跳转至

Kevin Mandia

Armadin 创始人兼 CEO；Mandiant 创始人（2004 年 2 月创办，自筹资金且盈利，后被 Google 收购）。自述在安全行业 30 年，入局 Armadin 之前在做风投。

来源：a16z：今年 90 多个零日、20 条 kill chain 没有一个模型走过 8 条

⚠️ 本库收录他的理由：他是本库第一位职业事件响应者。本库此前的安全材料来自研究侧（Gray Swan）、运行时守门（Onyx）、基础设施侧（Simon Mo）、攻击研究侧（Truffle / Socket）与当事方实验室（Greg Brockman）。⚠️ 他带来的是"以响应真实入侵为生三十年"这个视角，而本页认为他最有价值的四条都来自这个位置。

⚠️⚠️ 利益相关，本库标到最重：他出现在本库是通过 a16z 频道访问自己的被投公司，主持人在收尾时明说"很高兴成为你们的合作伙伴"。⚠️ Armadin 的全部业务与性能声明——90 多个零日、25000 个协同 agent、20 条 kill chain 的测试结果、"职业生涯里红队过 Fortune 100 里的 99 家"、与 CrowdStrike 和 Palo Alto 的合作——本库一条未核实。 ⚠️ 他在期内也有销售式表述（"你必须有这个，而且你能有，那你为什么不要呢"），本库不采用其中的结论性评价。

⚠️ 公司名还原：自动字幕把 Armadin 写成六种以上形式（Armaden / Arman's / Armenan / Armed in 等），本库以视频简介的 Armadin 为准；Mandiant 被写成 Mandette / Mandian / Mandy。详细还原清单见视频页页首。

核心观点（2026-10）

⚠️⚠️ 一、20 条 kill chain：开放权重与最先进闭源模型同分

（视频页 00:29:21–00:31:21）✅ 本库认为这是他给出的最有分量的一条材料，因为它是本库第一份把"开源与闭源的差距"按具体领域分开测量、并给出同分结果的数据。

  • 测试构造：20 条完整 kill chain，来源是"人在真实世界里、在不同受害者站点上实际做过的"。
  • ⚠️⚠️ "我们没有一个模型走完超过 8 条完整 kill chain。"
  • ⚠️⚠️ 而他自己标为"怪事"的那一条："我们测了开放权重的那些，和最先进的闭源模型。它们全都是 8 条。"
  • ⚠️ 差距落在哪里："全部差别就在速度和成本……闭源模型找到可利用风险更快，但这一点正在被压下来，而我们让开放模型跑得更久一些，它们到了同一个地方。" 成本上不一样。
  • ⚠️ 他的概括："在网络安全这个领域，闭源与开源之间的区分没有别的领域那么大，而且它在被压缩。"
  • ⚠️ 他由此否定了"为了网络安全该放慢模型"（00:06:06）："所谓'我们放慢模型吧，我们不想网络风险太晚'——开放模型已经足够好了。"
  • ⚠️ 本库对这条的限定：8/20 这个绝对水平说明两类模型都远没走完完整攻击链，所以"同分"也可以读成"同样都不够"。 ✅ 任何引用都应带上这个水平。 见 中美 AI 对照、LLM 安全。

⚠️⚠️ 二、"匿名 GPU 可得性"是犯罪侧 AI 攻击爆发的闸门

（00:06:06–00:07:06）⚠️ 本库第一次看到这条变量被明确点出。

⚠️⚠️ "这只是一个时间问题——你一旦有了 GPU 的匿名可得性，你就会看到多得多的犯罪攻击。"

