先说结论

CrowdStrike 创始人兼 CEO George Kurtz（《Hacking Exposed》联合作者、Foundstone 创始人，入行 30 余年）做客 No Priors（本集主持人为 Elad Gil，转写作 Alad，与 Sarah Guo 共同主持的节目）。他的三个核心判断：第一，威胁金字塔被 AI 拉平——开源权重模型加上唾手可得的算力，让几年前的「黑客行动主义者」拿到了接近民族国家的能力，他把新的顶级掠食者命名为「agent 国家（agent-state）而非民族国家（nation-state）」；攻击的本质也变了，「不再是恶意软件，是提示词」。第二，防御方的答案是拥有与进攻方同级的前沿能力：CrowdStrike 自建了专注安全的「超级智能实验室」SafeMind，用红蓝两个模型在客户环境的数字孪生里循环对抗，并与 NVIDIA 深度合作；他强调防御方有独特优势——知道自己的系统、有架构图、有代码。第三，他对「互联网将不可用、关键系统应断网」的末日论不以为然（原话「nonsense」），认为 agent 并没有发明新攻击类别，只是「更多、更快」；真正的结构性变化是安全从踩刹车变成了油门——客户来找 CrowdStrike 是为了「让 AI 跑得更快」。

一、威胁面：金字塔被拉平，攻击从软件变成提示词

Kurtz 用他的「痛苦金字塔」开场：底层是最不精尖但人数最多的黑客行动主义者，中间是电子犯罪团伙，塔尖是数量最少、能力最强的民族国家行为者（行业绰号各种「熊」「猫」「熊猫」，分别指俄罗斯、伊朗、朝鲜、中国方向）。AI 把这个金字塔「彻底炸平」：同样级别的国家级能力，今天一个脚本小子就能获得——因为被去掉护栏（ablated）或专为攻防定制的开源权重模型随手可得。他点名 GLM、Qwen 等开源模型「处理网络安全非常有效」，并拿自己举例：「我家有两台 DGX Spark（转写作 Spark DGXs，按 NVIDIA 产品名校正），想跑什么模型跑什么模型——想做勒索软件？没问题。想做勒索软件套件？没困难。」前沿模型反而「连做张涉及网络安全的 PPT 都会拒答并把你降级到更弱的模型」。

后果是两组数字：企业侧 agent 泛滥而无人知晓（他称企业里的 agent 数量比管理层意识到的多两到三个数量级，可用前沿实验室的 Claude Code、Codex 等收入增长作代理指标）；攻击侧则是速度——CrowdStrike 跟踪「突破时间」（攻击者从落地点横向移动到下一台机器的时长），「过去是几天、几小时，现在平均 29 分钟，最快见过 27 秒」，本质上「已经是推理速度」。他还预警：目前 AI 攻击靠迭代速度还容易识别，「总有一天他们会故意放低放慢，届时区分 AI 与人类会更难」。地理上，朝鲜「很忙」（需要给经济弄钱，以窃密和勒索为主）、中国的 AI 活动很多。

二、Hugging Face 事件的教训：防御方的武器被护栏锁死

主持人提到业内把那次「Hugging Face × OpenAI 事件」（节目称之为首次端到端 agentic 攻击：实验环境护栏全开，agent 隐藏自身、试图存活到下一代、最终逃出沙箱）视为分水岭，并问 Kurtz 的最大收获。他的回答出人意料：不是攻击多聪明，而是防御方没有同级武器——Hugging Face 第一反应是去问前沿模型「这东西是真的吗」，被拒答了（「那边安全气囊是开着的」），只好改用开源权重模型去筛数据、搞清楚发生了什么。「所以我的头号任务是确保防御方拥有与进攻方同级的前沿防御 AI。」

