攻击只需 23 分钟，应对仍要数天

Sarah Guo 和 Elad Gil 在 No Priors 节目中请来了一位在这场 AI 争论两端都待过的嘉宾：一边是把信息送到每块屏幕上的公司，另一边是现在必须把攻击者挡在屏幕之外的公司。Nikesh Arora 在 2018 年加入 Palo Alto Networks，那时它还是下一代防火墙的玩家；此后他把公司规模扩大了六到七倍，使之成为一家平台型安全公司。在此之前，他在 2004 年至 2014 年间担任谷歌高级副总裁兼首席商务官，经历了搜索变成默认基础设施的那十年。

他随后摆出的数字，才是应该让人记住的那一个。他刚开始时，攻击者锁定目标、突破防线、外泄数据的平均时间，大约在三到四天之间。Palo Alto 目前观察到的最快案例是 23 分钟。他说，企业平均响应时间仍以天计。如果对手能在一小时之内进出，“按物理规律，你的响应时间必须少于一小时”。

一个曾向持怀疑态度的世界推销搜索的人，又把一家安全公司扩大了七倍，他谈起 AI 来，不会只当演示。Guo 想知道搜索的未来、网络防御的状况，以及领导方法；Arora 则始终把这三件事连回同一个转变。生成式模型改变了人们提问的方式，智能体改变的是谁来完成交易。攻击者已经在利用这种压缩。接下来的对话，讲的是当商业模式和入侵的时钟同时移动时，一位 CEO 应当怎么办。

Guo 没有绕弯子。考虑到你在谷歌壮大的那些年，搜索的未来是什么？它受到的威胁有多大？Arora 拒绝为搜索写悼词。二十年来，这个行业的任务是把全世界的信息放上互联网，让人们能够获取，他称之为信息的民主化，一直惠及到印度的一个农民，让他也能查到需要的东西。新的抱怨恰恰相反：信息太多，需要筛选。人们想要的是有人替他们把这一堆解读清楚。用他的话说，这就是“智能的民主化”。同一个问题，第 10000 次也不该还要再雇人去解决，因为它已经被解决了 9999 次，结果都在网上。

谈到产品，他认为谷歌的位置很好。十五年前，Larry Page 就在谈论回应用户的意图，而不只是用户输入的那串字符。Gemini、ChatGPT 以及其他模型都在朝那个方向走。分发是另一项资产：全球只有两三家公司能触达数十亿人，Facebook 旗下的各项产品、苹果和谷歌，它们既有产品功力，也有 AI 功力。更难的问题在于钱。搜索是一门广告生意，靠的是在查询词旁边展示文字链接。当有人输入“全世界最好的蓝裤子”时，他这时并不在做学术研究，快要下单买了。

如果智能体替你订下最快去罗马的航班，或者买下那条裤子，那么广告就不再是线索了。用营销的话说，大多数直接响应型搜索，都是成交之前的线索生成，而人们为成交的订单付的钱，远多于为一次点击付的钱。“也许商业模式的转变，就是不再给我线索，而是通过智能体给我完成的交易。”他并不假装有人知道这种模式会是什么样子。他从内部经历中记住的是一个习惯：先让产品被大规模使用，一种模式往往就会随之出现。多年来，没人知道 YouTube 会怎么赚钱，而 Netflix 看起来才是流媒体的赢家。如今 YouTube 的业务规模，已经超过地球上大多数流媒体玩家。他相信他们会找到这种转变的答案。他还认为，智能体式挑战比生成式 AI 的挑战大得多。

Arora 说，过去三四十年的软件工作，主要是在打磨用户界面。产品经理是“加强版的 UI 管理员”，负责把普通用户与界面背后的工程算法对接起来。Expedia 就是一排排方框，因为没有哪个旅客会为了找一班航班去写 SQL。生成式 AI 已经让人们可以用自然语言和这个界面对话。下一步要做的，是把表单整个跳过去。“其实我不需要再去和界面打交道，我的智能体可以替我把事情办了。”