  • ⚠️ 论证是犯罪学式的："在人们知道你名字的情况下很难犯罪。如果你能匿名犯罪，那比穿着印着你名字的球衣去干要聪明得多。"
  • ⚠️ 当前阶段："我们处在 AI 攻击到来的悬崖边上、还在第一局，而我认为这只是因为模型的成本与可得性对犯罪分子还没有将来那么容易拿到。"
  • ✅ 本库标注这条为什么重要：它把"犯罪侧何时爆发"从模型能力转移到了算力的身份可追溯性上——⚠️ 对策因此是 KYC 层面的，不是模型管制层面的。 本库已有的算力治理材料（Friedberg 的攻防机器计数、Ek 的"算力是防御能力的关键指标"）讨论的都是总量与分配；这一条讨论的是可归属性。

⚠️⚠️ 三、"人留在检测与响应环里就一定太慢"

（00:21:14–00:23:16）

  • ⚠️⚠️ 主张："如果你的检测与响应环里有人，你就会太慢。它就是不会好好起作用。"
  • ⚠️ 三段式重新分配："你有 prevent、detect、respond。prevent 将由 AI 治理，detect 和 respond 将由 AI 来做。"而三个阶段的窗口都在收窄到"我们其实不会做很多检测与响应——因为做它的那个窗口……事情就已经发生了"。
  • ⚠️⚠️ 一手依据是他们自己攻击时的内部扩散速度："当我们打进去、并且有了带 agent 意识的内部命令与控制，它扩散的速度是令人震惊的……这个东西一次做一千件事。"意象是"就像气球被扎破了"。
  • ⚠️ 但他保留纵深防御："你仍然得在某种程度上有那层洋葱皮——系统备份系统，并且假设某处会失效。"⚠️ 他连自家产品的失效也写进假设："即使 Armadin 造出那个力场，早晚会有人绕过它。"
  • ⚠️⚠️ 而他明确接受误伤，本库认为这条该与反方并记："我宁愿要一个坏的补丁拦住一个坏人进来，也不要一次入侵。所以你得取两害之轻。"⚠️ 方向相反的一条材料是 vLLM 那期"护栏误杀导致用户流失"的一线证词。本库并记不裁决（两者谈的是不同层）。
  • ⚠️ 他给 CISO 的预判是这件事不由买方决定（00:20:14）："即使你不要求，你作为 CISO 也会看到自主防御发生——因为你已经投资的那些防御平台。"
  • ⚠️ SOC 的未来他明确拒绝给答案（00:23:16）："每个 CISO 都在检视它……但我没法告诉你有谁对它会怎么变是有把握的。太早了，说不准它会落在哪里。" ✅ 本库记为一处值得称许的保留。

⚠️⚠️ 四、"要保障在特定领域里行动的 agent，需要领域专业知识"

（00:26:17–00:33:24）✅ 这是他读了 OpenAI–Hugging Face 事件报告之后的落点，也是本库在该事件上第五份材料里唯一真正新增的内容。

  • ⚠️⚠️ 一般规律："在我经历的每一次技术形态转变里，我们都低估了对手的能力。而在这个案子里，我们低估了模型的能力。"⚠️ 职业化版本："我整个职业生涯里，所有人都低估你所面对的那个最顶层，因为你不必每天看到它。"⚠️ 他给的边界使它不至于变成恐慌论："你不想害怕床底下的那个怪物，所以你不想搞 FUD——但你仍然想尊重你正在创造的那些技术。"
  • ⚠️⚠️ 处方：

    "我从读那些事件报告里真正学到的是：要保障在特定领域里行动的 agent 的安全，是需要领域专业知识的。"

