网络安全领域30年来最大的转变
摘要
在安全行业工作30年后，AI正在颠覆网络安全格局，Kevin Mandia因此重返创业一线。 他说，Armadin的创始团队和打造每家公司都需要的产品这一机会让他无法置身事外：“我不想错过AI带来的变化”，因为“我过去做的一切都已经过时”。
AI正把网络攻击从受资源约束的“狙击式打击”，变成更快、更广的“无人机蜂群”。 Armadin已经协调过25,000个智能体；Mandia称，AI在微秒内完成的事可能需要70名人类，甚至人类根本做不到。开放模型“已经足够好”，一旦攻击者能够匿名获取GPU，犯罪组织的采用速度可能会加快。
Armadin的目标，是用持续、经漏洞利用验证的压力测试客户网络，取代周期性渗透测试。 其“hyperattack”会把资产映射为一份元数据副本，像心跳一样轮询这份网络画像，并在网络或威胁环境发生变化时发起攻击。自2026年1月以来，它已在财富500强客户环境中发现超过90个零日漏洞，通常能在48小时内报告DMZ中的远程代码执行。
产品逻辑不止于发现漏洞，还要在攻击者到来前自主遏制漏洞。 Armadin Blue将把攻击型产品发现的问题转化为EDR和防火墙上的补偿性控制，理想状态下把5分钟的情报优势转化为即时防护。Mandia的取舍非常直白：“我宁愿要一个能阻止攻击者的失败补丁”，也不愿让未知入侵者获得任意网络访问权限。
按人类节奏运行的检测与响应无法应对智能体攻击速度，但分层防御仍不可或缺。 Mandia预计，随着预防、检测和响应不断压缩为一个瞬时周期，AI将驱动这3个阶段；人类会监督例外，而不再停留在战术层面的“回路中”。短期内，AI更偏向进攻，但用攻击型AI训练的防御型AI最终应能比人类逐包检查更全面。
在网络安全领域，开放模型与闭源模型的性能差距可能比其他AI工作负载收敛得更快。 在20条真实世界攻击链中，没有任何测试模型完成超过8条；最先进的闭源模型更快找到可利用漏洞，但开放模型只要允许运行更久，也能到达同一终点。讨论的关键因此转向攻击 expertise、评测、成本、编排和遏制能力，而不只是能否获得模型。
George将安全格局的转变称为“海啸”，Mandia则表示，这要求公司在不放弃企业级执行力的同时，按创业公司级速度推进。 Armadin拥有“80英里/小时的顺风”，但仍需为销售、品牌、国际扩张以及第二幕、第三幕融资；它希望跑赢Wiz所引用的、18个月达到1亿美元以上ARR的路径。技术优势可能6个月就被复制，但运营护城河仍是：“找到一个客户，让他们满意，再重复。”
精读
1. AI把一名并不情愿的创始人重新拉回牌桌
Mandia说，重返创业一线并非出于毕生的创业冲动：当时他已50多岁，也已经在做风险投资，原本没想过再次创业。但与David Slater、Travis Lam、Evan Peña及更广泛的创始团队见面后，他产生了完全相反的反应：“我想参与其中。”
真正的催化剂，是AI可能让他30年安全经验中的很大一部分失效。他得出的结论不是怀旧，而是紧迫感：团队拥有技术人才，而他能贡献关系网络、模式识别能力，以及进入那些已经需要这款产品的企业的通道。
Armadin Red利用先进模型和攻击型AI，验证哪些风险确实可以被利用。计划中的对应产品Armadin Blue，则会把这些发现转化为防御；两者合起来的目标，是打造一个“力场”（force field），让优秀的攻击型AI持续训练优秀的防御型AI。
2. 狙击式打击时代正在变成蜂群作战
当前已观测到的AI攻击仍不如Armadin内部系统成熟。Mandia描述，智能体会从A点移动到B点，然后又莫名其妙地回头攻击A点：协同程度已经像无人机蜂群，但相比训练有素的人类操作者，仍然“更粗糙一点、更喧闹一点”。
在模型变得更有创造力之前，规模就已经足以改变竞争态势。网络作战涉及代码和结构化流程，因此Armadin不需要一个能熟练使用400种语言的模型；现有模型已经能以远高于受资源约束的人类团队的速度，探索多得多的路径。
传统的国家级行动通常像狙击：针对约30家国防承包商或军事目标展开一场范围狭窄的行动。AI带来的是隐蔽性与全面性之间的战术选择——什么时候保留狙击，什么时候在蜂群上“烧掉token”，以及需要多少人类判断才能让蜂群保持隐蔽。
战略后果是攻击能力的民主化：技术水平较低的攻击者可能取得实质性更好的结果，而防守方则更难判断攻击来源。模型驱动的攻击可能暴露自动化痕迹，却无法说明“这是一个国家”，还是只有一个人在幕后操作。
