AREX Viewpoint Article
CrowdStrike CEO：当攻击者用上AI代理
导读
10月21日，CrowdStrike 与 NVIDIA 宣布把 AI agent 安全从软件层推进到芯片层：Falcon Guardian 正与 NVIDIA OpenShell 集成，并计划通过 NVIDIA Sentry 实现芯片级执行。公告在 NVIDIA GTC Berlin 发布，距离 CrowdStrike CEO George Kurtz 在 No Priors 的访谈上线仅一天。它让这期访谈不再只是例行的行业展望，而成为一项正在产品化和基础设施化的防御路线的即时注脚。
Kurtz 在访谈中给出的前提是，攻击者已经在运行 AI agent，而防御者尚未获得同等能力。他用“对手金字塔”描述过去按能力分层的威胁结构：底层是数量最多、技术最弱的网络活动者，中层是网络犯罪组织，顶层是数量最少但能力最强的国家行为体。AI 正在压平这座金字塔，使低水平攻击者获得几年前只有国家才具备的能力。与之对应，入侵后的横向移动时间已从数小时压缩到平均 29 分钟，最快仅 27 秒。
速度之外，攻击的“载体”也在变化。Kurtz 说，现在不再是恶意软件，而是提示词；攻击者设计的提示词会形成独特的行为指纹，决定其移动方向、信息收集方式和转折点，使基于恶意软件签名的检测越来越难奏效。这一变化并非只发生在国家行为体身上，而是普遍存在于从国家行为体到网络犯罪分子的各类攻击者中。防御窗口因此被压缩到秒级，安全控制必须更靠近 agent 的实际执行位置。
这正是芯片层公告的意义所在。当 AI agent 被赋予身份、权限和下载执行代码的能力，企业却缺乏对其行为的监控与解释时，风险就不再只是“外部攻击者会做什么”，而是“企业内部正在放任什么”。Kurtz 把这称为黑箱式自动化：没有人监控，没有人理解它在做什么。把安全能力推进到 OpenShell 集成与 Sentry 的芯片级执行，回应的是同一个问题：企业既然把执行权限交给 agent，安全控制就必须跟随到 agent 运行的位置。
访谈进一步解释了 CrowdStrike 为何要自建安全模型，而不完全依赖通用前沿模型。Kurtz 称，GLM、Qwen 等开放权重模型在网络安全任务上十分有效，攻击者可在本地运行并生成攻击工具；前沿实验室模型却常因过度拒绝安全请求而把防御者挡在门外。他的结论是，必须为防御者提供与攻击者相当或更好的 AI。围绕这一判断，Kurtz 还给出成本与数据壁垒：CrowdStrike 用 15 年的真实威胁数据后训练专用模型，单次通用处理成本约 3 美分，而使用顶尖网络安全前沿模型约需 10 美元。
也正因如此，这期访谈的价值不在于重复“AI 让攻击更快”的结论，而在于把近期产品动作还原为一套防御方法：先承认 agent 已是攻击与防御的共同执行单元，再把身份、执行环境和数据主权纳入同一套模型能力建设。对读者而言，10 月 21 日的芯片层集成回答“CrowdStrike 正在往哪里投”，Kurtz 的访谈则回答“为什么必须这样投”，以及企业在下一轮 agent 部署前应先检查哪些边界。
核心结论
- AI 正在压平对手金字塔，把国家级攻击能力下放给普通网络活动者：Kurtz 用“对手金字塔”框架说明，缺乏有效管控的开放模型大幅降低了高级攻击技术的门槛和成本，使底层攻击者获得原本属于国家行为体的能力，威胁格局被根本性改变。
- 安全对抗的核心已从恶意软件特征转向提示词行为指纹，防御窗口缩短到秒级：入侵后的横向移动时间已从数小时缩短到平均 29 分钟、最快 27 秒，攻击者用 AI 生成的提示词形成独特行为指纹，传统基于恶意软件签名的检测方式难以为继。
- 开放权重模型成为攻击者最实用的武器，而前沿模型因过度拒绝反而迫使防御者转向开放模型：GLM、Qwen 等开放权重模型在安全任务上高度有效且可本地运行，攻击者能自由生成攻击工具；前沿实验室模型却因过度拒绝安全请求而无法用于防御，暴露出防御能力供给的缺口。