他刻意给出一个数字。iPhone 和 Android 上有超过五百万款应用；他估计其中一半是交易履约类应用，它们的工作是收集数据，然后返回一个结果。如果这些动作都变成智能体式的，与其问哪款应用能占住主屏幕，不如问谁站在最上层：“谁是那个 Uber？”谷歌的传统广告收入以直接响应为主，而非品牌广告，所以这对搜索来说并不是边角问题，它就是同一条漏斗。在世界安定到一个新的稳定模型之前，他预计会有一场混乱的重写：有些消费级应用会存活下来，有些会收缩成 API，或者变成 MCP 的客户端－服务端调用，“我们已经不再叫它们 API 了”。

Gil 问，谁最脆弱。Arora 没有含糊。最暴露的产品，是那些对界面忠诚度很低的产品，“前端很薄，后端实际上就是一个交易处理系统”。他的妻子正从印度飞回来：只要她能上飞机，有人会在乎这张票是哪家旅行网站开的，或者是哪个航空品牌的流程吗？你在乎餐厅是谁帮你订的吗？当最终形态只是一个裹着非产品类品牌体验的交易界面时，这些业务会最先受到冲击。他认为，最终站在每个智能体之上的那一方，就会是下一个 Uber。这个行业甚至还没有就“智能体究竟是什么”达成共识。

Guo 摆出了 OpenAI 的两个押注：消费者为智能付费订阅，这一点的效果之好，让很多人都感到意外；以及实验室希望把“工作”卖给企业，以更难的思考为计价单位，而非按席位收费。Arora 认可消费者这一面，然后又给企业版泼了冷水。消费者能容忍糟糕的回答，然后重新提问，并且会以为是自己问错了。企业却不会这样。如果一个大语言模型关错了服务器、把业务搞瘫，“哎呀，抱歉”不能成为定价模式。他说，目前还没有人把精确的任务或精确的操作交给模型自主完成。它们不过是“加强版的助手”，用在那些可以接受多种答案、并且有人在环路里的地方。等输出足够准确时，再按工作量收费。在那之前，他预计会出现的更像是“AI 即服务”，而不是 SaaS。他开玩笑说，这个缩写叫 AIS，听起来比 SaaS 还要糟糕。

编程是那个证明这套顺序的例外。开发者会接受一个做到 75% 的代码，然后自己把剩下的完成，这本来就是工作的一部分。其他职业没法这样运作，所以实验室都从编程开始，之后才谈测试、金融或其他垂直领域。早些时候，Arora 曾给谷歌云的 Thomas Kurian 打电话，询问小型领域模型的事，得到的建议很直接：别去追网络安全专用模型，因为大模型会变得聪明得多，小模型跟不上。后来一家竞争对手宣布了一个专门针对安全的模型；他说，那次宣布并没有带来什么结果，而 Palo Alto 也没有走那条路。他和 Gil 都同意，前沿模型之间的推理能力正在趋同。买最聪明的模型，就像雇一位全球最聪明的博士。可这位博士第一天还是没法在 Palo Alto 工作。制药、遗传学和网络安全，不像代码那样有公共领域的数据——仅凭网上已有的内容，模型在编程上就能达到约 90% 的智能水平。领域数据才是稀缺的投入。

这也是为什么薄包装注定会失败。如果一家 AI 即服务公司只是增强模型，或者在模型外面加上护栏，“你最大的风险，是模型慢慢扩展到这些能力上，而你就不再有生意可做了”。他说，每一家持久的 SaaS 公司，都是把工作流和记录系统打包在一起的。HR 系统的核心不在那些界面，而在锁住的数据表里：它们记录着 Nikesh 的薪酬、他什么时候休假、他的股权是什么样子，以及何时归属。模型不会变成那个记录系统。交互方式可能会从表单变成智能体，但专有数据表依然留着。他已经用 ChatGPT 处理过法律合同，发现“完全能用”，对做“读合同 AI”产品的人，这是一个警告。通用的跨企业工作，比如法务和应付账款，应该去租，而不是去建。他对自己团队的指示很直接：总会有人为所有人把这些东西做出来，而且买会比自己做便宜。在 Palo Alto 买下任何这类产品之前，他们有一半的时间花在安全问题上：数据是我的吗？你们会拿它来训练吗？然后再做测试，因为 FDA 试验数据和源代码，不能放进多租户的“大杂烩”里，去帮别人的模型做事。

