文章总结： KevinMandia创立Armadin提出AI时代安全范式变革，主张以自主进攻AI（ArmadinRed）模拟高强度攻击以训练防守AI，发现大量真实zero-day漏洞并推动从传统渗透测试转向持续红队演练；建议企业立即构建补偿控制、强化自主防御体系，并重视模型安全护栏与日志审计，以应对AI加速攻击带来的暴露窗口。 综合评分： 92 文章分类： AI安全,渗透测试,实战经验,安全建设,漏洞预警

Building Defense for the Agentic Era: Kevin Mandia

不吃猹的瓜

2026年10月7日 22:23 日本

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

距离上一次发公众号又是两个月前了，因为两个月太太太太忙了。昨天刚好听到了The a16z Show与Kevin Mandia最新的播客，于是赶紧爬上来水一篇。公众号是直接用Skill转的，看了一眼还行，但没仔细校对。感兴趣的读者建议关闭公众号去听一下这个播客，公众号的名字就是播客的名字。

Kevin Mandia 在网络安全行业干了三十年，创办的 Mandiant 后来并入 Google。五十多岁的他本来在做风投，今年又以创始人兼 CEO 的身份回到场上，公司叫 Armadin。

他对这次 AI 换班的看法很直接：我做过的一切都死了，其他一切都是新的。这期节目里，David George 和他聊了攻击从人的速度变成机器的速度之后会发生什么：为什么 AI 一上来就让进攻占便宜，为什么防守也只能变成自主的，Armadin 今年在客户现场找到九十多个 zero-day 学到了什么，以及为什么未来两年网络安全的每一层技术栈都会被重做。

一、五十多岁重新上场，Mandia 要造什么？

Armadin 的想法最早来自另外几位创始人 David Slater、Travis Lanham 和 Evan Pena，是他们来找 Mandia 讲的。他看中的是人：Travis 是一代人里才出一个的人才，David Slater 在褒义上是个“怪胎”，Evan Pena 在本行非常出色。他说自己五十多岁本来不会再创办公司，也谈不上热爱创业。听完这个团队讲，他的反应是：我们必须做这件事。在安全行业干了三十年，整件事马上要变了，他不想坐在场边错过。

Armadin 用前沿模型（frontier models）在进攻侧测试一件事：你有没有可被利用的风险。这条产品线叫 Armadin Red。几位创始人一开始就判断，好人必须造出进攻性的“网络大炮”对准网络开火，未来是好人造的进攻 AI 和好人造的防守 AI 一起训练，两样都得有。

所以第一幕是成为全世界最会找可利用风险的公司。只要比坏人早五分钟，第二幕 Armadin Blue 就接上：拦住它，上补偿控制，扎止血带。Mandia 管这叫 force field，一道 AI 时代抵御 AI 攻击的力场。

他用橄榄球打比方。你在这件事上没有防守可言，你只有一支很强的进攻可以对练。想成为 2000 年巴尔的摩乌鸦队那样的防守，就得让训练赛里的进攻把你逼到极限。Armadin 要当冲着你来的那支全明星进攻阵容。

二、AI 攻击和国家级黑客有什么不同？

眼下是一个奇怪的窗口期，野外已经能看到 AI 攻击，水平却不像预期那么高。Mandia 在野外从没见过 Armadin 已经造出来的东西：两万五千个智能体协同工作，做很聪明的事，不跑去漫无目的地乱钓鱼。

AI 攻击很快就能认出来。人类入侵是从 A 点到 B 点再到 C 点；AI 会攻进 A，横向移动到 B，接着又回头去攻 A。他的评价是，我懂无人机蜂群，但你大概可以协调得更好一点。

差别首先是规模。人类攻击者资源有限，只能挑一条路进网络，AI 的规模是人类理解不了的量级。其次是速度，AI 一微秒做的事，七十个人都做不完。

Armadin 做的事也不需要最炫的模型，不需要它会四百种语言。找漏洞面对的是代码，一种结构化的语言和流程，AI 会非常擅长。所以“我们放慢模型吧，我们不想要网络风险”，太晚了，开源模型已经够用。

犯罪攻击还没爆发，是因为用真名很难犯罪。一旦能匿名拿到 GPU，犯罪攻击会多得多。他顺口给罪犯提了个建议，匿名犯罪，比穿着印了自己名字的球衣去犯罪聪明多了。按他的说法，AI 主导的攻击还在第一局，因为模型的成本和可得性对犯罪分子还不够友好。

