从“救火英雄”到“防火工程师”：AI正在改写网络安全的底层逻辑

管窥蠡测
管窥蠡测

安在

2026年10月30日 18:44
上海

去阅读

在网络安全行业，有一个看似矛盾的现象：几乎所有人都认同“预防比处置更重要”，但真金白银的投入却始终涌向检测、调查与响应。我们乐此不疲地购买更灵敏的报警器、更快的消防车、更花哨的消防水带，却把安装自动喷淋装置、更换老旧线路、落实建筑规范这类“无聊”的预防工作抛在脑后。

面对这种失衡，美国网络安全领域撰写者、网络安全专栏 Venture in Security 主笔 Ross Haleliuk 近期撰文，借用“消防员”与“建筑检查员”这对精妙的类比，剖析了网络安全市场长期“重救火、轻防火”的结构性问题，并试图解释一个正在发生的巨变。他的核心判断是：当攻击者点火的速度已经超过我们灭火的速度，我们别无选择，只能把更多精力投向“让建筑更难被点燃”。

需要说明的是，这个类比并非 Ross 的原创。几年前，他与 Material 公司的 Abhishek Agrawal 进行了一场令他印象深刻的思想辩论，正是对方率先提出了消防员与建筑检查员的类比。Ross 认为这个类比“绝对精妙”，并在本文中将其延展开来，用以分析网络安全行业正在经历的深刻转变。他在文中也明确表示，这一概念的全部功劳都应归于 Abhishek。

一、网络安全一直是一个“消防员市场”，而非“建筑检查员市场”

不妨先做一个思想实验。设想你所在的城市，把所有消防预算都花在购买消防车、招募训练消防员、为他们配备最好的灭火工具上。每当一栋建筑被烧毁，城市就再购入两三辆新车。久而久之，总会有人开始怀疑：除了扑救，我们是不是还能做些什么，让火从一开始就不要烧起来？Ross 表示，这种质疑几乎是必然发生的——一定会有人站出来做研究，提出“强制安装喷淋装置”“确保每栋楼的安全出口随时畅通”“检查并更换故障线路”“为过载电路加装自动断电机制”等一系列预防措施。在现实世界里，这套逻辑早已被验证：我们确实就是这么做的。

但在网络安全领域，情况截然相反。Ross 指出，看看我们把大部分精力、时间和金钱花在了哪里——绝大多数都流向了检测与响应：EDR（端点检测与响应）、NDR（网络检测与响应）、XDR（扩展检测与响应）、ITDR（身份威胁检测与响应）、SIEM（安全信息与事件管理）、事件响应，以及当下最火的 AI 安全运营中心。这些能力当然都极其重要，但总该有人问一句：我们能不能做点什么，让这些事件根本不发生？

在 Ross 看来，真正能提升企业韧性的工作，看起来枯燥得就像建筑检查：清理不再使用的应用访问权限、修复配置漂移、为系统打补丁、简化架构、落实安全默认配置……这些工作永远不会成为安全会议上的高光演讲，却恰恰决定了企业“烧得起来还是烧不起来”。他打了一个比方：一起网络事故之后，安全团队通常追问“为什么工具没有触发告警”“SOC 为什么在告警堆里漏掉了它”“下次如何防范这种手法”。这些问题当然都合情合理，但想象一下，如果火灾调查只关心“下次如何让警报更响”，却从不深究火灾的成因与预防之道，那将是何等荒谬。

二、救火路线为何胜出：看得见、可度量与英雄叙事

Ross 坦言，行业走到今天这一步，并非没有原因，“救火路线”的胜出有着扎实的现实基础。他梳理了其中几重逻辑。

首先，救火是每个人都能看见、都能听见的，而预防几乎隐形。街道上呼啸而过的消防车耀眼夺目，可你有多久没留意过一位建筑检查员，或者感激过安装喷淋装置的工人？当安全事故发生时，安全团队能顺利拿到更大预算；可如果连续几年风平浪静，他们反而很难开口要钱——公司甚至开始质疑“为什么在安全上花了这么多钱”。这就是 Ross 所说的“救火的可见性红利”。