- CrowdStrike 的护城河在于用十五年真实安全数据训练专用模型，而非依赖通用前沿模型：基于十多年积累的真实威胁数据后训练，专用模型以约 3 美分的成本实现接近前沿模型的效果，同时避免客户敏感数据外泄，构成数据、成本和信任三重壁垒。
- 防御方拥有结构性优势：只有用更好的 AI 才能对抗 AI，而防御者掌握环境、架构和代码：面对 AI 攻击，唯一有效路径是部署更优的防御性 AI；防御者天然了解自身系统架构和代码，若能将内部知识注入模型，就有可能在攻防对抗中占据上风。
观点拆解
1. AI 正在“压平对手金字塔”，把国家级能力下放给普通网络活动者
-
AI 正在“压平对手金字塔”，把国家级能力下放给普通网络活动者：George Kurtz 用“对手金字塔”框架说明，过去网络威胁按能力分层：底层是数量最多但技术最弱的网络活动者，中层是更成熟的网络犯罪组织，顶层是数量最少但能力最强的国家行为体。AI 正在打破这种分层结构，让底层攻击者获得原本属于顶层国家的能力，威胁格局因此被根本性改变。
“当我想到对手时，我把它称为“痛苦金字塔”。想象金字塔的底部，也就是我们所说的网络活动者。这里有最低的复杂程度，但对手数量最多。然后在金字塔的中间层，是网络犯罪，它们更复杂，但数量比网络活动者略少。而在金字塔的顶端，是国家，它们最复杂，但数量相对较少。”
“同样的能力水平，一个国家在几年前才拥有，而今天的网络活动者已经拥有了。这从根本上改变了威胁环境。”
-
缺乏有效管控的开放模型是能力下放的关键推手：Kurtz 指出，真正让攻击能力从国家层级下沉到普通网络活动者的，是那些缺乏有效管控的可用模型。这些模型把复杂的技术主题和攻击手法变得易于获取，大幅降低了成本，并简化了整个攻击体系的结构，使低水平攻击者也能运用高级技术。
“如果你看看那些可用的模型——那些缺乏真正管控的模型——它们利用了所有这些复杂主题和技术，大幅降低了成本，并简化了整个系统的结构。”
-
能力下放带来更快、更复杂、更难识别的攻击浪潮：威胁环境的变化已经体现在攻击形态上：漏洞发现更多、攻击速度更快、攻击呈现连续爆发态势。Kurtz 认为，目前还能通过攻击演进速度判断是否由 AI 驱动，但随着时间推移，AI 攻击与非 AI 攻击将越来越难以区分，企业将面临复杂度和规模都大幅提升的攻击浪潮。
“我们看到的是更多漏洞被发现，攻击也更快。当攻击发生时，它们是连续不断的。事实上，现在还能看出攻击是否由 AI 驱动，因为我们能看到它演进的有多快。但在某个阶段，这类攻击会越来越慢地释放出来，届时将很难区分什么是 AI，什么不是。”
“这是企业面临的真正挑战之一：攻击的洪流，而且其复杂程度已经大幅上升。”
2. 攻击速度已从小时级压缩到秒级，安全对抗的关键不再是恶意软件而是提示词
-
入侵后的横向移动时间已从小时级压缩到秒级，防御窗口急剧缩小：Kurtz 用具体数据说明，攻击者从初始入侵到横向移动的时间已从过去的数天或数小时缩短到平均 29 分钟，最快仅 27 秒。这意味着传统依赖人工响应和周期性检测的安全模式已经跟不上攻击节奏，企业必须转向实时、自动化的防御体系。
“在平均情况下，过去需要数天或数小时，现在只需要几分钟。平均是 29 分钟，但我们见过最快只有 27 秒。”
-
安全对抗的核心已从恶意软件特征转向提示词行为指纹：Kurtz 强调，当前攻击者利用 AI 生成的提示词来驱动入侵行为，这些提示词会形成独特的行为指纹，决定攻击者的移动方向、信息收集方式和转折点。这使得传统基于恶意软件签名的检测方式失效，防御者必须转向对提示词和推理行为的分析。
“人们需要记住的是，这不再是恶意软件，而是提示词。他们可以设计提示词，创造出完全独特的行为指纹，决定他们的移动方向、如何收集信息以及转折点，这让识别这一切变得非常困难。”
-
AI 驱动的攻击速度与提示词化手法已成为国家行为体和网络犯罪分子的共同特征：Kurtz 指出，这种从恶意软件到提示词的转变并非孤立现象，而是普遍存在于从国家行为体到网络犯罪分子的各类攻击者中。这表明 AI 正在拉平攻击者的能力差距，使高级攻击手法被更广泛的威胁主体采用，进一步加剧了防御压力。
“但这就是我们现在看到的情况，它在所有行为体中都很普遍，从国家行为体到网络犯罪分子，毫无疑问。”