Mandia 三十年里每天都在跟国家级攻击打交道。国家为间谍目的出手，用的是狙击子弹，目标收窄，往很具体的地方深挖，比如三十家国防承包商，或者 .mil。

有了 AI，这更像无人机蜂群。连国家都在想新的规程：要攻这家公司，是不是放一群蜂过去，在它身上烧 token？这样更乱、更吵，但可能更有效。现在的 AI 进攻并不隐蔽，除非做了大量后训练，还有人在环里盯着。只给一句“去黑 abc.com”，AI 做不到隐蔽又聪明。

更普遍的后果是，能力差、技术差的攻击者会看起来成功得多，AI 是均衡器。防守方会发现自己在被模型攻击，却不确定背后是一个国家还是一个人，溯源会变难。

三、Armadin Red 凭什么说渗透测试会被取代？

Armadin 的做法叫 hyper attack。Mandia 说这只是个花哨的说法：放一群智能体过去，把你的网络整个映射出来，每个服务、每条路由、每个系统、所有资产。一次 hyper attack 可能拿到 TB 级的元数据，几乎是攻击者视角下的元数据孪生。

之后就像测心跳一样低成本轮询：应用变了没有，路由变了没有，有没有新机器上线？哪里变了，就攻击哪里。一直攻既太贵也没必要，该攻的时候有三种：威胁变了，比如新模型出来；你的网络变了；或者明天开董事会，想先自查一遍。

刚过去的那个周末，一个流行产品出了 zero-day，Armadin 手里已有心跳数据，马上轮询出哪些客户受影响。目标是从一个 CVE 出发，赶在坏人之前判断它能不能被利用。不是所有 bug 都能让人稳定拿到系统访问，要分清哪些拿得到远程命令执行。小网络轮询花不了多少钱，又大又一直在变的网络就得频繁轮询，避免出现暴露窗口。

你本来就在被施压。外面总有犯罪分子拿着一个自认能用的 exploit 满世界随机扫描，可能连 AI 都没用。与其只被一股看不见的恶意力量压着，不如让好人造的更强的力量持续给你施压。

一年前，Armadin 大概会被归进渗透测试。David George 把这件事和 CrowdStrike 当年把品类从 AV 重新定义成 EDR 相比。Mandia 认为 Armadin 会像 AV 一样无处不在，因为进攻 AI 训练防守 AI 的这道力场你必须有，而且你能做到。

在他看来，渗透测试一直只是扫描已知问题，证明不了你到底能不能被利用，产出的是一长串无关紧要的漏洞清单。老一代的 Tenable、Rapid7、Qualys 更像卫生检查，不碰定制应用。Armadin 要真的把 exploit 跑通，做验证，所以没有误报，拿到 RCE 或者把数据拿出来。AI 攻击还会在定制应用里找逻辑缺陷，时时刻刻穷尽所有路径。

数字是这样的：2026 年 1 月以来，Armadin 在客户现场发现了九十多个 zero-day，全部在生产环境，客户是《财富》五百强级别。模型用真正的红队、真正能写 exploit 的人做了后训练。Armadin 没有源代码可看，也不靠登录拿权限，是黑盒从互联网进来。“大家都说 Mythos 出来了，扫源码能找到成千上万个漏洞。那是噪音。”

通常四十八小时内，Armadin 就会打电话给客户的 CISO：我们在你的 DMZ 拿到了远程代码执行。一般从那里还能继续打进去，对方也认同。修复慢一些，但这些公司会直接进入事件响应状态，当成一次真实事件处理。这已经不是渗透测试，是一个真正的对手在冲你来。如果可以，所有人都会一直做红队，以前做不到是因为太贵、人不够。渗透测试只是红队工作里的一小部分。现在 AI 智能体能把红队做起来，渗透测试会逐步被取代。

九十多个 zero-day 里多数还是人找到的。Armadin 的操作员有十五年进攻、十五年红队的经验，职业生涯里红队过《财富》100 强中的九十九家。没拿下的那一家 Mandia 知道是谁，对方从来没雇过他，他还很喜欢人家的产品。人能找到，是因为 AI 做了百分之九十以上的繁重工作。最近几个 zero-day 已经是技术自己找到的，“我们已经拐过这个弯了”。