其次，检测与响应比预防容易衡量得多。当一家企业同时面对两个供应商，一个承诺让你变得更坚韧、让未来的攻击不至于击垮公司，另一个直接展示二十条可疑告警，哪个更容易被量化、被验收、被写进汇报材料，几乎一目了然。Ross 认为，这种度量上的不对称，让采购决策天然偏向“看得见产出”的一侧。

第三，组织设计固化了这种取向。安全行业相当一部分力量围绕 SOC（安全运营中心）团队运转，他们的日常工作就是盯告警、分类、调查、排定优先级。Ross 不无调侃地说，如果你问一位消防员怎样才能消灭火灾，他会订购更好的消防车和更高的云梯，而绝不会想到去检查线路。组织为“救火”而生，自然持续为“救火”配置资源。

第四，行业文化推波助澜。在安全会议上，讲解最新漏洞利用与攻破手法的演讲总是座无虚席，而关于清理身份蔓延、用工程化手段消除某类问题的分享则门可罗雀。Ross 还提到，行业更乐于歌颂那位“当天化解告警的英雄”，却极少表彰一位默默修补了遗留系统、然后“什么都没发生”的工程师——多年前他就曾与 Kym Price 一起撰文讨论过这种“英雄文化”。

第五，也是 Ross 特意补充的一点：预防确实更难落地。就像装报警器远比装喷淋系统、更换线路容易一样，给安全团队买一套现成的检测响应工具，也比改变整个公司的补丁流程要省事得多。

三、网络世界的“建筑检查员”为什么没能解决问题

也许有人会问：网络安全领域难道没有自己的“检查行业”吗？Ross 表示，答案是有的——那就是 GRC，即治理（Governance）、风险（Risk）与合规（Compliance）。市面上有大量标准，要求企业加密数据、记录控制措施、建立补丁流程，等等。

但仅有法规远远不够。Ross 强调，必须设计出恰当的激励，或者说有效的执法机制，企业才会真正在乎这些要求。房地产开发商不会因为“希望人们安全”而花钱安装喷淋装置——他们这么做，是因为没有喷淋装置，建筑就无法通过验收。人们需要被触动到“钱”这个层面，才会真正上心。在网络安全领域，受监管行业做到了这一点，非监管行业则远未达标。

总体而言，Ross 认为，网络安全领域的“建筑检查员”存在两大硬伤。第一是变化速度。建筑规范和线路标准可以长期适用，因为电气技术本身演进缓慢，人类有充足的时间沉淀标准；而在网络安全领域，一切变化得太快，昨天还适用的东西今天可能已经彻底过时——尤其在 AI 加入之后。

第二是“时点检查”的天然缺陷。检查只能证明“某时某刻”的状态属实。建筑是静态的，而我们的应用、用户、权限、补丁等一切都在频繁变动：一朵云工作负载下周可能就会暴露某个服务，即便今天没有。因此，Ross 认为，这种“一次性评估”几乎没有实际价值。

在 Ross 看来，这正是安全工程师与 GRC 人员之间紧张关系的根源。安全工程师常常把合规贬为“无用的打勾”，但事情远比这复杂。想象一下消防员嘲笑要求建筑配备安全出口的检查员——问题从来不是检查员没用，而是环境变化太快，单靠检查远远不足以支撑真正的安全。

四、AI 正在改写数十年的旧现实

Ross 判断，AI 正在改变这一延续数十年的旧现实，而且这种改变更多源于经济学，而非哲学。

对攻击者而言，AI 彻底改变了游戏规则：侦察、漏洞研究、攻击准备等大量工作都可以自动化，攻破一家公司的防线，正在变得像“把一群智能体对准潜在受害者”一样简单。在这样的背景下，Ross 认为，继续增加分析师、优化告警分类的思路已经走不通，“依靠人类来防御复杂环境”的想法已经过时。现在真正重要的是三件事：其一，阻止事件发生——也就是那些枯燥的“建筑检查”工作，比如系统加固、处理技术债；其二，以机器速度响应攻击；其三，以最快速度恢复。

