成本结构

• CrowdStrike的AIDR把终端检测与响应的思路扩展到智能体，覆盖其身份、算力、数据访问和网络连接。Kurtz称，AIDR可以从智能体创建开始一路追踪到子智能体、工具调用、MCP服务器和数据获取，再执行策略并拦截操作。他提到，每名员工对应90个智能体，但认为这个数字还偏低；在他看来，这一市场的机会可能超过EDR。
• SafeMind系统由Red Tempest和Blue Solano组成，蓝队部分以与NVIDIA的合作及Nemotron等模型为基础。Jensen曾建议建立安全数字孪生；CrowdStrike会在虚拟环境中重建客户环境，再让红蓝模型反复对抗，直到Blue学会应对Red的攻击方式。无论底层使用什么模型，这套测试框架都很重要：Kurtz称，它能提升效果、降低成本，使用现成的开放模型也一样。
• 被问及为何前沿模型实验室和经过验证的防守方项目还不够时，Kurtz给出的答案是成本和数据。他举例称，使用顶尖网络安全前沿模型，成本“可能”约为10美元；使用自己的模型则约为3美分。模型后训练使用了十多年的安全数据，尤其是托管式检测与响应数据，包括攻击链以及威胁与漏洞配对数据。“Reddit上没有CrowdStrike的安全数据。”
• 客户的数据主权是另一项理由：有些客户不愿把机密安全信息发送给模型实验室，也不愿让这些信息用于训练。CrowdStrike已经持有这些数据，客户可以选择前沿模型，也可以选择公司自研模型。被问到CrowdStrike能否作为中立第三方检查模型时，Kurtz强调，关键在于信任、可靠的合作关系，以及公司专注于安全这一定位。

4. 开放权重模型足以应付常规任务，前沿模型仍可收取溢价

• 一家大型银行的IT主管概括了Kurtz观察到的客户需求：全面投入AI后，代币账单失去控制。即便落后3个月，开放模型也足以完成许多任务。银行愿意为能创造超额收益的“F1级”任务付费，使用前沿模型；其他任务则会采用并后训练开放权重模型。Kurtz称，自己一再听到类似反馈。
• Kurtz还转述了一位财富500强CFO的话，对方表达了一家大型科技买家的看法：“他们的组织不可能每10天就发布一个新模型。”对受监管企业而言，能力落后3个月，可能已经快过其采用新技术的速度。Kurtz认为，最终的AI操作系统在他看来很可能是开源的，但前沿模型和应用层仍有望盈利。
• Elad Gil询问，开放模型的进步是否依赖中国开发者对前沿模型实验室进行蒸馏，而后者正收紧防护。Kurtz称，想把已经放出的东西重新收回很难，也肯定了芯片受限环境下出现的真正创新；但他拒绝预测两年后的局面：“我希望自己有水晶球，但没有。”他也认为，强大的美国开放权重模型很重要。
• 他还看好专业化芯片，以及能在台式机和手机上运行的小模型。Kurtz不确定发展路径，但确信技术会变得“更快、更便宜”。更低功耗，以及本地与前沿模型混合执行，可能推动边缘AI扩张；他预计，今天尚未充分利用的TPU/NPU算力最终会派上用场。

5. 互联网不会消失，但更好的代码也无法杜绝入侵

• 被问到AI会攻破互联网、关键系统是否因此必须断网时，Kurtz回应：“我觉得这完全是无稽之谈。”风险确实严峻，但智能体能更快执行可识别的攻击动作，也能串联利用多个漏洞。“智能体不会只是从你的电脑把自己广播到另一台电脑上。”他的观点是，防御技术可以继续进化，以应对攻击速度和规模的上升。
• 如果行业投入得当，防守方占优的十年“可能”出现。Kurtz指出，防守方熟悉自己的系统、架构和代码，也能从攻击中快速学习。“今天对抗AI的唯一办法，就是用更好的AI。”不过，他仍预计攻防双方会持续展开猫鼠游戏。
• Elad Gil提出一种结构性希望：由智能体编写的软件可能改善安全架构，因为算力可以扩展，智能体也有无限耐心。Kurtz认可其中的好处，但提醒训练数据里包含大量有缺陷的代码。按他的亲身经验，Claude会生成代码，而他的安全智能体会将其标记为不安全；他会反问：“为什么第一次就没写对？”
• 他说，即使漏洞降为零，入侵也不会终止：“我们今天看到的很多情况未必是黑客入侵，而是有人直接登录了系统。”身份仍是一个独立的失效环节。替换不安全代码也需要很长时间；Microsoft必须承担的向后兼容义务，正说明现有软件基础不可能一夜之间修好。

6. CrowdStrike的数据护城河需要更快的运营节奏

• Kurtz认为，大团队和长达一年的瀑布式排期，跟不上AI原生初创公司的速度。CrowdStrike以Falcon Guardian为例，展示了不同的开发方式；Kurtz本人每周有3天参加开发会议。成熟公司的CEO需要从运营层面做出改变，包括调整团队规模、节奏和自身参与程度。“你必须在内部自我颠覆。”
• CrowdStrike的传感器每天产生约7万亿条事件数据。Kurtz称，这条持续更新的数据流带来优势，因为数据是AI的命脉。客户最终看重的仍是防护能力、值得信赖的供应商、有竞争力的经济性和部署便利性，而不是“7个控制台、6个人到处奔走”。
• 对于就业，Kurtz明确认为AI会创造更多机会，但工作内容会改变。人们仍需管理智能体、设计架构。网络安全仍是有吸引力的行业，因为“这并不是一个真正能够解决的问题”：随着技术演进，工作就是持续降低风险。他预计，5年后会出现今天还未被想象出来的新技术。