自主性与创新：AI 安全与扩散的悖论
虽然并非所有西部片都落俗套，但到20世纪30年代，牛仔系列剧已形成一套固定视觉符号：主角戴白帽，反派戴黑帽。不过说到底，他们都是戴牛仔帽的牛仔。
如今西部片已不再是主流文化符号，但"白帽""黑帽"的说法在科技界却格外常用：专注于修复漏洞、保护软件的黑客被称为"白帽黑客"，而恶意利用漏洞的黑客则是"黑帽黑客"。当然，实际情况远非如此简单：政府可能雇佣黑客入侵敌方系统——他们算白帽还是黑帽？再看漏洞赏金计划，大型软件公司向发现并上报漏洞的黑客支付赏金，本质是用金钱激励潜在的黑帽黑客转做白帽。
其实核心道理很简单，不必把事情复杂化：就像牛仔终归是牛仔，黑客也只是黑客。帽子代表的不是能力，而是意图，而意图由激励机制决定。攻击基础设施的最佳方式是找到漏洞并加以利用，防御的最佳方式则是找到漏洞并完成修复——二者所需的技能完全相同。
这种"能力、意图、激励"的区分，在AI领域至关重要。在上个月的文章《谁在忌惮中国AI模型》https://stratechery.com/2026/whos-afraid-of-chinese-models/末尾，我提到模型托管平台Hugging Face刚遭遇一场神秘攻击，最终靠开源权重的中国AI模型才成功抵御，并写道：
特朗普政府对Anthropic发布Fable模型的恐慌反应大错特错，尤其这种反应还加剧了Anthropic的偏执——他们认为只有自己才值得信任，能掌控强大AI。如果世界上只有一款AI，那将最强网络安全能力留给美国政府及盟友或许合理，但现实并非如此。
当前及未来，必然存在足以对现有基础设施发动网络攻击的AI模型，而且这类模型已经广泛可用。最佳防御手段——事实上也是唯一可行的手段——是确保防御方也能获取最顶尖的模型。但如今受特朗普政府指令限制，防御方实际上被禁止用Fable或Sol模型开展网络安全工作；这意味着他们只能退而求其次，使用来自一个多年来一直试图削弱我们网络防御能力的国家的模型。这简直荒谬！
正如我在引言中所说：在网络安全领域，有效防御所需的能力，与发起有效攻击的能力完全相同；AI戴"白帽"还是"黑帽"，取决于谁在向它发出指令。
有时就连这一点都难以界定：事实证明，入侵Hugging Face的幕后黑手竟是OpenAI。当时他们正在评估一批不受约束的AI代理的网络安全能力，这些代理在沙箱环境的包管理器中发现并利用了一个漏洞——该包管理器可接入互联网，且文件系统具备足够写入权限，让代理能长期相互通信。从发现漏洞到开发利用工具，整个链条最终引发了所谓的"Hugging Face事件"。
Hugging Face事件
单就这一事件的影响及其对AI风险的启示，就足以写一篇完整文章；我的部分结论仍需等待OpenAI承诺发布的深度技术报告，目前初步判断是：这些代理并非"作弊"，只是在执行指令——当然，这或许更令人担忧https://stratechery.com/2026/openai-hacks-hugging-face-what-happened-alignment-and-paper-clips/。不过今天我想重点谈谈OpenAI的埃里克·华莱士（Eric Wallace）和迈克尔·道尔顿（Michael Dalton）在"黑帽美国大会"（Black Hat USA）上关于该事件的演讲https://www.youtube.com/watch?v=87DyyMV0kCY末尾的内容。以下是道尔顿总结的经验教训：
我们已经看到，攻击者的攻击能力将迎来爆发式增长。这次事件虽非有意为之，但为我们提供了现实例证，让我们得以窥见行业未来不久后的攻击形态。挑战在于，防御能力也需要实现同等速度的提升。如今全自动攻击已成为现实，但核心防御环节的全自动化尚无成功案例。
我们认为，此刻必须加速推进防御能力建设，找到自动化软件开发生命周期（SDLC）的方法，具体包括事件响应、漏洞检测与修复。行业亟需着手解决几个紧迫问题，其中之一就是持续的智能体红队测试。从本次事件可以看出，AI代理非常擅长发现企业基础设施中的零日漏洞。现在的问题是，企业能否投入足够的模型算力与精力，在威胁攻击者之前找到并修复自身漏洞。
