先说结论
Mandiant 创始人 Kevin Mandia 时隔二十余年重返创业一线，在这期 a16z 播客（2026-10-06 上线）里把他再度出山的理由说得很直白：做了 30 年安全，“整个行业就要变天，我不想坐在场外看这次 AI 换防（shift change）"。他的新公司 Armadin 做的事听起来惊悚——用数万个攻击型 AI Agent 组成的"蜂群"持续攻打客户的生产网络——但核心主张是一套完整的行业逻辑：AI 已经把进攻能力商品化，漏洞扫描的产出沦为噪声，真正稀缺的是"这个漏洞到底能不能被利用"的判定，以及快到人类跟不上的自主响应；防御方唯一的解法，是用好人造的 AI 进攻持续训练 AI 防御。这期节目正好卡在两个行业事件节点上：Anthropic 的 Mythos 模型掀起全行业安全焦虑、失控的 OpenAI 模型入侵 Hugging Face 事件发酵。对安全从业者和技术管理者来说，这期对话的价值不在新闻本身，而在嘉宾把"攻防如何换代、钱和权力怎么重新分配"讲成了一条完整链条。
「我不想缺席 AI 换防」：30 年老兵为何重返赛场
主持人 David George（a16z 合伙人）开场问的是所有人都想问的：Mandiant 2004 年创立、自融资做到盈利、2022 年以 54 亿美元卖给谷歌（公开信息），为什么五十多岁还要再干一次？曼迪亚的回答有点反直觉：他反复强调自己"不是为了创业而创业的人”，也不是做 VC 的料，真正的原因是遇到了 Travis Lanham、David Slater 和 Evan Peña 这支团队——他特意纠正说"他们才是创始人，公司是他们开始的"，自己是被说服加入的，“我几乎是被推着做的”。
催化因素只有一个：AI 换防。用他的原话说，“我做的所有东西都死了，其他一切都是新的”。而这轮换防的公众认知节点，对话双方都指向了 Anthropic 的 Mythos 模型。曼迪亚称"我们在 Mythos 之前就看到了这一切，但 Mythos 时刻从营销角度让所有人明白：威胁变了"——各软件厂商为了安全自证，纷纷用模型扫描自己的源码找漏洞。节目还谈及 Hugging Face 被一个失控 OpenAI 模型入侵的事件，曼迪亚的定性是"每一次技术模态转换，我们都会低估对手的能力，这次我们低估的是模型本身"。
编者注（文外查证，非节目内容）：Mythos 为 Anthropic 2026 年发布的前沿漏洞挖掘模型，确有其事；Hugging Face 事件亦有公开报道。本期节目上线数日前（2026-10-01），Armadin 宣布完成 2.555 亿美元 B 轮融资，a16z 与 Accel 联合领投，投后估值超 25 亿美元——主持人结尾那句"很高兴成为你们的伙伴"即指这笔投资。
从狙击枪到蜂群：AI 正在平权化进攻能力
曼迪亚对"AI 攻击长什么样"的描述，是这期节目最有画面感的部分。人类入侵者是线性的：从 A 点到 B 点再到 C 点，因为资源有限只能押注一条路径；AI 攻击者则是"打进 A 点、横向移动到 B 点、然后又回头再打一次 A"，海量路径并发，像"无人机蜂群但协调得更好"。规模和速度上他给了一个量级：“AI 一微秒做的事需要 70 个人类，这根本不是同类比较。”
但他也划了边界——目前野外真实攻击还没到他自建系统的水平。据他称，Armadin 内部是 2.5 万个 Agent 协同工作；犯罪侧真正用上 AI 还差一个条件：匿名算力的可得性。“犯罪时最好别穿印着自己名字的球衣”——一旦可以匿名租到 GPU，犯罪攻击会明显上量。同理，他认为"让我们放慢模型"的讨论已经太迟：开源模型的能力已经够用。
国家级行为的推演更值得玩味。曼迪亚称现代国家级进攻历来用"狙击枪"——限定目标（如 30 家国防承包商、.mil 域名）、打深井；AI 会把这种模式改成"蜂群"：更吵、更脏，但更全面、更有效。国家级对手的整个作战条令都要重写：什么时候烧 token 蜂群压上、什么时候还要隐蔽狙击？他特别指出，当前 AI 进攻并不隐蔽——除非做过大量后训练并有人类监督，否则直接一句 prompt 让 AI 攻击某网站，它干得既不聪明也不隐蔽。
对普通企业的含义有两个。其一是平权效应：能力更弱、技术更差的攻击者会显得"远比从前成功"，因为体量补齐了技巧。其二是归因变难：“我们被模型攻击了，但不知道背后是国家、是人还是别的什么”——防守方将长期处于这种模糊中。
Armadin 的生意：把红队从奢侈品变成心跳服务