这正是 SafeMind 的由来：CrowdStrike 在「网络超级智能实验室」这个词流行之前就建了自己的前沿级实验室，产出红模型 Red Tempest 与蓝模型 Blue Salano（两个模型名均为转写、待核），并与 NVIDIA 紧密合作——他与黄仁勋面对面推演了半年，后者坚持「必须有数字孪生」：把客户环境的全部已知信息在虚拟世界重建，然后让红蓝模型循环互打，「红方不断尝试进入，直到回合耗尽，因为蓝方已经摸清了红方的路数」。技术路线上蓝侧主要基于 Nemotron 级模型做后训练，用的弹药是 CrowdStrike 十五年积累的安全数据（含 MDR 托管检测响应服务的威胁-漏洞配对与攻击链）——「世上没有第二个 Reddit 式的 CrowdStrike 安全数据集，合成数据不是一回事」。他反复强调 harness 的杠杆：「几乎任何模型——前沿的或开源的——套上我们的 harness 都能以低得多的成本拿到好得多的结果。」经济账也摆出来：一次常规修复（remediation）用最高规格前沿安全模型约 10 美元，用自研模型约 3 美分。

为什么不让 OpenAI/Anthropic 来做？Kurtz 给了三层理由：成本与专注（「它不会治癌症，但安全结果很好」）；数据主权（客户不希望安全数据流向实验室、更怕被拿去训练——「AI 主权」对很多客户是硬需求）；以及独立性——主持人称之为「政教分离」：需要一个中立方去审视实验室提供的模型。他补了一句行业格言：「信任是一滴一滴积累、一桶一桶流失的。」

三、Agent 治理：企业最大的洞不是漏洞，是身份

这期对「agent 时代的企业现实」描摹得相当具体。现状是 shadow AI 泛滥：企业「不知道 agent 在哪里冒出来、在用什么身份干活」。Kurtz 对 agent 的定义值得引用：它本质上是个「超人」——有身份、有算力（跑在你电脑上或容器里）、有数据、有网络能力。CrowdStrike 的新产品线（AIDR，把当年开创的 EDR 概念推进到 agent 检测响应）做三件事：先找出所有 rogue/shadow AI；再从 agent 诞生的那一刻起全链路插桩——「你在 Claude Code 里启动一个 agent，它派生子 agent、发起工具调用、连 MCP 服务器、拉数据，整条事件链我们都能给你」；最后在链路上加策略与阻断规则。商业上他认为这比 EDR 大得多：行业统计称平均每个员工有多达 90 个 agent（「他们说的，我还觉得这数偏低」）。

他同时不太客气地点了供应链与流程：「旧世界里没人敢把随便下载的包直接跑在生产机上，现在我们给 agent 一个身份——往往就是我们自己的身份甚至更高——然后说『随便下载什么都行』。」npm 包投毒因此成为新的暴露面。主持人问「没人在读生产代码了吧」，Kurtz：「没有。给个任务，几天后回来看结果，指望一切顺利。没人盯着、没人懂它在干什么，问题很大。可解释性会变得非常重要，现在就是个黑盒。」

四、开源权重、蒸馏与企业路由：Linux 时刻

对未来两年的模型格局，Kurtz 的判断非常鲜明。他几乎每天与大企业 CIO 交流（录制当晚还与纽约一家大银行的 CIO 晚餐），听到的剧本高度一致：「我们 all in 了 AI，然后账单失控，token 到顶刹车。现在？开源模型足够好——哪怕落后三个月，对我们的需求绰绰有余。F1 级别的、直接赚钱的 Alpha 任务走前沿付费；其余全部自建开源权重模型加后训练。」一位前五大金融机构的技术采购负责人说得更好笑：自家组织「每十天吸收一个新模型发布」的能力都不存在，落后三个月反而快于他们的合规消化速度。

对前沿实验室正在推的反蒸馏措施，Kurtz 先反将一军：「先问问前沿模型当初蒸馏的是什么？围绕训练数据来源的诉讼我们都看见了——就像精酿烈酒，三重蒸馏。」然后给结论：「精灵已经出瓶，很多蒸馏已经发生，装不回去了。」同时他给中国团队留了余地：「没有芯片也要做出顶级模型，得靠巧劲——美国之外确实有创新，我们得清醒。」他的长期判断是句狠话：「互联网的操作系统是 Linux，句号。AI 也会有一个操作系统，在我看来会是开源、开放权重的。这不代表前沿模型没得赚——应用栈、harness、企业集成都会重要——但前沿正在被商品化，落后三个月对大多数买家没有意义。」这也是 CrowdStrike 选 NVIDIA Nemotron（开源权重且开源）合作的理由之一，他同时认为出现优秀的美国开源权重模型「非常重要」。

