攻击者也有智能体之后：George Kurtz谈如何把防御优势变成实际能力

一、嘉宾背景

George Kurtz是CrowdStrike创始人兼CEO，此前创办Foundstone并担任CEO。他在这期No Priors访谈中说，自己从事安全工作已有三十多年。作为安全企业的创办者和经营者，他的讨论横跨攻击技术、防御产品和企业采购，模型能力只是其中一部分。

Sarah Guo和Elad Gil主持了这场约45分钟的访谈，讨论围绕三个相连的问题展开：攻击者使用AI后，攻击能力发生了什么变化；企业如何管理不断增加的智能体；防守方又能怎样借助AI提高防御能力。CrowdStrike的内部研究项目SafeMind、专用安全模型，以及企业部署模型时的取舍，也贯穿其中。

Kurtz曾参与合著《Hacking Exposed》。他将当年的思路概括为，通过理解攻击如何发生来改善防御，并把这一思路与今天更快的AI攻防循环联系起来。如今，他希望让机器之间持续的攻防迭代加速这一学习过程。他既在分析威胁，也在解释CrowdStrike为何投资相应产品；这些产品描述呈现了公司的工程方向，其实际效果仍需独立验证。

二、本期主要内容

访谈从企业难以掌握自身AI使用情况谈起。Kurtz说，Claude Code、Codex等工具让智能体出现在越来越多的环境中，组织却未必知道它们在哪里运行、执行什么任务、使用谁的身份。Shadow AI由此带来的问题，已经超出未经登记的软件：当智能体能够访问计算资源、网络和数据，它就具备了实际执行任务的能力。发现其存在，只是治理的起点。

Kurtz用“agent state”描述攻击能力的扩散。他先谈到由黑客行动主义者、电子犯罪团伙和国家级组织构成的能力金字塔，随后指出，缺少护栏的模型正在降低复杂攻击所需的知识和成本门槛。技术水平较低的攻击者，因此可能接近过去国家级组织所拥有的部分能力。这是他对威胁变化的判断；节目没有提供跨群体的能力评测，不能将其理解为所有攻击者已经具备相同实力。

他观察到的直接变化，是漏洞发现增多、攻击迭代加快。他使用的breakout time有明确含义：攻击者初次进入系统后，转向其他系统所需的时间。由于关键资产未必位于最先进入的机器上，这段时间关系到防守方能够多快发现并限制后续行动。Kurtz给出的观察是平均29分钟、最快27秒，但节目没有说明统计周期和样本，也未交代这些数字是否专属于AI攻击。因此，它们不能被解释为完成整个攻击所需的时间，也不能单独证明AI带来了多少提速。

提示词改变的也不只是恶意软件的生成速度。按Kurtz的描述，提示词可以影响攻击智能体如何收集信息、选择方向，以及接下来转向哪里。防守方需要应对的是一条能够动态调整的行为链。他同时预计，攻击者可能主动采用低速、缓慢的策略。快速迭代即使在今天较为显眼，也未必能长期成为识别AI攻击的可靠依据。

企业内部的智能体使用，同样涉及整条行动链。Kurtz警告，把员工身份交给智能体，允许它自行下载npm等软件包，再隔几天检查结果，会叠加既有权限、外部依赖和监督缺口。最终交付即使看似正确，也不足以证明执行过程安全。

他介绍的AIDR方向因此包括发现未知智能体，从启动开始追踪子智能体、工具调用和MCP访问，并对行动施加策略和阻断规则。安全检查由此进入工具执行过程，而不只停留在最终输出。不过，访谈提供的是产品能力描述，没有给出覆盖率、误报或漏报评测。企业实际能够看到哪些行为、控制哪些动作，仍需验证。

三、核心观点：推理、例子与边界

Kurtz认为，防守方的优势在于了解自己的环境。企业掌握系统信息、架构图和代码，理论上比外部攻击者更清楚系统如何运转。但这些知识只有被防御系统实际使用，才能帮助它跟上攻击变化。知识若只是留在文档中，优势就难以发挥。因此，他主张用更强的AI应对AI攻击，所指的不只是模型能力，也包括对环境的理解和执行任务的体系。

模型能否处理合法的安全任务，同样影响防御能力。谈到主持人提及的Hugging Face相关事件时，Kurtz转述说，实验攻击智能体关闭了护栏，防守人员向前沿模型寻求分析帮助却遭到拒绝，随后转而使用开放权重模型。他以此说明攻守双方可能面临不同的能力限制，并将避免合法防御分析遭拒列为SafeMind的动机之一。这是节目中的事件转述，背景并未完整展开，不能据此判断所有前沿模型都无法承担安全分析，也不能认定取消护栏就能解决企业防御问题。

按Kurtz介绍，CrowdStrike正与Nvidia合作，利用包括Nemotron在内的基础模型，研发Red Tempest和Blue Solano等安全模型。其中一条研究路线是数字孪生：根据已知客户环境信息构建虚拟环境，让红方模型持续寻找攻击路径，蓝方模型识别并应对，再通过反复交锋调整能力。攻击持续变化，防御也就需要持续适应，单次测试无法替代这一过程。

这条路线能否奏效，取决于虚拟环境在多大程度上还原了真实环境。访谈没有说明资产遗漏、配置变化和环境更新如何处理，也没有展示生产环境中的效果验证。现有描述说明了如何将环境知识用于持续攻防学习，却不足以证明某个数字孪生已经覆盖真实攻击路径。还原不充分时，模型可能只是在熟悉的模拟条件下表现得更好。