3. 持续利用漏洞可能取代传统渗透测试
Mandia借体育作比：2000年的Baltimore Ravens拥有顶级防守，但仍需要一支能够真正考验自己的进攻陪练队。“没有一套防守，除非有一支伟大的进攻组来与之对抗”，而这种压力必须持续施加，不能只在固定周期出现。
Armadin的“hyperattack”会让智能体蜂群遍历每项服务、每条路由、每个系统和资产，生成数TB元数据，并还原一份从攻击者视角观察的网络副本。随后，它会“几乎像心跳一样”轮询这份副本，以较低成本识别变化，再将攻击集中到新增部分。
触发条件包括应用、路由、服务或机器发生变化，出现新的威胁情报或模型，以及在董事会会议等活动前进行有意的自我审计。目标是判断漏洞是否真的可利用，而不只是罗列CVE，因为很多缺陷并不能提供稳定访问权限或远程命令执行。
Mandia将Tenable、Rapid7和Qualys等扫描器归为基础卫生工具。Armadin则从外部以黑盒方式发起攻击，不查看源代码，验证远程执行或数据提取，并让客户真正进入事件响应状态，而不是面对“一大串其实无关紧要的漏洞”。
4. 自主防御成为必需的第二幕
Armadin Blue拒绝“你有漏洞，回头见”的做法。如果Red比对手提前5分钟发现攻击，Blue就应立即通知终端EDR、防火墙，以及CrowdStrike、Palo Alto Networks和Fortinet等平台，创建补偿性控制。
Mandia把第一代产品比作战场急救：先包扎伤口、止住出血，再让人设计永久修复方案。控制措施起初可能很粗糙，但无论你愿不愿意，自主防护最终都会通过安全平台到来。
SOC的预防、检测和响应窗口会持续收窄，直到整个流程实际上变成瞬时完成。攻击者一旦进入网络，可以“同时做1,000件事”；把人留在这个战术循环里太慢，就像眼看着气球爆裂，而整套防御系统早已失效。
George提出的反驳仍然成立：分层的“洋葱式”防护依然重要。Mandia也承认，力场最终一定会漏掉某些东西，因此还需要能够识别非法访问并立即锁定系统的陷阱；但这些后备阶段同样必须自主运行。
5. 安全的网络智能体需要懂得攻击如何失败的专家
被问及Hugging Face事件时，Mandia给出的更广泛判断是：每一种新的技术形态出现，防守方都会低估对手——这一次，被低估的是模型本身。AI研究人员可能缺乏安全直觉，而安全专家又可能不够了解AI，无法“把这东西关进笼子”。
Armadin预设每一道控制都可能失效：主机级隔离、虚拟机监控器、代理、对每个请求的被动检查，以及确定性禁令彼此叠加。有意思的是，智能体最常被停下，并不是因为行为危险，而是因为它们在“追风”，白白浪费资金。
约束不能变成绝对封锁。Mandia说：“别把它关得太死。”用人类赞成和反对判断训练的分类器应监控输入与输出；真正模棱两可的行动则应暂停并升级给人处理，让系统保留有用的创造力。
Armadin对20条攻击链的评测暴露了模型的边界：没有任何开放模型或最先进的闭源模型完成超过8条攻击链。闭源模型找到可利用漏洞的速度更快，但开放模型运行时间更长后也能追上；Mandia说，90多个零日漏洞大多由人类发现，AI则负责约90%的常规工作，不过最近发现的几个漏洞是技术找到的。
6. 公司建设的护城河，是由客户约束的速度
Mandia将Armadin定义为第三波情报浪潮。杀毒软件是一条“马奇诺防线”；Mandiant是在不可避免的入侵发生后从受害者身上学习；Armadin的前提则是，公司应在等待国防承包商或另一名受害者遭到攻陷之前，先发现自身可被利用的弱点。
与2004年那个自筹资金且已经盈利的Mandiant不同，Armadin需要资本来利用自己的“80英里/小时顺风”、建立分销体系，并为后续第二幕和第三幕做准备。Mandia认为，4项要求已经改变：融资能力、推进速度、品牌价值和市场进入体系。
企业销售仍然依赖人，尤其是在技术快速变化的情况下。因此，销售团队需要每周接受技术培训，管理者需要能够放大组织流程，客户反馈也要直接传给工程师；CEO的工作是“把混乱彻底挡在员工视线之外”。
竞争如今不可避免，Mandia说，公司今天做出的东西，6个月后就可能被复制。他真正持久的公式刻意不具光环：赢下要求苛刻的银行、零售商、航空公司及其他能提供信誉背书的客户，然后“找到一个客户，让他们满意，再重复”。George补充说，网络安全领域的每一套技术栈都可能在2年内改变。