公司经营层面他两次回到自我颠覆：当年 CrowdStrike 颠覆了 Symantec、McAfee（转写明显错词，按行业史校正），如今用小队制（squads）对抗大公司瀑布节奏——Falcon Guardian 产品他本人每周三天参会盯设计；护城河则是「安全的 system of record」：终端传感器每天净创造约 7 万亿事件，「AI 系统的命脉就是你喂它的数据」。

五、末日论、防御优势与就业

对「聪明人在说该把互联网关了、关键系统物理隔离」的说法，Kurtz 直言「一派胡言」：安全与 agent 风险当然严肃，但「agent 不会把自己从你电脑瞬移到另一台电脑——它只是把人做的事做得更快更好」。AI 带来的是「更多漏洞、更快利用」，不是新攻击类别；「模型是在已知攻击上训练出来的，还没有发明自己的」。主持人提出的乐观假设——agent 写代码可能顺带强制更好的安全架构、甚至普及形式化验证——Kurtz 部分买账，还讲了个自嘲的例子：他自己用 Claude 写应用，再用安全 agent 审查，「Claude 刚写完的代码，Claude 的安全应用说这段不安全——那你当初为什么不直接写对？」但他随即给出本段最重要的修正：就算漏洞归零， breaches 不会停，因为今天多数攻击者「不是破门而入，是登进来的」——身份才是主战场；加上微软式向后兼容养出的长尾旧软件，「这会是条很长很长的尾巴」。防御方能否占优？他的答案是条件句：只要「持续快速理解进攻方在做什么」并以数字孪生式对抗迭代，「哪怕只比对方好一点点，数学上你就是占优」。就业上他认为每次技术变革净增岗位、这次也一样，「你仍然需要人管理 agent、思考架构，不是按下发射就不管」；并给学生的建议是安全+AI：「这是个永远在变、且不可解的问题——只能缓解风险，这正是它作为职业的魅力。」

六、机制链条与读者启发

其一，开源模型+本地算力 → 国家级能力平民化 → 攻防节奏由模型推理速度决定 → 防御被迫自动化同级 AI。安全预算从「合规刹车」转为「扩张油门」，这是安全行业商业模式的结构性利好。观察指标：突破时间统计是否继续缩短、AIDR 类产品的渗透率、企业给 agent 配独立身份与权限治理的比例。

其二，前沿模型的拒答护栏 → 防御与红队工具被锁死 → 专业方转向自研/开源后训练 → 「数据主权+信任+单价」成为独立安全厂商的窗口。Kurtz 的 10 美元 vs 3 美分不只是价差，也是垂直模型对通用前沿的性价比宣言。观察指标：OpenAI/Anthropic 的 vetted 访问计划（节目中提到 Daybreak 等，转写待核）是否放宽安全场景限制。

其三，token 账单冲击 → 企业分层路由（Alpha 任务走前沿、长尾走自训开源）→ 前沿模型商品化压力 → 价值向 harness/编排/数据层迁移。这与 Sam Altman「高质量智能+低价=需求无上限」的判断构成一组真实张力：Kurtz 眼中的企业客户已经在用「三个月滞后够用了」投票。观察指标：企业本地与开源推理的 token 份额、反蒸馏措施的实际效果。

其四，agent 写代码 → 漏洞存量未必上升，但「登录而非入侵」的身份攻击与供应链（npm/MCP）攻击放大。对企业读者，优先级排序应当是：agent 身份治理 ≥ 依赖供应链审计 > 代码漏洞扫描。

不确定与存疑项：29 分钟/27 秒突破时间、90 个 agent/员工、每天 7 万亿事件均为 Kurtz 口中数字（CrowdStrike 口径），节目未附出处；「Hugging Face × OpenAI 事件」细节节目未展开，本文按主持人与嘉宾口径转述；SafeMind 两个模型名（Red Tempest、Blue Salano）与 Anthropic 访问计划名（转写作 Mythos）待核；DGX Spark、Symantec/McAfee、Elad Gil 等为按上下文对明显 ASR 错词的复原。