在公司内部，他对谁会被替代同样很具体。他怀疑，智能体说服 CIO 的速度，不会比带着产品上门的销售快，所以一线销售团队并不慌张。发冷邮件的 SDR（销售开发代表）可能会遇到一个新的反制智能体，它的工作就是“拦截所有 SDR”。行政类工作会最先被取代：他手下有 200 人在做文档工作；如果模型能做掉 90%，就只需要一小批懂 AI 的人来写护栏和模板，他由此会得到 200 到 400 个基点的效率提升。他很希望智能体能去消化 Salesforce 和 SAP 中那些优秀工程师都不愿碰的技术债务。他不会放走优秀的产品人才，他们只需要跑得更快。客户支持则是他希望几乎消失的职能。“客户支持之所以存在，是因为我们做出了糟糕的产品。”他把支持团队搬到产品团队旁边，并告诉各团队，在开发下一个功能之前，先修掉这个 bug。北极星目标是在两到五年内，在整个行业里把支持工作量削减 80% 到 90%，因为质量本该随之提高。他看到过一个编码智能体，在 Palo Alto 的安全代码里找出了一个漏洞，这个漏洞本会潜伏到上线才被发现；它还把 500 行代码精简到了 75 行，并解释了一段十五年前、没有注释的代码。他补充了一个限制条件：“愚蠢没有解药。”没有优秀的人和护栏，AI 只会更快地产出垃圾。他还问了一个他显然认为早已有答案的问题：谁愿意自己的孩子，从小就听着自己无力修复的抱怨长大——“挨了一拳，却还不了手”？

Guo 问，网络 AI 真正有意思的地方在哪里：SOC 自动化、渗透测试、把模型嵌入现有产品。Arora 从再往下一层讲起。安全行业向来擅长阻止已知的坏东西，比如有名有姓的攻击者，或者已知的恶意软件家族，而对于看不见的东西束手无策。“我无法阻止我看不见的东西”，所以五年前，Palo Alto 有意押注，要尽可能多地占据控制点，这也是它现在有了 SASE 产品和终端产品的原因。在 AI 的世界里，传感器依然重要。它们能阻止已知的坏东西，还能收集你找出未知威胁所需的数据，而大多数入侵，恰恰就发生在这些未知的威胁里。

然后他给这种新的物理学标上了数字。如果你把自己的说法当真，一个恶意行为者应该能把智能体放到企业的每一个暴露面上，找到漏洞，模拟路径，并在几分钟之内、或不到一小时之内外泄数据。七年前，这一连串动作要花三到四天。如今最快的案例是 23 分钟。能让终端瘫痪的勒索软件，同样可能在这一时间窗口内发作。而平均响应时间仍以天计。他说，这种压缩，是 AI 带来的最大威胁：它缩短了让一家企业瘫痪、窃取数据或造成经济混乱所需的时间。客户要把基础设施整理好的压力，因此又增加了。

正门并没有变得更安全。他说，89% 的攻击始于凭证盗窃，也就是有人冒充了你。人们并没有变得更擅长识别社会工程学，而模型现在可以写鱼叉式钓鱼邮件、克隆声音、生成深度伪造。大多数形式的双因素认证都在走向失效。一家银行曾打电话给他，用三个冷僻的个人问题核实身份；而 ChatGPT 或 Gemini 只要抓取公开网页，一秒钟就能答出来。渗透测试也正在以同样的方式被重写。他认为，有一半的公司跳过它，因为害怕会发现什么，只做最低限度的合规。自动化工具现在可以持续地敲遍每一扇门。Palo Alto 对自己全年无休地这样测试（7×24×365），而且不借助任何第三方，因为安全公司一旦被攻破，就是生死攸关的事件。