  • ⚠️ 要求落到 eval 上："你本来需要有一个有经验的团队去看那些 eval 长什么样，说：你知道吗，它会干这个、它会干那个。"
  • ⚠️ Armadin 的组织安排就是这条的实现："我们的 eval 大多数时候是红队成员做的。他们才是懂这些东西的人。"
  • ✅ 本库标注：本库在该事件上已有的四份材料给的处方分别是公布 prompt 日志与 traces、透明披露、外部调查、防守方窗口。这是第一条关于人员构成的处方。
  • ⚠️ 他对 METR 那份出版物的点名批评，本库照录并标为观感、无具体依据："我确实读了 METR 那份出版物，我当时想，这些人是 AI 的人，但我不确定他们做过很多（攻击实务）。"
  • ⚠️ 云计算的类比："当云开始出现时，我在 Mandiant 以响应入侵为生，我们当时必须学会：一次云入侵长什么样？我们现在必须学会：一次 AI 入侵长什么样？"
  • ⚠️⚠️ 他对模型实验室提的要求很具体，本库认为是本期最该被接到安全主题页的处方："被用来做这些攻击的模型公司，有多少数据？你希望他们记录什么？他们自己又会怎么改变行为，以获得更好的审计轨迹、更好的取证能力？"⚠️ 验收标准是时间："不该是要两周的取证才能搞清楚。"⚠️ 自家对照："我们记录我们 agent 做的每一件事——源 IP 地址、时间日期、它做了什么。"
  • ⚠️ 他对实验室处境的解释带一句很重的旁注，而他明确把它搁置：谈到"连 CEO 都在说'我们没法放慢它，让我们请政府来帮我们放慢它'"时，⚠️ "那意味着你连自己的创新都控制不了"——"我对此有看法，但我们可以改天再谈。" ✅ 本库照录并标为未展开的立场。

⚠️ 五、把自己造的攻击型 AI 关起来的做法清单

（00:28:19–00:34:24）✅ 本库第一份由一家明确自称"做出了大家都在担心的那头野兽"的公司给出的自我约束清单。

  • ⚠️ 他先把性质说明白："别搞错，Armadin 做出了我们都在担心的那头野兽。我们做了一个会攻击的模型，我们做了很多个。"
  • 清单：hypervisor + 主机层面锁死 + 代理；⚠️ 全量 prompt 旁路审查（"他们被动地、不声不响地看每一个 prompt"）；多层验证；⚠️ 假设每一层都会失效 + 确定性规则消除某些活动；双向分类器（人工点赞点否训练）；⚠️ 不确定就"暂停、上报、裁决"。
  • ⚠️⚠️ 而那条运行实况本库认为最反直觉、最值得单记：

    ⚠️⚠️ "而大多数时候，如果我们杀掉一个 agent，那大概跟安全毫无关系。是这个 agent 在浪费钱。"

  • ✅ 本库标注：这把"agent 监控"的日常从安全问题改成了成本问题。 ⚠️ 本库此前所有 agent 监控材料（Onyx 的小守门模型、Atallah 的 decision model 检查器）都把它当成安全组件；若生产中 90% 的触发是成本原因，这类系统的设计目标与评测方式都该随之改变。
  • ⚠️⚠️ "笼子该多紧"他给了明确的反向限定："我会主张把它关得太紧一点，然后放一点出来，找到那条线。"⚠️ 代价说得很直白："如果你太确定性、禁掉太多，你大概就没在利用它的创造力。所以这是一个灰色地带。"⚠️ 后果："而那个灰色地带的问题就在于，这就是为什么没有人会说'我们 100% 确定我们会得到我们预期的东西'。"
  • ✅ 一次本库认为很干净的独立佐证：Atallah 三天前提出"用便宜快的 decision model 检查每一次 tool call、不确定就拒绝并给反馈"，而他描述的是同一机制在高风险场景里的生产实现。⚠️ 两人互不相关、场景完全不同，而机制几乎一致。