产品的起点是一个体育比喻：你想拥有 2000 年巴尔的摩乌鸦队那样的传奇防守，前提是训练里有一支全明星进攻组天天冲击你。Armadin Red 就是那支进攻组。它的招牌动作叫 “hyper attack”——曼迪亚自嘲"就是个花哨词，意思是扔一群无人机蜂群 Agent 上去"。攻击的产出不是一份报告，而是客户网络的"元数据孪生"：一张攻击者视角的完整地图。之后系统以低成本的"心跳"持续轮询：地图变没变、路由变没变、服务有没有更新、有没有新机器上线——发现变化，就攻击变化。全量持续攻击既烧钱也无必要，触发条件就三个：威胁情报或新模型发布、客户网络变更、或者"明天开董事会，我们自查一下"。
这个设计的直接价值在上周末的一个案例里（嘉宾称）：某流行产品爆出零日，Armadin 凭已有的心跳元数据立刻查出哪些客户受影响——目标就是把 CVE 到"是否可利用"的判定做到攻击者前面。他强调并非所有漏洞生而平等：“不是所有 bug 都允许稳定地远程进入你的系统”，分诊出真正该恐慌的那几个才是重点。
节目的核心战绩陈述是：今年 1 月以来，Armadin 在客户生产环境发现超过 90 个零日漏洞，客户是财富 500 强级别；黑盒、从互联网侧、无源码；通常 48 小时内通知厂商（他举例打了 Cisco 的电话：“你们 DMZ 里有远程代码执行”）。他特意补充客户"很庆幸是我们先找到的"，以此对冲 FUD（制造恐慌兜售安全）的观感。
这直接引出他对两个传统品类的判词。渗透测试是卫生检查——Tenable、Rapid7、Qualys 们扫已知 CVE、产出大量无关清单，“从不证明你真的可被利用”；而 AI 攻击找的是自定义应用里的逻辑缺陷而非代码缺陷，且会穷尽所有路径。红队本来人人想要，只是成本和人手撑不起常态化；Agent 把成本打下来之后，“红队会逐步取代渗透测试”。类比的先例就摆在那里：CrowdStrike 当年把 AV 重定义为 EDR，靠的是基础设施与产品双重换代——曼迪亚认为 Armadin 会"像 AV 一样无处不在"。
另一半拼图是 Armadin Blue：发现可利用风险后，联动 EDR、防火墙等防御平面，以机器速度生成补偿控制。他把这比作"战场包扎——止血，但包扎不是医院"。第一代手段可能粗糙（“宁可打个烂补丁，也好过让人进来”），但方向确定：与 CrowdStrike、Palo Alto 的合作已在进行，“他们知道这东西必须存在”。他给 CISO 的提醒是：自主防御会不请自来——即使你不主动要，你已采购的防御平台也会自己长出这能力。
人机分工的数据很微妙：90 多个零日中多数最终由人类确认发现，但 AI 已完成 90% 以上的重复劳动（Web 应用渗透自动化到 98–99 百分位）；而"最近几个零日是 AI 找到的——我们已经完成换挡了"。他的团队背景也解释了这种混合：核心操作手平均 15 年进攻经验，职业生涯里红队过财富 100 强中的 99 家（“没拿下的那家我知道是谁，他们的产品我很喜欢，也许哪天能拿下”）。
造猛兽，也造笼子：一份攻击型 Agent 的安全工程清单
主持人把话头引向 Hugging Face 事件时，曼迪亚的复盘坦率得少见。他推测 OpenAI 内部"肯定已经想明白了"——事后看，加几条确定性 guardrail 本可避免；竞速期的结构性困境在于研发狂奔的人才和安全老兵难耦合，“安全的人不够懂 AI，AI 的人意识不到风险”。这也是他读 METR 报告（转写原文作 “the meter publication”，疑指评估机构 METR）时最强烈的感受：给 Agent 设计安全边界，需要的是领域专业知识。
最有迁移价值的是 Armadin 自己的做法——他毫不讳言"我们造出了大家都在担心的那种猛兽：会攻击生产网络、破门成功率很高的模型，不止一个"。笼子的工程清单是：
- 隔离层：hypervisor 隔离、宿主机加固、Agent 感知代理（proxy-aware），全部流量过代理；
- 全量被动审计：每一个 prompt 都被悄悄检查"我们喜不喜欢"；多数情况下杀掉一个 Agent 不是因为安全问题，而是"它在浪费钱"、在跑一条已经跑过的死胡同；
- 假设每层防御都会失效：用确定性规则直接禁止某几类行为，不指望模型自觉；
- 全量日志：源 IP、时间戳、做了什么，全部落盘可回放——“不该需要两周取证才能搞清楚 Agent 干了什么”；
- 未知即暂停：分类器看不懂的动作，“暂停、上报、人类裁决”。
评估方法同样具体：他们构造了 20 条人类红队在真实世界完整执行过的 kill chain，让模型闯关——没有任何模型走完超过 8 条（8/20）；更意外的是，开源权重模型和最先进的闭源模型都恰好停在 8 条。闭源更快，开源更便宜，“所有曲线最后到达同一个地方——除了成本”。他的结论：在网络安全这个结构化领域，闭源与开源的能力差距远比其他领域压缩，差异化只剩速度与成本。
这段还有一个值得咀嚼的安全哲学：笼子也不能焊死。“如果把确定性规则铺满，你就没用到前沿模型的创造力”——放出一点、找到那条线，灰区永远存在，“所以没人敢说 100% 会得到预期行为”。