与此同时，AI 也在倒逼组织层面发生变化。代码越写越多，基础设施越建越多，自主行动越来越多，随之而来的是前所未有的攻击面。就像“人工安全”的旧路在新世界里正在崩塌一样，旧的检查方式同样难以为继。

多年以来，大量预防性工作之所以昂贵，是因为它们高度依赖人的理解：要有人去排查、判断需要做什么、厘清依赖关系、找到资产归属人、确保改动不会弄坏任何东西——因为预防必然影响业务运营。无论打补丁、加固云环境还是其他工作，预防的运营成本都高得离谱。

而 AI 恰好擅长这类“上下文密集”的工作：跨系统连接证据、还原原始意图、给风险排序、提出安全配置建议、确保变更落地而不破坏任何东西。Ross 强调，这绝不意味着可以毫无限制地把生产环境权限交给智能体，而是要在运营层面让预防真正变得可落地——因为我们都很清楚，单靠检测的代价从未像今天这样高昂。

五、度量革命与新经济账：预防时代的三个转变

除了攻防两端的变化，Ross 认为，整个行业正在围绕“预防”重建度量方式与商业逻辑，这种重建同样值得关注。

第一个转变，是衡量指标从“响应速度”走向“脆弱性收敛”。过去，行业习惯用告警响应时间、事件处置时长来衡量安全运营的成败；而在预防优先的思路下，更重要的指标变成了漏洞平均存续时间、配置漂移率、攻击面收敛幅度、权限清理进度这类“事前指标”。它们的共同特点是：数字越好看，说明离“火烧起来”越远。这要求安全团队建立新的数据口径，也要求管理层愿意为“什么都没发生”买单。

第二个转变，是CISO的角色从“消防队长”向“城市安全规划师”演进。消防队长的工作是冲向火场、指挥扑救；规划师的工作则是在图纸阶段规避隐患、在预算层面平衡“救火”与“防火”。Ross 指出，这意味着 CISO 需要在汇报中诚实地呈现预防的投入产出——虽然它不像处置成果那样立竿见影，但“缩短消防车到达时间”与“降低建筑被烧的概率”本就是两件不同的事，后者同样值得被量化、被讲清楚。

第三个转变，是供应商市场的叙事更替。过去，厂商的卖点是“给你可见性”，让你知道问题存在；而越来越清晰的共识是：仅仅知道有问题远远不够，还要真正动手解决问题。在合规层面，评估也要从“每年一次”走向“持续进行”。Ross 认为，谁能率先把“预防能力”做成可交付、可度量、可验证的产品，谁就能在下一轮市场洗牌中占据先机。

这三重转变并非彼此孤立的行业趋势，而是环环相扣：指标变了，安全团队的工作重心才会跟着变；角色变了，预算与汇报的逻辑才会跟着变；叙事变了，供应商的产品路线才会跟着变。当三者同时发生，行业看到的就不再是局部的产品迭代，而是一整套围绕“预防”重建的市场机制。Ross 也提醒，这样的重建不可能一蹴而就，它需要行业在激励设计、度量标准与组织文化上持续投入，更需要时间让新的方法论真正沉淀下来。

六、结语

说到底，这并不是一道“要消防员还是要建筑检查员”的选择题。Ross 的答案很明确：两者都需要。我们需要训练有素、装备齐全的消防员，随时准备检测、响应并从事件中恢复；我们也需要专注于设计、标准与事前处置危险状况的检查员，同时清醒地认识到——就像建筑规范要求配备安全出口一样，我们必须为“所有预防都失效”的那一刻做好准备。

这当然意味着大量改变：对CISO而言，是把预防与卫生置于与检测响应同等重要的位置；对厂商而言，是做出真正解决问题、而非只提供可见性的产品；对行业中的每一个人而言，最大的改变在于心态。我们很擅长发现问题，也应该继续保持这份擅长，但接下来，我们要学着像擅长发现问题一样，擅长预防问题。如果火灾的数量注定增长，我们不可能指望靠堆人和堆工具来应对，而应该停下来想一想：如何从源头上降低火灾发生的概率。这，才是网络安全市场真正值得被重新思考的地方。

**END

点击这里阅读原文**