攻防形势的判断

  • ⚠️ AI 攻击今天的"指纹"（00:04:03–00:05:05）：人类入侵是 A→B→C，而 AI"会打进 A 点，然后横向移动到 B 点，接下来你就发现它又在试着打进 A 点"。⚠️ 他的评语："我理解无人机蜂群，但你大概可以协调得、思考得稍微好一点。"规模对照是"AI 在一微秒里做的事，要 70 个人类才行——他们甚至做不到"；结构性差别在路径数（人只能找一条路径）。
  • ⚠️ 他为什么认为 AI 在这件事上一定行（00:06:06）："我们不需要最花哨的模型……Armadin 在攻击侧做的是找漏洞、找可利用风险。那是代码，那是一门结构化的语言、一个结构化的过程。因为它是结构化的，AI 会非常擅长它。"
  • ⚠️ 国家级 = 狙击，AI = 无人机蜂群（00:07:06–00:09:07）：现代国家"限制自己的目标选择，并且在非常具体的东西上打得很深——比如 30 家国防承包商"。⚠️ AI 版本"更潦草一点、更吵一点"，而当主持人说"但更有效"时，⚠️ 他的纠正是"更全面（more comprehensive）"。✅ 本库认为这个替换有内容：优势来自覆盖面，而不是单点成功率。
  • ⚠️ 当前约束："现在 AI 在攻击侧不是一个隐蔽的动作……除非你做了大量的 post-training。"单靠提示做不到："如果你就说'嘿，prompt hack 一下 abc.com'，AI 不会以隐蔽而聪明的方式去做。"
  • ⚠️⚠️ 均衡器效应与归因退化（00:09:07–00:10:07）："你会看到能力更弱的攻击者——更不技术、更不成功的那些——会显得成功得多。这就是那个均衡器。"⚠️ 防守侧后果："我们会说我们正在被这些模型攻击，但我们不确定它们背后是谁。是一个国家吗？是一个人吗？……归因会变得有点困难。"
  • ✅ 本库标注：归因退化有两个独立来源——能力的民主化与算力的匿名可得。两者对策完全不同，应分开记。
  • ⚠️ 企业现状快照（2026-10 初）（00:24:16–00:26:17）：⚠️ 双方的紧迫感对称——"如果你在伊朗或俄罗斯的攻击侧，你有一种'现在就进去、就位'的紧迫感。而如果你在防守侧，你急着要把每一扇窗都补上。而公平地说，双方的紧迫都是准确的。"近期方向："在 AI 时代我们有近期的痛苦，而它有利于进攻。"⚠️ 一条他自己说没核实的覆盖面判断："我不知道有任何一家大型一线企业没有在积极扫描暴露面、并实时对此做些什么。"⚠️ 他对未来一年的判断："没有办法让接下来这一年变得好看。"
  • ⚠️⚠️ "Mythos 时刻"的定性，而他认为业界读错了方向（00:26:17）："从营销角度，那个 Mythos 时刻让所有人都说：好，威胁变了。" ⚠️ 但普遍反应是"去找我们自己软件里的漏洞"，而他对此的评价只有一个词——"扫源码找出几千个漏洞，那是噪声。" ⚠️ 他认为真正的意义是："那只是让'AI 在攻击侧正朝你过来'这件事变得人尽皆知。那基本上是一个确凿的盖章：它要来了。"