3. 开放权重模型已成为攻击者最实用的武器，而前沿模型因安全限制反而难以用于防御
-
开放权重模型在网络安全任务上高度有效，攻击者可在本地自由运行并生成攻击工具：Kurtz 指出，像 GLM、Qwen 等开放权重模型在网络安全任务上表现出色，许多模型甚至专门针对渗透测试等安全场景进行了调整或设计。由于这些模型可以在本地设备上运行，攻击者无需依赖云端服务，就能自由生成勒索软件等攻击工具，大幅降低了攻击门槛。
“如果你看看像 GLM、Qwen 或其他可用模型，你会发现它们在网络安全方面非常有效。许多这些模型要么经过调整，要么专门为网络安全而设计。”
“你可以在家里的两台 Spark DGX 上运行它们，所有模型都能跑，我可以做任何我想做的事。想创建一个勒索软件包？没问题。想部署和开发它？一切都为你准备好了。”
-
前沿实验室模型因过度拒绝安全相关请求，反而迫使防御者转向开放权重模型：Kurtz 强调，前沿实验室模型在处理安全相关任务时经常直接拒绝请求，甚至将用户降级到较弱的模型。这种过度保守的防护机制使得防御者无法利用最先进的模型进行安全分析和防御工作，暴露出防御能力供给的缺口。
“你的请求会被直接拒绝，然后你被转到一个较差的模型。”
“当他们最初求助于前沿模型并问：“这是真的吗？发生了什么？”模型拒绝了。对吧？因为漏洞是存在的。那么他们不得不做什么？他们实际上不得不求助于开放权重模型来分析所有这些数据并理解它。”
-
防御者被迫依赖开放模型，催生了 CrowdStrike 自建安全模型的战略需求：由于前沿实验室模型对安全任务的过度拒绝，防御者无法获得与攻击者同等水平的 AI 能力。Kurtz 明确表示，这正是 CrowdStrike 开发自有安全模型的原因——为防御者提供不受限制的高级防御能力，确保攻防两端在 AI 能力上保持对等。
“我最重要的收获之一是，防御者没有与攻击者相同的能力。因此，我最重要的目标之一是确保防御者拥有与攻击者所使用的同等水平的高级防御性 AI。”
“想象一下，你试图用一个前沿的网络安全模型来创建一个演示文稿，结果它拒绝了你。所以，这就是我们创建 Safe Mine 以及我们的红队和蓝队模型的部分原因——正是因为这个原因，因为我们想为客户提供先进的防御能力，让他们能够在没有所有这些拒绝的情况下工作。”
4. CrowdStrike 的护城河在于用 15 年真实安全数据训练专用模型，而非依赖通用前沿模型
-
CrowdStrike 的专用安全模型以极低成本实现接近前沿模型的性能：Kurtz 用具体数字说明，CrowdStrike 自研安全模型在通用处理任务中的成本约为 3 美分，而使用顶尖网络安全前沿模型则需要约 10 美元，成本差距高达数百倍。这意味着专用模型不仅性能出色，还能显著降低企业大规模部署 AI 安全能力的门槛。
“例如，在通用处理中，如果你使用一个非常顶尖的网络安全模型，大约要花 10 美元。而我们的模型，价格不超过 3 美分。所以成本差距极其巨大，这一点很重要。”
-
真正的护城河是 CrowdStrike 积累超过十年的独家真实安全数据：Kurtz 指出，CrowdStrike 的模型之所以在安全任务上表现优异，核心在于用公司过去 15 年积累的真实威胁数据、漏洞信息和攻击链数据进行后训练。这些数据无法从 Reddit 等公开渠道获得，合成数据也无法替代，构成了竞争对手难以复制的数据壁垒。
“关键区别在于我们拥有数据。CrowdStrike 的安全数据在 Reddit 上找不到。你可以生成合成数据，但它无法与我们拥有的数据相比。我们拥有覆盖 15 年的安全数据，包括托管检测与响应（MDR）数据，其中包含各种威胁、漏洞和攻击链。”
-
专用模型回应了客户对数据主权和信任的核心顾虑：Kurtz 强调，客户不希望把敏感安全数据发送给外部实验室，也不希望这些数据被用于训练外部模型。CrowdStrike 通过自研模型提供了一种兼顾安全能力和数据主权的方案，让客户在享受 AI 能力的同时保持对自身数据的控制。
“客户确实存在担忧，他们不想把所有数据发送给实验室，也不希望自己的敏感信息被用于训练。因此，我们可以提供一种方式，给予他们为自己的安全项目所期望的信任和保障。而 AI 主权这个概念，对我们的许多客户来说非常重要。”