未来的运营模式将截然不同，但最终我们需要借助AI代理红队测试，让防御方抢在攻击者之前发现并修复漏洞。不过，自动化这些防御环节绝非易事，如果只做部分自动化，我们将无法跟上攻击能力的规模化增长速度。比如，只实现漏洞发现自动化，却不自动化修复流程，瓶颈就会从"发现漏洞"转移到"修复漏洞"，大量新漏洞会让软件工程师不堪重负。这个问题无法靠部分解决来收场，我们必须实现核心防御环节的全自动化。这需要与基础设施和产品合作伙伴协作，最终达成这样的状态：一旦发现漏洞，不仅AI代理能识别它，还能提出修复方案，同时有自动化基础设施完成补丁部署，若出现可用性故障或停机，还能自动回滚。当然，我们会循序渐进地推进自动化，但如果达不到最终的全自动化状态，我们就会陷入被动：防御端依赖人工参与的漏洞修复流程，速度慢、扩展性差，而攻击端却是全自动化流程，这种局面对整个行业而言难以为继。
这种局面显然前所未有，但道尔顿认为它会成为常态。不过他提出的部分问题其实并不新鲜。
回到漏洞赏金计划的概念：软件系统极其复杂脆弱，底层代码往往可以追溯到几十年前；代码量庞大、依赖关系繁杂，再重视安全的公司也无法确保系统毫无漏洞。这正是黑帽黑客的可乘之机：他们可以探查软件、发现漏洞并加以利用；而最有效的防御准备，就是做同样的事——要么定期由"红队"开展渗透测试，要么干脆花钱把潜在的坏人拉到自己这边。
但值得注意的是，这种防御思路是在黑帽黑客多年来持续入侵系统之后才出现的。问题不在于黑帽黑客能力超群，而在于他们的动机独特：入侵有利可图；而系统运营公司在防御上的投入动机却严重不足。没发生安全事件时，安全投入确实物有所值，但在预算审批时，这类只增加成本、不直接创造营收的项目很难获得支持。
道尔顿的担忧，恰恰反映了行业过去的这种漠视态度。Hugging Face事件表明，AI代理凭借算力可规模化发起攻击，还能自主开发漏洞利用工具，如今已构成现实威胁，但企业却没有投入足够资源提升防御能力。
不过也有好消息：在这个由AI代理主导的新安全格局中，防御方将拥有黑客时代不曾有过的优势。过去，防御方最多只能模仿攻击方的策略，或是花钱收买他们，因为预先找出所有漏洞根本不现实。但现在情况变了——我们已经（或很快就能）彻底检查整个代码库及其所有依赖项，找出漏洞并修复。防御方拥有一个结构性优势：他们掌握着目标代码本身，而攻击方的AI代理只能通过外部探查来发现漏洞。
但道尔顿的分析揭示了一个关键问题：为何目前这种优势还不够用？核心在于，黑客发起自动化攻击的预期收益始终为正。如果攻击代理发现漏洞并开发出利用工具，但工具失效或本身存在漏洞，现状不会有任何改变——攻击不会成功（甚至可能因工具漏洞反而扩大原有漏洞）；而如果攻击完美执行，攻击者就能获取系统权限。只要成功一次，整个攻击行为就有正收益。
反观防御方，他们的挑战在于必须确保软件正常运行，不能让情况恶化。这意味着任何自动化操作的预期收益都是负的：成功的自动化漏洞发现与修复只是维持现状，即软件未被入侵；但任何失败的补丁都会让情况变糟，要么导致软件崩溃，要么引入新漏洞。只要失败一次，整个防御操作就会产生负收益。
这种动态关系导致了道尔顿描述的局面：攻击方实现全自动化，而防御系统即便使用AI，也会倾向于保留人工审核环节，但人工根本跟不上全自动化代理的速度。真正有效的防御意味着要完全信任AI代理自主行动，但大多数企业只有在遭遇全自动化攻击者持续不断的入侵、被逼无奈时，才会迈出这一步。
为何AI普及需要时间
周末，大卫·森拉（David Senra）发布了一期与OpenAI CEO萨姆·奥尔特曼（Sam Altman）的播客节目https://www.youtube.com/watch?v=kG8AoExkX40，奥尔特曼承认自己此前对AI向整体经济渗透的速度判断有误：
我喜欢创业公司，它们是经济中最酷的存在，我花了整个职业生涯去研究它们。我曾以为，2023年GPT-4发布后，软件行业会很快迎来大规模颠覆，市场格局会迅速洗牌，但实际并非如此。
我在几个问题上判断失误，其中之一就是速度问题——经济的惯性实在太大了。人们会继续做熟悉的事，继续从熟悉的公司采购，继续用习惯的方式使用工具。从很多方面看，这其实是好事，能让我们面前的这场大转型更平稳、更缓慢，我对此心怀感激。但这也意味着，即便有如此惊人的技术，我们所有人对时间线的预期都过于乐观了。我认为AI是人类有史以来最了不起的技术之一，但社会和经济的适应速度会慢得多。