产品与方法（均为自述，本库未核实）

  • Armadin Red（攻击侧）/ Armadin Blue（防守侧）：Act 1 是"在找可利用风险这件事上做到世界最好"，Act 2 是"在对它做点什么这件事上做到世界最好"（把可利用风险信息交给 EDR 或防火墙，以速度创建补偿性控制）。⚠️ 他对 Blue 当前质量的自评很低："出闸时、在接下来几个月里可能是初级的。"类比是战地包扎——"那不是医院，那是'嘿，我们大致把血止住了'"。
  • ⚠️ "hyper attack" + 心跳轮询（00:11:07–00:13:10）：先用 agent 蜂群把网络全量测绘（"每一个服务、每一条路由、每一个系统、所有资产"，产出若干 TB 元数据，即"攻击者视角下你的网络"的"元数据孪生"）；⚠️ 然后"像心跳一样轮询：什么变了？"再"便宜地轮询变化，然后攻击那个变化"。⚠️ 三个触发条件：威胁变了（新模型、新情报）/ 网络变了 / 想自我审计（"我们明天有董事会"）。⚠️ 他对"为什么不能一直攻击"很诚实："a，这成本上不可承受；b，这没必要。"
  • ⚠️ 渗透测试 vs 红队的定义（00:14:11–00:18:13）：渗透测试是"扫描那些已经已知的东西，而且它并不证明你是否真的可被利用……总是造出一个更长的、无关紧要的漏洞清单"（他点名旧版本的 Tenable、Rapid7、Qualys 为"卫生动作"）。⚠️ AI 攻击的三条区别：① 在自定义应用里找逻辑缺陷而不是代码缺陷；② 一直把所有路径走穷；③ agent 会记住并了解你的基础设施。 ⚠️ 落点："我觉得它会随时间取代渗透测试。那只是一个红队压过来会做的事情的一小部分。"
  • ⚠️⚠️ 90 多个零日，以及"从人找到机器找"的交接点（00:16:12、00:34:24–00:35:24）："2026 年一月以来在客户站点找到 90 多个零日，全部在生产环境里"，客户是 Fortune 500 级别，方法是黑盒、从互联网过来、没有源码，流程是48 小时内通知 CISO（"我们在你的 DMZ 里拿到了远程代码执行"），而客户"会直接进入事件模式"。
  • ⚠️⚠️ 交接点："大多数是人找到的"——但人之所以能找到，是因为"我们在用 AI 做 90% 以上的繁琐工作……做到第 98、99 百分位，然后我们还是把人放上去"；⚠️ "但最后那几个零日是技术自己找到的。所以我们已经转过弯了。"
  • ✅ 本库标注：这是本库第一份给出"从人找到机器找"这一交接发生在何处的一手描述，而且附带了分母。
  • 三波情报模型（00:36:24–00:37:25）：① AV 签名（批评是把发现成本推给用户——"我妈不会在她的笔记本上找恶意软件"）；② Mandiant 的事件响应（第一条标语是"你不能只依赖预防性措施"，等价说法"安全入侵是不可避免的"；⚠️ "2004 年没人真的相信这个前提，我自己都不知道我有多相信它"）；③ ⚠️ Armadin 的"先找自己的问题"——"为什么我们要等着一个受害者出现再从那里学？那太荒谬了。"⚠️ 但他没有废掉第二波："那个模型……仍然需要存在。但我们已经有那个模型了，而它就是不够好。"