四、发现漏洞之后，谁来止血？

Armadin 不能上门说一句“你有漏洞，再见”。Armadin Blue 会拿着可利用风险的信息，和防御平面合作，无论是终端上的 EDR 还是防火墙，高速生成补偿控制。Armadin 比别人早五分钟发现一个攻击，你就已经被保护了。

这些防护头几个月可能比较粗糙，一年后会成为标配，因为不管好坏，你都得自主防守。他的取舍是：宁可一个糟糕的补丁挡住坏人，也不要一次入侵。永远不要让一个不明身份的人在你的网络上拥有任意访问权限。

第一代产品正在和 CrowdStrike、Palo Alto Networks 一起做，它们都知道这东西必须存在，Fortinet 等防御平台也需要被告知该做什么。Mandia 把它比作战场包扎：有人中弹，你先止血，但那不是医院，之后还要花更多时间、更多人继续处理。就算 CISO 没提要求，自主防御也会通过已经买下的防御平台到来。

SOC 里有整套流程会直接消失。如果检测和响应的环里有人，就会太慢。预防由 AI 来治理，检测和响应由 AI 来做，每个阶段的窗口都在收窄。

但仍然需要某种程度的 onion peel，一层层的系统给系统兜底，假设某个地方一定会失败。Armadin 的力场迟早也会被绕过，有人会在它还没评估过的平台上先做出 exploit。到那时后面得有陷阱，这些陷阱不能靠人守。

Armadin 自己验证过原因。它打进客户网络后，用具备 agent 意识的内网指挥控制，扩散速度令人震惊。Mandia 记得自己当年在键盘上敲命令横向移动，一次做一件事；这东西一次做一千件事。他的比喻是气球破了，你整个防御体系啪一下就没了。所以预防必须做对，检测和响应要能立刻封锁。

每个 CISO 都在审视员工、人头和流程，问自己现代该长什么样。但现在判断最后落在哪里，还太早。

五、为什么说接下来一年注定不好看？

那些大客户的漏洞在快速缩小，因为所有人都在担心。双方都有一种“就在此刻”的紧迫：在伊朗或俄罗斯做进攻的人急着趁现在拿下，防守的人急着补上每一扇窗。

两边都对。AI 时代短期利好进攻，长期看，被 AI 进攻训练、能自主运行的 AI 防守，会比人盯着数据包做得好得多。现在是暴露窗口。Mandia 不知道有哪家大型一线企业没在主动扫描暴露面、实时处理，到处都在打团队篮球，CIO、CISO、产品团队、业务线一起上，发现一个问题就像进了作战室。他的判断是：没办法让明年好看，外面现在是一场数字鸡尾酒会。

Mythos 是最大的那一下。Armadin 很早就看到这一天要来，但 Mythos 时刻从市场传播上让所有人意识到威胁变了，所有厂商都冲出去扫自家软件。在他看来，它的真正作用是让“AI 进攻正冲你来”变成人尽皆知的事，算是一记实锤。

六、一个会攻击的模型，要怎么关进笼子？

David George 问到 Hugging Face 那起事件的教训。Mandia 的经验是，每一次技术形态转变，大家都会低估对手，这次低估的是模型的能力。事后看那件事本可以挡住，加一些确定性的护栏就行。

这是一场登月式的竞赛，研发人员在拼命做模型。连有些 CEO 都在说，我们放不慢，让政府来帮我们放慢，这等于控制不了自己的创新。追创新的研发人员，很难和有能力把这东西关进笼子的安全人员配到一起，因为安全的人没那么懂 AI，AI 的人也意识不到安全的问题。

“别搞错了，Armadin 已经造出了我们都在担心的那头野兽。”它有一套系统专门攻击生产网络，打进去的成功率很高。团队本能地上了 hypervisor，在主机层锁死，加了代理，还悄悄审查每一条 prompt。多数时候 Armadin 杀掉一个智能体，跟安全没什么关系，是它在浪费钱，去追一条已经查过的线。

另一条原则是，假设每一层安全都会失效，用确定性规则直接禁止某些行为。保护在某个领域里行动的智能体，需要这个领域的专业知识，所以 Armadin 把 exploit 开发者、红队和 AI 人员放在一起，评测大多由红队来写。

一个实验结果：Armadin 整理了二十四条真实世界里人类完成过的 kill chain，没有一个模型能完整跑通超过八条。开源权重模型和最先进的闭源模型都停在八条，差别只在速度和成本，让开源模型跑得久一点也能到同一个位置。在网络安全领域，开源和闭源的差距没有其他领域那么大。