“我认为安全领域最重要的因素就是信任，成为一个值得信赖的合作伙伴。我们的核心关注点是安全以及保护我们的客户。我们不会试图解决 AI 领域或其他领域的所有世界性问题。所以，我认为这对我们来说是一个优势。”
5. AI 代理带来的最大风险不是新攻击类型，而是身份滥用和不可解释的自动化行为
-
AI 代理并未创造全新攻击类型，只是把人类已有攻击手法变得更快：Kurtz 明确否定了“AI 代理会带来全新攻击技术”的流行说法。他指出，代理只是执行人类已经掌握的攻击方式，区别在于速度更快、漏洞利用更迅速，因此防御者需要应对的是节奏变化，而不是某种未知的技术物种。
“智能代理不会从一台设备跳到另一台设备，它做的是人类已经在做的事，只是做得更好、更快。”
“人工智能所做的是制造了更多漏洞，于是我们有了更多漏洞，而且漏洞被利用得更快。所以事情在加速，但并不存在某种独一无二的新类型，好像代理会突然跳到某个地方。”
-
真正的风险是企业盲目赋予代理身份和权限，却无人监控其行为：Kurtz 将焦点从“攻击者会做什么”转向“企业自己在做什么”。他认为，企业急于部署代理，赋予其身份和自由下载、执行代码的权限，却缺乏监控和可解释性，这种黑箱式自动化本身就是巨大的暴露面。
“现在我们启动一个代理，给它一个身份——本质上就是我们的身份，甚至更糟——然后让它去做任何想做的事。顺便说一句，想下载什么包就下载什么包。显然，这些事情会造成巨大的暴露。”
“没有人监控它。没有人理解它在做什么。这就是问题所在。所以我们可以谈谈这些代理行为的可解释性，这至关重要。但现在的情况就像一个黑箱，没有人知道里面发生了什么。”
-
即使代码漏洞被消除，身份登录问题仍会让入侵持续发生：Kurtz 提醒听众，不要把所有希望寄托在“AI 写出更安全代码”上。即使未来漏洞趋近于零，大量入侵仍会继续，因为很多事件本质上不是技术突破，而是身份凭证被滥用后的“登录”。这意味着身份安全才是更持久的防线。
“很多人没有意识到的是，即使没有漏洞——我也希望行业能达到那一步——仍然会有入侵。因为今天我们看到的很多情况，本质上并不是入侵，而只是登录。这里有一个巨大的身份问题。”
6. 防御方拥有结构性优势：只有用更好的 AI 才能对抗 AI，而防御者掌握环境、架构和代码
-
对抗 AI 攻击的唯一有效路径是部署更优的防御性 AI：George Kurtz 明确判断，面对今天的 AI 攻击，防御方不能只靠传统手段，而必须用能力相当或更强的 AI 来应对。这一判断把安全竞争从工具对抗提升为模型能力对抗，意味着安全厂商的核心壁垒将越来越取决于其 AI 模型的水平。
“你必须为防御者提供与攻击者相当或更好的能力。如果你只是略微领先，从计算角度看，你仍然会占据优势。”
“今天对抗人工智能的唯一方法，就是使用更好的人工智能。”
-
防御者掌握系统架构与代码，具备将环境优势转化为模型优势的结构性条件：Kurtz 指出，防御方天然了解自己的系统、架构和代码，这些是攻击者难以完全获得的信息。如果防御者能把这些内部知识注入 AI 系统，就能显著提高在攻防对抗中占据上风的可能性。
“你必须利用你所拥有的优势。防御者了解自己的系统。防御者拥有架构蓝图。防御者拥有代码。那么，你如何将这一切转化为能够大幅提高你战胜进攻性人工智能概率的东西？”
-
AI 驱动的代码生成可能从源头改善软件安全，为防御方带来长期优势：Kurtz 进一步提出，如果未来大部分代码由 AI 智能体编写，就有机会在生成阶段强制实施更好的安全架构，减少漏洞。由于 AI 智能体可以无限扩展且不知疲倦，这可能突破过去因工程师数量和精力有限而导致的安全瓶颈。
“如果大部分代码是由智能体编写的，你就可以强制实现更好的安全架构，并可能减少漏洞。”
“如果你能按计算速度或按你的支付意愿进行扩展，而且智能体拥有无限的耐心，那么也许我们最终能随着时间的推移得到更安全的软件。”
7. 企业 AI 采用正在走向“前沿模型 + 开放权重模型”的混合路线，成本是主要驱动力
-
