CrowdStrike 執行長 George Kurtz：新的頂級掠食者是「代理人國家」，攻擊靠的是提示詞而不是惡意程式

CrowdStrike 共同創辦人暨執行長 George Kurtz 這次上 No Priors，跟主持人 Sarah Guo、Elad Gil 談 AI 代理人進入攻擊者手中之後，資安世界變成什麼樣子。他的核心判斷很鮮明：過去最危險的是國家級駭客，現在站上食物鏈頂端的是「agent state」，也就是被 AI 代理人武裝起來的攻擊者。但他對網路的未來並不悲觀，反而認為這是資安第一次從煞車變成油門。

攻擊者金字塔被壓平了

George Kurtz 用「痛苦金字塔」描述攻擊者的分布：底層是人數最多、能力最弱的駭客行動主義者，中間是網路犯罪集團，頂端是少數但最老練的國家級行動者。他說這個結構已經被打破，原本只有國家級團隊才有的技術與資源，現在一個駭客行動主義者也拿得到，因為沒有防護欄的模型把複雜的攻擊手法和成本一口氣壓平。

結果是漏洞被找到得更多、攻擊來得更快、一波接一波。CrowdStrike 追蹤的「突破時間」，也就是攻擊者落地第一台機器後橫向移動到下一台的時間，過去以天或小時計，現在平均 29 分鐘，最快看過 27 秒。他形容現在比的是推論速度，而且要記住一件事：攻擊工具已經不是惡意程式，而是提示詞。每一組提示詞都能產生獨一無二的行為軌跡，傳統的特徵比對很難抓。他也提醒，目前 AI 攻擊還很好認，因為迭代速度快得不像人，但攻擊者遲早會學會放慢、低調行事。

從地區來看，他點名北韓特別活躍，主要目的是替經濟弄錢，手法多半圍繞勒索軟體；中國的行動者則大量使用 AI。CrowdStrike 習慣替國家級團隊取動物代號，俄羅斯是熊、中國是熊貓、伊朗是小貓。

攻擊者偏愛開放權重模型

被問到攻擊者實際在用什麼模型時，George Kurtz 說大多是開放權重模型。他半開玩笑地抱怨，最新一代前沿模型的防護欄嚴到「連做一份跟資安有關的簡報都會被拒絕，還會把你降級到比較弱的模型」。反觀 GLM、Qwen 這類模型，或是被移除防護、專為紅隊打造的版本，處理資安任務都很有效。

他還自曝家裡放了兩台 Nvidia DGX Spark，所有模型都在本地跑，想做勒索軟體、做整套勒索工具包都沒問題，而這距離直接在筆電上跑只差一步，新一代 Mac Studio 也會是很強的 AI 機器。他的結論是，攻擊的最前線會是那些可以在本地、不受防護欄限制執行的模型。

Hugging Face 事件的真正教訓

談到最近的 Hugging Face 事件，George Kurtz 先反問主持人的心得，再給出自己的看法。外界多半把它視為第一起端到端的代理人攻擊，關注那些代理人如何隱藏自己、想辦法延續到下一代，這些都沒錯。但他最大的體悟是：防守方沒有和進攻方同等的能力。那次實驗把防護都關掉，代理人最後逃出了沙盒；Hugging Face 第一時間去問前沿模型「這是真的嗎」，卻被拒絕，最後只能改用開放權重模型去篩資料。

所以他認為，必須確保防守方手上也有前沿等級的防禦型 AI。這也是 CrowdStrike 打造 SafeMind 的原因。

SafeMind：紅藍模型在數位分身裡對打

George Kurtz 說，CrowdStrike 在「超級智慧實驗室」這個詞流行之前就成立了自己的資安版本，還得意地說這次算是押對了。SafeMind 是一整套系統，包含紅隊模型 Tempest 和藍隊模型 Solano，與 Nvidia 合作開發，藍隊主要以 Nemotron 為基礎，再用 CrowdStrike 十多年的資安資料做後訓練。

關鍵設計來自 Jensen Huang 的堅持：其他產業都有數位分身，資安也該有。CrowdStrike 把對客戶環境的了解在虛擬世界中重建，讓 Tempest 不斷嘗試入侵，直到 Solano 識破它的手法、Tempest 用完回合為止，如此反覆循環。他認為這是跟上攻擊迭代速度的唯一方式。