Kurtz对专用安全模型的解释，也不限于参数规模或通用能力排名。他将多年安全运营数据，尤其是MDR服务中的威胁与漏洞配对、攻击链，以及模型外部的harness，列为能力和成本优势的来源。其思路是同时向模型提供与任务有关的信息和执行支持，使其能够处理具体环境中的问题。但节目没有披露harness的实现，也没有提供可复现评测，因而无法判断数据、模型和编排各自贡献了多少。

他给出了一组一般修复任务的成本对比：使用最高等级的前沿安全模型约需10美元，使用自家模型约需3美分。这是Kurtz在访谈中举出的例子。节目没有披露双方是否处理相同任务、采用什么成功标准、需要多少人工介入，也没有说明完整计费范围。这组数字提出了采购方值得检验的经济性问题，却不能据此得出通用成本结论。比较时还需要计入失败、重复尝试和人工重做，调用费用本身不足以说明完成修复的代价。

数据要求进一步影响模型选择。Kurtz说，部分客户担心敏感安全信息流向模型实验室，或被用于训练，因此也重视与既有供应商的信任关系。他表示，SafeMind可以使用前沿模型、自家模型，或在模型之间路由。Kurtz转述的一家纽约大型银行愿意为高价值任务支付前沿模型费用，其他任务则考虑开放权重模型和后训练。主持人另提到，一家金融机构无法吸收每十天一次的模型更新。这两个匿名案例反映了成本和组织吸收能力对部署的影响，但不能代表整个行业已经作出同样的选择。

Kurtz预计，本地、开放权重和前沿模型将混合使用。他对当前攻击智能体能力的判断则较为克制：主要变化仍是更快地执行已有攻击，而不是出现了能够凭空跨越系统边界的新机制。这是对当下能力的判断，并非对未来的保证。软件开发中的情况也保留了类似的不确定性。主持人提出，智能体可能改善软件架构和审查；Kurtz则谈到自己的编码经历：工具生成代码后，随后进行的安全审查仍可能发现这些代码不安全。生成和审查能力的改善有价值，但生成完成本身不能证明代码安全。

即使软件漏洞减少，身份滥用仍可能导致入侵。Kurtz指出，攻击者可以直接使用有效身份登录；历史软件和向后兼容要求，也会让修复留下长尾。因此，防御需要同时处理代码、身份和遗留环境。任何一项能力的改善，都不足以证明整个攻击链已经被切断。

四、学习与应用

企业可以从记录智能体的行动与权限入手，而不只登记名称。根据访谈推导，一种可行的试点方式是记录智能体的运行位置、负责人、实际使用的身份、可读取的数据，以及能够调用的工具和依赖，再选取一条真实工作链，检查子智能体和MCP访问是否也能追踪。这些是有待验证的实施方法，并非节目已经证实的成果。如果只能看到最终回答，就还无法确认是否具备Kurtz所描述的行为治理能力。

权限应按任务配置。对于能够安装软件包或长时间运行的智能体，可以先限定可访问资源和执行范围，并明确哪些动作需要人工处理。这样做可能降低初期便利性，也可能要求调整部分任务，但有助于在行动发生时落实监督。发现智能体，不等于理解其全部行为；留存日志，也不等于策略能够阻断危险动作。这些能力都需要在试点中实际检查。

评估安全模型时，可以用Kurtz的成本例子提出更具体的问题：让候选方案处理同一组已授权任务，事先明确正确修复的标准，记录失败、重复尝试和人工介入，再比较总成本。同时，需要分别确认数据流向、训练用途，以及哪些信息可以路由给外部模型。开放权重或本地部署是否合适，取决于任务要求和运营能力。匿名银行的取舍可供参考，不能替代本组织的验证。

数字孪生也可以从有限范围开始验证。先选择资产和权限关系较清楚的环境，核对模拟内容与真实配置，再观察红方发现能否转化为蓝方可验证的改进。评估还应检查环境遗漏、配置变化后的有效性，以及修复能否在授权条件下复验。只有把这些问题纳入评估，才能判断持续攻防迭代是否降低了生产风险，而不只是改善了模拟环境中的表现。

组织如何适应AI变化，是另一项实际约束。Kurtz主张让小团队聚焦具体问题、缩短工作节奏，并以自己直接参与Falcon Guardian设计、每周三天开会为例。对企业而言，可借鉴的是缩短决策与反馈之间的距离。试点团队仍需明确负责人、交付结果和复查条件；会议频率本身不能保证学习速度，结果可核验才有助于下一轮调整。

持续产生数据能否构成优势，也要看数据的质量和用途。Kurtz称，CrowdStrike传感器每天产生约七万亿条事件，并将持续的安全数据流视为公司的优势。这是他的公司口径，节目没有提供独立验证，也没有评估数据的完整性、准确性或任务适用性。企业可以据此检查自身数据能否解释权限和行动之间的关系，而不能仅以事件数量判断防御能力。

产品选择最终仍要接受实际使用的检验。Kurtz将保护效果、信任、经济性、易部署和获得价值的速度列为客户关切，并转述了客户认为其产品易部署的反馈。这些反馈不能替代采购方自己的测试。企业可以先验证一个能够产生实际价值的安全工作流，再决定是否扩大范围，同时继续处理身份治理和历史资产。按照Kurtz对安全的定位，这些工作应支持企业更快采用AI；而网络安全本身仍需要持续缓解风险，无法通过一次部署永久解决。

来源

• 原始节目：The New Apex Predator: CrowdStrike CEO George Kurtz on Adversaries Armed With AI Agents