企业 AI 投入正从“追逐前沿”转向“成本驱动的务实分层”：Kurtz 以纽约大型银行的 CIO 为例指出，企业在初期大量投入 AI 后，开始被高昂的推理成本倒逼调整策略。这说明成本压力正在成为企业 AI 采购决策的核心变量，而非单纯追求模型能力。
“当我们进入 AI 领域时，我们投入了大量资金，这很棒。但成本高得离谱，当人们收到巨额账单时，加密货币的利用就戛然而止了。”
“对于其他事情，成本太高了，我们会构建自己的开放权重模型，并对其进行更多的后训练。这就是他们的运作方式。我几乎在每一个客户身上都看到了这一点。”
-
前沿模型只保留给高价值、高利润的核心任务：客户并非完全放弃前沿模型，而是将其限定在能直接产生超额回报的场景中。Kurtz 用 F1 赛车作类比，说明企业愿意为“Alpha 级”业务支付前沿模型的溢价，但不会将其用于所有工作负载。
“一位客户知道我喜欢 F1 赛车，他说，我们为银行做的任何与 F1 相关的事情都会交给 Frontier。如果它是 Alpha 级的，我们能从中赚钱，而且它极其关键，我们就会为此付费。这并不难。”
-
开放权重模型的“三个月滞后”对企业而言已足够快：Kurtz 指出，企业客户认为开放权重模型即使比前沿模型落后三个月，也完全能满足需求。一位大型金融机构买家甚至表示，其组织根本无法每 10 天吸收一个新模型版本，因此三个月的滞后反而比企业自身的采用节奏更快。
“当前开放权重模型已经足够好，即使落后三个月，也完全能满足我们的需求。”
“一位前五大金融机构的投资者最近告诉我，他们组织根本不可能每 10 天吸收一个新模型版本。因此，落后三个月比他们组织可接受、有条理的节奏还要快。”
8. AI 平台转移将像互联网一样创造新机会，安全从“刹车”变成“油门”
-
安全第一次从“刹车”变成“油门”，成为 AI 技术采用的使能者：Kurtz 认为 AI 将从根本上改变世界，但最终能否落地取决于安全能力。与以往安全被视为技术采用的阻碍不同，这次安全首次成为推动技术前进的引擎，这一角色转变意味着安全行业在 AI 平台转移中处于更核心的位置。
“最终，还是要依靠安全来赋能这些技术。这是第一次，安全成为了引擎，而不是刹车。”
-
网络安全是持续演进的长期赛道，不是可以被一次性解决的问题：Kurtz 强调网络安全不是一个可以彻底解决的静态问题，而是需要不断降低风险、持续适应新威胁的动态领域。未来五年会出现今天无法想象的新技术，这意味着安全需求会随技术演进持续存在，为从业者提供长期增长空间。
“每个厂商都想宣称自己解决了问题，但事实并非如此。你必须降低风险，找到最佳方案，并具备保护客户的能力。”
“五年后会出现我们今天无法想象的技术。如果你是一名大学生，你将成为思考如何保护这些技术的人之一。”
-
网络安全与 AI 结合是面向年轻人和学生的优质职业方向：Kurtz 明确将网络安全、技术和 AI 的结合推荐给大学生和家长，认为这是一个持续演进、充满机会的领域。这一判断为 AI 平台转移中的个人职业选择提供了具体指引，也强化了安全行业作为长期增长赛道的传播价值。
“网络安全尤其是我经常和年轻人、特别是大学生谈论的领域，这是一个很棒的领域。如果你懂 AI，如果你懂安全，你会发现这是一个持续演进的领域。”
“家长们总是问我：“我的孩子应该学什么？”我认为网络安全、技术和 AI 是一个很棒的领域。”
总结
AI 没有创造全新的攻击物种，却把攻击的速度、规模和可及性推到了传统防御无法承受的程度。真正的分水岭不在于模型是否开放，而在于谁能把独家数据、系统架构理解和模型能力结合起来。防御方并非注定落后，但前提是停止追逐通用前沿模型，转而构建面向自身环境的专用安全 AI。对企业而言，最紧迫的动作不是恐慌于代理威胁，而是先管住身份和权限，再让安全从成本中心变成 AI 落地的使能者。
信息源
视频来源
- The New Apex Predator: CrowdStrike CEO George Kurtz on Adversaries Armed With AI Agents：
外部资料
- CrowdStrike and NVIDIA Expand AI Agent Security from ...：
- CrowdStrike：