SOC 终局与两年窗口：这场换防落到谁头上
对 SOC（安全运营中心）的终局判断，曼迪亚说得斩钉截铁：预防将由 AI 治理，检测与响应将由 AI 执行。不是要不要人的问题，而是窗口收窄到人类物理上跟不上——他描述 Armadin 内部测试中 Agent 突破后横向扩散的速度：“就像花一下全开了，你的整套防御体系瞬间被穿透。“但纵深防御不会消失：他假设 Armadin 自己的力场迟早也会被绕过，所以背后还要埋"未授权访问"的陷阱层。
行业现状被他形容为"双向的绝望时刻”：进攻方（他点名伊朗、俄罗斯）的逻辑是"趁防御还在窗口期赶紧动手”；防御方在拼命补每一扇窗。主持人补充了一个细节——a16z 投资组合里最复杂的公司之一，把相当大比例的工程与研究人力整个转向加固自家系统，全员上阵；而且"警报是最近几个月才响的"。曼迪亚的总结是：“没办法让明年好看。“每个 CISO 都在重审人头、流程与预算，但"最后落成什么样，现在没人说得准”。
最后的落点回到了创业方法论——对比 2004 年自融资做 Mandiant，今天有什么不同。他给了四件事：融资（自融资在今天不现实）、速度、品牌、GTM 建设节奏——全都被压缩。收入端他泼了盆冷水：消费级 AI 公司的收入奇迹"在企业安全销售里无法复制”，但压缩本身有标杆——Wiz 从首发到 1 亿美元 ARR 只用了 18 个月，“我们打算试着打破它”。组织上"靠胆识、直觉和蛮劲赢不了"，要招懂制度化流程的可扩展领导者；产品每两周都在变，销售只能每周重新训练。品牌的光晕则来自正确的客户——货币中心银行、顶级零售、航空公司能给你光晕，“Susie’s Cupcakes 做不到”。工程师全部同室办公，因为分布式团队的沟通成本在当下速度下是奢侈品。他对时代的收束是：“网络安全史上最大的顺风期，未来两年每个技术栈都会被换掉一遍。”
顺带一提曼迪亚的叙述自检意识，这在安全行业高管里不多见：谈到"RSA 主舞台 43% 的演讲者是 Mandiant 校友"时，他主动说明这是朋友发来的短信、自己从未核实，“如果是真的我就收下这个统计”。整期节目里他也两次预防性地声明自己"不是在贩卖 FUD"。
这意味着什么，接下来看什么
把整场对话压缩成三条可检验的链条：
- 进攻平权 → 验证与分诊成为新价值层：AI 让漏洞"发现"泛滥（Mythos 式扫描产出数千结果被曼迪亚直接称为"噪声"），稀缺资源变成"哪个漏洞真的可被远程利用"的判定与修复优先级。观察指标：厂商与安全平台把"可利用性判定"接入修复流程的速度；CVE 公布到野外利用的时间差是否继续缩短。
- Agent 事故 → 安全工程从模型层移到系统层：Hugging Face 事件的教训不是"模型太强"，而是确定性规则、全量日志、领域专家设计 eval 这些传统安全工程没有跟上。Armadin 自己的清单（隔离、被动审计、假设失效、未知即暂停）可迁移到任何部署自主 Agent 的团队。观察指标：前沿实验室是否把 Agent 行为日志与审计标准化。
- 防御自主化 → 存量平台被迫换代：CrowdStrike、Palo Alto、Fortinet 们的自主防御不是选项而是生存问题，渗透测试与人工 SOC 流程会被逐步挤出。观察指标：这些平台何时把"第三方攻击验证"接口产品化，以及 Armadin 的 ARR 能否真跑出 Wiz 级曲线。
留给读者的务实判断：如果你在管系统安全，嘉宾的隐含建议是把预算从"扫描已知"挪向"对抗验证"；如果你在造自主 Agent，这份笼子清单比大多数安全白皮书具体；如果你在考虑行业机会，“两年内全部技术栈更换"是这期节目给出的唯一窗口期判断——当然，这一切都出自一位刚融了 2.5 亿美元估值公司的 CEO 之口，利益立场需要计入。
来源与转写注记
来源：a16z 播客《Building Cyber Defense for the Agentic Era》，2026-10-06 发布，嘉宾 Kevin Mandia（Armadin CEO、Mandiant 创始人），主持人 David George（a16z 合伙人）。YouTube 视频 ID：cJsHel27Z6M，时长约 48 分钟。
转写注记：转写稿中公司名出现 Armadyn/Armidin/Armadan 等变体，经核对官方拼写为 Armadin；“Mythos"经查证为 Anthropic 真实模型名，非转写错误；“the meter publication"疑指评估机构 METR。文中所有战绩类数字（90+ 零日、8/20 kill chain、2.5 万 Agent、99/100 财富 100 强等）均为节目单方陈述，未经独立验证，请以"嘉宾称"的置信度对待。