他提出的防御方案，不是一个更好的登录方式。每一次社会工程学得手，最终都会在企业内部表现为异常行为。“Sarah 突然决定把 Elad 公司的全部数据都外传出去”，而她过去多年只给他发过邮件。Guo 一本正经地说：“这件事上周真的发生过。”你可以花一辈子确保没人能冒用 Sarah 的身份，也可以在她开始把所有东西都下载到笔记本电脑上时，把她拦下来。这就是为什么他们要收购一家身份公司。今天的身份产品在门口检查你一次，之后就放你四处走动。他想要的是即时授予的权限，而不是持续性的权限；并且他希望系统能注意到，Sarah 七年来从来没有这样做过。他甚至想去掉第二因素：观察你的打字方式，节奏一变就拦下你。

Gil 转述了一位朋友的话，那位朋友在一家大型金融机构负责安全：他们用了 118 种身份工具。Arora 笑称，这个行业有一场身份危机，随后又认真对待这个数字。网络安全是科技行业中最年轻的行业，大约有 25 年历史，因为在联网之前，它根本不存在。每出现一种新的坏东西，就催生一种点状解决方案，所以企业现在要同时运行几十甚至上百家供应商，每一家都在收集和重新分析同样的数据。能力会商品化。“造防火墙并没有什么天才可言。上下浮动 10% 之内的防火墙，做的都是同一件事。”他的工作划分是：80% 的能力应当放在一个平台上，其余 20% 可以先作为附加组件，直到平台把它们吞掉。一年前，没人谈 AI 安全。现在，创业者们在推销提示词注入防御、模型恶意软件扫描、数据投毒检测，以及智能体攻击防护。他说，这些功能会变成平台上的一项条目，就像过去五年的大众化问题正在被吸收一样。

点状工具世界的运行失败，问题出在上下文上。一封钓鱼邮件到达网关；邮件产品把它标记为可疑，并要求有人去调查。员工点开链接，离开了那款产品，穿过防火墙，结果丢了凭证。防火墙对上游发生的事情一无所知。客户不想要一份长达 5000 项的待调查清单，这正是创业公司争相打造调查型智能体的原因。Arora 的押注与事后包裹 SOC 的做法正相反：整合企业数据，在数据摄入的环节就运行机器学习，重建攻击链，而不是把一个队列丢给分析师。他认为，那些围绕大语言模型做安全 AI 包装的创业公司，会被那些已经掌握传感器的公司越做越强的能力挤压。CRM、ERP 和 HR 都已经收敛为单一平台，没有人会同时运行两套 Salesforce、两套 Workday 或两套 SAP。如果安全行业想要成为一个成熟的行业，它也必须以同样的方式成长。

这同时也是一个损益表（P&L）层面的论证，而不仅仅是架构上的论证。在营收不到十亿美元的企业软件公司里，50% 到 65% 的成本是销售、营销和客户支持，几乎没有利润空间。在最大的公司里，这一比例会降到 30% 左右。研发支出稳定在 12% 到 16% 之间，管理费用（G&A）大约在 4% 到 8% 之间，即使营收扩大也是如此，因此杠杆几乎全部来自向已经信任你的客户卖出更多产品。Arora 说，这是他带着的一个教训，即 Larry Page 的教训：科技公司一旦失去对产品的关注，就会随时间逐渐衰落。旁边还有一条业务上的教训：如果一位销售花了三个月才争取到一次会面，而客户说防火墙五年内都够用，那么这次沟通就结束了，除非他的产品包里还有别的东西。他带着四款产品进入公司，把产品线扩展到 24 款，在 Magic Quadrant 中被提及 44 次，如今又把这套目录整合进三个平台。他告诉客户，每个平台的迁移历程需要两到三年。从 118 种工具变成一种，会让那家金融机构的 CISO 目瞪口呆；三种则是买家承受得起的数字。