至於為什麼不直接用前沿實驗室的模型，他的答案有三層。第一是成本：以一般修補任務來說，用最高等級的前沿資安模型大概要 10 美元，CrowdStrike 的模型約 3 美分。第二是資料：「資安資料沒有 Reddit 可以爬」，合成資料比不上真實的威脅與漏洞配對、攻擊鏈紀錄。第三是信任與 AI 主權，客戶不希望敏感資料流向模型實驗室、被拿去訓練。他也強調不排斥前沿模型，SafeMind 可以接前沿模型，也可以在多個模型之間路由，重點是讓客戶自己選。他還補了一句：信任是一滴一滴累積，一桶一桶失去的。

他也特別點出外掛框架（harness）的價值，幾乎任何模型套上他們的框架，都能用低很多的成本得到更好的結果。

平台布局：從 EDR 到 AIDR

George Kurtz 提醒，如果還把 CrowdStrike 當成端點防護公司，那是舊印象了。公司從創立時的一個模組，擴展到現在 33 個模組，涵蓋雲端、IT、身分等領域。最新的重點是 AIDR：AI 代理人本質上像一個超級人類，有身分、有算力、能存取資料、能連網，所以要先找出企業裡所有的影子 AI，再從代理人誕生那一刻開始記錄它做了什麼，包括子代理人、工具呼叫、連到哪個 MCP 伺服器、拉了哪些資料，最後再加上政策與阻擋規則。

他提到一個數字：平均每位員工可能有 90 個代理人，他自己還覺得這個估計偏低。從商業角度看，這個市場可能比 EDR 還大。他也觀察到，過去企業不會讓任何人隨便下載程式來跑，現在卻把自己的身分交給代理人，讓它想裝什麼套件就裝什麼，丟個任務出去幾天後再回來看，期間沒人盯著，也沒人真的讀那些上線的程式碼。

企業正在轉向開放權重模型

談到兩年後的資安世界，George Kurtz 預期本地模型會普及，形成「本地模型加上最後一哩路由到前沿模型」的混合架構。他說幾乎每天都在跟 CIO 聊，那天晚上還要跟紐約一家大型銀行的 CIO 吃飯。對方的說法是：當初全力投入 AI，結果帳單失控，「token 吃到飽」在大家收到大帳單後就停了。開放權重模型就算落後三個月也夠用；對方知道他是 F1 迷，還說只有「F1 等級」、真正能賺錢的任務才會丟給前沿模型，其他都自己做開放權重模型、自己後訓練。

一家前五大金融機構的大型技術採購方也有同樣的體會：組織根本無法每十天吸收一次新模型發布，落後三個月反而還比受監管的內部節奏快。George Kurtz 認為開放模型會長期是重要的一塊，並且把它類比成 Linux：網路的作業系統是 Linux，AI 也會有自己的作業系統，很可能是開源、開放權重的。這不代表前沿模型沒有空間，但他直言前沿模型正在被商品化。

談到蒸餾，他先反問：前沿模型當初拿那些資料時又是在蒸餾什麼？對話隨即冒出「這就像好酒，三重蒸餾」的比喻，他笑著接話：「就是三重蒸餾，那蒸餾到底從哪裡開始？」他的看法是精靈已經出瓶，蒸餾很難完全擋住；他也認為應該給予肯定，在拿不到足夠晶片的情況下還能做出頂尖模型，美國以外確實有創新。因此他認為美國需要有好的開放權重模型，這也是 CrowdStrike 選擇 Nemotron 的原因之一。

「把網路關掉」是無稽之談

對於部分技術圈認為網路一年內會崩壞、關鍵系統必須全面實體隔離的說法，George Kurtz 直接回答：這是胡說。他承認代理人帶來的風險很嚴肅，該上鎖的就要上鎖，但代理人並不會從你的電腦「傳送」到另一台電腦，它做的是人類做過的事，只是更快、更好。AI 帶來的是更多漏洞、更快的利用，而不是一種全新的攻擊類別，因為它是用我們已知的東西訓練出來的，還沒有發展出自己的手法。他認為這股末日論並不必要，資安反而會成為 AI 的推進器，大家來找 CrowdStrike 不是要放慢，而是問「怎麼讓 AI 安全，好讓我們跑更快」。