创业与组织观点

  • ⚠️ "今天和 2004 年的四个差别"（他自己的总结）（00:43:29）：融资、速度、品牌要紧、go-to-market 的搭建——"今天你必须比两年前快得多地把它建起来。"对照起点是 Mandiant 自筹资金 + 盈利 + "没有竞争，因为没人相信那个前提"；⚠️ "我不知道现在还有自筹资金的公司。"
  • ⚠️ 他对竞争环境的判断（00:45:31）："今天的创始人比以往任何时候都多……所以你现在选择做的任何事情都会有竞争。不会再有一个 Mandiant。"⚠️⚠️ 而他给的唯一差异化处方刻意地不讲技术："唯一的差异化方式是：拿到客户、让客户开心、重复。除了你的客户基础对你赞不绝口，没有别的东西能让你差异化。"
  • ⚠️ "光环"从哪些客户身上拿（00:44:30）：货币中心银行、最好的零售、航空公司能，小商户不能。落点是"单一的企业聚焦：第一，解决最难的问题"。
  • ⚠️⚠️ 速度对销售组织的后果，本库认为这是本期最有意思的一条组织观察（00:41:28）：旧节奏是"一月的 sales kickoff 培训销售，然后你就好了"；⚠️ 而"我们每两周就不一样了"，所以必须把销售培训提到每周。
  • ⚠️⚠️ 而他对"AI 会不会取代企业安全销售"的回答是明确的否，理由恰恰是技术变化太快："企业安全销售的现实是人还是从人那里买……事实上它甚至被强化了，因为技术变得这么快，你不能把'你是怎么变的、它现在在哪'这个负担压在客户身上。" ✅ 本库标注：这是本库第一次看到"技术迭代加速"被用作"人力销售更不可替代"的论证，而本库此前在 AI 与就业 上的材料方向相反。
  • ⚠️ 增长参照（本库未核实）（00:39:26）："Wiz 从第一次发布起 18 个月做到超过 1 亿美元 ARR。我们要试着打破那个。"⚠️ 但他划了边界："消费 AI 公司创造的那种收入的陡升，我不认为能在企业安全销售里被复制。"
  • ⚠️ 流程与管理："你不能靠拼劲、直觉和胆量赢。你实际上必须把它流程化，几乎是工业化。"；⚠️ "一个 CEO 的工作就是绝对地把公司里的混乱藏起来、不让员工看到。"；所有工程师在一个房间里。
  • ⚠️ 技术护城河的时效（00:43:29）："我不知道 IP 能持续多久……我们今天做的任何事，别人六个月后就在做。"⚠️ 行业判断："在网络安全里，每一个技术栈在接下来两年都会不一样。"
  • ⚠️ 他回到这个领域的理由（00:01:00–00:03:01）："我不想在我做了 30 年安全、而这整个该死的东西就要变的时候，坐在 AI 的换班期外面。"⚠️ 他对自己处境很具体："我在五十多岁不会再去创办一家公司，而且我当时在做 venture。不是'哦我是个创业者、我爱创办公司'，不是这样。我见了这个团队，然后想：我们必须做这件事。"
  • ⚠️ 一条他自己标明未核实的人才外溢数字（00:38:25）：有人发短信说"RSA 主舞台 keynote 的 43% 是 Mandiant 校友"——"我从没核实过，但那家伙挺准的。" ✅ 本库照录并保留他的不确定标注。 他同时提到 George Kurtz 与 Foundstone 的人才外溢（两人 2000 年在 Foundstone 共事）。

与本库其它材料的关系

  • ⚠️⚠️ 他的 kill chain 测试对 中美 AI 对照 里"若中国先有前沿模型"那组攻防竞速论证有直接后果：✅ 如果在攻击这个具体领域开放权重与前沿闭源的上限相同，那条防御性论证在此领域失效。 ⚠️ 但引用时必须带上 8/20 这个绝对水平。
  • ⚠️ 他是本库在 OpenAI–Hugging Face 事件上的第五个视角，而唯一新增的是那条人员构成处方（eval 必须由领域从业者写）。其余部分与已有四份材料重合。
  • ⚠️ 他与 Atallah 在"用分类器检查 agent 的每一步"上构成一次独立佐证（三天之隔、互不相关、场景完全不同）。
  • ⚠️ 他与 Simon Mo 在"误伤的代价"上方向相反，本库并记不裁决。
  • ⚠️ 他与 Truffle / Socket 那期 同属攻击侧视角，但位置不同：那一期讲的是攻击者为什么会走省力路径；⚠️ 他讲的是攻击者的规模与路径数如何改变，以及防守的响应环必须交给机器。 ✅ 本库认为两者互补。

已收录访谈

日期 视频 同场 主题
2026-10-06 今年 90 多个零日、20 条 kill chain 没有一个模型走过 8 条 David George（a16z；⚠️ a16z 是 Armadin 投资方） 20 条 kill chain 开源与闭源同分（都是 8 条）、匿名 GPU 可得性是犯罪侧闸门、人留在检测与响应环里就一定太慢、AI 攻击的指纹（打回 A 点）、国家级狙击 vs AI 蜂群、均衡器与归因退化、渗透测试 vs 红队、扫源码找几千个漏洞是噪声、90 多个零日与"从人找到机器找"的交接、自主防御接受误伤、领域专业知识才能写安全 agent 的 eval、对模型实验室的日志要求、杀 agent 大多是因为浪费钱而非安全、笼子太紧会丢掉创造力、三波情报模型、企业安全销售不会被 AI 取代