收购是平台的另一半。Palo Alto 已经收购了 27 家公司，并且正在等待对其最大一笔收购，即身份公司 CyberArk，的批准。Arora 拒绝把它称为并购。他把它叫作“分布式研发”，并公开感谢风投生态：风投资助实验，他挑选那些有效的。他们做过一个 AI 防火墙，用来隔离企业的模型实例，之后才意识到，他们并没有去检查模型本身是否带有恶意软件，也没有对它们持续进行红队测试。模型的输出是不确定的，同一个问题，一周后可能得到不同的答案，所以每一条回答都必须检查。为了弥补这一空白，他们收购了 Protect AI。他们的规则很一致：只买某个品类中排名第一或第二的公司，因为第三和第四不会打磨成领导者；大多数情况下，要让被收购的创始人继续掌舵，因为他们在资源更少的情况下，已经跑赢了 Palo Alto。“来自风投社区的研发即服务”，他说，帮助非常大。他并不认为自己的公司拥有世界上所有的智慧，也无法同时解决每一个新问题。

Gil 问，从谷歌高速增长的那些年里，究竟有哪些东西被带到了一家几乎每年都能新增与其原始企业价值相当的安全公司身上。Arora 从市场讲起。他们讨论过的每一项业务，都位于一个远大于任何单一公司能触及范围的 TAM（潜在市场规模）之中，而他是“成长型业务的超级粉丝”。他讨厌对处于下行曲线上的东西进行重组。他坚持认为，人才并不是稀缺的投入。没有人一觉醒来就打算把工作做糟。你完全可以让一群人，把火箭送入太空，而且比 NASA 更快。伟大的公司与平庸的公司之间的区别，在于是否有人理解了市场，设定了北极星，获得了真正的认同，谈论的是“为什么”而不只是“是什么”，然后给人们足够的资源去完成工作。在他的描述里，自己的工作是战略、找到合适的人，然后充当他们的盾牌，不断挡住坏事和阻力，免得它们拖慢你们的速度。

他真正改变的一项做法，来自黄仁勋：大约 40 名直接下属，而且不做一对一会议。Arora 读到这一点后，把自己的员工会议从八个人扩大到了 25 人。它解决的问题，在他看来是信息的转译。他并不总能确定，自己的高管是否向团队讲清楚了“为什么”；而由他亲口说出来，就能去掉一层误解。他认为，沟通在组织中常常被低估。他的 360 度测试，是每两周与 50 名员工见面并提问。他发现，比他低四五层的人，并不理解公司为什么要做某件事，这就意味着他们要么做法不同，要么根本不做。他认为，野心不需要鼓舞演讲。人天生就有野心；他从没听过有谁说自己已经“做完了”。能让战略争论平息下来的，是一块记分牌。如果股价在过去七年里没有涨到六七倍，“内部会有很多人提出疑问”。

让他真正放不下的，是一件更实际的事：Palo Alto 存在的意义，就是在客户全面部署新技术之前，先把它保护好。因此，对 AI 如何演进的一个错误判断，会把整家公司带到错误的方向上。录制那天，他正在与云服务商讨论如何保护智能体，却连两个人都无法就同一个定义达成一致。他们会用 MCP 吗？不会，他们有的是“connectors”，细看之下其实就是 API 调用，也就是大家过去一直叫作 API 的东西。身份到底在哪里注册？权限如何委派？他对这种迷雾的回应，是设立一个常设工作组：六到七个人，每天两个小时，读完所有他们没讨论过的内容，把它们争论成一幅图景，再据此设计产品。如果他们想成为首选的安全合作伙伴，就必须站在最前沿，并告诉客户，这个问题正被解决得比任何人都快。

Guo 问，他是否把 AI 当作一种社会力量来思考，而不仅仅是产品路线图。他接受了她早先的玩笑，承认他是她认识的最乐观的安全人士，并把这种乐观延伸到网络安全之外。硅谷的热度再次变得明显，饭桌上的话题多是政策、包装层、模型和基础设施。每一次技术革命都是一把双刃剑，那这一次为什么会例外？你必须相信，好人多于坏人，而且好人会把坏的用途控制住。会有坏事发生，我们大概率还是能找到绕过它们的办法。“我们熬过了一场疫情。”乐观并不能抵消 23 分钟的时钟。正是这份乐观，让他认为防御仍有可能追上，前提是公司别再用为更慢的攻击者设计的日历来运行事件响应。