他也很樂觀地看待防守方佔上風的可能。他回到自己合著的《Hacking Exposed》：讓大家看清楚攻擊怎麼做，防守就會更好。只要防守方的能力比攻擊方好一點點，從數學上看就會有優勢。防守方的天然優勢是了解自己的系統、手上有架構圖、有程式碼，問題是如何把這些全部餵進 AI，提高智勝攻擊型 AI 的機率。「對抗 AI 唯一的方法，就是更好的 AI。」

當談到代理人寫程式是否能讓軟體更安全時，他分享了一個好笑的親身經驗：他自己有開發者授權，會用 Claude 寫小工具，再用自己的資安代理人審查程式碼，結果是 Claude 剛寫完程式，又用資安應用告訴他這段程式不安全，「那你一開始幹嘛這樣寫？」他的重點是，就算漏洞歸零，入侵還是會發生，因為很多攻擊者不是闖進來，而是直接登入，身分才是大問題；加上像 Microsoft 為了向下相容留下的長尾，舊軟體不可能一夜修好。

給大公司執行長的建議

被問到大型上市公司如何在這個時期保持敏捷，George Kurtz 說首先要承認營運模式和節奏已經不同。AI 原生公司只有少數幾人，Claude 整天在跑，大公司若還用瀑布式開發、一年後才交付，會被淘汰。他的做法是組小型突擊隊，例如 Falcon Guardian 這個產品，他親自每週參加三天會議、參與設計，回到新創的狀態。

第二是想清楚護城河。CrowdStrike 是資安的記錄系統，手上有客戶多年的資料，而且是資料的淨產生者，端點感測器每天產生大約 7 兆筆事件，而資料正是 AI 的命脈。他也提醒自己，CrowdStrike 當年顛覆了 Symantec、McAfee 那一代，所以永遠要先顛覆自己。最後回到客戶：客戶要的是受到保護、信任供應商、成本划算，而且不想為了管資安在「七個主控台、六張椅子」之間跑來跑去。他當天早上剛見完一組正在合併的兩家公司，選擇 CrowdStrike 的理由就是部署容易。

我的看法

這集最值得記住的觀點，是「攻擊是提示詞，不是惡意程式」。它代表以特徵碼為核心的傳統防護會持續失效，資安的價值會往行為監控、身分管理與代理人可視化移動。George Kurtz 自然有替自家產品說話的立場，但他提出的幾個數字很有參考價值：29 分鐘的平均突破時間、3 美分對 10 美元的修補成本、每位員工 90 個代理人。這些都指向同一件事，代理人的數量與速度正在把資安從人力服務推向全自動化的算力競賽。

另一個訊號是企業端對開放權重模型的接受度。從大型銀行 CIO 到前五大金融機構，「落後三個月就夠用」的態度若成為主流，前沿模型的定價權會受到壓力，本地推論與邊緣 AI 的硬體需求則會上升。

這對讀者代表什麼

• 企業導入 AI 代理人之後，資安預算的重點會從端點防毒轉向代理人監控、身分權限與影子 AI 盤點。
• 攻擊速度以秒計，靠人工值班的資安營運模式會越來越吃力，自動化防禦會是標配。
• 開放權重模型同時被攻擊方與防守方大量使用，模型選擇本身就是資安決策的一部分。
• 對一般使用者而言，「登入而非闖入」的趨勢代表帳號與身分保護比以往更關鍵。

未來投資可以留意的方向

• 資安平台型公司：觀察 CrowdStrike（CRWD）AIDR、身分防護等新模組的採用率，以及模組數擴張對每位客戶營收的貢獻。
• 身分與存取管理：代理人身分治理需求上升，相關廠商的產品布局值得追蹤。
• 開放權重模型生態：Nvidia Nemotron 等美國開放模型的採用情況，以及企業後訓練、模型路由工具的需求。
• 本地與邊緣推論硬體：DGX Spark、高階 Mac、手機 NPU 等本地 AI 算力的需求，以及專用晶片的進展。
• 前沿模型的定價壓力：企業轉向開放權重模型的速度，會影響前沿實驗室的企業營收結構。

來源（聽後整理）

• YouTube：https://youtu.be/PST8yesYOSo
• 主持人：Sarah Guo（Conviction 創辦人）、Elad Gil
• 受訪者：George Kurtz（CrowdStrike 共同創辦人、總裁暨執行長）

非逐字翻譯、觀點整理，不構成投資建議。