取证也要重新学。云刚兴起时，Mandiant 得学会云入侵长什么样；现在要学 AI 入侵长什么样：被用来发动攻击的模型公司手里有多少数据，你希望它们记录什么日志，它们该怎样改变做法，留下更好的审计轨迹。这东西失控时，不应该花两周取证才搞明白。Armadin 记录智能体做的每一件事：源 IP、时间、做了什么，可以倒回去回放。

他整个职业生涯里最奇怪的一件事，就是大家总低估顶层对手，因为你不用每天见到它。你不想制造恐慌，但仍然要尊重自己造出来的技术。“得把野兽关进笼子。”

他的主张是先关太紧，再放一点，找到那条线。限制得太死，就浪费了前沿模型的创造力。所以需要分类器盯着所有出站和入站的东西，Armadin 用人工点赞点踩训练它。这是灰色地带，没人敢说百分之百能得到预期结果。看不懂的返回就暂停、升级、判断。Armadin 至今没出过问题。

七、这一次创业，和 2004 年有什么不一样？

Mandia 第一次创业是 2004 年 2 月，Mandiant 自筹资金，一直盈利。当时的前提没人信，第一版网站写的是“安全入侵不可避免”。他随即更正，第一条标语其实是“你不能只依赖预防措施”，太无聊了。

那个前提是响应每一起重要的入侵，拿到防止它再次发生的先发情报。第一代情报模型是杀毒软件，漏掉了就等用户自己找到恶意软件提交上来，“我妈不会在她的笔记本上找恶意软件”。AV 很容易被绕过，所以 Mandiant 给 AV 做第二层，那也是 George Kurtz 现在占据的位置。Armadin 在他看来是情报的第三波：为什么要等一个受害者出现再去学？你得先找到自己的问题，别等国防承包商 A 被攻破了再赶紧共享信息。旧模式仍然需要，只是不够了。

Mandiant 的哲学是付比竞争对手更多的钱，但你要更拼，人少而精。大约一年前有人给他发短信：恭喜，RSA 主舞台主题演讲里 43% 是 Mandiant 校友。

这一次的不同，他归纳为四条：融资、速度、品牌、go-to-market 的搭建，都要比两年前快得多。Armadin 有一股时速八十英里的顺风，但没有销售团队，没有 go-to-market，没有国际化。第二幕要准备好，第三幕也要排在后面，免得被逼进角落。Wiz 首次发布后十八个月 ARR 超过一亿美元，Armadin 要试着打破这个纪录。

增长这么快，不能让巴士的轮子晃起来。光靠勇气、直觉和胆量赢不了，要马上招能扩展的领导者，把做法程序化，几乎工业化。过去一月的销售启动会培训一次就够，现在 Armadin 每两周就变一次，所以销售每周培训一次。企业安全销售里人还是从人那里买，不能把“你们变了什么”的负担丢给客户。

他参与的任何公司都不以第二为目标。Tom Brady 从没走上场时想，我是这里第二好的四分卫。客户的反馈要直通工程师，你很快就知道自己够不够好。

他最受不了的是混乱。CEO 的工作是把公司的混乱完全挡在员工视线之外，流程太复杂，就告诉员工该去找谁。他不知道知识产权能撑多久，今天做的事，六个月后别人也在做，接下来六个月靠 go-to-market 差异化。

光环来自对的客户，并让他们狂喜。如果有家店叫 Susie’s Cupcakes，你在网络安全上让它满意，它不会给你光环；货币中心银行会，顶级零售商会，航空公司会。所以 Armadin 把一线大企业当作头号重点，解决最难的问题，他认为 Wiz 也是这么做的。

现在的创始人和创业公司比以往都多，而且都能融到钱，不会再有当年 Mandiant 那样旁边没有别人的局面。营销噪音太大，唯一的差异化是拿到客户、让客户满意、重复。他说这等于把商业秘密全送出去了，但没一样是火箭科学，生意一直如此，只是速度更快。Armadin 把所有工程师放在一个房间里，站起来问一句，屋里二十个人就能回答。

他说现在是创业的好时候。网络安全里，未来两年每一层技术栈都会不一样，旧的会被拆掉，一切都得重做。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：不吃猹的瓜 《Building Defense for the Agentic Era: Kevin Mandia》