我当然认同奥尔特曼的观点：AI全面渗透经济、尤其是软件行业需要更长时间——我一直以来都在质疑那些过于激进的时间预期https://stratechery.com/2024/enterprise-philosophy-and-the-first-wave-of-ai/。但我认为他的解释并不完整，而道尔顿关于攻击代理与防御准备不匹配的警告，恰好补充了原因。
首先，GPT-4确实是一项重大突破，但它的能力远不足以取代现实世界中的软件。它甚至不具备推理能力，而推理能力正是解锁道尔顿所描述的那些AI能力的关键。
其次，所谓"能力不足"，指的是AI会犯错，无法被完全信任。人们确实会对AI的能力感到惊叹，但企业是否真的部署AI，不取决于它能做到什么，而在于它能否避免关键错误。
换句话说，老牌企业在对待AI时，必然会陷入"负预期收益"的思维框架：理想情况下，AI能提升现有业务效率，但他们最担心的是AI犯错，引发灾难性后果。这意味着人工审核环节会一直存在，而这永远是一个瓶颈。
从长远来看，这会是一个错误，就像企业在智能体防御中保留人工环节一样。正如道尔顿所说，抵御全自动化攻击的唯一方法，是实现防御的全自动化，但防御方需要很长时间才能接受其中的利弊权衡。同样，最终在各自领域胜出的企业，将是真正由AI驱动的公司，而非仅仅把AI当作提升效率的工具。奥尔特曼的回答中存在一个极具讽刺意味的点：他其实指出了这类公司的诞生路径——它们不会是彻底革新自身运营模式的老牌企业，而会是原生AI创业公司。
持续性创新与颠覆性创新
2023年ChatGPT刚发布不久，我在《AI与五大科技巨头》https://stratechery.com/2023/ai-and-the-big-five/一文中提出了一个问题：AI属于持续性创新还是颠覆性创新？
2022年是AI崛起之年，先是DALL-E、MidJourney、开源模型Stable Diffusion等图像生成模型问世，随后ChatGPT成为首个大规模出圈的文本生成模型。在我看来，这无疑是技术发展的新纪元。要判断这个新纪元将如何发展，不妨回顾26年前最著名的战略著作之一——克莱顿·克里斯坦森（Clayton Christensen）的《创新者的窘境》http://claytonchristensen.com/books/the-innovators-dilemma/，尤其是其中关于不同创新类型的段落：
大多数新技术会提升产品性能，我将其称为持续性技术。有些持续性技术具有突破性或革命性，有些则是渐进式的。所有持续性技术的共同点是，它们会沿着主流客户长期重视的维度，提升现有产品的性能。某个行业内的大多数技术进步都属于持续性创新……
颠覆性技术为市场带来的价值主张与以往截然不同。通常，颠覆性技术在主流市场的表现不如现有产品，但具备一些少数边缘客户（通常是新客户）看重的特性。基于颠覆性技术的产品通常更便宜、更简单、更小巧，往往也更易用。
回顾历史时，我们很容易通过观察创新出现后老牌企业的表现，判断它是持续性还是颠覆性：如果是持续性创新，老牌企业会变得更强；如果是颠覆性创新，创业公司则会抢占大部分价值。
AI的能力如此惊人，以至于它注定兼具两种属性。当前AI已能带来巨大的效率提升：对大多数知识工作者而言，利用AI是主动选择，但对软件开发者来说，这正逐渐成为必需。
不过"主动选择"与"必需"的区别至关重要：如果一项技术的应用依赖人类发挥创造力、承担风险，那么它的普及程度就会受限于人类的创造力和风险承受能力。在老牌企业中，这种限制会格外明显，因为它们的风险评估会偏向规避损失。这种考量会让AI成为持续性创新，但仅此而已。
而以创业公司为代表的人类创造力与风险承担，遵循的是完全不同的风险逻辑。对创业公司而言，失败是常态，任何能提高成功率的事都具有正预期收益——也就是说，全力投入AI只会带来好处。换个角度看，创业公司就像无所顾忌的黑帽黑客，会不惜一切实现全自动化；而它们攻击的老牌企业，会因害怕失去现有优势，在不该保留人工环节的地方迟迟不肯放手。
工具相同，激励不同，从长远来看，结局也将天差地别。